Trong bối cảnh toàn cầu hóa dữ liệu và sự phát triển nhanh chóng của nền kinh tế số, việc chuyển dữ liệu cá nhân xuyên biên giới đã trở thành nhu cầu thiết yếu đối với nhiều doanh nghiệp tại Việt Nam – đặc biệt là các tổ chức hoạt động trong lĩnh vực tài chính, công nghệ, thương mại điện tử và chăm sóc sức khỏe. Tuy nhiên, cùng với xu hướng này, khung pháp lý điều chỉnh hoạt động chuyển dữ liệu ra nước ngoài tại Việt Nam cũng đang ngày càng trở nên phức tạp và phân tầng, đặc biệt sau khi Luật Bảo vệ Dữ liệu Cá nhân và Luật Dữ liệu có hiệu lực.
Một trong những câu hỏi được quan tâm hàng đầu hiện nay là: Doanh nghiệp chỉ cần thông báo khi chuyển dữ liệu cá nhân ra nước ngoài, hay phải xin phê duyệt? Câu trả lời không đơn giản, mà phụ thuộc vào loại dữ liệu, quy mô dữ liệu, và cách thức chuyển giao. Bài viết này cung cấp cái nhìn hệ thống về các tiêu chí xác định dữ liệu cốt lõi, mối quan hệ giữa Luật Bảo vệ Dữ liệu Cá nhân và Luật Dữ liệu, và các tình huống thực tiễn mà doanh nghiệp cần cân nhắc trước khi triển khai hoạt động chuyển dữ liệu xuyên biên giới.
1. Từ dữ liệu cá nhân đến dữ liệu cốt lõi: Doanh nghiệp cần lưu ý gì?
“Dữ liệu công dân” là cách diễn đạt mở rộng của dữ liệu cá nhân, thường được sử dụng khi đề cập đến quy mô, tính nhạy cảm và tầm ảnh hưởng quốc gia của dữ liệu cá nhân.
Dữ liệu số: Là toàn bộ dữ liệu được thể hiện dưới dạng kỹ thuật số, bao gồm một hoặc kết hợp các dạng âm thanh, hình ảnh, ký hiệu, chữ viết.
Dữ liệu cá nhân: Là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định được một cá nhân. Gồm:
- Dữ liệu cá nhân cơ bản: họ tên, ngày sinh, CCCD, địa chỉ…
- Dữ liệu cá nhân nhạy cảm: thông tin sức khỏe, sinh trắc học, tài chính, tín ngưỡng, vị trí địa lý, lịch sử giao dịch…
Dữ liệu công dân:
- Không có định nghĩa pháp lý riêng; thuật ngữ sử dụng trong bối cảnh phân loại dữ liệu cốt lõi/quan trọng tại Quyết định 20/2025/QĐ-TTg.
- Là dữ liệu cá nhân của công dân Việt Nam, được xem xét dưới góc độ quản trị nhà nước hoặc ở quy mô lớn.
- Bao phủ rộng hơn khái niệm trong Luật Bảo vệ Dữ liệu Cá nhân.
Theo Quyết định số 20/2025/QĐ-TTg, dữ liệu công dân chưa công khai sẽ bị xếp vào nhóm dữ liệu cốt lõi nếu thỏa mãn các tiêu chí sau:
|
Loại dữ liệu công dân chưa công khai |
Ngưỡng xác định là dữ liệu cốt lõi |
|
Dữ liệu công dân cơ bản |
≥ 1.000.000 công dân |
|
Dữ liệu công dân nhạy cảm |
≥ 100.000 công dân |
Lưu ý: “Chưa công khai” có nghĩa là chưa được công bố rộng rãi trên phương tiện truyền thông hoặc các kênh công khai chính thức. Nếu đã công khai, dữ liệu không còn được coi là cốt lõi.
2. Doanh nghiệp cần chuẩn bị hồ sơ gì khi chuyển dữ liệu xuyên biên giới?
|
Tiêu chí |
Chuyển dữ liệu cá nhân thông thường theo Luật Bảo vệ Dữ liệu Cá nhân |
Chuyển dữ liệu quan trọng / cốt lõi theo Luật Dữ liệu và Nghị định 165 |
|
Thủ tục hành chính |
Triển khai Hồ sơ đánh giá tác động chuyển Dữ liệu cá nhân xuyên biên giới |
Triển khai Hồ sơ đánh giá tác động chuyển, xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới |
|
Đối tượng điều chỉnh |
Dữ liệu cá nhân không thuộc loại cốt lõi/quan trọng |
Dữ liệu cá nhân đạt ngưỡng dữ liệu quan trọng/cốt lõi (hoặc các loại dữ liệu khác trong danh mục dữ liệu quan trọng/cốt lõi) |
|
Ngưỡng kích hoạt nghĩa vụ |
Các trường hợp chuyển dữ liệu cá nhân xuyên biên giới bao gồm: – Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam; – Cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài; – Cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam. |
· Quan trọng: Dữ liệu công dân cơ bản ≥ 100.000; nhạy cảm ≥ 10.000 · Cốt lõi: Cơ bản ≥ 1.000.000; nhạy cảm ≥ 100.000 |
|
Cơ quan tiếp nhận hồ sơ |
Bộ Công an (Cơ quan chuyên trách bảo vệ dữ liệu cá nhân) |
Bộ Công an hoặc Bộ Quốc phòng (tùy tính chất dữ liệu) |
|
Thời điểm gửi hồ sơ |
Trong vòng 60 ngày kể từ ngày đầu tiên chuyển dữ liệu |
· Quan trọng: Gửi trước 15 ngày · Cốt lõi: Gửi trước khi chuyển |
|
Yêu cầu chấp thuận trước |
Không yêu cầu chấp thuận |
· Quan trọng: Không yêu cầu chấp thuận · Cốt lõi: Bắt buộc nhận được kết quả “đạt” trước khi chuyển |
|
Thời hạn xử lý hồ sơ |
Không quy định cụ thể |
· 10 ngày làm việc (bình thường) · 15 ngày (trường hợp phức tạp) |
|
Miễn trừ |
Các trường hợp không phải thực hiện quy định về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới bao gồm: a) Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền; b) Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây; c) Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới; d) Các trường hợp khác theo quy định của Chính phủ. |
Trường hợp chuyển, xử lý dữ liệu cốt lõi xuyên biên giới không cần sự chấp thuận của cơ quan có thẩm quyền và trường hợp chuyển, xử lý dữ liệu quan trọng không phải thông báo cho cơ quan có thẩm quyền: a) Trong các tình huống khẩn cấp, thực sự cần thiết phải cung cấp dữ liệu cá nhân ra nước ngoài để bảo vệ tính mạng, sức khỏe và an toàn tài sản của cá nhân; để thực hiện nhiệm vụ, nghĩa vụ theo quy định của pháp luật; b) Thực hiện quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo quy định của pháp luật; c) Trường hợp thực sự cần thiết phải cung cấp dữ liệu nhằm mục đích ký kết hoặc thực hiện hợp đồng, bao gồm trường hợp hợp đồng liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, mở tài khoản ngân hàng và khách sạn, xin thị thực, dịch vụ kiểm tra. Trong các trường hợp trên, các bên vẫn cần phải gửi đánh giá tác động về Bộ Công an (hoặc Bộ Quốc phòng đối với dữ liệu do Bộ Quốc phòng quản lý) sau 15 ngày kể từ ngày tiến hành thực hiện. |
|
Mối quan hệ giữa 2 luật |
Nếu dữ liệu cá nhân không đạt ngưỡng quan trọng/cốt lõi, áp dụng Luật Bảo vệ Dữ liệu Cá nhân |
Nếu dữ liệu cá nhân đạt ngưỡng quan trọng/cốt lõi, Luật Dữ liệu được ưu tiên áp dụng, thay thế nghĩa vụ của Luật Bảo vệ Dữ liệu Cá nhân |
Việc chuyển dữ liệu cá nhân ra nước ngoài tại Việt Nam hiện không còn là một thủ tục đơn lẻ, mà là một quá trình pháp lý phân tầng, phụ thuộc vào tính chất và quy mô của dữ liệu được xử lý. Sự xuất hiện song song của Luật Bảo vệ Dữ liệu Cá nhân và Luật Dữ liệu – cùng các văn bản hướng dẫn như Nghị định 165/2025/NĐ-CP – đã đặt ra các nghĩa vụ khác nhau cho từng trường hợp: từ việc chỉ cần thông báo đến yêu cầu phê duyệt trước khi chuyển.
Doanh nghiệp không thể áp dụng một quy trình cố định cho mọi loại dữ liệu, mà cần xác định chính xác loại dữ liệu đang xử lý (cá nhân thông thường, quan trọng hay cốt lõi), để lựa chọn đúng cơ chế đánh giá tác động và tuân thủ. Trong bối cảnh rủi ro pháp lý ngày càng gia tăng, đặc biệt với các doanh nghiệp hoạt động trong lĩnh vực công nghệ, tài chính, bảo hiểm, y tế…, việc xây dựng hệ thống nhận diện, gắn nhãn và kiểm soát dòng dữ liệu là điều kiện bắt buộc.
Thời gian viết bài: 11/08/2025
Bài viết ghi nhận thông tin chung có giá trị tham khảo, trường hợp bạn mong muốn nhận ý kiến pháp lý liên quan đến các vấn đề mà bạn đang vướng mắc, bạn vui lòng liên hệ với Luật sư của chúng tôi theo email info@cdlaf.vn
Vì sao chọn dịch vụ CDLAF
- Chúng tôi cung cấp đến bạn giải pháp pháp lý hiệu quả và toàn diện, giúp bạn tiết kiệm ngân sách, duy trì sự tuân thủ trong doanh nghiệp;
- Chúng tôi tiếp tục duy trì việc theo dõi vấn đề pháp lý của bạn ngay cả khi dịch vụ đã hoàn thành và cập nhật đến bạn khi có bất kỳ sự thay đổi nào từ hệ thống pháp luật Việt Nam;
- Hệ thống biểu mẫu về doanh nghiệp, đầu tư được xây dựng và cập nhật liên tục sẽ cung cấp khi khách hàng yêu cầu, rút ngắn thời gian thực hiện thủ tục;
- Doanh nghiệp cập nhật kịp thời các chính sách và phương thức làm việc tại các cơ quan nhà nước có thẩm quyền;
- Đội ngũ Luật sư của CDLAF nhiều năm kinh nghiệm hoạt động tại lĩnh vực Lao động, Doanh nghiệp, Đầu tư cùng với các cố vấn nhân sự, tài chính;
- Quy trình bảo mật thông tin nghiêm ngặt trong suốt quá trình thực hiện dịch vụ và ngay cả khi dịch vụ được hoàn thành sau đó;
Bạn có thể tham thảo thêm:
