Thủ tục với Cục An ninh mạng để yêu cầu đồng bộ dữ liệu nhân sự và khách hàng

Trong xu thế hội nhập và số hóa toàn cầu, hoạt động đồng bộ, lưu trữ và chuyển dữ liệu cá nhân xuyên biên giới giữa công ty tại Việt Nam và công ty mẹ ở nước ngoài diễn ra ngày càng phổ biến.

Cùng VDPC tổng hợp chi tiết  qua bài viết dưới đây.

Căn cứ pháp lý:

• Luật Bảo vệ dữ liệu cá nhân năm 2025
• Nghị định số 356/2025/NĐ-CP

Giai đoạn 1: Chuẩn bị nội bộ và thu thập sự đồng ý

Bước 1: Xác định dữ liệu cá nhân xử lý

• Xác định rõ loại dữ liệu sẽ đồng bộ (dữ liệu cơ bản như họ tên, số điện thoại; dữ liệu nhạy cảm như thông tin tài khoản ngân hàng để trả lương…).

Bước 2: Xác định các bên liên quan và xây dựng luồng dữ liệu

Doanh nghiệp tiến hành xác định và phân định rõ vai trò của từng bên tham gia

Xây dựng luồng dữ liệu: Thiết lập sơ đồ kỹ thuật mô tả chi tiết cách thức dữ liệu cá nhân của nhân sự và khách hàng được thu thập và xử lý của công ty

Bước 3: Thu thập Sự đồng ý của Nhân viên và Khách hàng

Đối với nhân viên:

• Doanh nghiệp không được gộp chung điều khoản đồng ý vào Hợp đồng lao động một cách mập mờ.
• Cần ký thêm một Phụ lục hợp đồng lao động hoặc Văn bản đồng ý riêng biệt

Đối với khách hàng: Cần thiết lập cơ chế đồng ý rõ ràng

Bước 4: Ký kết Thỏa thuận chuyển giao dữ liệu nội bộ

• Công ty tại Việt Nam và công ty tại nước ngoài phải ký kết một Hợp đồng/Thỏa thuận chuyển giao dữ liệu cá nhân.
• Văn bản này phải quy định rõ trách nhiệm bảo mật, mục đích chuyển giao, thời hạn xử lý và cam kết thực hiện đầy đủ quyền của chủ thể dữ liệu.

Lưu ý về việc bổ nhiệm DPO

1. Khuyến nghị: Doanh nghiệp nên ban hành quyết định chỉ định hoặc bổ nhiệm DPO càng sớm càng tốt (ngay từ giai đoạn đầu). Việc bổ nhiệm sớm giúp DPO kịp thời đóng vai trò chủ trì các công việc:

• Rà soát luồng dữ liệu.
• Xây dựng chính sách bảo mật nội bộ.
• Trực tiếp lập hồ sơ đánh giá tác động gửi Cục A05 – Bộ Công an.

2. Tiêu chuẩn lựa chọn nhân sự

• Quyết định bổ nhiệm phải được ban hành bằng văn bản chính thức của doanh nghiệp. Nhân sự được lựa chọn làm DPO nội bộ bắt buộc phải đáp ứng đầy đủ 03 điều kiện năng lực sau:
• Có trình độ từ cao đẳng trở lên.
• Có ít nhất 02 năm kinh nghiệm công tác một trong các lĩnh vực: Pháp chế, Công nghệ thông tin, An ninh mạng, An ninh dữ liệu, Quản trị rủi ro, Kiểm soát tuân thủ, Quản lý nhân sự, hoặc Tổ chức cán bộ.
• Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

Giai đoạn 2: Lập và gửi 02 bộ hồ sơ đánh giá tác động lên bộ công an (A05)

Doanh nghiệp phải thực hiện song song 02 thủ tục hành chính độc lập gửi về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an:

Thủ tục 1: Thông báo gửi hồ sơ Đánh giá tác động xử lý dữ liệu cá nhân

Mục đích: Đánh giá tính an toàn của hoạt động thu thập và xử lý dữ liệu nhân viên/khách hàng tại Việt Nam trước khi chuyển đi.

Thời hạn nộp: Trong vòng 60 ngày kể từ ngày doanh nghiệp bắt đầu tiến hành xử lý dữ liệu.

Thành phần hồ sơ gồm:

• Tờ thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân dành cho tổ chức 
• Báo cáo đánh giá tác động xử lý dữ liệu cá nhân 
• Bản sao Quyết định chỉ định Nhân sự/Bộ phận bảo vệ dữ liệu (DPO) của công ty.
• Bản sao các văn bản pháp lý liên quan: Chính sách bảo mật, quy trình kỹ thuật bảo vệ dữ liệu, biểu mẫu thu thập sự đồng ý.

Thủ tục 2: Thông báo gửi hồ sơ Đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

Mục đích: Đánh giá mức độ an toàn của dữ liệu sau khi ra khỏi biên giới Việt Nam và năng lực bảo vệ dữ liệu của công ty tại nước ngoài

Thời hạn nộp: Trong vòng 60 ngày kể từ ngày doanh nghiệp bắt đầu thực hiện việc đồng bộ, chuyển dữ liệu ra nước ngoài.

Thành phần hồ sơ gồm:

• Tờ thông báo gửi hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới dành cho tổ chức 
• Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới 
• Bản sao Thỏa thuận chuyển giao dữ liệu (DTA) đã ký với công ty tại nước ngoài
• Các tài liệu minh chứng về an toàn thông tin của công ty tại nước ngoài: Chính sách bảo mật doanh nghiệp, mô tả hệ thống máy chủ nhận dữ liệu.

Giai đoạn 3: Nộp hồ sơ và nhận kết quả thẩm định từ A05

Doanh nghiệp nộp hồ sơ:

• Trực tuyến qua Cổng dịch vụ công Bộ Công an.
• Gửi hồ sơ giấy trực tiếp/qua bưu chính về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an.

Thời gian giải quyết: Trong vòng 15 ngày làm việc kể từ ngày nhận được hồ sơ đầy đủ và hợp lệ, Cục A05 sẽ thẩm định và gửi thông báo kết quả (Đạt hoặc Chưa đạt).

Trường hợp bổ sung: Nếu hồ sơ chưa đạt yêu cầu, doanh nghiệp có 30 ngày để hoàn thiện, sửa đổi theo yêu cầu của A05 và nộp lại.

Giai đoạn 4: Duy trì tuân thủ và cập nhật hồ sơ định kỳ

Sau khi hồ sơ đã được A05 ghi nhận, doanh nghiệp vẫn có trách nhiệm theo dõi và cập nhật hồ sơ trong các trường hợp:

Cập nhật định kỳ 06 tháng/lần: Khi phát sinh thêm mục đích xử lý/chuyển dữ liệu mới, hoặc thay đổi các bên kiểm soát, bên xử lý dữ liệu.

Cập nhật đột xuất trong vòng 10 ngày khi doanh nghiệp thực hiện:

• Tổ chức lại (chia tách, sáp nhập);
• Thay đổi thông tin của nhân sự bảo vệ dữ liệu (DPO);
• Thay đổi ngành nghề kinh doanh liên quan đến xử lý dữ liệu.

Kết luận

Việc tuân thủ đầy đủ quy trình 4 giai đoạn cho đến việc lập và nộp hồ sơ tới cơ quan chuyên trách là nghĩa vụ pháp lý của doanh nghiệp khi tiến hành chuyển dữ liệu xuyên biên giới.

Trên đây là Thủ tục với Cục An ninh mạng để yêu cầu đồng bộ dữ liệu nhân sự và khách hàng. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.620.6959

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm:

/faq