Chuyển dữ liệu cá nhân ra nước ngoài: Quy định, thủ tục 2025

Chuyển dữ liệu cá nhân ra nước ngoài là hoạt động tất yếu trong kinh doanh toàn cầu, đòi hỏi doanh nghiệp phải tuân thủ nghiêm ngặt các quy định pháp luật để đảm bảo an toàn thông tin và tránh rủi ro. Với sự hỗ trợ chuyên nghiệp từ DPO.VN, doanh nghiệp có thể tự tin hoàn thành các thủ tục phức tạp và xây dựng một cơ chế tuân thủ bền vững. Chuyển giao dữ liệu xuyên biên giới, đánh giá tác động, tuân thủ pháp luật.

Hoạt động nào được xem là chuyển dữ liệu cá nhân ra nước ngoài?

Chuyển dữ liệu cá nhân ra nước ngoài là việc sử dụng không gian mạng, thiết bị điện tử để chuyển dữ liệu của công dân Việt Nam tới một địa điểm ngoài lãnh thổ Việt Nam, hoặc sử dụng một địa điểm ngoài lãnh thổ Việt Nam để xử lý dữ liệu này.

Để xác định chính xác khi nào doanh nghiệp cần tuân thủ các quy định về chuyển dữ liệu xuyên biên giới, việc hiểu rõ định nghĩa pháp lý là bước đầu tiên và quan trọng nhất. Cả Nghị định 13/2023/NĐ-CP (Điều 2, khoản 14) và Luật Bảo vệ dữ liệu cá nhân (Điều 20, khoản 1) đều định nghĩa hoạt động này một cách khá rộng, bao trùm nhiều kịch bản phổ biến trong môi trường kinh doanh hiện đại.

Cụ thể, các hoạt động sau đây được xác định là chuyển dữ liệu cá nhân ra nước ngoài:

• Chuyển giao trực tiếp: Doanh nghiệp tại Việt Nam chuyển dữ liệu cá nhân của khách hàng hoặc nhân viên cho công ty mẹ, chi nhánh, hoặc đối tác ở nước ngoài để xử lý theo mục đích đã được chủ thể dữ liệu đồng ý. Ví dụ: Gửi báo cáo nhân sự hàng tháng cho trụ sở chính ở Singapore.
• Xử lý bằng hệ thống tự động ở nước ngoài: Doanh nghiệp sử dụng các hệ thống tự động (như máy chủ, nền tảng phần mềm) đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu của công dân Việt Nam. Đây là trường hợp rất phổ biến. Ví dụ:
  • Sử dụng dịch vụ lưu trữ đám mây của các nhà cung cấp quốc tế như Amazon Web Services (AWS), Google Cloud, Microsoft Azure có máy chủ đặt tại nước ngoài.
  • Sử dụng các nền tảng quản lý quan hệ khách hàng (CRM) như Salesforce, HubSpot có trung tâm dữ liệu ở nước ngoài.
  • Sử dụng các dịch vụ email marketing, phân tích dữ liệu hoặc các công cụ SaaS (Software-as-a-Service) khác được vận hành từ máy chủ đặt ngoài Việt Nam.

Như vậy, chỉ cần dữ liệu cá nhân của công dân Việt Nam được “dịch chuyển” hoặc “xử lý” tại một địa điểm vật lý hoặc kỹ thuật số ngoài lãnh thổ Việt Nam, hoạt động đó sẽ thuộc phạm vi điều chỉnh của pháp luật và doanh nghiệp cần tiến hành các thủ tục tuân thủ cần thiết.

Doanh nghiệp cần đáp ứng những điều kiện pháp lý nào để chuyển dữ liệu cá nhân ra nước ngoài?

Điều kiện tiên quyết là phải lập và nộp Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, có được sự đồng ý hợp lệ từ chủ thể dữ liệu và thiết lập văn bản ràng buộc trách nhiệm rõ ràng với bên nhận dữ liệu.

Để hoạt động chuyển dữ liệu cá nhân ra nước ngoài được hợp pháp, doanh nghiệp không chỉ cần tập trung vào thủ tục hành chính mà còn phải đảm bảo các điều kiện pháp lý nền tảng. Các điều kiện này tạo thành một cơ chế bảo vệ toàn diện, đảm bảo dữ liệu của công dân Việt Nam được an toàn ngay cả khi đã vượt ra khỏi biên giới quốc gia.

Sự đồng ý của chủ thể dữ liệu có bắt buộc không?

Có, sự đồng ý của chủ thể dữ liệu là yêu cầu bắt buộc, và họ phải được thông báo rõ ràng rằng dữ liệu của mình sẽ được chuyển ra nước ngoài, cùng với cơ chế khiếu nại khi có sự cố.

Theo Điều 25, khoản 2(g) của Nghị định 13/2023/NĐ-CP, một trong những thành phần không thể thiếu của Hồ sơ đánh giá tác động là phải có sự đồng ý của chủ thể dữ liệu. Sự đồng ý này phải đáp ứng các tiêu chí tại Điều 11 của Nghị định: phải tự nguyện, rõ ràng và dựa trên việc chủ thể dữ liệu đã được cung cấp đầy đủ thông tin. Đặc biệt, chủ thể dữ liệu phải được thông báo về cơ chế phản hồi và khiếu nại khi có sự cố phát sinh liên quan đến dữ liệu của họ ở nước ngoài.

Văn bản ràng buộc trách nhiệm với bên nhận dữ liệu cần có những gì?

Văn bản này phải thể hiện rõ ràng trách nhiệm của cả bên chuyển và bên nhận trong việc xử lý và bảo vệ dữ liệu cá nhân, đảm bảo tuân thủ các quy định của pháp luật Việt Nam.

Điều 25, khoản 2(h) của Nghị định 13/2023/NĐ-CP yêu cầu phải có “văn bản thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu”. Văn bản này có thể là một hợp đồng xử lý dữ liệu (Data Processing Agreement – DPA), một phụ lục của hợp đồng dịch vụ, hoặc một thỏa thuận riêng. Nội dung cốt lõi cần có bao gồm:

• Phạm vi và mục đích xử lý dữ liệu được phép.
• Cam kết của bên nhận về việc áp dụng các biện pháp bảo mật kỹ thuật và tổ chức không thấp hơn tiêu chuẩn của Việt Nam.
• Quy trình xử lý yêu cầu từ chủ thể dữ liệu (truy cập, chỉnh sửa, xóa dữ liệu).
• Nghĩa vụ thông báo cho bên chuyển khi có vi phạm dữ liệu xảy ra.
• Điều khoản về việc xóa hoặc trả lại dữ liệu khi kết thúc hợp đồng.

Việc có một văn bản pháp lý chặt chẽ không chỉ là yêu cầu tuân thủ mà còn là công cụ quan trọng để doanh nghiệp quản lý rủi ro và bảo vệ mình khi có tranh chấp.

Hướng dẫn chi tiết cách lập và nộp Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài?

Doanh nghiệp phải lập hồ sơ theo Mẫu Đ25-DLCN-04, bao gồm thông tin các bên, mục đích, biện pháp bảo vệ, đánh giá rủi ro và nộp bản chính cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) trong vòng 60 ngày kể từ ngày bắt đầu chuyển dữ liệu.

Đây là nghĩa vụ pháp lý trọng tâm và đòi hỏi sự chuẩn bị kỹ lưỡng nhất. Việc hoàn thành chính xác và đầy đủ hồ sơ này là chìa khóa để đảm bảo hoạt động kinh doanh không bị gián đoạn.

Thành phần của một hồ sơ hoàn chỉnh gồm những gì?

Hồ sơ phải bao gồm thông tin chi tiết về bên chuyển và bên nhận, mô tả mục đích và loại dữ liệu, các biện pháp bảo vệ, đánh giá tác động, sự đồng ý của chủ thể dữ liệu và văn bản ràng buộc trách nhiệm.

Dựa trên Điều 25, khoản 2 của Nghị định 13/2023/NĐ-CP và Mẫu Đ25-DLCN-04, một Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài hoàn chỉnh phải có các nội dung sau:

Quy trình nộp hồ sơ cho Cục An ninh mạng (A05) diễn ra như thế nào?

Doanh nghiệp cần hoàn thiện Thông báo (Mẫu 06a/06b) và Hồ sơ đánh giá tác động (Mẫu Đ25-DLCN-04), sau đó nộp qua Cổng thông tin quốc gia, trực tiếp hoặc qua bưu chính tới Cục A05 trong vòng 60 ngày.

Quy trình nộp hồ sơ được hướng dẫn chi tiết trong thủ tục hành chính công bố kèm theo Nghị định 13/2023/NĐ-CP, bao gồm các bước sau:

1. Bước 1: Chuẩn bị hồ sơ. Tổ chức, cá nhân tải và điền đầy đủ thông tin vào các biểu mẫu:
   • Thông báo gửi hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài: Mẫu số 06a (dành cho tổ chức) hoặc Mẫu số 06b (dành cho cá nhân).
   • Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài: Mẫu Đ25-DLCN-04.
   • Các tài liệu kèm theo: Giấy chứng nhận đăng ký kinh doanh, quyết định phân công bộ phận bảo vệ dữ liệu, hợp đồng với bên nhận, v.v.
2. Bước 2: Nộp hồ sơ. Doanh nghiệp có thể lựa chọn một trong các hình thức sau:
   • Trực tuyến: Qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (sẽ được Bộ Công an thông báo).
   • Trực tiếp: Tại trụ sở Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an.
   • Qua bưu chính: Gửi đến Bộ phận tiếp nhận và trả kết quả thủ tục hành chính của Cục A05.
3. Bước 3: Nhận phản hồi. Cục A05 sẽ tiếp nhận và có thể yêu cầu doanh nghiệp hoàn thiện hồ sơ nếu chưa đầy đủ hoặc đúng quy định. Thời gian để doanh nghiệp hoàn thiện là 10 ngày kể từ ngày nhận được yêu cầu (Điều 25, khoản 6 NĐ13).

Doanh nghiệp cần làm gì sau khi nộp hồ sơ và chuyển dữ liệu thành công?

Sau khi chuyển dữ liệu thành công, doanh nghiệp phải gửi thông báo bằng văn bản cho Cục A05, cung cấp thông tin về việc chuyển dữ liệu và chi tiết liên lạc của người phụ trách.

Nghĩa vụ của doanh nghiệp không kết thúc sau khi nộp hồ sơ. Điều 25, khoản 4 Nghị định 13/2023/NĐ-CP yêu cầu: “Bên chuyển dữ liệu thông báo gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) thông tin về việc chuyển dữ liệu và chi tiết liên lạc của tổ chức, cá nhân phụ trách bằng văn bản sau khi việc chuyển dữ liệu diễn ra thành công.” Đây là bước quan trọng để cơ quan quản lý nhà nước nắm được tình hình thực tế và thực hiện chức năng giám sát.

Ngoài ra, nếu có bất kỳ thay đổi nào so với nội dung hồ sơ đã nộp (ví dụ: thay đổi bên nhận dữ liệu, mục đích xử lý, biện pháp bảo vệ), doanh nghiệp phải thực hiện cập nhật và bổ sung hồ sơ theo Mẫu số 05a hoặc 05b (Điều 25, khoản 6 NĐ13).

Những trường hợp nào được miễn trừ lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới?

Luật Bảo vệ dữ liệu cá nhân (hiệu lực từ 01/01/2026) quy định các trường hợp miễn trừ bao gồm: chuyển dữ liệu của cơ quan nhà nước, lưu trữ dữ liệu người lao động trên dịch vụ điện toán đám mây và chủ thể dữ liệu tự chuyển dữ liệu của mình.

Đây là một trong những điểm mới quan trọng của Luật Bảo vệ dữ liệu cá nhân (Điều 20, khoản 6), mang lại sự rõ ràng và linh hoạt hơn cho doanh nghiệp. Các trường hợp được miễn trừ bao gồm:

• Chuyển dữ liệu của cơ quan nhà nước có thẩm quyền: Các hoạt động phục vụ mục đích quản lý nhà nước, an ninh, quốc phòng.
• Lưu trữ dữ liệu người lao động trên cloud: Doanh nghiệp lưu trữ dữ liệu của nhân viên mình trên các dịch vụ điện toán đám mây (ví dụ: Microsoft 365, Google Workspace). Đây là một quy định gỡ rối lớn cho nhiều doanh nghiệp.
• Chủ thể dữ liệu tự chuyển dữ liệu: Cá nhân tự thực hiện việc chuyển dữ liệu của chính họ (ví dụ: tự sao lưu danh bạ lên tài khoản Google của mình).
• Các trường hợp khác theo quy định của Chính phủ: Luật mở ra khả năng Chính phủ sẽ có những quy định chi tiết hơn để phù hợp với thực tiễn.

Doanh nghiệp phải đối mặt với rủi ro và chế tài xử phạt nào nếu vi phạm quy định?

Rủi ro lớn nhất là bị yêu cầu ngừng ngay lập tức hoạt động chuyển dữ liệu, gây gián đoạn kinh doanh nghiêm trọng, và đối mặt với mức phạt hành chính có thể lên tới 5% tổng doanh thu của năm trước liền kề.

Việc không tuân thủ các quy định về chuyển dữ liệu cá nhân ra nước ngoài có thể gây ra những hậu quả pháp lý và tài chính nặng nề. Doanh nghiệp cần nhận thức rõ các rủi ro này để có biện pháp phòng ngừa hiệu quả.

Khi nào cơ quan chức năng có quyền yêu cầu ngừng chuyển dữ liệu?

Cơ quan chuyên trách (Bộ Công an) sẽ yêu cầu ngừng chuyển dữ liệu khi phát hiện dữ liệu được sử dụng để vi phạm lợi ích, an ninh quốc gia, khi doanh nghiệp không tuân thủ các quy định về hồ sơ, hoặc khi xảy ra sự cố lộ, mất dữ liệu.

Điều 25, khoản 8 của Nghị định 13/2023/NĐ-CP và Điều 20, khoản 5 của Luật Bảo vệ dữ liệu cá nhân trao cho Bộ Công an thẩm quyền quyết định yêu cầu ngừng chuyển dữ liệu trong các trường hợp sau:

• Phát hiện dữ liệu được chuyển được sử dụng vào các hoạt động vi phạm lợi ích, an ninh quốc gia của Việt Nam.
• Bên chuyển dữ liệu không chấp hành các quy định về việc hoàn thiện hoặc cập nhật hồ sơ đánh giá tác động.
• Để xảy ra sự cố lộ, mất dữ liệu cá nhân của công dân Việt Nam.

Mức phạt cụ thể cho hành vi vi phạm là bao nhiêu?

Theo Luật Bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa đối với tổ chức vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% tổng doanh thu của năm trước liền kề.

Đây là một trong những chế tài tài chính nghiêm khắc nhất được quy định tại Điều 8, khoản 4 của Luật Bảo vệ dữ liệu cá nhân. Mức phạt này có khả năng tác động rất lớn đến tình hình tài chính của doanh nghiệp, đặc biệt là các tập đoàn đa quốc gia có doanh thu cao. Nó cho thấy mức độ nghiêm túc của nhà nước Việt Nam trong việc bảo vệ dữ liệu cá nhân của công dân. Ngoài ra, các vi phạm khác liên quan đến bảo vệ dữ liệu cá nhân cũng có thể bị phạt tới 3 tỷ đồng (Điều 8, khoản 5).

Các Câu Hỏi Thường Gặp Về Chuyển Dữ Liệu Cá Nhân Ra Nước Ngoài

Tài liệu tham khảo

• Nghị định 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân.
• Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15.
• Nghị định 53/2022/NĐ-CP quy định chi tiết một số điều của Luật An ninh mạng.
• Cổng Dịch vụ công Bộ Công an.
• Hướng dẫn về chuyển dữ liệu quốc tế của Ủy ban Châu Âu (EDPB) theo GDPR.