Dùng CRM nước ngoài như HubSpot, Salesforce, Zoho hoặc công cụ email marketing như Mailchimp không bị cấm. Tuy nhiên, khi dữ liệu khách hàng được lưu hoặc xử lý trên hệ thống của nhà cung cấp ở nước ngoài, doanh nghiệp đang chuyển dữ liệu cá nhân xuyên biên giới. Doanh nghiệp phải có căn cứ xử lý, ký thỏa thuận chuyển giao với nhà cung cấp, thông báo cho khách hàng và lập hồ sơ đánh giá tác động gửi cơ quan chuyên trách trong 60 ngày. Các nghĩa vụ này được quy định tại Điều 20 Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
Dùng CRM nước ngoài có phải là chuyển dữ liệu ra nước ngoài?#
Khoản 1 Điều 20 Luật 91/2025 và khoản 1 Điều 17 Nghị định 356 quy định việc chuyển dữ liệu cá nhân ra nước ngoài (chuyển dữ liệu cá nhân xuyên biên giới) bao gồm việc chuyển dữ liệu cá nhân ra ngoài lãnh thổ Việt Nam, bao gồm cả lưu trữ tại máy chủ ngoài Việt Nam hoặc trên dịch vụ điện toán đám mây của nhà cung cấp ở nước ngoài, cung cấp cho tổ chức, cá nhân nước ngoài, hoặc sử dụng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Do đó, khi doanh nghiệp sử dụng CRM nước ngoài và dữ liệu khách hàng được lưu trên máy chủ tại Singapore, Mỹ hoặc bất kỳ quốc gia nào khác, đây được coi là chuyển dữ liệu ra nước ngoài.
Căn cứ chuyển dữ liệu và các trường hợp miễn đánh giá tác động#
Luật 91/2025 và Nghị định 356 không đặt ra danh sách "trường hợp được phép" chuyển dữ liệu ra nước ngoài. Việc chuyển dữ liệu cho nhà cung cấp CRM là chuyển giao dữ liệu cá nhân cho bên xử lý (điểm d khoản 1 Điều 17 Luật), vì vậy doanh nghiệp cần có căn cứ xử lý hợp pháp (sự đồng ý của khách hàng hoặc trường hợp tại Điều 19 Luật), xác lập thỏa thuận chuyển giao với nhà cung cấp (khoản 1 Điều 7 Nghị định 356) và lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Điều 20 Luật). Một số trường hợp không phải lập hồ sơ đánh giá tác động, gồm: cơ quan nhà nước có thẩm quyền chuyển dữ liệu; tổ chức lưu trữ dữ liệu của người lao động của mình trên dịch vụ điện toán đám mây; chủ thể dữ liệu tự chuyển dữ liệu của mình (khoản 6 Điều 20 Luật); hoạt động báo chí; dữ liệu đã được công khai theo quy định; tình huống khẩn cấp; quản lý nhân sự xuyên biên giới theo quy chế lao động; cung cấp dữ liệu để ký kết hợp đồng hoặc làm thủ tục vận chuyển, chuyển tiền, thanh toán, khách sạn, thị thực, học bổng (khoản 3 Điều 17 Nghị định 356). Dữ liệu khách hàng trong CRM thường không thuộc các trường hợp miễn này.
Điều kiện để dùng CRM nước ngoài hợp pháp#
- Xác định căn cứ xử lý. Sự đồng ý của khách hàng, hoặc một trường hợp tại Điều 19 Luật 91, ví dụ thực hiện thỏa thuận với chính khách hàng (điểm d khoản 1 Điều 19). Nếu dựa vào sự đồng ý, sự đồng ý phải được xin theo từng mục đích (điểm a khoản 4 Điều 9).
- Ký thỏa thuận chuyển giao, xử lý dữ liệu với nhà cung cấp. Thỏa thuận phải nêu mục đích, loại dữ liệu, thời hạn xử lý và yêu cầu xóa, cơ sở pháp lý, trách nhiệm bảo vệ dữ liệu, trách nhiệm thực hiện quyền của chủ thể dữ liệu và phối hợp khi có vi phạm (khoản 1 Điều 7 Nghị định 356). Xem mẫu điều khoản trong bài phụ lục hợp đồng xử lý dữ liệu với nhà cung cấp SaaS.
- Kiểm tra các điều khoản về điện toán đám mây. Phần lớn CRM được cung cấp dưới dạng dịch vụ đám mây. Hợp đồng cần xác định luồng xử lý dữ liệu, vai trò các bên, yêu cầu bảo mật, nghĩa vụ báo ngay khi có thay đổi ảnh hưởng đến dữ liệu, và việc xóa dữ liệu (khoản 2 Điều 12 Nghị định 356). Dữ liệu phải được mã hóa khi lưu trữ và khi truyền, kèm phân quyền truy cập nghiêm ngặt (khoản 4 Điều 12).
- Thông báo cho khách hàng. Privacy notice phải nêu việc dữ liệu được chuyển ra nước ngoài, tổ chức nhận dữ liệu và mục đích xử lý. Không thông báo nội dung này có thể bị phạt 50–100 triệu đồng (điểm b khoản 2 Điều 56 Nghị định 330/2026/NĐ-CP).
- Lập và nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới. Hồ sơ gồm báo cáo theo Mẫu số 09, bản sao hợp đồng với nhà cung cấp, và các chính sách, quy trình bảo vệ dữ liệu của doanh nghiệp (khoản 2 Điều 18 Nghị định 356). Gửi 01 bản chính cho Cục A05 (Bộ Công an) trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (khoản 2 Điều 20 Luật 91). Cơ quan chuyên trách trả kết quả trong 15 ngày. Nếu hồ sơ chưa đạt, doanh nghiệp được yêu cầu hoàn thiện trong 30 ngày (khoản 5, khoản 6 Điều 18). LexData hỗ trợ lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài.
- Cập nhật hồ sơ khi có thay đổi. Hồ sơ cập nhật định kỳ 06 tháng khi phát sinh mục đích mới hoặc thay đổi bên xử lý, bên thứ ba (khoản 1 Điều 20 Nghị định 356). Ví dụ: tích hợp thêm công cụ gửi SMS vào CRM.
Về giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân (Điều 22 đến Điều 25 Nghị định 356), điều kiện đầu tiên là tổ chức được thành lập theo pháp luật Việt Nam (khoản 1 Điều 22). Nghị định chưa nói rõ yêu cầu này áp dụng thế nào với nhà cung cấp SaaS nước ngoài không có pháp nhân tại Việt Nam. Nếu doanh nghiệp mua CRM qua một đối tác triển khai tại Việt Nam, có thể xác định vai trò của đối tác đó và hỏi về tình trạng giấy chứng nhận.
Sai lầm thường gặp khi dùng CRM nước ngoài#
- Chỉ tính CRM mà quên các tích hợp. Công cụ email, chatbot, tổng đài, đồng bộ lịch kết nối với CRM đều nhận dữ liệu khách hàng. Hồ sơ phải mô tả cả việc bên nhận chuyển tiếp dữ liệu cho bên thứ ba (điểm g khoản 3 Điều 18 Nghị định 356). Không kiểm soát việc chuyển tiếp dẫn đến xử lý ngoài phạm vi đã khai báo có thể bị phạt 30–50 triệu đồng (điểm g khoản 1 Điều 56 Nghị định 330).
- Dựa hoàn toàn vào DPA mẫu của nhà cung cấp. DPA mẫu thường được soạn theo GDPR hoặc pháp luật nơi nhà cung cấp đặt trụ sở. Cần đối chiếu từng nội dung tại khoản 1 Điều 7 Nghị định 356 và bổ sung phụ lục nếu thiếu. Không có hợp đồng ràng buộc trách nhiệm bảo vệ dữ liệu giữa bên chuyển và bên nhận có thể bị phạt 50–100 triệu đồng (điểm a khoản 2 Điều 56 Nghị định 330).
- Ghi dữ liệu nhạy cảm vào ô ghi chú. Nhân viên thường nhập tình trạng sức khỏe, thông tin thẻ ngân hàng hoặc lịch sử giao dịch của khách vào ghi chú CRM. Đây là dữ liệu nhạy cảm (điểm d, điểm k khoản 1 Điều 4 Nghị định 356). Số tài khoản ngân hàng đơn thuần không nằm trong danh mục này; điểm k chỉ liệt kê tên đăng nhập, mật khẩu tài khoản ngân hàng, thông tin thẻ, lịch sử giao dịch và thông tin tài chính, tín dụng của khách hàng tại tổ chức tín dụng, trung gian thanh toán, chứng khoán, bảo hiểm. Doanh nghiệp phải thông báo cho khách hàng khi xin đồng ý (khoản 4 Điều 6). Doanh nghiệp nhỏ trực tiếp xử lý dữ liệu nhạy cảm cũng mất quyền lựa chọn không lập DPIA (khoản 2 Điều 38 Luật 91).
- Nộp hồ sơ một lần rồi không cập nhật. Không cập nhật hồ sơ khi có thay đổi có thể bị phạt 30–50 triệu đồng (điểm d khoản 1 Điều 56 Nghị định 330).
Câu hỏi thường gặp khi dùng CRM nước ngoài#
Dùng Gmail, Google Drive có phải chuyển dữ liệu ra nước ngoài không? Có, nếu dữ liệu cá nhân được lưu trên máy chủ ngoài Việt Nam. Riêng việc tổ chức lưu dữ liệu của chính người lao động của mình trên dịch vụ điện toán đám mây thì không phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (điểm b khoản 6 Điều 20 Luật 91/2025). Xem thêm bài lưu dữ liệu trên cloud có cần tuân thủ luật không.
Có bắt buộc thông báo cho khách hàng không? Có. Như bước 4 ở mục điều kiện phía trên, doanh nghiệp phải cho khách hàng biết dữ liệu được chuyển ra nước ngoài, bên nhận và mục đích xử lý.
Điều khoản dịch vụ của nhà cung cấp có thay được hợp đồng xử lý dữ liệu không? Có thể, nếu điều khoản đó có đủ các nội dung tại khoản 1 Điều 7 Nghị định 356 và ràng buộc được nhà cung cấp.
Nếu doanh nghiệp đã sử dụng CRM nước ngoài hơn 60 ngày mà chưa nộp hồ sơ, nên lập hồ sơ ngay. Có thể bắt đầu từ danh sách các hệ thống đang nhận dữ liệu khách hàng và vị trí máy chủ của từng hệ thống. Tư vấn tổng thể về các nghĩa vụ còn lại có tại dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
