Rủi ro an ninh mạng và bảo vệ dữ liệu với doanh nghiệp có vốn nước ngoài

Doanh nghiệp có vốn nước ngoài tại Việt Nam đang chịu đồng thời hai lớp nghĩa vụ dữ liệu chồng lên nhau: lớp an ninh mạng theo Luật An ninh mạng 24/2018/QH14 và Nghị định 53/2022/NĐ-CP, và lớp bảo vệ dữ liệu cá nhân vừa được nâng cấp toàn diện bằng Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP, cả hai có hiệu lực từ ngày 01/01/2026 và thay thế khung Nghị định 13/2023/NĐ-CP. Sai lầm phổ biến nhất là doanh nghiệp chỉ rà soát theo một lớp và tưởng rằng mình đã tuân thủ. Bài viết này vẽ lại bản đồ hai lớp đó cho đúng đối tượng FDI: ai phải lưu trữ dữ liệu tại Việt Nam, chuyển dữ liệu ra nước ngoài phải làm gì, và vi phạm phải trả giá thế nào.

Trả lời ngắn

Doanh nghiệp FDI phải tuân thủ đồng thời: quy tắc an ninh mạng về lưu trữ dữ liệu tại Việt Nam và đặt chi nhánh hoặc văn phòng đại diện đối với một số nhà cung cấp dịch vụ xuyên biên giới thuộc diện Nghị định 53/2022/NĐ-CP quy định; và toàn bộ nghĩa vụ bảo vệ dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, gồm căn cứ xử lý hợp pháp, thông báo và đồng ý, chỉ định đầu mối bảo vệ dữ liệu, lập hồ sơ đánh giá tác động và hồ sơ đánh giá chuyển dữ liệu cá nhân xuyên biên giới khi chuyển dữ liệu ra nước ngoài. Nghị định 13/2023/NĐ-CP đã được thay thế, mọi quy trình nội bộ trích dẫn văn bản này cần được cập nhật.

Lớp thứ nhất: an ninh mạng và nghĩa vụ bản địa hóa có điều kiện

Luật An ninh mạng 24/2018/QH14 đặt ra nghĩa vụ lưu trữ tại Việt Nam đối với dữ liệu về thông tin cá nhân của người dùng Việt Nam, dữ liệu về quan hệ của người dùng và dữ liệu do người dùng tạo ra, nhưng nghĩa vụ này gắn với nhóm doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, mạng internet và dịch vụ gia tăng trên không gian mạng thuộc diện Chính phủ quy định chi tiết. Nghị định 53/2022/NĐ-CP cụ thể hóa danh mục dịch vụ và điều kiện áp dụng, kèm yêu cầu đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam đối với doanh nghiệp nước ngoài thuộc diện. Hệ quả thực tiễn rất quan trọng: doanh nghiệp sản xuất FDI dùng hệ thống nội bộ thông thường không tự động rơi vào nghĩa vụ bản địa hóa này, trong khi công ty công nghệ cung cấp dịch vụ cho người dùng Việt Nam thì phải đối chiếu danh mục của Nghị định 53/2022/NĐ-CP một cách nghiêm túc. Ngoài bản địa hóa, lớp an ninh mạng còn gồm nghĩa vụ phối hợp với cơ quan chuyên trách khi có yêu cầu về an ninh, bảo đảm an toàn hệ thống thông tin theo cấp độ và xử lý sự cố.

Lớp thứ hai: bảo vệ dữ liệu cá nhân theo Luật 91/2025 và Nghị định 356/2025

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 lần đầu tiên nâng bảo vệ dữ liệu cá nhân từ cấp nghị định lên cấp luật, có hiệu lực từ 01/01/2026, và Nghị định 356/2025/NĐ-CP hướng dẫn thi hành đồng thời thay thế Nghị định 13/2023/NĐ-CP. Khung mới giữ và hệ thống hóa các nghĩa vụ mà doanh nghiệp FDI thường gặp nhất: xác định đúng vai trò bên kiểm soát, bên xử lý và bên kiểm soát và xử lý dữ liệu cá nhân; có căn cứ xử lý hợp pháp cho từng mục đích, trong đó đồng ý của chủ thể dữ liệu phải hợp lệ, rõ ràng và rút lại được; thông báo đầy đủ trước khi xử lý; phân biệt dữ liệu cá nhân cơ bản với dữ liệu cá nhân nhạy cảm để áp dụng biện pháp bảo vệ cao hơn; bảo vệ dữ liệu của trẻ em; chỉ định bộ phận và nhân sự phụ trách bảo vệ dữ liệu; thông báo vi phạm cho cơ quan chuyên trách và chủ thể dữ liệu trong thời hạn luật định khi xảy ra sự cố.

Với tập đoàn đa quốc gia, điểm nặng nhất của lớp thứ hai là chuyển dữ liệu cá nhân xuyên biên giới. Khi chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài, dù là về máy chủ mẹ hay cho nhà cung cấp dịch vụ đám mây, doanh nghiệp phải lập hồ sơ đánh giá tác động của việc chuyển dữ liệu, mô tả mục đích, loại dữ liệu, bên nhận và biện pháp bảo vệ, và gửi cơ quan chuyên trách theo quy định của Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP; hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong nước cũng phải được lập và cập nhật cho các hoạt động thuộc diện. Nhóm doanh nghiệp hay bị sót nhất là nhà máy FDI chuyển dữ liệu nhân sự về hệ thống nhân sự toàn cầu của tập đoàn: đây vẫn là xử lý và chuyển dữ liệu cá nhân, không phải ngoại lệ nội bộ.

Rủi ro và lưu ý thực tiễn

Thứ nhất, không sao chép nguyên trạng chương trình tuân thủ của công ty mẹ về Việt Nam: nhiều tập đoàn áp một bộ quy tắc toàn cầu xây trên khung châu Âu, trong khi nghĩa vụ hồ sơ đánh giá và thông báo tại Việt Nam có biểu mẫu, đầu mối tiếp nhận và thời hạn riêng theo Nghị định 356/2025/NĐ-CP. Thứ hai, nhà cung cấp dịch vụ bên ngoài như đơn vị tính lương, nền tảng tuyển dụng và nhà cung cấp đám mây phải được ràng buộc bằng thỏa thuận xử lý dữ liệu rõ ràng; doanh nghiệp không thoát trách nhiệm chỉ vì dữ liệu nằm trên hệ thống của nhà thầu. Thứ ba, sự cố dữ liệu cần kịch bản ứng phó hai đường: vừa khắc phục kỹ thuật, vừa hoàn thành nghĩa vụ thông báo trong thời hạn luật định, vì chậm thông báo tự nó đã là một vi phạm độc lập. Thứ tư, trong giao dịch mua bán dự án, dữ liệu khách hàng và nhân sự của bên bán là một hạng mục thẩm định riêng: chuyển giao dữ liệu khi chưa có căn cứ pháp lý có thể biến thương vụ hoàn tất thành vi phạm ngay ngày đầu.

Checklist hành động

• Lập bản đồ dữ liệu: loại dữ liệu cá nhân, mục đích, hệ thống lưu trữ, bên nhận trong và ngoài nước, cho cả dữ liệu nhân viên và khách hàng.
• Đối chiếu hoạt động với danh mục của Nghị định 53/2022/NĐ-CP để xác định nghĩa vụ lưu trữ tại Việt Nam và hiện diện thương mại có kích hoạt hay không.
• Cập nhật toàn bộ chính sách, biểu mẫu đồng ý và quy trình nội bộ từ khung Nghị định 13/2023/NĐ-CP sang Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
• Chỉ định bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân, công bố kênh liên hệ cho chủ thể dữ liệu.
• Lập hồ sơ đánh giá tác động xử lý dữ liệu và hồ sơ đánh giá chuyển dữ liệu cá nhân xuyên biên giới cho mọi luồng dữ liệu về công ty mẹ và nhà cung cấp nước ngoài.
• Ký hoặc bổ sung điều khoản xử lý dữ liệu trong hợp đồng với nhà cung cấp tính lương, tuyển dụng, điện toán đám mây và công nghệ thông tin.
• Diễn tập kịch bản sự cố dữ liệu gồm cả bước thông báo cơ quan chuyên trách và chủ thể dữ liệu trong thời hạn luật định.

