Điều kiện, trình tự, thủ tục đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

Trong kỷ nguyên số toàn cầu, hoạt động lưu trữ đám mây, vận hành ứng dụng xuyên quốc gia hay quản lý nhân sự đa quốc gia đã khiến dòng chảy dữ liệu vượt qua mọi ranh giới địa lý. Tuy nhiên, việc luân chuyển này tiềm ẩn những rủi ro cực kỳ lớn về an ninh mạng và quyền riêng tư cũng như quyền về bảo vệ dữ liệu cá nhân của công dân.

Bài viết dưới đây VDPC sẽ hệ thống toàn bộ cẩm nang tuân thủ chi tiết nhất về điều kiện, trình tự, thủ tục đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới cho doanh nghiệp.

Căn cứ pháp lý:

• Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025
• Điều 17, 18 Nghị định 356/2025/NĐ-CP

1. Khái niệm

Theo Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, các trường hợp được xác định là chuyển dữ liệu cá nhân xuyên biên giới bao gồm: chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ Việt Nam; cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài; cơ quan, tổ chức, cá nhân tại Việt Nam hoặc nước ngoài sử dụng nền tảng đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam

2. Đối tượng thực hiện

Theo quy định tại khoản 1 Điều 18 Nghị định 356/2025/NĐ-CP, mọi cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Điều này bao gồm Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, và Bên thứ ba có hoạt động chuyển dữ liệu.

3. Các trường hợp được miễn

Theo quy định, các trường hợp miễn trừ bao gồm:

1. Trong các tình huống khẩn cấp, thực sự cần thiết phải cung cấp dữ liệu cá nhân xuyên biên giới để bảo vệ tính mạng, sức khỏe và an toàn tài sản của cá nhân; để thực hiện nhiệm vụ, nghĩa vụ theo quy định của pháp luật; 
2. Hoạt động chuyển dữ liệu cá nhân xuyên biên giới để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể; 
3. Việc cung cấp dữ liệu cá nhân xuyên biên giới để ký kết hợp đồng hoặc thực hiện các thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.

4. Điều kiện

Việc chuyển dữ liệu phải nằm trong các trường hợp được pháp luật cho phép hoặc không bị cấm; bên chuyển dữ liệu phải chuẩn bị và nộp hồ sơ đánh giá tác động theo quy định tại Điều 18 Nghị định 356; phải đảm bảo mục đích, phạm vi, loại dữ liệu chuyển và biện pháp bảo vệ dữ liệu tuân thủ đúng nguyên tắc pháp luật; trong trường hợp dữ liệu bị phát hiện gây nguy hại đến an ninh quốc gia hoặc an ninh mạng, cơ quan quản lý có quyền yêu cầu tạm dừng chuyển dữ liệu.

5. Thành phần hồ sơ

Sau khi xác định doanh nghiệp có hoạt động chuyển dữ liệu xuyên biên giới và không thuộc trường hợp loại trừ, doanh nghiệp phải thực hiện lập hồ sơ đánh giá tác động bao gồm:

5.1. Báo cáo đánh giá tác động (Mẫu số 09)

Trong hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09, doanh nghiệp phải giải trình chi tiết về: loại dữ liệu cá nhân được chuyển đi; mục đích chuyển dữ liệu (phải phù hợp với mục đích ban đầu đã thông báo cho chủ thể); biện pháp bảo vệ dữ liệu của bên nhận ở nước ngoài; cam kết và thỏa thuận ràng buộc trách nhiệm giữa bên chuyển và bên nhận.

Cụ thể hơn, nội dung Báo cáo (Mẫu 09) phải thể hiện:

• Thông tin, chi tiết liên lạc của bên chuyển dữ liệu và bên nhận dữ liệu ở nước ngoài
• Mô tả và luận giải mục tiêu của các hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam sau khi được chuyển ra nước ngoài; mô tả và làm rõ loại dữ liệu cá nhân chuyển ra nước ngoài; mô tả và nêu rõ sự tuân thủ quy định bảo vệ dữ liệu cá nhân, chi tiết các biện pháp bảo vệ dữ liệu cá nhân được áp dụng.
• Đánh giá mức độ bảo vệ dữ liệu cá nhân của bên nhận; mức độ ảnh hưởng, rủi ro của việc chuyển và xử lý dữ liệu cá nhân xuyên biên giới; hậu quả, thiệt hại không mong muốn có khả năng xảy ra, các biện pháp giảm thiểu hoặc loại bỏ nguy cơ, rủi ro đó.
• Sự đồng ý của chủ thể dữ liệu trên cơ sở biết rõ cơ chế phản hồi, khiếu nại khi có sự cố hoặc yêu cầu phát sinh.

5.2. Văn bản ràng buộc trách nhiệm

Bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu cá nhân thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu cá nhân xuyên biên giới.

5.3. Tài liệu chính sách bảo vệ dữ liệu

Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới.

6. Trình tự, thủ tục

Doanh nghiệp nộp 01 bản chính hồ sơ đầy đủ bằng phương thức trực tuyến hoặc trực tiếp hoặc qua dịch vụ bưu chính về cơ quan chuyên trách bảo vệ dữ liệu cá nhân kèm theo Mẫu số 01a/01b tại Phụ lục của Nghị định, trong thời hạn 60 ngày kể từ ngày tiến hành chuyển dữ liệu cá nhân xuyên biên giới. 

Quy trình cụ thể gồm 4 bước:

Bước 1 – Lập hồ sơ: Bên chuyển dữ liệu lập hồ sơ đánh giá tác động theo Mẫu số 09 và chuẩn bị đầy đủ tài liệu liên quan.

Bước 2 – Nộp hồ sơ: Hồ sơ phải được nộp cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thông qua hệ thống trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính trong thời hạn 60 ngày kể từ ngày tiến hành chuyển dữ liệu cá nhân xuyên biên giới. Cơ quan tiếp nhận là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05).

Bước 3 – Thẩm định: Cơ quan chức năng trả kết quả đạt/không đạt trong 15 ngày. Cơ quan chuyên trách bảo vệ dữ liệu cá nhân đánh giá, yêu cầu hoàn thiện hồ sơ trong thời hạn 30 ngày đối với trường hợp hồ sơ chưa đầy đủ và đúng quy định.

Bước 4 – Xử lý kết quả không đạt: Trường hợp bên chuyển dữ liệu cá nhân không thực hiện hoàn thiện hồ sơ theo đúng quy định, cơ quan chuyên trách bảo vệ dữ liệu cá nhân xem xét áp dụng các quy định về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân.

7. Cập nhật và duy trì hồ sơ

Hồ sơ phải được cập nhật định kỳ 06 tháng/lần hoặc cập nhật ngay trong 10 ngày nếu có thay đổi về tổ chức, ngành nghề kinh doanh liên quan đến dữ liệu.

Khi có sự thay đổi về nội dung hồ sơ đã nộp (ví dụ: thay đổi đối tác nước ngoài, thay đổi loại dữ liệu), doanh nghiệp phải thực hiện thủ tục thay đổi nội dung hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới kịp thời.

Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

8. Trách nhiệm và chế tài

Trách nhiệm của tổ chức khi chuyển dữ liệu cá nhân ra nước ngoài: 

• Đảm bảo tính chính xác và hợp pháp của hồ sơ đánh giá tác động; 
• Chịu trách nhiệm về mọi rủi ro, thiệt hại có thể xảy ra trong quá trình chuyển và xử lý dữ liệu; 
• Phối hợp với Bộ Công an trong việc kiểm tra, giám sát và xử lý vi phạm (nếu có); ngừng chuyển dữ liệu nếu bị yêu cầu bởi Bộ Công an trong trường hợp vi phạm quy định hoặc để xảy ra sự cố mất mát dữ liệu. 

Chế tài xử phạt: Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa thì áp dụng mức phạt tiền là 03 tỷ đồng.

Kết luận

Việc lập và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới không chỉ là nghĩa vụ hành chính thông thường mà là nghĩa vụ kiên quyết của doanh nghiệp trong hoạt động chuyển dữ liệu cá nhân xuyên biên giới. Để quy trình thẩm định tại cơ quan có thẩm quyền diễn ra suôn sẻ, doanh nghiệp cần chuẩn bị đầy đủ nhất các mẫu hồ sơ cũng như thực hiện đúng quy trình, thủ tục theo quy định.

Trên đây là Điều kiện, trình tự, thủ tục đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: