Chuyển dữ liệu cá nhân ra nước ngoài

Chuyển dữ liệu cá nhân ra nước ngoài là việc đưa dữ liệu cá nhân đang lưu trữ hoặc được thu thập tại Việt Nam ra khỏi lãnh thổ: lưu lên máy chủ, điện toán đám mây ở nước ngoài, gửi cho tổ chức, cá nhân ở nước ngoài, hoặc xử lý trên nền tảng đặt ngoài Việt Nam. Luật 2025 gọi là chuyển dữ liệu cá nhân xuyên biên giới.

Định nghĩa theo văn bản pháp luật

1. Các trường hợp chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

a) Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam;

b) Cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài;

c) Cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam.

Khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026)

Tên gọi "chuyển dữ liệu cá nhân ra nước ngoài" là của Nghị định 13/2023/NĐ-CP (hết hiệu lực từ 01/01/2026).

Giải nghĩa dễ hiểu

Ba tình huống thường gặp

Phần mềm quản lý khách hàng, thư điện tử doanh nghiệp đặt máy chủ ở nước ngoài; công ty con gửi dữ liệu khách hàng về công ty mẹ ở Hàn Quốc; dùng dịch vụ phân tích, quảng cáo, trí tuệ nhân tạo đặt ngoài Việt Nam để xử lý dữ liệu thu thập trong nước.

Nghĩa vụ cốt lõi

1. Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong 60 ngày kể từ ngày đầu tiên chuyển (khoản 2 Điều 20).
2. Hồ sơ lập 01 lần cho suốt thời gian hoạt động, cập nhật định kỳ 06 tháng khi có thay đổi, cập nhật ngay khi tổ chức lại, giải thể hoặc đổi ngành nghề liên quan (Điều 22).
3. Hồ sơ gồm báo cáo theo Mẫu số 09; bản sao hợp đồng chuyển giao ràng buộc trách nhiệm giữa bên chuyển và bên nhận; chính sách, quy trình bảo vệ dữ liệu. Báo cáo phải có sơ đồ luồng dữ liệu và đánh giá mức độ bảo vệ của bên nhận (Điều 18 Nghị định 356/2025/NĐ-CP).
4. Chịu kiểm tra định kỳ không quá 01 lần mỗi năm, hoặc đột xuất khi có vi phạm, sự cố; bị yêu cầu ngừng chuyển nếu dữ liệu được dùng gây tổn hại quốc phòng, an ninh quốc gia (khoản 4, 5 Điều 20).

Trường hợp không phải đánh giá tác động

Luật miễn cho: cơ quan nhà nước có thẩm quyền; tổ chức lưu dữ liệu người lao động của mình trên điện toán đám mây; chủ thể tự chuyển dữ liệu của mình (khoản 6 Điều 20). Nghị định 356 bổ sung: hoạt động báo chí; dữ liệu đã công khai theo quy định; tình huống khẩn cấp để bảo vệ tính mạng, sức khỏe, tài sản; quản lý nhân sự xuyên biên giới theo nội quy, quy chế lao động, thỏa ước lao động tập thể; cung cấp dữ liệu để ký hợp đồng hoặc làm thủ tục vận chuyển, hậu cần, chuyển tiền, thanh toán, khách sạn, thị thực, học bổng (khoản 3 Điều 17).

Phân biệt chuyển dữ liệu ra nước ngoài với chuyển giao dữ liệu trong nước

Ví dụ tình huống

Công ty TNHH Du lịch Sen Vàng (phường Hòa Cường, TP. Đà Nẵng), 25 lao động, từ ngày 01/9/2026 chuyển toàn bộ dữ liệu khoảng 18.000 khách hàng sang một phần mềm quản lý đặt máy chủ ở Singapore. Với đoàn đi Nhật Bản, công ty gửi họ tên, số hộ chiếu cho khách sạn và đối tác thị thực. Giám đốc cho rằng công ty là doanh nghiệp nhỏ nên được miễn mọi hồ sơ.

Kết luận: gửi thông tin cho khách sạn, đối tác thị thực ở Nhật thuộc trường hợp không phải đánh giá tác động (điểm đ khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP). Nhưng việc đưa dữ liệu khách hàng lên máy chủ ở Singapore là chuyển xuyên biên giới theo điểm a khoản 1 Điều 20 Luật. Khoản 2, 3 Điều 38 chỉ cho doanh nghiệp nhỏ, siêu nhỏ lựa chọn không thực hiện Điều 21, 22 và khoản 2 Điều 33 — không nhắc Điều 20. Vì vậy Sen Vàng phải lập hồ sơ và nộp trong 60 ngày từ ngày đầu chuyển dữ liệu, tức chậm nhất ngày 31/10/2026. Không lập, không nộp đúng hạn, công ty bị phạt 30–50 triệu đồng và buộc hoàn thiện hồ sơ, có thể bị buộc ngừng chuyển cho tới khi xong (khoản 1, 6 Điều 56 Nghị định 330/2026/NĐ-CP).

Áp dụng trong thực tế và ngoại lệ

• Phạt theo doanh thu: không lập hồ sơ, khai sai luồng dữ liệu dẫn tới lộ dữ liệu của từ 10.000 công dân trở lên, hoặc tiếp tục chuyển sau quyết định ngừng, tổ chức bị phạt 1–5% doanh thu năm trước tại Việt Nam tùy số người bị lộ; nếu tính ra thấp hơn 03 tỷ đồng hoặc không có doanh thu thì phạt 200 triệu – 03 tỷ đồng, kèm đình chỉ chuyển dữ liệu 06–12 tháng (khoản 3–5 Điều 56 Nghị định 330).
• Thiếu hợp đồng hoặc thiếu đồng ý: không có văn bản ràng buộc trách nhiệm với bên nhận, không thông báo cho khách việc dữ liệu được chuyển ra nước ngoài bị phạt 50–100 triệu đồng (khoản 2 Điều 56). Cá nhân bị phạt bằng một nửa.
• Yêu cầu lưu trữ tại Việt Nam: doanh nghiệp cung cấp dịch vụ viễn thông, Internet, dịch vụ gia tăng trên không gian mạng tại Việt Nam có thu thập dữ liệu người dùng phải lưu dữ liệu đó tại Việt Nam theo thời gian Chính phủ quy định; doanh nghiệp nước ngoài phải đặt chi nhánh hoặc văn phòng đại diện (khoản 3 Điều 25 Luật An ninh mạng 2025).

Những chỗ hay hiểu sai

• Sai: không gửi cho ai ở nước ngoài thì không phải "chuyển ra nước ngoài". — Đúng: chỉ cần lưu trên máy chủ, đám mây đặt ở nước ngoài là đã thuộc diện.
• Sai: dữ liệu đã mã hóa thì không còn là dữ liệu cá nhân nên chuyển tự do. — Đúng: dữ liệu cá nhân sau khi mã hóa vẫn là dữ liệu cá nhân (khoản 1 Điều 12 Luật); chỉ dữ liệu đã khử nhận dạng mới ra khỏi phạm vi.

Thuật ngữ tiếng Anh tương đương

Thuật ngữ của luật mới dịch là cross-border transfer of personal data; cách gọi cũ tương ứng transfer of personal data overseas hoặc offshore transfer. Hồ sơ đánh giá tác động chuyển dữ liệu có thể dịch cross-border transfer impact assessment; khác thực tiễn châu Âu, Việt Nam buộc nộp hồ sơ này cho cơ quan nhà nước. Yêu cầu lưu trữ trong nước gọi là data localization.

Thuật ngữ liên quan

• Bảo vệ dữ liệu cá nhân — khung nghĩa vụ chung
• Bên xử lý dữ liệu cá nhân — nhà cung cấp đám mây, phần mềm ở nước ngoài thường đóng vai trò này
• Bên kiểm soát dữ liệu cá nhân — bên chịu trách nhiệm lập hồ sơ
• Sự đồng ý của chủ thể dữ liệu — cần nêu rõ mục đích chuyển ra nước ngoài
• Dữ liệu cá nhân nhạy cảm — đòi biện pháp bảo mật cao hơn khi chuyển

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026) — Điều 8, 12, 20, 22, 38, 39.
• Nghị định 356/2025/NĐ-CP (hiệu lực 01/01/2026) — Điều 17, 18, 20.
• Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026) — Điều 7, 56.
• Luật An ninh mạng số 116/2025/QH15 (hiệu lực 01/7/2026) — khoản 3 Điều 25.

Hỏi đáp nhanh

Dùng Gmail, Google Drive, phần mềm kế toán đặt máy chủ ở nước ngoài có bị coi là chuyển dữ liệu ra nước ngoài?

Nếu trên đó lưu dữ liệu cá nhân thu thập tại Việt Nam (khách hàng, đối tác) thì thuộc trường hợp lưu trữ trên hệ thống hoặc dịch vụ điện toán đám mây ở nước ngoài (điểm a khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP). Riêng việc lưu dữ liệu của chính người lao động của mình trên điện toán đám mây được miễn đánh giá tác động (điểm b khoản 6 Điều 20 Luật).

Hồ sơ đã nộp theo Nghị định 13/2023 có phải làm lại không?

Không. Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 tiếp tục được sử dụng; chỉ việc cập nhật sau đó thực hiện theo luật mới (khoản 2 Điều 39 Luật Bảo vệ dữ liệu cá nhân).

Có phải chờ cơ quan nhà nước duyệt rồi mới được chuyển không?

Không phải xin phép trước. Hồ sơ nộp trong 60 ngày kể từ ngày đầu tiên chuyển; cơ quan chuyên trách trả kết quả đạt hoặc không đạt trong 15 ngày và có thể yêu cầu hoàn thiện trong 30 ngày (khoản 4–6 Điều 18 Nghị định 356). Tuy vậy, hồ sơ phải được lập trước hoặc trong lúc chuyển — chuyển xong mới lập là đã vi phạm.