Dữ liệu người dùng ra nước ngoài: hồ sơ đánh giá tác động trong 60 ngày, không chia theo số người

Đưa dữ liệu người dùng ra khỏi Việt Nam là chuyển dữ liệu xuyên biên giới. Phải tự lập hồ sơ đánh giá tác động và gửi cơ quan chuyên trách trong 60 ngày đầu; cơ quan này vẫn có quyền kiểm tra và yêu cầu ngừng chuyển. Dữ liệu người dùng Việt Nam còn phải lưu tại Việt Nam.

Chi phí

Không tốn phí nộp, nhưng tốn việc làm hồ sơ: rà xem dữ liệu nào đang đi qua đâu — máy chủ, dịch vụ gửi thư, công cụ phân tích, dịch vụ nhắn tin, nhà cung cấp thanh toán — rồi viết một bộ hồ sơ cho mỗi luồng có dữ liệu ra nước ngoài. Với một site nhỏ, việc này tính bằng vài ngày làm việc và một buổi ngồi với người làm kỹ thuật để lập bảng dữ liệu đi tới đâu; hồ sơ phải gửi trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu.

Lợi ích

Chuyển dữ liệu cá nhân người dùng sang dịch vụ ở nước ngoài cần được xem xét từ lúc thiết kế kiến trúc. Ghi rõ dữ liệu nào đi đâu, ai xử lý và bằng hợp đồng nào.

Pháp luật Việt Nam

Điều 20 khoản 1 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 kể ba trường hợp là chuyển dữ liệu xuyên biên giới: chuyển dữ liệu đang lưu tại Việt Nam đến hệ thống lưu trữ đặt ngoài lãnh thổ; cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cho tổ chức, cá nhân nước ngoài; và cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu được thu thập tại Việt Nam. Khoản 2 đặt nghĩa vụ: phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển, trừ trường hợp ở khoản 6. Khoản 3: đánh giá làm một lần cho suốt thời gian hoạt động và cập nhật theo Điều 22. Khoản 6 miễn nghĩa vụ đánh giá cho bốn nhóm: việc chuyển của cơ quan nhà nước có thẩm quyền; tổ chức lưu dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây; chủ thể dữ liệu tự chuyển dữ liệu cá nhân của mình; và các trường hợp khác theo quy định của Chính phủ. Không có khoản nào chia theo số người: nghĩa vụ gắn với việc chuyển, không gắn với quy mô, nên một site vài trăm người dùng cũng phải làm hồ sơ nếu dữ liệu đi ra ngoài. Cũng trong luật này, Điều 21 đặt nghĩa vụ rộng hơn cho mọi bên kiểm soát và bên xử lý dữ liệu: lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý. Về chỗ đặt dữ liệu, Điều 26 khoản 3 Luật An ninh mạng buộc doanh nghiệp cung cấp dịch vụ trên mạng có hoạt động thu thập, xử lý dữ liệu cá nhân, dữ liệu về mối quan hệ và dữ liệu do người dùng tại Việt Nam tạo ra phải lưu trữ dữ liệu đó tại Việt Nam; Nghị định 53/2022 quy định chi tiết: khoản 1 Điều 26 liệt kê dữ liệu phải lưu gồm thông tin cá nhân của người dùng tại Việt Nam, dữ liệu do người dùng tạo ra như tên tài khoản, thời gian sử dụng, thông tin thẻ, địa chỉ thư điện tử, địa chỉ mạng đăng nhập và đăng xuất gần nhất, số điện thoại gắn với tài khoản, và dữ liệu về bạn bè, nhóm mà người dùng kết nối; khoản 2 buộc doanh nghiệp trong nước lưu trữ các dữ liệu đó tại Việt Nam. Điều 27 khoản 1 đặt thời gian lưu tối thiểu 24 tháng, khoản 3 đặt nhật ký hệ thống tối thiểu 12 tháng.

Ghi chú

Vì sao mức B: nghĩa vụ, thời hạn và các trường hợp miễn đều đọc được nguyên văn trong luật đang có hiệu lực, nhưng không có số đo nào cho câu hỏi người đọc thật sự hỏi — làm hồ sơ xong thì rủi ro giảm bao nhiêu, và bao nhiêu doanh nghiệp đã bị xử lý — nên không lên A. Bốn cái bẫy. Một: tưởng đặt máy chủ ở nước ngoài là dữ liệu "chưa ra khỏi Việt Nam"; điểm c khoản 1 Điều 20 nói ngược lại, chỉ cần dùng một nền tảng đặt ngoài lãnh thổ để xử lý dữ liệu thu thập tại Việt Nam là đã thuộc phạm vi. Hai: chờ xem có ai bị phạt rồi mới làm, trong khi hạn 60 ngày tính từ ngày đầu tiên chuyển dữ liệu chứ không tính từ ngày bị hỏi, và mốc này trôi qua rất nhanh với một site mới: ngày đầu tiên thường là ngày gắn công cụ đo lường hoặc dịch vụ gửi thư vào trang. Ba: nghĩ rằng đã gửi hồ sơ là đã được phép; đây không phải thủ tục xin phép mà là tự đánh giá rồi gửi, cơ quan chuyên trách vẫn có quyền kiểm tra định kỳ hoặc đột xuất và yêu cầu ngừng chuyển. Bốn: bỏ sót những luồng dữ liệu không nằm trong máy chủ chính — công cụ phân tích, dịch vụ nhắn tin, bộ phận chăm sóc khách hàng, nhà cung cấp thanh toán — nên hồ sơ chỉ tả một nửa dòng dữ liệu. Đừng hiểu ngược thành "cứ đưa hết dữ liệu ra nước ngoài rồi làm hồ sơ là xong": làm hồ sơ không miễn cho bạn nghĩa vụ lưu dữ liệu người dùng tại Việt Nam, và cách rẻ nhất vẫn là giữ dữ liệu trong nước, chỉ chuyển phần thật sự cần cho một dịch vụ cụ thể.

Bản dịch sát bản gốc (Trung Quốc) để đối chiếu

Chi phí

Không tốn tiền. Cách đỡ việc nhất là để dữ liệu người dùng ở trong nước. Thật sự phải chuyển ra nước ngoài thì đi theo hợp đồng mẫu hoặc làm chứng nhận

Nói đơn giản

Chuyển thông tin của người dùng trong nước lên máy ở nước ngoài thì gọi là chuyển ra nước ngoài, đặt máy chủ ở nước ngoài cũng vậy. Thông thường phải qua đánh giá an ninh của cơ quan thông tin mạng (Trung Quốc), hoặc làm chứng nhận, ký hợp đồng mẫu. Trong năm cộng dồn chưa tới 100 nghìn người, không có thông tin nhạy cảm thì được miễn cả ba việc này. Còn phải cho người dùng biết bên nhận ở nước ngoài là ai, lấy để làm gì, và xin họ đồng ý riêng.

Lợi ích

Giao thông tin của người dùng trong nước cho công ty ở nước ngoài, hoặc lưu lên máy ở nước ngoài, về pháp luật gọi là cung cấp thông tin cá nhân ra nước ngoài, "phải đáp ứng" một trong bốn điều kiện. Một là qua đánh giá an ninh do cơ quan thông tin mạng tổ chức. Hai là được tổ chức chuyên môn làm chứng nhận bảo vệ thông tin cá nhân. Ba là ký hợp đồng với bên nhận ở nước ngoài theo hợp đồng mẫu do cơ quan thông tin mạng ban hành. Bốn là các điều kiện khác do luật, văn bản pháp quy hành chính quy định. Đồng thời bạn phải cho người dùng biết các điều sau: tên, cách liên lạc của bên nhận ở nước ngoài, mục đích xử lý, cách xử lý, loại thông tin cá nhân, và cách họ thực hiện quyền của mình. Còn phải "được cá nhân đồng ý riêng", tức là hỏi riêng người dùng một lần về việc này. Ngưỡng cụ thể chia theo số người cộng dồn. Doanh nghiệp thông thường trong quy định gọi là bên xử lý dữ liệu không phải đơn vị vận hành hạ tầng thông tin trọng yếu. Loại doanh nghiệp này có một ngưỡng được miễn làm thủ tục, nguyên văn là "từ ngày 1 tháng 1 năm đó cộng dồn cung cấp ra nước ngoài thông tin cá nhân của dưới 100 nghìn người (không gồm thông tin cá nhân nhạy cảm)". Chưa tới ngưỡng này thì được miễn cả ba việc khai báo đánh giá, ký hợp đồng mẫu, làm chứng nhận. Từ 100 nghìn đến dưới 1 triệu người thì phải ký hợp đồng mẫu hoặc qua chứng nhận. Từ 1 triệu người trở lên, hoặc thông tin cá nhân nhạy cảm từ 10 nghìn người trở lên, thì phải khai báo đánh giá an ninh (toàn quốc, từ tháng 3/2024)

Mức bằng chứng

A

Ghi chú

Đặt máy chủ ở nước ngoài không có nghĩa là "dữ liệu không ra nước ngoài". Người dùng đăng ký ở trong nước, bạn chuyển thông tin của họ lên máy ở nước ngoài, thế là chuyển ra nước ngoài. Có một loại không phải đi ba con đường đánh giá an ninh, chứng nhận, hợp đồng mẫu: mua hàng xuyên biên giới, gửi hàng xuyên biên giới, đặt vé máy bay, khách sạn, những việc thật sự phải chuyển "để ký kết, thực hiện hợp đồng mà cá nhân là một bên". Còn phải chú ý cách tính số người: tính "cộng dồn từ ngày 1 tháng 1 năm đó", không phải tính lùi mười hai tháng từ hôm nay

Phần này lấy từ bản luonglb/song-dang-tien.

Nguồn · 2

1. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 (Điều 20 khoản 1, 2, 3, 6; Điều 21; Điều 22): datafiles.chinhphu.vn/cpp/files/vbpq/2025/7/9…
2. Luật An ninh mạng số 23/2018/QH14 ngày 12/6/2018 (Điều 26 khoản 3), Công báo số 775 + 776 ngày 14-7-2018; Nghị định 53/2022/NĐ-CP ngày 15/8/2022 (Điều 26 khoản 1, 2, 3; Điều 27 khoản 1 và khoản 3), bản ký: datafiles.chinhphu.vn/cpp/files/vbpq/2022/08/…. Tra ngày 3/11/2026.