Chuyển dữ liệu ra nước ngoài là gì? Điều kiện & Hồ sơ nộp Cục A05

Chuyển dữ liệu ra nước ngoài là gì theo Luật 91/2025/QH15?

Câu hỏi chuyển dữ liệu ra nước ngoài là gì có ý nghĩa sống còn đối với các doanh nghiệp có hoạt động trực tuyến hoặc sử dụng giải pháp công nghệ quốc tế. Căn cứ Điều 20 Luật 91/2025/QH15, đây là một trong những hoạt động được cơ quan chức năng giám sát chặt chẽ nhất nhằm bảo vệ chủ quyền dữ liệu quốc gia. Nhiều doanh nghiệp có thể đã phát sinh nghĩa vụ này mà chưa nhận ra, do dùng các công cụ lưu trữ đám mây quốc tế. Ở châu Âu, vụ Meta bị phạt 1,2 tỷ Euro theo GDPR cho thấy mức độ nghiêm khắc của cơ quan quản lý với luồng dữ liệu xuyên biên giới.

3 trường hợp phổ biến thường thuộc diện Chuyển dữ liệu ra nước ngoài (cần đánh giá theo mô hình thực tế):

• Thuê máy chủ Cloud (AWS, Azure, GCP, DigitalOcean) có Data Center đặt ngoài Việt Nam (điểm a Khoản 1 Điều 20 Luật 91/2025; điểm a Khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP).
• Sử dụng phần mềm quản trị nhân sự, kế toán, CRM của công ty mẹ vận hành trên nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam (điểm c Khoản 1 Điều 20). Lưu ý các trường hợp không phải lập hồ sơ đánh giá tác động, như lưu trữ dữ liệu người lao động của chính tổ chức trên dịch vụ điện toán đám mây (điểm b Khoản 6 Điều 20) hoặc chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy chế lao động (điểm d Khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP).
• Tích hợp API thanh toán, API quảng cáo (Meta CAPI, Google Tag Manager Server) truyền dữ liệu người dùng ra server quốc tế (điểm b, c Khoản 1 Điều 20).

Doanh nghiệp có luồng chuyển dữ liệu xuyên biên giới có thể tham khảo dịch vụ lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Hồ sơ chuyển dữ liệu được rà soát riêng với hồ sơ DPIA; phạm vi và trường hợp miễn cần được xác định trước khi triển khai.

Chuyển dữ liệu ra nước ngoài là gì trong 3 trường hợp tại Khoản 1 Điều 20?

Luật 91/2025 không dùng một định nghĩa chung mà liệt kê ba trường hợp. Doanh nghiệp chỉ cần rơi vào một trong ba trường hợp là đã phát sinh nghĩa vụ.

Điều 17 Nghị định 356/2025/NĐ-CP làm rõ thêm: điểm a bao gồm cả việc lưu trữ dữ liệu thu thập tại Việt Nam trên dịch vụ điện toán đám mây của nhà cung cấp ở nước ngoài (điểm a Khoản 1 Điều 17). Điểm c là trường hợp doanh nghiệp hay bỏ sót nhất. Không cần "gửi" tệp nào ra nước ngoài: chỉ cần dữ liệu thu thập tại Việt Nam được xử lý trên nền tảng đặt ngoài lãnh thổ là đã thuộc phạm vi. Các trường hợp điển hình là chatbot và API AI tạo sinh, công cụ email marketing và phần mềm chăm sóc khách hàng quốc tế.

Khi nào không phải lập hồ sơ chuyển dữ liệu ra nước ngoài?

Khoản 6 Điều 20 liệt kê các trường hợp chuyển dữ liệu ra nước ngoài không phải thực hiện đánh giá tác động:

1. Cơ quan nhà nước có thẩm quyền chuyển dữ liệu cá nhân xuyên biên giới (điểm a).
2. Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây (điểm b).
3. Chủ thể dữ liệu tự chuyển dữ liệu cá nhân của mình xuyên biên giới (điểm c).
4. Các trường hợp khác theo quy định của Chính phủ (điểm d). Khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP liệt kê năm trường hợp:
   • hoạt động báo chí, truyền thông theo quy định của pháp luật;
   • việc chuyển dữ liệu xuyên biên giới đã được công khai theo quy định của pháp luật;
   • tình huống khẩn cấp, thực sự cần thiết để bảo vệ tính mạng, sức khỏe, an toàn tài sản của cá nhân, hoặc để thực hiện nhiệm vụ, nghĩa vụ theo quy định của pháp luật;
   • chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể;
   • cung cấp dữ liệu xuyên biên giới để ký kết hợp đồng hoặc làm thủ tục vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.

