Meta bị phạt 1,2 tỷ euro vì chuyển dữ liệu xuyên biên giới: bài học PDPD cho cloud, SaaS

Tháng 5/2023, Meta bị phạt 1,2 tỷ euro bởi Ủy ban Bảo vệ Dữ liệu Ireland (DPC). Đây là mức phạt GDPR cao nhất tính đến thời điểm ban hành. DPC cũng yêu cầu Meta ngừng chuyển dữ liệu người dùng Facebook ở châu Âu sang Mỹ và chấm dứt việc lưu trữ, xử lý trái phép dữ liệu đó tại Mỹ trong thời hạn nhất định. Vấn đề không nằm ở việc Meta thiếu hợp đồng. Meta đã ký điều khoản hợp đồng mẫu của EU, nhưng cơ quan quản lý cho rằng hợp đồng không đủ bảo vệ dữ liệu trước quyền tiếp cận của cơ quan tình báo Mỹ. Doanh nghiệp Việt Nam lưu dữ liệu trên AWS, Google Cloud, Microsoft Azure hoặc dùng SaaS nước ngoài như Salesforce, HubSpot cũng đang chuyển dữ liệu xuyên biên giới. Bài viết tóm tắt vụ việc và đối chiếu với Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP.

1. Vì sao Meta bị phạt 1,2 tỷ euro#

Vụ việc bắt nguồn từ khiếu nại của luật sư người Áo Max Schrems gửi DPC, khởi đầu từ năm 2013. Năm 2020, trong phán quyết thường gọi là Schrems II, Tòa án Công lý Liên minh châu Âu (CJEU) kết luận luật giám sát của Mỹ, như Mục 702 Đạo luật FISA và Sắc lệnh Hành pháp 12333, cho phép cơ quan tình báo tiếp cận dữ liệu của người nước ngoài mà không có bảo đảm tương đương với pháp luật EU, và người dân EU không có cơ chế khiếu nại hiệu quả tại Mỹ.

Sau Schrems II, Meta tiếp tục chuyển dữ liệu dựa trên điều khoản hợp đồng mẫu (Standard Contractual Clauses, SCCs) kèm một số biện pháp bổ sung. Lập luận của CJEU là hợp đồng giữa hai doanh nghiệp không ràng buộc được cơ quan công quyền của nước nhận dữ liệu. Vì vậy, nếu luật nước nhận không bảo đảm mức bảo vệ tương đương, bên chuyển phải có biện pháp bổ sung đủ hiệu quả. DPC, theo quyết định ràng buộc của Ủy ban Bảo vệ Dữ liệu châu Âu (EDPB), kết luận các biện pháp của Meta không đáp ứng yêu cầu này. Quyết định được ban hành trong tháng 5/2023. Tháng 7/2023, EU thông qua Khung bảo vệ dữ liệu EU–Mỹ (Data Privacy Framework), tạo căn cứ mới cho việc chuyển dữ liệu sang các công ty Mỹ tham gia khung này.

2. Đối chiếu vụ Meta bị phạt với quy định chuyển dữ liệu xuyên biên giới tại Việt Nam#

Theo khoản 1 Điều 20 Luật 91/2025, chuyển dữ liệu cá nhân xuyên biên giới gồm ba trường hợp:

1. Chuyển dữ liệu đang lưu trữ tại Việt Nam đến hệ thống lưu trữ đặt ngoài lãnh thổ Việt Nam (điểm a), kể cả trên dịch vụ điện toán đám mây của nhà cung cấp ở nước ngoài (điểm a khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP).
2. Tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài (điểm b), gồm cả công ty mẹ, công ty cùng tập đoàn hoặc nhà cung cấp dịch vụ.
3. Sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam (điểm c).

Việc cho tổ chức nước ngoài truy cập từ xa vào hệ thống đặt tại Việt Nam không được liệt kê riêng. Trên thực tế, trường hợp này thường được xem xét theo điểm b hoặc điểm c.

Các nghĩa vụ chính và mức phạt tương ứng:

• Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho Cục A05 (Bộ Công an) trong 60 ngày kể từ ngày đầu tiên chuyển (khoản 2 Điều 20 Luật 91/2025). Không lập hoặc không nộp đúng hạn bị phạt từ 30 đến 50 triệu đồng (điểm a, điểm b khoản 1 Điều 56 Nghị định 330/2026/NĐ-CP).
• Có hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm bảo vệ dữ liệu giữa bên chuyển và bên nhận. Bản sao hợp đồng là một thành phần của hồ sơ (điểm b khoản 2 Điều 18 Nghị định 356/2025/NĐ-CP). Không có hợp đồng này bị phạt từ 50 đến 100 triệu đồng (điểm a khoản 2 Điều 56 Nghị định 330/2026/NĐ-CP).
• Bảo đảm sự đồng ý của chủ thể đối với mục đích chuyển, hoặc thông báo cho chủ thể về việc dữ liệu được chuyển ra nước ngoài, tổ chức nhận và mục đích xử lý. Vi phạm bị phạt từ 50 đến 100 triệu đồng (điểm b khoản 2 Điều 56 Nghị định 330/2026/NĐ-CP).
• Sau khi hoàn tất việc chuyển, thông báo thông tin và chi tiết liên lạc của đầu mối bảo vệ dữ liệu phía bên nhận (điểm e khoản 1 Điều 56 Nghị định 330/2026/NĐ-CP), và cập nhật hồ sơ khi có thay đổi (Điều 22 Luật 91/2025, Điều 20 Nghị định 356/2025/NĐ-CP).

Điểm gần nhất với bài học từ vụ Meta: hồ sơ phải có phương án bảo đảm an toàn dữ liệu sau khi chuyển (điểm đ khoản 3 Điều 18 Nghị định 356/2025/NĐ-CP) và đánh giá mức độ bảo vệ dữ liệu của bên nhận (điểm i khoản 3 Điều 18). Nói cách khác, pháp luật Việt Nam cũng không coi hợp đồng là đủ. Không áp dụng biện pháp bảo mật phù hợp trong quá trình chuyển hoặc không có phương án bảo đảm an toàn sau khi chuyển bị phạt từ 50 đến 100 triệu đồng (điểm c khoản 2 Điều 56 Nghị định 330/2026/NĐ-CP).

Mức phạt tối đa đối với vi phạm về chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu năm trước liền kề (khoản 4 Điều 8 Luật 91/2025). Nghị định 330/2026/NĐ-CP chỉ áp dụng mức phạt theo tỷ lệ doanh thu tại thị trường Việt Nam (từ 1% đến 5%) cho một số trường hợp cụ thể: chuyển dữ liệu mà không lập hồ sơ, che giấu hoặc khai báo sai dòng dữ liệu dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, hoặc tiếp tục chuyển sau khi có quyết định yêu cầu ngừng (khoản 3 Điều 56). Các trường hợp này còn có thể bị đình chỉ hoạt động chuyển dữ liệu từ 6 đến 12 tháng (điểm b khoản 5 Điều 56), tương tự lệnh ngừng chuyển mà Meta nhận được.

3. Các trường hợp thường gặp khi doanh nghiệp Việt Nam dùng AWS, Google Cloud và SaaS#

• Chọn region lưu trữ ở nước ngoài: tạo cơ sở dữ liệu trên AWS (Singapore, Tokyo), Google Cloud hay Azure ở nước ngoài là chuyển dữ liệu xuyên biên giới theo điểm a khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP. Hợp đồng với nhà cung cấp cloud phải nêu việc chấp hành pháp luật Việt Nam về bảo vệ dữ liệu cá nhân (điểm a khoản 2 Điều 12 Nghị định 356/2025/NĐ-CP). Thông tin thêm tại bài lưu dữ liệu trên cloud có cần tuân thủ luật.
• SaaS quản lý khách hàng và nhân sự: danh sách khách hàng trên Salesforce, HubSpot, Mailchimp hoặc dữ liệu nhân sự trên Workday, BambooHR. Bài CRM nước ngoài có vi phạm không phân tích riêng trường hợp này.
• API trí tuệ nhân tạo và công cụ phân tích: gửi dữ liệu khách hàng hoặc prompt chứa thông tin cá nhân qua API đặt máy chủ ở nước ngoài. Rủi ro và cách che dữ liệu (PII masking) được phân tích trong bài tích hợp GenAI chatbot và Cloud API.
• Chuyển dữ liệu nội bộ tập đoàn: công ty con tại Việt Nam đồng bộ dữ liệu khách hàng về hệ thống của công ty mẹ ở nước ngoài. Lưu ý có hai trường hợp không phải lập hồ sơ đánh giá tác động: tổ chức lưu trữ dữ liệu của chính người lao động của mình trên dịch vụ điện toán đám mây (điểm b khoản 6 Điều 20 Luật 91/2025), và chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy chế lao động, thỏa ước lao động tập thể (điểm d khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP). Dữ liệu khách hàng không thuộc các trường hợp này.

4. Quy trình 5 bước lập hồ sơ chuyển dữ liệu ra nước ngoài#

1. Kiểm kê luồng dữ liệu xuyên biên giới: loại dữ liệu (cơ bản hay nhạy cảm), số lượng chủ thể, hệ thống nhận, vị trí máy chủ và mục đích sử dụng. Danh sách phải gồm cả SaaS, cloud và vendor nước ngoài mà các phòng ban tự đăng ký dùng.
2. Cập nhật thông báo xử lý dữ liệu và cơ chế xin đồng ý: nêu rõ việc chuyển dữ liệu ra nước ngoài, tổ chức nhận và mục đích xử lý.
3. Rà soát hợp đồng với bên nhận: nghĩa vụ bảo vệ dữ liệu theo pháp luật Việt Nam, trách nhiệm thực hiện quyền của chủ thể sau khi chuyển, phối hợp khi có sự cố, kiểm soát việc bên nhận chuyển tiếp cho bên thứ ba (điểm g khoản 3 Điều 18 Nghị định 356/2025/NĐ-CP). Doanh nghiệp có nhiều hợp đồng cần rà soát có thể tham khảo dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
4. Soạn Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09, với các nội dung tại khoản 3 Điều 18 Nghị định 356/2025/NĐ-CP. Phần cần đầu tư nhất, sau vụ Meta, là đánh giá mức độ bảo vệ dữ liệu của bên nhận, rủi ro và biện pháp giảm thiểu (điểm i).
5. Nộp 01 bản chính kèm Mẫu số 01a/01b cho Cục A05 bằng phương thức trực tuyến, trực tiếp hoặc qua bưu chính trong 60 ngày. Cục A05 trả kết quả đạt hoặc không đạt trong 15 ngày; nếu hồ sơ chưa đầy đủ, doanh nghiệp có 30 ngày để hoàn thiện (khoản 4, 5, 6 Điều 18 Nghị định 356/2025/NĐ-CP). Thủ tục này được công bố tại Quyết định 778/QĐ-BCA-A05. Hướng dẫn chi tiết từng mục có tại bài lập báo cáo đánh giá tác động chuyển dữ liệu ra nước ngoài, và LexData hỗ trợ lập hồ sơ đánh giá tác động, gồm hồ sơ chuyển dữ liệu ra nước ngoài.

5. Biện pháp kỹ thuật bổ sung khi dữ liệu nằm ở nước ngoài#

Pháp luật Việt Nam yêu cầu biện pháp bảo mật phù hợp khi chuyển và phương án bảo đảm an toàn sau khi chuyển (điểm đ khoản 3 Điều 18 Nghị định 356/2025/NĐ-CP). Dữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và khi truyền, kèm phân quyền truy cập chặt chẽ (khoản 4 Điều 12 Nghị định 356/2025/NĐ-CP). Pháp luật không chỉ định giải pháp cụ thể. Các biện pháp sau là khuyến nghị:

1. Tự nắm giữ khóa mã hóa: khi lưu dữ liệu trên AWS S3, Google Cloud Storage hay Azure Blob, dùng khóa do doanh nghiệp kiểm soát thay vì khóa mặc định của nhà cung cấp. Hướng dẫn của EDPB về biện pháp bổ sung sau Schrems II coi mã hóa mà chỉ bên chuyển nắm giữ khóa là biện pháp hiệu quả cho trường hợp dữ liệu chỉ được lưu trữ ở nước ngoài. Khóa quản lý ngay trên nền tảng của nhà cung cấp không đạt mức này.
2. Giả danh hóa trước khi chuyển: tách thông tin định danh (họ tên, số căn cước, email) khỏi dữ liệu giao dịch bằng tokenization trước khi đưa sang hệ thống phân tích ở nước ngoài.
3. Giữ dữ liệu gốc trong nước: lưu cơ sở dữ liệu chính chứa dữ liệu nhạy cảm tại trung tâm dữ liệu ở Việt Nam, chỉ chuyển dữ liệu đã tổng hợp hoặc đã giả danh hóa ra nước ngoài.

Sau vụ Meta bị phạt: doanh nghiệp Việt Nam nên kiểm tra gì#

Bài học chính của vụ Meta là hợp đồng không thay được đánh giá thực chất về bên nhận. Doanh nghiệp nên kiểm tra ba việc. Thứ nhất, hồ sơ đánh giá tác động đã nộp có phần đánh giá mức độ bảo vệ của từng bên nhận và phương án an toàn sau khi chuyển, hay chỉ đính kèm hợp đồng mẫu của nhà cung cấp. Thứ hai, có luồng dữ liệu nào đã chạy quá 60 ngày mà chưa nộp hồ sơ không, nhất là SaaS do phòng ban tự đăng ký. Thứ ba, nếu bị yêu cầu ngừng chuyển như Meta, doanh nghiệp có phương án chuyển dữ liệu về region trong nước hoặc tạm dừng tính năng mà không làm gián đoạn vận hành không.