Đánh giá tác động chuyển dữ liệu ra nước ngoài (Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 gọi là đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới) là hồ sơ doanh nghiệp phải lập và gửi 01 bản chính cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân ra nước ngoài (khoản 2 Điều 20 Luật). Nhiều hoạt động quen thuộc thuộc diện này: dùng cloud AWS, Azure, Google Cloud; email trên Google Workspace hoặc Microsoft 365; lưu khách hàng tiềm năng trên Salesforce, HubSpot; gửi dữ liệu cho công ty mẹ ở nước ngoài. Bài này hướng dẫn xác định khi nào phải lập hồ sơ, khi nào được miễn, thành phần hồ sơ, nội dung báo cáo theo Mẫu số 09 Nghị định 356/2025/NĐ-CP và cách nộp, cập nhật.
Trường hợp nào được coi là chuyển dữ liệu ra nước ngoài?#
Theo khoản 1 Điều 20 Luật và khoản 1 Điều 17 Nghị định 356, chuyển dữ liệu cá nhân ra nước ngoài gồm ba nhóm:
- Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ đặt ngoài lãnh thổ Việt Nam, kể cả lưu trên dịch vụ điện toán đám mây của nhà cung cấp ở nước ngoài.
- Tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài, ví dụ công ty con chuyển dữ liệu khách hàng, nhân sự cho công ty mẹ.
- Dùng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam, ví dụ phần mềm SaaS chăm sóc khách hàng hoặc công cụ phân tích AI đặt máy chủ ở nước ngoài.
Mẫu số 09 còn nêu hình thức chuyển thông qua đối tác, đại lý trung gian tại Việt Nam. Nghĩa vụ áp dụng cho cả bên kiểm soát, bên xử lý và bên thứ ba có hoạt động chuyển (khoản 1 Điều 17 Nghị định 356).
Trường hợp không phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài#
Không phải lập hồ sơ trong các trường hợp sau (khoản 6 Điều 20 Luật; khoản 3 Điều 17 Nghị định 356):
- Cơ quan nhà nước có thẩm quyền chuyển dữ liệu.
- Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động của chính mình trên dịch vụ điện toán đám mây.
- Chủ thể dữ liệu tự chuyển dữ liệu của mình.
- Hoạt động báo chí, truyền thông theo quy định của pháp luật.
- Việc chuyển đã được công khai theo quy định của pháp luật.
- Tình huống khẩn cấp, thực sự cần thiết để bảo vệ tính mạng, sức khỏe, an toàn tài sản của cá nhân, hoặc để thực hiện nhiệm vụ, nghĩa vụ theo quy định của pháp luật.
- Chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo nội quy, quy chế lao động và thỏa ước lao động tập thể.
- Cung cấp dữ liệu để ký hợp đồng hoặc làm thủ tục vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.
Miễn trừ cho doanh nghiệp nhỏ, khởi nghiệp và siêu nhỏ tại khoản 2, khoản 3 Điều 38 Luật chỉ áp dụng cho hồ sơ đánh giá tác động xử lý dữ liệu (Điều 21) và việc cập nhật hồ sơ (Điều 22), không áp dụng cho nghĩa vụ lập hồ sơ chuyển dữ liệu xuyên biên giới tại Điều 20.
Thành phần Bộ Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài nộp Cục A05#
Theo khoản 2 Điều 18 Nghị định 356, hồ sơ gồm 03 thành phần:
- Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09.
- Bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu cá nhân thể hiện sự ràng buộc, trách nhiệm giữa bên chuyển và bên nhận, ví dụ hợp đồng xử lý dữ liệu (DPA) ký với nhà cung cấp nước ngoài.
- Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác về bảo vệ dữ liệu cá nhân của bên chuyển.
Hồ sơ được gửi kèm thông báo theo Mẫu số 01a (tổ chức) hoặc Mẫu số 01b (cá nhân) (khoản 4 Điều 18 Nghị định 356).
Các nội dung cốt lõi trong Báo cáo đánh giá tác động chuyển dữ liệu ra nước ngoài#
Theo khoản 3 Điều 18 Nghị định 356, báo cáo phải có 9 nhóm nội dung:
- Thông tin và chi tiết liên lạc của bên chuyển, bên nhận, bên xử lý và các bên khác có liên quan.
- Chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (nếu có) của bên chuyển và bên nhận.
- Mô tả, luận giải mục đích chuyển, loại dữ liệu cá nhân chuyển (cơ bản hay nhạy cảm), chi tiết hoạt động chuyển, xử lý và sơ đồ luồng dữ liệu.
- Mô tả, luận giải việc xin sự đồng ý của chủ thể dữ liệu; chính sách lưu trữ, xóa, hủy dữ liệu.
- Phương án bảo đảm an toàn dữ liệu sau khi chuyển, các biện pháp bảo vệ và tiêu chuẩn áp dụng (ví dụ mã hóa TLS, AES-256, phân quyền truy cập, sao lưu khôi phục).
- Sơ đồ hệ thống, mô tả tính năng hệ thống lưu trữ, xử lý dữ liệu tại bên nhận.
- Quy trình bên nhận chuyển giao, cung cấp dữ liệu cho bên thứ ba.
- Kết quả tự đánh giá tuân thủ quy định bảo vệ dữ liệu cá nhân.
- Đánh giá mức độ bảo vệ dữ liệu của bên nhận; mức độ ảnh hưởng, rủi ro, hậu quả có thể xảy ra và biện pháp giảm thiểu.
Mẫu số 09 sắp xếp nội dung báo cáo đánh giá tác động chuyển dữ liệu ra nước ngoài thành Phần A (thông tin bên chuyển, hoạt động chuyển, đánh giá tác động, phụ lục) và Phần B (bảng thông tin bên thay mặt bên chuyển, bên nhận và các bên khác, kèm số và ngày hợp đồng). Hai điểm hay bị làm sơ sài: đánh giá mức độ bảo vệ của bên nhận (mục III.3), và đánh giá tác động đến an ninh quốc gia, trật tự an toàn xã hội (mục III.2.3). Mục III.2.3 bắt buộc khi xử lý và chuyển dữ liệu cá nhân cơ bản của trên 100.000 chủ thể hoặc dữ liệu nhạy cảm của trên 10.000 chủ thể.
Quy trình nộp, thời hạn và cập nhật hồ sơ#
- Thời hạn nộp: gửi 01 bản chính hồ sơ cho Cục A05 trong 60 ngày kể từ ngày tiến hành chuyển dữ liệu ra nước ngoài (khoản 2 Điều 20 Luật; khoản 4 Điều 18 Nghị định 356). Cục A05 trả kết quả đạt hoặc không đạt trong 15 ngày; nếu hồ sơ chưa đầy đủ, doanh nghiệp phải hoàn thiện trong 30 ngày (khoản 5, khoản 6 Điều 18 Nghị định 356).
- Hình thức nộp: trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính (khoản 4 Điều 18 Nghị định 356). Thủ tục "Thông báo gửi hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới" có trong danh mục công bố tại Quyết định 778/QĐ-BCA-A05.
- Duy trì và kiểm tra: hồ sơ phải luôn sẵn sàng phục vụ kiểm tra (khoản 4 Điều 18 Nghị định 356). Cục A05 kiểm tra định kỳ không quá 01 lần mỗi năm, hoặc đột xuất khi phát hiện vi phạm hay xảy ra sự cố (khoản 4 Điều 20 Luật).
- Cập nhật: định kỳ 06 tháng khi phát sinh mục đích chuyển mới hoặc phát sinh, thay đổi bên kiểm soát, bên xử lý, bên thứ ba; trong 10 ngày khi doanh nghiệp tổ chức lại, chấm dứt hoạt động, giải thể, phá sản, thay đổi tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân hoặc phát sinh, thay đổi ngành nghề liên quan đến xử lý dữ liệu cá nhân (Điều 22 Luật; Điều 20 Nghị định 356; Mẫu số 03a/03b).
Không lập, không nộp đúng hạn, không hoàn thiện hoặc không cập nhật hồ sơ bị phạt tổ chức từ 30 đến 50 triệu đồng (khoản 1 Điều 56 Nghị định 330/2026/NĐ-CP). Không có hợp đồng ràng buộc trách nhiệm với bên nhận, hoặc không bảo đảm sự đồng ý, không thông báo cho chủ thể dữ liệu về việc chuyển, bị phạt từ 50 đến 100 triệu đồng (khoản 2 Điều 56).
Việc cần làm trước tiên khi chuẩn bị đánh giá tác động chuyển dữ liệu ra nước ngoài là liệt kê mọi hệ thống, nhà cung cấp và công ty trong tập đoàn nhận dữ liệu cá nhân từ Việt Nam, rồi đối chiếu với danh sách miễn trừ ở trên. Nếu cần hỗ trợ lập và nộp hồ sơ, xem dịch vụ lập hồ sơ đánh giá tác động DPIA và hồ sơ chuyển dữ liệu xuyên biên giới.