Trường hợp cuối cùng rất hữu ích cho doanh nghiệp du lịch, logistics và thanh toán, nhưng chỉ bao gồm dữ liệu cần thiết cho giao dịch cụ thể đó. Nên hiểu các trường hợp miễn theo nghĩa hẹp. Miễn trừ về dữ liệu người lao động chỉ áp dụng cho việc lưu trữ dữ liệu nhân sự trên dịch vụ đám mây, không áp dụng cho dữ liệu khách hàng trên cùng hệ thống đó, cũng không áp dụng khi gửi dữ liệu nhân viên cho công ty bảo hiểm, đơn vị phúc lợi ở nước ngoài. Các nghĩa vụ khác như căn cứ xử lý, biện pháp bảo mật và DPA với nhà cung cấp cloud vẫn phải thực hiện.

Hồ sơ chuyển dữ liệu ra nước ngoài: mẫu, thời hạn và cập nhật

• Thành phần hồ sơ (Khoản 2 Điều 18 Nghị định 356): Báo cáo đánh giá tác động theo Mẫu số 09 tại Phụ lục Nghị định 356/2025/NĐ-CP (thay Mẫu số 06 của Nghị định 13/2023/NĐ-CP); bản sao hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm giữa bên chuyển và bên nhận; chính sách, quy trình, biểu mẫu bảo vệ dữ liệu liên quan. Hồ sơ gửi kèm thông báo Mẫu số 01a (tổ chức) hoặc 01b (cá nhân).
• Thời hạn: gửi 01 bản chính cho Cục A05 trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (Khoản 2 Điều 20), trực tuyến, trực tiếp hoặc qua bưu chính. Cục A05 trả kết quả đạt hoặc không đạt trong 15 ngày; nếu hồ sơ chưa đầy đủ, doanh nghiệp phải hoàn thiện trong 30 ngày (Khoản 4–6 Điều 18 Nghị định 356).
• Thực hiện 01 lần: cho suốt thời gian hoạt động của tổ chức (Khoản 3 Điều 20).
• Cập nhật định kỳ: 06 tháng kể từ lần nộp đầu khi phát sinh mục đích chuyển mới hoặc phát sinh, thay đổi bên kiểm soát, bên xử lý, bên thứ ba (Khoản 1 Điều 22 Luật; Khoản 1 Điều 20 Nghị định 356).
• Cập nhật ngay: khi tổ chức được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; khi thay đổi thông tin tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc khi phát sinh, thay đổi ngành nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu đã đăng ký trong hồ sơ. Thời hạn cập nhật là 10 ngày (Khoản 2 Điều 22 Luật; Khoản 2 Điều 20 Nghị định 356), theo Mẫu số 03a/03b.
• Nơi cập nhật: trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc tại Cục A05 (Khoản 3 Điều 22). Thủ tục tiếp nhận hồ sơ được công bố tại Quyết định 778/QĐ-BCA-A05.
• Hồ sơ đã nộp theo Nghị định 13/2023: nếu đã được Cục A05 tiếp nhận trước ngày 01/01/2026 thì tiếp tục được sử dụng, không phải lập lại; việc cập nhật sau ngày này thực hiện theo Luật 91 (Khoản 2 Điều 39).

Hồ sơ do cơ quan, tổ chức, cá nhân thực hiện việc chuyển dữ liệu lập (Khoản 2 Điều 20). Khi công ty con tại Việt Nam dùng nền tảng do công ty mẹ ở nước ngoài vận hành, cả hai có thể cùng thuộc điểm c, vì vậy tập đoàn nên sớm thống nhất pháp nhân đứng tên nộp và bảo đảm hồ sơ phản ánh đúng luồng dữ liệu thực tế. Hướng dẫn điền từng phần có tại bài lập báo cáo đánh giá tác động chuyển dữ liệu ra nước ngoài.

Báo cáo Mẫu số 09 phải có những nội dung gì?

Khoản 3 Điều 18 Nghị định 356/2025/NĐ-CP yêu cầu báo cáo đánh giá tác động gồm:

1. Thông tin, chi tiết liên lạc của bên chuyển, bên nhận, bên xử lý và các bên liên quan.
2. Chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân (hoặc đơn vị cung cấp dịch vụ) của bên chuyển và bên nhận.
3. Mô tả, luận giải mục đích chuyển, loại dữ liệu, các hoạt động chuyển và xử lý, kèm sơ đồ luồng dữ liệu.
4. Mô tả việc xin sự đồng ý của chủ thể dữ liệu và chính sách lưu trữ, xóa, hủy dữ liệu.
5. Phương án bảo đảm an toàn dữ liệu sau khi chuyển, biện pháp và tiêu chuẩn bảo vệ được áp dụng.
6. Sơ đồ hệ thống, mô tả tính năng của hệ thống lưu trữ, xử lý tại phía bên nhận.
7. Quy trình bên nhận chuyển giao, cung cấp dữ liệu cho bên thứ ba.
8. Kết quả tự đánh giá tuân thủ quy định bảo vệ dữ liệu cá nhân.
9. Đánh giá mức độ bảo vệ dữ liệu của bên nhận, mức độ ảnh hưởng, rủi ro, hậu quả có thể xảy ra và biện pháp giảm thiểu.

Hồ sơ phải luôn sẵn sàng để phục vụ kiểm tra (Khoản 4 Điều 18). Thực tế, phần doanh nghiệp hay thiếu nhất là mục 6, 7 và 9, vì cần thông tin từ phía bên nhận ở nước ngoài. Nên yêu cầu bên nhận cung cấp các thông tin này ngay trong hợp đồng.

