Giới thiệu
Đối với doanh nghiệp có vốn đầu tư nước ngoài tại Việt Nam, bảo vệ dữ liệu cá nhân không còn là công việc riêng của bộ phận công nghệ thông tin. Dữ liệu nhân sự được đưa vào hệ thống HR toàn cầu, dữ liệu khách hàng được đồng bộ lên CRM của tập đoàn, camera có nhận diện khuôn mặt tại nhà máy, nền tảng tuyển dụng, marketing số, dịch vụ đám mây và công cụ trí tuệ nhân tạo đều có thể tạo ra nghĩa vụ pháp lý.
Khung pháp lý hiện hành đã chuyển từ Nghị định số 13/2023/NĐ-CP sang Luật Bảo vệ dữ liệu cá nhân năm 2025 và văn bản hướng dẫn thi hành. Bài viết này giúp doanh nghiệp FDI nhận diện các tình huống kích hoạt nghĩa vụ, xác định các đầu việc cần kiểm tra trước khi triển khai hệ thống hoặc chuyển dữ liệu về tập đoàn, đồng thời xây dựng cách tiếp cận tuân thủ phù hợp với hoạt động thực tế.
1. Doanh nghiệp FDI có thuộc phạm vi áp dụng không?
Thông thường, câu trả lời là có. Luật Bảo vệ dữ liệu cá nhân áp dụng đối với tổ chức nước ngoài tại Việt Nam, đồng thời áp dụng cho tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và một số chủ thể khác theo luật định.
Vì vậy, không nên cho rằng việc đặt máy chủ, hệ thống CRM hoặc nền tảng đám mây ở nước ngoài sẽ đưa hoạt động xử lý ra ngoài phạm vi pháp luật Việt Nam. Một công ty mẹ ở nước ngoài có thể vẫn liên quan đến nghĩa vụ tại Việt Nam nếu nhận, truy cập, phân tích hoặc quyết định mục đích xử lý dữ liệu của nhân viên, khách hàng hoặc đối tác tại Việt Nam.
Trong thực tế, doanh nghiệp FDI nên bắt đầu bằng câu hỏi: “Dữ liệu nào có thể xác định một con người cụ thể, đang đi qua những hệ thống nào và ai quyết định việc sử dụng dữ liệu đó?” Nếu chưa trả lời được ba câu hỏi này, doanh nghiệp chưa có đủ cơ sở để đánh giá nghĩa vụ.
1.1. “Xử lý dữ liệu” được hiểu rộng hơn lưu trữ dữ liệu
Xử lý dữ liệu cá nhân bao gồm nhiều công đoạn: thu thập, phân tích, tổng hợp, mã hóa, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai và chuyển giao dữ liệu. Do đó, một công ty có thể phát sinh nghĩa vụ ngay cả khi không trực tiếp bán dữ liệu hay không vận hành một nền tảng số dành cho người tiêu dùng.
Ví dụ, các hoạt động sau thường cần được rà soát:
- Thu thập hồ sơ ứng viên, ảnh, căn cước, thông tin người thân và lịch sử làm việc;
- Chấm công bằng vân tay, khuôn mặt hoặc quản lý vị trí của nhân viên giao nhận;
- Đồng bộ danh sách khách hàng từ Việt Nam lên hệ thống CRM của tập đoàn;
- Sử dụng nhà cung cấp bên ngoài cho payroll, tuyển dụng, chăm sóc khách hàng, lưu trữ đám mây hoặc tiếp thị;
- Dùng dữ liệu cuộc gọi, hành vi truy cập hoặc lịch sử mua hàng để phân nhóm và quảng cáo;
- Đưa dữ liệu vào công cụ AI, kho dữ liệu lớn hoặc hệ thống phân tích tập trung.
2. Bước đầu tiên: phân loại dữ liệu và xác định đúng vai trò của từng bên
Không phải mọi dữ liệu đều có mức độ rủi ro như nhau. Luật phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm; danh mục chi tiết được quy định tại Nghị định số 356/2025/NĐ-CP.
Dữ liệu cơ bản có thể bao gồm họ tên, ngày sinh, thông tin liên hệ, hình ảnh, số điện thoại, số định danh hoặc hộ chiếu và thông tin tài khoản số. Trong khi đó, dữ liệu nhạy cảm bao gồm nhiều nhóm có rủi ro cao hơn như thông tin sức khỏe, dữ liệu sinh trắc học, dữ liệu vị trí, dữ liệu về tài khoản và giao dịch tài chính, thông tin xác thực định danh điện tử, cũng như dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng.
Đối với doanh nghiệp FDI, việc gắn nhãn dữ liệu “confidential” theo chính sách tập đoàn là chưa đủ. Cần có bản đồ dữ liệu phù hợp với cách phân loại theo pháp luật Việt Nam, bởi một dữ liệu mà doanh nghiệp xem là dữ liệu vận hành thông thường có thể thuộc nhóm nhạy cảm tại Việt Nam.
2.1. Xác định vai trò xử lý để phân bổ trách nhiệm đúng
Luật phân biệt các vai trò chính gồm bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và bên thứ ba. Việc xác định vai trò không nên chỉ dựa vào tên gọi trong hợp đồng nội bộ tập đoàn, mà cần nhìn vào thực chất: ai quyết định mục đích, ai lựa chọn phương tiện và ai trực tiếp thực hiện xử lý.
| Tình huống | Điểm cần xác định | Rủi ro nếu xác định sai |
|---|---|---|
| Công ty Việt Nam dùng phần mềm payroll của bên ngoài | Ai quyết định loại dữ liệu, mục đích và thời gian lưu trữ? | Hợp đồng không phân định trách nhiệm khi phát sinh sự cố hoặc yêu cầu của người lao động |
| CRM toàn cầu do công ty mẹ vận hành | Công ty mẹ chỉ cung cấp hạ tầng hay cũng quyết định mục đích sử dụng dữ liệu khách hàng? | Bỏ sót nghĩa vụ về chuyển dữ liệu xuyên biên giới và trách nhiệm giữa các đơn vị |
| Đại lý thu thập thông tin khách hàng | Đại lý thu thập theo chỉ dẫn hay sử dụng dữ liệu cho mục đích riêng? | Chia sẻ dữ liệu vượt quá phạm vi đã thông báo hoặc đồng ý |
Việc phân vai đúng là nền tảng để soạn thảo thỏa thuận xử lý dữ liệu, thiết kế quy trình phản hồi quyền của chủ thể dữ liệu và xác định đơn vị chịu trách nhiệm chính khi xảy ra vi phạm.
3. Sự đồng ý không nên được xử lý như một ô tích mặc định
Về nguyên tắc, việc thu thập dữ liệu cá nhân cần có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép xử lý mà không cần sự đồng ý. Sự đồng ý chỉ có hiệu lực khi chủ thể dữ liệu tự nguyện, biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu, cùng các quyền và nghĩa vụ liên quan.
Sự đồng ý cần rõ ràng, cụ thể, có thể lưu lại hoặc kiểm chứng; sự im lặng hoặc không phản hồi không được coi là đồng ý. Sự đồng ý cũng phải tách theo từng mục đích, thay vì gộp nhiều mục đích không liên quan vào một điều khoản chung.
Điểm này đặc biệt quan trọng khi doanh nghiệp triển khai:
- Biểu mẫu tuyển dụng có thu thập thông tin người thân, sức khỏe hoặc lý lịch;
- Chương trình khách hàng thân thiết kết hợp tiếp thị, phân tích hành vi và chia sẻ trong tập đoàn;
- Camera giám sát, công cụ theo dõi vị trí hoặc thiết bị sinh trắc học tại nơi làm việc;
- Ứng dụng di động yêu cầu quyền truy cập vị trí, danh bạ, ảnh hoặc nhận diện thiết bị;
- Hoạt động phân tích dữ liệu phục vụ AI, chấm điểm, dự báo hoặc cá nhân hóa trải nghiệm khách hàng.
Doanh nghiệp không nên mặc định rằng quan hệ lao động hoặc quan hệ hợp đồng với khách hàng luôn thay thế được yêu cầu về sự đồng ý. Một số trường hợp xử lý có thể dựa trên việc thực hiện thỏa thuận hoặc căn cứ pháp luật khác, nhưng căn cứ đó cần được đánh giá theo từng mục đích xử lý cụ thể và phải có cơ chế giám sát phù hợp.
4. Các nghĩa vụ vận hành trọng yếu doanh nghiệp FDI cần tổ chức
4.1. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân
Bên kiểm soát dữ liệu cá nhân và bên kiểm soát, xử lý dữ liệu cá nhân phải lập, lưu trữ và gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ các trường hợp được miễn hoặc áp dụng cơ chế đặc thù theo luật.
Đây không phải là một mẫu biểu có thể hoàn thành độc lập bởi bộ phận pháp chế. Hồ sơ cần phản ánh luồng dữ liệu thực tế: dữ liệu đi từ đâu, thuộc loại nào, ai truy cập, lưu trên hệ thống nào, có nhà cung cấp nào tham gia, dữ liệu được giữ trong bao lâu, nguy cơ nào có thể xảy ra và biện pháp kiểm soát ra sao.
Hồ sơ được lập một lần trong suốt thời gian hoạt động nhưng phải được cập nhật khi phát sinh thay đổi theo quy định. Trong một số trường hợp như phát sinh mục đích xử lý mới, phát sinh hoặc thay đổi bên tham gia xử lý, hồ sơ phải được cập nhật định kỳ 06 tháng kể từ lần đầu nộp. Đối với một số thay đổi quan trọng khác theo quy định, doanh nghiệp phải thực hiện cập nhật trong thời hạn 10 ngày kể từ khi phát sinh sự kiện cần cập nhật. Vì vậy, doanh nghiệp nên thiết lập cơ chế theo dõi thay đổi để xác định đúng thời điểm và phạm vi cập nhật hồ sơ.
4.2. Chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân
Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận hoặc nhân sự đủ điều kiện năng lực để bảo vệ dữ liệu cá nhân, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ phù hợp. Việc chỉ định cần được thể hiện bằng văn bản chính thức, không nên dừng ở việc giao việc không chính thức cho nhân sự IT hoặc pháp chế.
Trong một doanh nghiệp FDI, mô hình phù hợp thường là nhóm liên chức năng gồm pháp chế hoặc compliance, IT/an ninh thông tin, nhân sự, marketing hoặc kinh doanh và đầu mối quản trị dữ liệu của tập đoàn. Nhân sự phụ trách tại Việt Nam cần đủ thẩm quyền để yêu cầu các bộ phận cung cấp thông tin, tham gia đánh giá nhà cung cấp và kích hoạt quy trình ứng phó sự cố.
4.3. Quản lý hợp đồng với nhà cung cấp và đơn vị trong tập đoàn
Việc ký hợp đồng dịch vụ với nhà cung cấp phần mềm, tổng đài, HR, cloud hoặc marketing không làm doanh nghiệp FDI tự động hết trách nhiệm đối với dữ liệu đã giao. Bên xử lý chỉ được tiếp nhận và xử lý dữ liệu theo thỏa thuận hoặc hợp đồng với bên kiểm soát hoặc bên kiểm soát, xử lý dữ liệu.
Do đó, hợp đồng hoặc phụ lục xử lý dữ liệu cần làm rõ tối thiểu: mục đích xử lý, nhóm dữ liệu và chủ thể dữ liệu, phạm vi chỉ dẫn, biện pháp bảo vệ, cơ chế sử dụng nhà thầu phụ, hỗ trợ thực hiện quyền của chủ thể dữ liệu, thời hạn lưu trữ, xóa hoặc hoàn trả dữ liệu, thông báo sự cố và cơ chế kiểm tra tuân thủ.
Đặc biệt, một thỏa thuận nội bộ tập đoàn theo chuẩn toàn cầu có thể cần bổ sung yêu cầu riêng cho Việt Nam, thay vì được áp dụng nguyên trạng.
5. Chuyển dữ liệu cá nhân xuyên biên giới: điểm dễ bị bỏ sót trong mô hình tập đoàn
Luật coi là chuyển dữ liệu cá nhân xuyên biên giới không chỉ việc gửi tệp dữ liệu ra nước ngoài. Nghĩa vụ có thể phát sinh khi dữ liệu đang lưu tại Việt Nam được chuyển đến hệ thống đặt ngoài lãnh thổ Việt Nam; khi dữ liệu được cung cấp cho tổ chức, cá nhân nước ngoài; hoặc khi tổ chức tại Việt Nam hay nước ngoài sử dụng nền tảng ở nước ngoài để xử lý dữ liệu được thu thập tại Việt Nam.
Điều này tạo rủi ro đáng kể với mô hình quản trị tập trung của tập đoàn. Việc một nhân sự tại trụ sở khu vực truy cập CRM, dashboard nhân sự hay nền tảng phân tích đặt tại nước ngoài có thể là một phần của hoạt động chuyển dữ liệu xuyên biên giới cần được đánh giá.
Về nguyên tắc, tổ chức, cá nhân thực hiện chuyển dữ liệu xuyên biên giới phải lập và gửi hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, trừ trường hợp được miễn theo luật và nghị định hướng dẫn. Hồ sơ này cũng cần được cập nhật theo cơ chế áp dụng đối với hồ sơ đánh giá tác động.
Pháp luật có một số ngoại lệ, trong đó có trường hợp tổ chức lưu trữ dữ liệu cá nhân của người lao động trên dịch vụ điện toán đám mây; Nghị định số 356/2025/NĐ-CP cũng quy định thêm một số tình huống như quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo pháp luật. Tuy nhiên, doanh nghiệp không nên suy rộng ngoại lệ thành việc toàn bộ dữ liệu nhân sự hoặc mọi nền tảng cloud của tập đoàn đều được miễn. Cần kiểm tra đúng cấu trúc dịch vụ, loại dữ liệu, mục đích sử dụng, quy chế lao động và các luồng truy cập thực tế.
Trước khi triển khai hệ thống toàn cầu mới, doanh nghiệp nên yêu cầu nhóm dự án trả lời bằng văn bản:
- Dữ liệu có được thu thập tại Việt Nam không?
- Máy chủ, nền tảng, đội hỗ trợ và nhà thầu phụ đặt ở đâu?
- Công ty mẹ hoặc đơn vị liên kết được cấp quyền truy cập nào?
- Dữ liệu có bao gồm thông tin nhạy cảm, sinh trắc học, sức khỏe, tài chính hoặc hành vi trực tuyến không?
- Việc chuyển dữ liệu có thuộc trường hợp phải lập hồ sơ đánh giá tác động hay có căn cứ miễn trừ cụ thể?
6. Quản trị sự cố và rủi ro xử phạt
Doanh nghiệp nên coi sự cố dữ liệu là một vấn đề quản trị khủng hoảng, không chỉ là sự cố kỹ thuật. Vi phạm có thể bắt nguồn từ tấn công mạng, gửi nhầm tệp, cấu hình quyền truy cập sai, mất thiết bị, nhân viên tải dữ liệu về máy cá nhân, nhà cung cấp bị xâm nhập hoặc sử dụng dữ liệu sai mục đích.
Khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, bên kiểm soát, bên kiểm soát và xử lý hoặc bên thứ ba phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện. Bên xử lý dữ liệu phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu.
Thời hạn này đòi hỏi doanh nghiệp phải có sẵn quy trình: ai tiếp nhận cảnh báo, ai đánh giá mức độ ảnh hưởng, ai có quyền phê duyệt thông báo, ai làm việc với công ty mẹ và nhà cung cấp, cũng như cách lưu giữ chứng cứ và biên bản sự cố.
Rủi ro không chỉ dừng ở chi phí khắc phục và tổn hại uy tín. Luật quy định mức phạt tiền tối đa đối với tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới có thể lên đến 5% doanh thu của năm trước liền kề. Trường hợp tổ chức không có doanh thu của năm trước liền kề hoặc mức tính theo 5% doanh thu thấp hơn mức phạt tiền tối đa 3 tỷ đồng thì áp dụng mức tối đa 3 tỷ đồng. Đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa là 3 tỷ đồng. Nghị định số 330/2026/NĐ-CP quy định cụ thể hơn về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
7. Những thời điểm doanh nghiệp FDI nên rà soát ngay
| Sự kiện kinh doanh | Nội dung cần kiểm tra trước khi thực hiện | Bộ phận nên tham gia |
|---|---|---|
| Triển khai ERP, HRIS hoặc CRM toàn cầu | Luồng dữ liệu ra nước ngoài, vai trò các công ty trong tập đoàn, hồ sơ đánh giá tác động, quyền truy cập và hợp đồng nội bộ | IT, HR, pháp chế, compliance, quản trị tập đoàn |
| Lắp camera AI hoặc chấm công sinh trắc học | Dữ liệu nhạy cảm, thông báo và căn cứ xử lý, biện pháp bảo mật vật lý và phân quyền truy cập | HR, hành chính, an ninh, IT, pháp chế |
| Thuê đơn vị payroll, tuyển dụng hoặc call center | Vai trò xử lý, phụ lục xử lý dữ liệu, quyền dùng nhà thầu phụ, quy trình thông báo sự cố | Mua sắm, HR, pháp chế, IT |
| Triển khai quảng cáo số hoặc ứng dụng khách hàng | Sự đồng ý theo từng mục đích, cookie hoặc dữ liệu hành vi, chia sẻ dữ liệu cho nền tảng quảng cáo | Marketing, kinh doanh, IT, pháp chế |
| Mua bán, sáp nhập hoặc tái cấu trúc | Phạm vi chia sẻ dữ liệu trong thẩm định, căn cứ chuyển giao, kiểm soát truy cập data room và kế hoạch tiếp tục xử lý sau giao dịch | Ban điều hành, M&A, pháp chế, IT, HR |
8. Lộ trình thực hành để đưa tuân thủ vào vận hành
Một chương trình bảo vệ dữ liệu cá nhân hiệu quả không nhất thiết phải bắt đầu bằng dự án công nghệ lớn. Doanh nghiệp nên triển khai theo thứ tự ưu tiên:
- Lập bản đồ dữ liệu: xác định các hệ thống, loại dữ liệu, chủ thể dữ liệu, nơi lưu trữ, người truy cập và nhà cung cấp liên quan.
- Phân loại mức độ rủi ro: ưu tiên dữ liệu nhạy cảm, dữ liệu nhân sự, dữ liệu khách hàng quy mô lớn, dữ liệu sinh trắc học, vị trí và dữ liệu chuyển ra nước ngoài.
- Phân vai pháp lý: xác định bên kiểm soát, bên xử lý, bên kiểm soát và xử lý hoặc bên thứ ba cho từng luồng dữ liệu.
- Khắc phục tài liệu nền: rà soát thông báo xử lý dữ liệu, cơ chế lấy và lưu bằng chứng đồng ý, chính sách nội bộ, quy trình quyền của chủ thể dữ liệu và hợp đồng với nhà cung cấp.
- Hoàn thiện nghĩa vụ hồ sơ: đánh giá yêu cầu về hồ sơ đánh giá tác động xử lý dữ liệu, hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và việc cập nhật hồ sơ.
- Thiết lập ứng phó sự cố: xây dựng playbook, phân công người phụ trách, yêu cầu thông báo từ nhà cung cấp và diễn tập định kỳ.
- Đào tạo theo vị trí công việc: đội HR, sales, marketing, IT, bảo vệ, chăm sóc khách hàng và quản lý cần hiểu rủi ro khác nhau.
Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp có thể được lựa chọn chưa thực hiện một số nghĩa vụ về hồ sơ đánh giá tác động, cập nhật hồ sơ và chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân trong 5 năm kể từ ngày Luật có hiệu lực, nhưng không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc đã đạt ngưỡng 100.000 chủ thể dữ liệu cá nhân theo kết quả tích lũy tổng lượng dữ liệu đã xử lý. Quy chế này không phải là miễn trừ chung khỏi các nghĩa vụ bảo vệ dữ liệu cá nhân khác; doanh nghiệp FDI cần đánh giá tình trạng thực tế thay vì chỉ dựa trên quy mô vốn hoặc số lượng nhân sự.
Tóm tắt
Bảo vệ dữ liệu cá nhân tại Việt Nam cần được nhìn như một phần của quản trị doanh nghiệp, quản trị nhà cung cấp và quản trị rủi ro xuyên biên giới. Với doanh nghiệp FDI, các điểm cần ưu tiên là lập bản đồ dữ liệu, xác định vai trò giữa công ty Việt Nam và tập đoàn, kiểm soát sự đồng ý, rà soát hệ thống cloud hoặc CRM ở nước ngoài, hoàn thiện hồ sơ đánh giá tác động và chuẩn bị quy trình xử lý sự cố trong thời hạn ngắn. Rà soát trước khi triển khai sẽ ít tốn kém và ít gián đoạn hơn nhiều so với khắc phục sau khi hệ thống đã đi vào vận hành.
Câu hỏi thường gặp
1) Doanh nghiệp FDI chỉ xử lý dữ liệu nhân viên thì có phải tuân thủ không?
Có. Dữ liệu nhân sự như hồ sơ tuyển dụng, thông tin lương thưởng, căn cước, tài khoản ngân hàng, dữ liệu chấm công, hình ảnh camera hoặc dữ liệu sinh trắc học đều có thể là dữ liệu cá nhân. Nếu dữ liệu được đưa lên hệ thống tập đoàn hoặc cloud ở nước ngoài, doanh nghiệp cần đánh giá thêm nghĩa vụ về chuyển dữ liệu cá nhân xuyên biên giới.
2) Có phải xin lại sự đồng ý đã thu thập theo Nghị định số 13/2023/NĐ-CP không?
Không nhất thiết. Hoạt động xử lý đang thực hiện mà đã có sự đồng ý hoặc thỏa thuận theo Nghị định số 13/2023/NĐ-CP trước ngày Luật Bảo vệ dữ liệu cá nhân có hiệu lực có thể tiếp tục thực hiện mà không phải xin lại sự đồng ý hoặc thỏa thuận lại. Tuy nhiên, doanh nghiệp vẫn nên rà soát xem mục đích, loại dữ liệu, bên nhận dữ liệu và cách xử lý hiện tại có thay đổi hay không.
3) Dùng Microsoft 365, Google Workspace hoặc cloud của tập đoàn có mặc nhiên là chuyển dữ liệu cá nhân xuyên biên giới không?
Không thể kết luận chỉ dựa trên tên nhà cung cấp. Doanh nghiệp cần kiểm tra nơi đặt hệ thống, nơi lưu trữ bản sao lưu, quyền truy cập của đội hỗ trợ ở nước ngoài, loại dữ liệu được đưa lên nền tảng và mục đích sử dụng. Việc dùng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam có thể thuộc trường hợp chuyển dữ liệu cá nhân xuyên biên giới.
4) Nhà cung cấp dịch vụ có chịu trách nhiệm thay cho doanh nghiệp không?
Không. Nhà cung cấp có trách nhiệm theo vai trò của mình, nhưng doanh nghiệp quyết định mục đích và phương tiện xử lý vẫn cần thực hiện trách nhiệm của bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu. Hợp đồng cần phân định rõ trách nhiệm, nhưng hợp đồng không thay thế nghĩa vụ tuân thủ pháp luật.
5) Doanh nghiệp có phải bổ nhiệm DPO riêng không?
Pháp luật yêu cầu cơ quan, tổ chức chỉ định bộ phận hoặc nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ phù hợp. Tùy quy mô và mức độ rủi ro, doanh nghiệp có thể bố trí nhân sự chuyên trách, kiêm nhiệm có đủ năng lực hoặc sử dụng dịch vụ bên ngoài; việc chỉ định nên được lập thành văn bản.
6) Khi nào phải thông báo sự cố trong 72 giờ?
Khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, chủ thể có trách nhiệm phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ thời điểm phát hiện. Việc đánh giá tình huống nên được thực hiện ngay với sự tham gia của IT, pháp chế và quản lý có thẩm quyền.
Kết luận
Đối với doanh nghiệp FDI, tuân thủ về bảo vệ dữ liệu cá nhân cần được tích hợp vào quyết định triển khai công nghệ, quản lý nhân sự, lựa chọn nhà cung cấp và vận hành hệ thống tập đoàn. Trọng tâm không chỉ là có chính sách bảo mật, mà là chứng minh được doanh nghiệp hiểu, kiểm soát và quản trị các luồng dữ liệu thực tế.
TT Collab có thể hỗ trợ
TT Collab có thể hỗ trợ doanh nghiệp rà soát khoảng cách tuân thủ, lập bản đồ dữ liệu, xác định vai trò xử lý giữa công ty Việt Nam và tập đoàn, đánh giá hoạt động chuyển dữ liệu xuyên biên giới, xây dựng hồ sơ đánh giá tác động, rà soát hợp đồng với nhà cung cấp và thiết kế quy trình nội bộ về quyền của chủ thể dữ liệu cũng như ứng phó sự cố.
Căn cứ pháp lý tham khảo
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
- Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
- Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Lưu ý: Nội dung bài viết chỉ nhằm mục đích cung cấp thông tin chung và không thay thế tư vấn pháp lý, thuế hoặc đầu tư cho từng trường hợp cụ thể. Quy định và cách áp dụng có thể thay đổi theo thời điểm, địa phương, ngành nghề và tình trạng của doanh nghiệp.
