CHUYỂN DỮ LIỆU RA NƯỚC NGOÀI: QUY TRÌNH VÀ LƯU Ý

Chuyển dữ liệu cá nhân ra nước ngoài là hoạt động ngày càng phổ biến khi doanh nghiệp Việt Nam sử dụng nền tảng điện toán đám mây, hợp tác với đối tác quốc tế hoặc vận hành hệ thống có máy chủ đặt ở nước ngoài.

Tuy nhiên, việc chuyển dữ liệu cá nhân xuyên biên giới không còn là hoạt động tự do mà phải tuân thủ nghiêm ngặt các quy định của Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân năm 2025. Doanh nghiệp cần thực hiện đúng quy trình, chuẩn bị đầy đủ hồ sơ và đáp ứng các điều kiện pháp lý để tránh rủi ro bị xử phạt.

Trong bài viết này, chúng tôi sẽ làm rõ quy định pháp luật, thủ tục thực hiện và những lưu ý quan trọng khi chuyển dữ liệu cá nhân ra nước ngoài theo quy định hiện hành.

CƠ SỞ PHÁP LÝ

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 của Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam (có hiệu lực từ ngày 01/01/2026);

• Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

I. CHUYỂN DỮ LIỆU CÁ NHÂN RA NƯỚC NGOÀI LÀ GÌ?

Theo Khoản 14 Điều 2 Nghị định 13/2023, “chuyển dữ liệu cá nhân ra nước ngoài là hoạt động sử dụng không gian mạng, thiết bị, phương tiện điện tử hoặc các hình thức khác chuyển dữ liệu cá nhân của công dân Việt Nam tới một địa điểm nằm ngoài lãnh thổ của nước Cộng hòa xã hội chủ nghĩa Việt Nam hoặc sử dụng một địa điểm nằm ngoài lãnh thổ của nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân của công dân Việt Nam.”

Khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 quy định các trường hợp chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

• Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam;
• Cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài;
• Cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam.

II. QUY TRÌNH CHUYỂN DỮ LIỆU CÁ NHÂN RA NƯỚC NGOÀI

2.1. Lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài

Đây là bước bắt buộc đầu tiên khi thực hiện chuyển dữ liệu cá nhân ra nước ngoài. Theo Khoản 2 Điều 18 Nghị định 356/2025/NĐ-CP. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bao gồm các tài liệu sau:

Một điểm quan trọng cần lưu ý: Khoản 3 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 quy định rằng đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài chỉ cần thực hiện một lần cho suốt thời gian hoạt động của tổ chức và được cập nhật khi có thay đổi theo quy định tại Điều 22 của Luật này.

2.2. Nộp hồ sơ

Sau khi lập xong hồ sơ, bên chuyển dữ liệu ra nước ngoài phải gửi 01 bản chính hồ sơ tới Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong thời hạn 60 ngày kể từ ngày tiến hành chuyển dữ liệu cá nhân xuyên biên giới. 

Hình thức nộp: Bên chuyển dữ liệu cá nhân xuyên biên giới nộp hồ sơ bằng một trong ba hình thức sau:

• Trực tuyến: Truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
• Trực tiếp: tại Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao, Bộ Công an.
• Bưu chính: Bộ phận tiếp nhận và trả kết quả thủ tục hành chính về bảo vệ dữ liệu cá nhân tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an.

2.3. Cập nhật hồ sơ

Khoản 1 Điều 22 Luật Bảo vệ dữ liệu cá nhân 2025 quy định: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân xuyên biên giới được cập nhật định kỳ 06 tháng khi có sự thay đổi.

Ngoài ra, tổ chức, cá nhân phải cập nhật hồ sơ ngay lập tức (trong vòng 10 ngày) khi xảy ra các sự kiện lớn như mua bán, sáp nhập, giải thể, hoặc thay đổi nhà cung cấp dịch vụ bảo vệ dữ liệu.

Lưu ý: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo quy định của Nghị định số 13/2023/NĐ-CP tiếp nhận trước ngày 01/01/2026 thì tiếp tục được sử dụng và không phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo quy định của Luật này; việc cập nhật các hồ sơ đã lập nêu trên sau 01/01/2026 thì thực hiện theo quy định của Luật Bảo vệ dữ liệu cá nhân 2025.

III. CÁC TRƯỜNG HỢP KHÔNG PHẢI LẬP HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG

Theo Khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, một số trường hợp được miễn trừ thực hiện quy định về đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài, bao gồm:

• Việc chuyển dữ liệu cá nhân ra nước ngoài của cơ quan nhà nước có thẩm quyền;
• Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây;
• Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới;
• Các trường hợp khác theo quy định của Chính phủ.

Doanh nghiệp cần rà soát kỹ các trường hợp miễn trừ này trước khi tiến hành thủ tục, tránh thực hiện thủ tục không cần thiết hoặc bỏ sót nghĩa vụ pháp lý.

IV. TRƯỜNG HỢP BỊ YÊU CẦU NGỪNG CHUYỂN DỮ LIỆU

Bộ Công an có thẩm quyền yêu cầu bên chuyển dữ liệu cá nhân ra nước ngoài ngừng hoạt động trong các trường hợp sau:

• Phát hiện dữ liệu cá nhân được chuyển phục vụ hoạt động vi phạm lợi ích, an ninh quốc gia của Việt Nam;
• Bên chuyển dữ liệu không chấp hành yêu cầu hoàn thiện hoặc cập nhật hồ sơ theo quy định;
• Xảy ra sự cố lộ, mất dữ liệu cá nhân của công dân Việt Nam

V. CHẾ TÀI XỬ PHẠT VI PHẠM VỀ CHUYỂN DỮ LIỆU CÁ NHÂN RA NƯỚC NGOÀI

Theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề. Trường hợp không có doanh thu hoặc mức phạt tính theo doanh thu thấp hơn mức phạt cố định theo quy định, mức phạt tối đa là 03 tỷ đồng.

MỘT SỐ CÂU HỎI THƯỜNG GẶP VỀ CHUYỂN DỮ LIỆU CÁ NHÂN RA NƯỚC NGOÀI

• Doanh nghiệp lưu dữ liệu khách hàng trên máy chủ đặt tại Singapore có phải thực hiện thủ tục chuyển dữ liệu ra nước ngoài không?
  • Có. Theo quy định, việc sử dụng hệ thống lưu trữ hoặc xử lý dữ liệu đặt ngoài lãnh thổ Việt Nam đều thuộc phạm vi chuyển dữ liệu cá nhân ra nước ngoài và phải tuân thủ các thủ tục theo quy định.
• Nếu doanh nghiệp đã lập hồ sơ đánh giá tác động, có cần làm lại mỗi năm không?
  • Không. Theo Luật Bảo vệ dữ liệu cá nhân 2025, hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài chỉ cần thực hiện một lần và được cập nhật khi có thay đổi nội dung, không phải lập lại định kỳ hàng năm.
• Thời hạn nộp hồ sơ đánh giá tác động là bao lâu?
  • Doanh nghiệp phải nộp hồ sơ trong vòng 60 ngày kể từ ngày đầu tiên tiến hành chuyển dữ liệu cá nhân ra nước ngoài.

Việc chuyển dữ liệu cá nhân ra nước ngoài không chỉ là nhu cầu tất yếu trong quá trình chuyển đổi số và hội nhập quốc tế mà còn là hoạt động chịu sự điều chỉnh chặt chẽ của pháp luật Việt Nam. Do đó, doanh nghiệp cần nắm rõ các quy định về điều kiện, hồ sơ và quy trình thực hiện để bảo đảm việc chuyển dữ liệu được tiến hành đúng pháp luật, hạn chế rủi ro pháp lý và bảo vệ quyền, lợi ích hợp pháp của các chủ thể dữ liệu. Nếu còn vướng mắc hoặc cần hỗ trợ tư vấn về thủ tục chuyển dữ liệu cá nhân ra nước ngoài, doanh nghiệp nên tham khảo ý kiến của các chuyên gia pháp lý để được hướng dẫn phù hợp với từng trường hợp cụ thể.