Một tập đoàn Trung Quốc có công ty con tại Việt Nam vận hành ít nhất hai dòng dữ liệu xuyên biên giới mỗi ngày: dữ liệu nhân viên, khách hàng và vận hành chảy từ Việt Nam về hệ thống của công ty mẹ, và dữ liệu quản trị, kỹ thuật chảy ngược lại. Nhiệm vụ của nhà quản trị tuân thủ là lập bản đồ từng dòng dữ liệu theo cả hai hệ thống pháp luật trước khi hệ thống công nghệ của tập đoàn tự quyết định thay.
Chiều Trung Quốc: hai lớp nghĩa vụ của công ty mẹ
Lớp thứ nhất đến từ Luật An ninh dữ liệu của Trung Quốc năm 2021, xây dựng cơ chế phân loại dữ liệu theo cấp độ quan trọng, trong đó dữ liệu quan trọng và dữ liệu liên quan an ninh quốc gia chịu kiểm soát chặt, bao gồm đánh giá rủi ro khi cung cấp ra nước ngoài trong các trường hợp luật định. Với công ty mẹ, vấn đề thực tế là dữ liệu nhận từ công ty con Việt Nam, khi được tập hợp và xử lý tại Trung Quốc cùng dữ liệu của các công ty con khác, có thể chạm vào các nhóm dữ liệu bị phân loại, đặc biệt trong ngành có yếu tố hạ tầng hoặc dữ liệu quy mô lớn về cá nhân.
Lớp thứ hai đến từ Luật Bảo vệ thông tin cá nhân của Trung Quốc, thường gọi là PIPL. Điều 38 của luật này quy định việc chuyển thông tin cá nhân ra khỏi Trung Quốc phải đi qua một trong ba cơ chế: đánh giá an ninh do cơ quan quản lý không gian mạng tổ chức, ký kết hợp đồng tiêu chuẩn về chuyển thông tin cá nhân ra nước ngoài, hoặc đạt chứng nhận bảo vệ thông tin cá nhân theo quy định. Các quy định nới lỏng dòng dữ liệu xuyên biên giới ban hành năm 2024 đã bổ sung ngưỡng áp dụng và trường hợp miễn trừ cho từng cơ chế; bài viết ghi nhận sự tồn tại của hệ thống ngưỡng này ở mức cơ chế, và doanh nghiệp cần đối chiếu ngưỡng cụ thể với quy định hiện hành tại thời điểm chuyển dữ liệu.
Chiều Việt Nam: hồ sơ chuyển dữ liệu theo luật mới
Tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023/NĐ-CP từ ngày 01 tháng 01 năm 2026 đã nâng khung bảo vệ dữ liệu cá nhân thành luật với chế định chuyển dữ liệu cá nhân ra nước ngoài riêng. Bên chuyển dữ liệu phải lập hồ sơ đánh giá tác động của việc chuyển dữ liệu cá nhân xuyên biên giới, mô tả loại dữ liệu, chủ thể dữ liệu, bên nhận ở nước ngoài, biện pháp bảo vệ và đánh giá rủi ro, rồi gửi tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an theo quy định, đồng thời cập nhật hồ sơ khi hoạt động chuyển dữ liệu thay đổi.
Với công ty con tại Việt Nam, nghĩa vụ này áp dụng cho chính các dòng dữ liệu nội bộ tập đoàn quen thuộc nhất: đồng bộ hồ sơ nhân viên lên hệ thống quản trị của công ty mẹ, chuyển dữ liệu khách hàng vào nền tảng quản lý quan hệ khách hàng đặt máy chủ ở Trung Quốc, và cấp quyền truy cập từ xa cho đội kỹ thuật nước ngoài vào hệ thống chứa dữ liệu cá nhân tại Việt Nam. Việc bên nhận là công ty mẹ không làm giảm nghĩa vụ; pháp luật Việt Nam nhìn giao dịch này như một hoạt động chuyển dữ liệu ra nước ngoài cho một bên nhận độc lập, bất kể quan hệ sở hữu giữa hai bên.
Công ty con cũng phải bảo đảm nền tảng hợp pháp cho việc xử lý dữ liệu ngay từ khâu thu thập tại Việt Nam, gồm thông báo và sự đồng ý của chủ thể dữ liệu theo luật mới trong các trường hợp luật định, quyền của chủ thể dữ liệu được thực thi tại Việt Nam, và nghĩa vụ thông báo sự cố dữ liệu cho cơ quan chuyên trách trong thời hạn luật định khi xảy ra vi phạm. Thiếu nền tảng ở khâu thu thập, hồ sơ đánh giá tác động chuyển dữ liệu dù soạn chỉn chu cũng đứng trên một điểm yếu pháp lý có sẵn.
Những điểm xung đột điển hình và cách thiết kế chính sách chung
Xung đột thứ nhất nằm ở đánh giá hai đầu: cùng một dòng dữ liệu có thể phải qua đánh giá tác động tại Việt Nam trước khi chuyển và, tùy cơ chế được chọn, qua đánh giá an ninh hoặc hợp đồng tiêu chuẩn tại Trung Quốc khi chuyển tiếp, với tiêu chí và cơ quan tiếp nhận khác nhau. Xung đột thứ hai nằm ở yêu cầu lưu trữ và bản địa hóa trong các trường hợp dữ liệu thuộc nhóm bị quản lý đặc thù, khiến kiến trúc hệ thống tập trung hoàn toàn tại một nước trở nên khó duy trì. Xung đột thứ ba nằm ở nghĩa vụ báo cáo sự cố: thời hạn, nội dung và cơ quan nhận báo cáo tại hai nước không trùng nhau, và một sự cố tại công ty con có thể kích hoạt đồng thời nghĩa vụ ở cả hai đầu.