Về kiểm tra, Cục A05 có thể kiểm tra định kỳ việc chuyển dữ liệu xuyên biên giới không quá 01 lần/năm, hoặc kiểm tra đột xuất khi phát hiện vi phạm, khi xảy ra sự cố lộ, mất dữ liệu (Khoản 4 Điều 20). Cơ quan này cũng có thể yêu cầu ngừng chuyển dữ liệu khi phát hiện dữ liệu được dùng vào hoạt động xâm phạm quốc phòng, an ninh quốc gia, hoặc khi có vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia (Khoản 5 Điều 20 Luật; Khoản 2 Điều 17 Nghị định 356).

Mức phạt vi phạm quy định chuyển dữ liệu ra nước ngoài

Điều 56 Nghị định 330/2026/NĐ-CP quy định mức phạt đối với tổ chức:

• 30–50 triệu đồng: không lập hồ sơ trước hoặc trong khi chuyển; không gửi bản chính trong 60 ngày; không hoàn thiện hồ sơ trong 30 ngày khi được yêu cầu; không cập nhật hồ sơ; không duy trì hồ sơ sẵn sàng phục vụ kiểm tra; không thông báo thông tin liên lạc của nhân sự bảo vệ dữ liệu phía bên nhận; không kiểm soát việc bên nhận chuyển tiếp dữ liệu (Khoản 1).
• 50–100 triệu đồng: không có hợp đồng, văn bản ràng buộc trách nhiệm giữa bên chuyển và bên nhận; không bảo đảm sự đồng ý với mục đích chuyển hoặc không thông báo cho chủ thể dữ liệu về việc chuyển ra nước ngoài, bên nhận và mục đích; không áp dụng biện pháp bảo mật phù hợp; cản trở kiểm tra; tiếp tục chuyển sau quyết định ngừng; không thông báo Cục A05 và không yêu cầu bên nhận dừng xử lý khi bên nhận xảy ra sự cố (Khoản 2).
• 1% đến 5% doanh thu năm tài chính liền trước tại thị trường Việt Nam: khi chuyển dữ liệu không lập hồ sơ, che giấu hoặc khai sai luồng dữ liệu dẫn đến lộ, mất dữ liệu của công dân Việt Nam: 1–2% (từ 10.000 đến dưới 100.000 người), 2–3% (từ 100.000 đến dưới 1.000.000 người), 3–5% (từ 1.000.000 người trở lên). Mức 3–5% cũng áp dụng khi tiếp tục chuyển sau quyết định ngừng mà gây tổn hại đến quốc phòng, an ninh quốc gia (Khoản 3); các trường hợp tiếp tục chuyển sau quyết định ngừng khác thuộc Khoản 2. Nếu không có doanh thu tại Việt Nam hoặc mức tính theo doanh thu thấp hơn 3 tỷ đồng, áp dụng khung từ 200 triệu đến 3 tỷ đồng (Khoản 4).
• Biện pháp bổ sung: đình chỉ hoạt động chuyển dữ liệu xuyên biên giới từ 06 đến 12 tháng; buộc ngừng chuyển dữ liệu cho đến khi hoàn thành hồ sơ và được xác nhận.

So sánh với các nhóm vi phạm khác tại cẩm nang mức phạt vi phạm dữ liệu cá nhân.

Checklist chuyển dữ liệu ra nước ngoài cho doanh nghiệp

1. Lập bản đồ luồng dữ liệu từ sổ ghi hoạt động xử lý (RoPA): vùng cloud, phần mềm SaaS, hệ thống tập đoàn, SDK, tổng đài, nhà cung cấp có đội ngũ ở nước ngoài.
2. Phân loại từng luồng theo điểm a, b, c Khoản 1 Điều 20 và kiểm tra trường hợp miễn tại Khoản 6.
3. Xác định căn cứ xử lý cho từng luồng; lấy sự đồng ý chuyển ra nước ngoài khi căn cứ là sự đồng ý và thông báo cho chủ thể dữ liệu về việc dữ liệu được chuyển ra nước ngoài, bên nhận và mục đích.
4. Ký thỏa thuận chuyển dữ liệu hoặc DPA với từng bên nhận trước khi chuyển. Xem phân biệt bên kiểm soát và bên xử lý để chọn đúng loại hợp đồng.
5. Lập hồ sơ Mẫu số 09 và gửi Cục A05 trong 60 ngày kể từ lần chuyển đầu tiên.
6. Đặt lịch rà soát 06 tháng và cơ chế cập nhật ngay khi có thay đổi thuộc Khoản 2 Điều 22.
7. Chuẩn bị kịch bản sự cố tại phía bên nhận để đáp ứng quy tắc thông báo 72 giờ.

Doanh nghiệp trong lĩnh vực có quy định chuyên ngành nên đọc thêm các trang bảo vệ dữ liệu cá nhân ngành ngân hàng và ngành bảo hiểm.