Câu hỏi thường gặp

Doanh nghiệp FDI phải tuân thủ những quy định nào về an ninh mạng và dữ liệu cá nhân?

Hai lớp song song. Lớp an ninh mạng theo Luật An ninh mạng 24/2018/QH14 và Nghị định 53/2022/NĐ-CP, trọng tâm là bản địa hóa có điều kiện với nhà cung cấp dịch vụ thuộc danh mục, an toàn hệ thống thông tin và phối hợp với cơ quan chuyên trách. Lớp dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP áp cho mọi hoạt động xử lý dữ liệu cá nhân: căn cứ hợp pháp, thông báo và đồng ý, quyền của chủ thể dữ liệu, đầu mối bảo vệ dữ liệu, đánh giá tác động và hồ sơ chuyển dữ liệu xuyên biên giới. Doanh nghiệp phải rà soát cả hai lớp, không thay thế nhau.

Dữ liệu của tôi có phải lưu trữ tại Việt Nam không?

Không phải mọi doanh nghiệp FDI đều phải lưu trữ toàn bộ dữ liệu tại Việt Nam. Nghĩa vụ lưu trữ tại Việt Nam theo Luật An ninh mạng 24/2018/QH14 và Nghị định 53/2022/NĐ-CP gắn với doanh nghiệp cung cấp các dịch vụ thuộc danh mục quy định và đáp ứng điều kiện về dữ liệu người dùng Việt Nam. Nhà máy sản xuất dùng hệ thống nội bộ thường không thuộc diện này, nhưng vẫn phải lập hồ sơ đánh giá khi chuyển dữ liệu cá nhân ra nước ngoài theo Luật 91/2025/QH15. Kết luận đúng cho từng doanh nghiệp chỉ có sau bước đối chiếu danh mục dịch vụ của Nghị định 53/2022/NĐ-CP với mô hình hoạt động thực tế.

Vi phạm thì bị phạt bao nhiêu?

Mức xử lý phụ thuộc hành vi và lớp quy định bị vi phạm: xử phạt hành chính bằng tiền theo khung của các văn bản xử phạt trong lĩnh vực liên quan và quy định của Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP, kèm biện pháp khắc phục như buộc dừng hoặc điều chỉnh hoạt động xử lý dữ liệu, xóa dữ liệu xử lý trái phép và bồi thường thiệt hại cho chủ thể dữ liệu theo pháp luật dân sự; hành vi nghiêm trọng như mua bán dữ liệu cá nhân trái phép hoặc xâm phạm hệ thống thông tin còn có thể bị truy cứu trách nhiệm hình sự. Vì mức tiền gắn với từng hành vi cụ thể, doanh nghiệp nên yêu cầu luật sư đối chiếu đúng hành vi rủi ro của mình với khung phạt hiện hành thay vì dùng một con số chung.

FLAT Law Firm đồng hành cùng nhà đầu tư

FLAT Law Firm rà soát tuân thủ dữ liệu cho doanh nghiệp FDI theo cả hai lớp: đối chiếu nghĩa vụ bản địa hóa theo Nghị định 53/2022/NĐ-CP, và xây dựng bộ hồ sơ bảo vệ dữ liệu cá nhân theo Luật 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP, gồm hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu xuyên biên giới về công ty mẹ. Hãy gửi bản đồ hệ thống và luồng dữ liệu hiện tại của bạn để được xác định đúng nghĩa vụ trước khi cơ quan quản lý hỏi đến.

Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng