Trong thời đại chuyển đổi số, hầu hết doanh nghiệp Việt Nam đều vô tình thực hiện hoạt động Chuyển dữ liệu cá nhân ra nước ngoài: Sử dụng dịch vụ đám mây AWS, Azure, Google Cloud; vận hành email trên Google Workspace/Microsoft 365; chạy quảng cáo Facebook Pixel; hay lưu trữ lead trên Salesforce/HubSpot. Theo Nghị định 356/2025/NĐ-CP và Luật 91/2025/QH15, toàn bộ các hoạt động này bắt buộc phải lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài gửi Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 - Bộ Công an).
Trường hợp nào được coi là chuyển dữ liệu ra nước ngoài?#
Theo quy định pháp luật, chuyển dữ liệu cá nhân ra nước ngoài bao gồm:
- Truyền gửi dữ liệu cá nhân của công dân Việt Nam cho tổ chức, cá nhân đặt tại nước ngoài.
- Sử dụng hệ thống hạ tầng đám mây (Cloud/Hosting) có trung tâm dữ liệu (Data Center) đặt ngoài lãnh thổ Việt Nam.
- Công ty con tại Việt Nam chuyển dữ liệu khách hàng/nhân sự cho công ty mẹ hoặc văn phòng đại diện ở nước ngoài.
- Thuê đối tác nước ngoài xử lý dữ liệu (ví dụ: công ty SaaS chăm sóc khách hàng, phân tích AI).
Thành phần Bộ Hồ sơ nộp Cục A05#
Một bộ Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài đầy đủ bao gồm các văn bản chính:
1. Văn bản Đánh giá tác động chuyển dữ liệu ra nước ngoài (theo mẫu quy định tại Nghị định 356).
2. Văn bản cam kết bảo vệ dữ liệu cá nhân của Bên chuyển dữ liệu và Bên nhận dữ liệu ở nước ngoài.
3. Hợp đồng Xử lý dữ liệu (Data Processing Agreement - DPA) hoặc điều khoản bảo mật ký giữa doanh nghiệp Việt Nam và nhà cung cấp nước ngoài.
4. Giấy tờ pháp lý chứng minh tư cách pháp nhân của các bên liên quan.
Các nội dung cốt lõi trong Báo cáo đánh giá tác động#
Báo cáo nộp Cục A05 phải giải trình chi tiết 6 nhóm thông tin bắt buộc:
- Thông tin bên chuyển và bên nhận dữ liệu ra nước ngoài.
- Loại dữ liệu cá nhân được chuyển (cơ bản hay nhạy cảm) và số lượng chủ thể dữ liệu bị ảnh hưởng.
- Mục đích chuyển dữ liệu ra nước ngoài và cơ sở pháp lý áp dụng.
- Mô tả chi tiết hạ tầng kỹ thuật, luồng truyền dữ liệu và địa điểm lưu trữ dữ liệu ở nước ngoài.
- Đánh giá các rủi ro an ninh mạng có thể xảy ra và các biện pháp giảm thiểu (mã hóa SSL/TLS, AES-256, phân quyền truy cập, sao lưu khôi phục).
- Cơ chế giải quyết khiếu nại của chủ thể dữ liệu Việt Nam khi có sự cố xảy ra tại nước ngoài.
Quy trình nộp và Thời hạn lưu trữ hồ sơ#
- Thời hạn nộp hồ sơ: Doanh nghiệp phải hoàn thiện và gửi 01 bản chính Hồ sơ cho Cục A05 trong thời hạn 60 ngày kể từ ngày tiến hành hoạt động chuyển dữ liệu ra nước ngoài.
- Hình thức nộp: Nộp trực tiếp, gửi qua bưu chính hoặc nộp trực tuyến qua Cổng dịch vụ công của Bộ Công an.
- Trách nhiệm cập nhật: Doanh nghiệp có nghĩa vụ cập nhật, bổ sung hồ sơ khi có sự thay đổi về mục đích, phạm vi, bên nhận hoặc hạ tầng lưu trữ dữ liệu ra nước ngoài.
Lời kết#
Việc chuẩn bị Báo cáo đánh giá tác động chuyển dữ liệu ra nước ngoài đòi hỏi sự phối hợp chặt chẽ giữa bộ phận Pháp chế và bộ phận IT/Security. LexData cung cấp dịch vụ trọn gói lập và nộp Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài cho Cục A05, giúp doanh nghiệp đảm bảo tuân thủ toàn diện quy định pháp luật.