Chính sách dữ liệu chung của tập đoàn vì vậy nên được xây dựng theo cấu trúc một khung, hai phụ lục quốc gia: khung chung quy định phân loại dữ liệu, nguyên tắc tối thiểu hóa và kiểm soát truy cập thống nhất; phụ lục Việt Nam xử lý hồ sơ đánh giá tác động chuyển dữ liệu, cơ chế đồng ý và báo cáo sự cố theo luật Việt Nam; phụ lục Trung Quốc xử lý phân loại dữ liệu quan trọng và lựa chọn cơ chế chuyển dữ liệu theo PIPL..
Câu hỏi thường gặp
Luật an ninh dữ liệu và PIPL của Trung Quốc áp lên công ty mẹ ảnh hưởng gì đến việc chia sẻ dữ liệu với công ty con tại Việt Nam?
Ảnh hưởng trực tiếp nhất là mọi dòng dữ liệu cá nhân từ Trung Quốc chảy sang công ty con Việt Nam đều là hoạt động chuyển thông tin cá nhân ra nước ngoài theo PIPL và phải tựa vào một cơ chế hợp pháp, trong khi dữ liệu mà công ty mẹ tập hợp từ nhiều công ty con có thể chạm nhóm dữ liệu quan trọng theo Luật An ninh dữ liệu và chịu thêm kiểm soát. Ở chiều ngược lại, việc công ty mẹ nhận dữ liệu từ Việt Nam không được pháp luật Trung Quốc miễn trừ chỉ vì đó là giao dịch nội bộ tập đoàn. Tập đoàn cần lập bản đồ từng dòng dữ liệu theo cả hai chiều thay vì coi mạng nội bộ là một không gian pháp lý trung lập.
Dữ liệu của công ty con Việt Nam khi chuyển về Trung Quốc phải qua đánh giá an ninh dữ liệu của phía Trung Quốc không?
Cần phân biệt hai đầu của giao dịch. Tại đầu Việt Nam, việc chuyển dữ liệu cá nhân về công ty mẹ phải có hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo Luật 91/2025 và được gửi cơ quan chuyên trách theo quy định. Tại đầu Trung Quốc, đánh giá an ninh của cơ quan quản lý không gian mạng là một trong ba cơ chế của Điều 38 PIPL, chỉ bắt buộc trong các trường hợp đạt ngưỡng hoặc thuộc diện luật định; các trường hợp khác có thể dùng hợp đồng tiêu chuẩn hoặc chứng nhận, và quy định nới lỏng năm 2024 có các miễn trừ riêng. Vì vậy câu trả lời phụ thuộc loại dữ liệu, quy mô và cơ chế được chọn ở đầu Trung Quốc, không thể khẳng định mọi lần chuyển đều qua đánh giá an ninh.
Hai chiều tuân thủ Việt Nam – Trung Quốc về chuyển dữ liệu xung đột ở điểm nào?
Ba điểm xung đột điển hình là: cùng một dòng dữ liệu phải qua thủ tục đánh giá ở cả hai đầu với tiêu chí và cơ quan khác nhau; yêu cầu về lưu trữ và xử lý tại chỗ với một số nhóm dữ liệu đặc thù tại từng nước gây khó cho kiến trúc hệ thống tập trung; và nghĩa vụ báo cáo sự cố khác nhau về thời hạn, nội dung và nơi nhận, khiến một sự cố tại công ty con kích hoạt đồng thời hai quy trình không đồng bộ. Ngoài ra, cơ chế đồng ý và quyền của chủ thể dữ liệu tại hai nước có phạm vi khác nhau, nên một mẫu thông báo dùng chung cho cả tập đoàn thường không đạt chuẩn ở ít nhất một trong hai đầu.
Tập đoàn thiết kế chính sách dữ liệu chung đáp ứng cả Luật 91/2025 của Việt Nam và PIPL thế nào?
Thiết kế bền vững là một khung chính sách chung kèm phụ lục riêng cho từng nước. Khung chung thống nhất phân loại dữ liệu, nguyên tắc thu thập tối thiểu, kiểm soát truy cập và tiêu chuẩn bảo mật. Phụ lục Việt Nam quy định hồ sơ đánh giá tác động chuyển dữ liệu, thủ tục gửi cơ quan chuyên trách, cơ chế đồng ý và báo cáo sự cố theo luật Việt Nam. Phụ lục Trung Quốc quy định phân loại dữ liệu quan trọng, lựa chọn một trong ba cơ chế chuyển dữ liệu của PIPL cho từng dòng dữ liệu ra khỏi Trung Quốc và các miễn trừ được áp dụng. Mỗi dòng dữ liệu xuyên biên giới cần một dòng mô tả trong bản đồ dữ liệu của tập đoàn, ghi rõ cơ chế hợp pháp ở cả hai đầu trước khi hệ thống kỹ thuật được kết nối.
Lời mời trao đổi dành riêng cho tập đoàn có công ty con tại Việt Nam
Nếu tập đoàn của quý vị đang đồng bộ dữ liệu nhân viên, khách hàng hoặc vận hành giữa công ty mẹ tại Trung Quốc và công ty con tại Việt Nam trên cùng một hệ thống, FLAT Law Firm có thể cùng đội tuân thủ của quý vị lập bản đồ dòng dữ liệu hai chiều theo đúng hệ thống đang vận hành: dòng nào cần hồ sơ đánh giá tác động tại Việt Nam, dòng nào cần chọn cơ chế chuyển dữ liệu tại đầu Trung Quốc và điểm nào trong chính sách chung hiện tại đang không đạt chuẩn ở một trong hai nước. Buổi làm việc đầu tiên bắt đầu từ sơ đồ hệ thống thật của tập đoàn, không phải từ một mẫu chính sách chung.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng
