Nội dung
TIA không chỉ dành cho doanh nghiệp lớn
Nhiều doanh nghiệp vừa và nhỏ cho rằng hồ sơ TIA — đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (chuyển DLCN xuyên biên giới) – là nghĩa vụ của các tập đoàn đa quốc gia hoặc doanh nghiệp có hoạt động xuất khẩu rõ ràng. Thực tế không phải vậy.
Theo Luật Bảo vệ dữ liệu cá nhân 2025 (Luật BVDLCN 2025) và Nghị định 356/2025/NĐ-CP, chuyển DLCN xuyên biên giới được định nghĩa rất rộng, bao gồm cả việc sử dụng nền tảng hoặc dịch vụ đặt máy chủ ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam. Điều này đồng nghĩa với việc rất nhiều doanh nghiệp đang phát sinh nghĩa vụ TIA mà không hề hay biết — chỉ đơn giản vì đang dùng một phần mềm SaaS hay dịch vụ cloud quốc tế trong hoạt động hàng ngày.
Xem thêm: Hồ sơ TIA và những lưu ý khi chuyển dữ liệu cá nhân xuyên biên giới
Định nghĩa pháp lý: Thế nào là chuyển DLCN xuyên biên giới?
Theo Luật BVDLCN 2025, chuyển DLCN xuyên biên giới bao gồm ba trường hợp: chuyển dữ liệu đang lưu trữ tại Việt Nam đến hệ thống ngoài lãnh thổ; cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cho tổ chức hoặc cá nhân nước ngoài; và sử dụng nền tảng ngoài lãnh thổ để xử lý DLCN thu thập tại Việt Nam.
Trường hợp thứ ba là nguồn gốc của phần lớn sự nhầm lẫn hiện nay. Doanh nghiệp không cần phải “gửi file” hay “xuất dữ liệu” một cách chủ động — chỉ cần đưa dữ liệu cá nhân vào một hệ thống có máy chủ đặt ở nước ngoài là đã phát sinh nghĩa vụ.
4 tình huống phổ biến bắt buộc phải lập hồ sơ TIA
Tình huống 1 — Sử dụng dịch vụ cloud quốc tế (AWS, GCP, Azure và tương tự)
Đây là tình huống phổ biến nhất và cũng hay bị bỏ qua nhất. Khi doanh nghiệp lưu trữ hoặc xử lý dữ liệu cá nhân của khách hàng, nhân viên hay đối tác trên các nền tảng như Amazon Web Services, Google Cloud Platform, Microsoft Azure, hay bất kỳ dịch vụ cloud nào có máy chủ đặt ngoài Việt Nam, hoạt động đó được xem là chuyển DLCN xuyên biên giới.
Điều này áp dụng ngay cả khi doanh nghiệp không chủ động “gửi” dữ liệu ra nước ngoài — chỉ cần hệ thống lưu trữ hoặc xử lý dữ liệu đặt ngoài lãnh thổ là đủ điều kiện phát sinh nghĩa vụ TIA. Doanh nghiệp cần kiểm tra kỹ vùng dữ liệu (data region) của từng dịch vụ cloud đang sử dụng để xác định chính xác máy chủ đặt ở đâu.
Tình huống 2 — Chia sẻ dữ liệu với công ty mẹ hoặc đối tác nước ngoài
Các doanh nghiệp có công ty mẹ, công ty liên kết hoặc đối tác chiến lược ở nước ngoài thường xuyên chia sẻ dữ liệu nhân sự, báo cáo kinh doanh, thông tin khách hàng hay dữ liệu vận hành phục vụ mục đích quản lý tập đoàn. Toàn bộ các luồng dữ liệu này, nếu có chứa thông tin cá nhân của người ở Việt Nam, đều thuộc diện phải lập hồ sơ TIA.
Một lưu ý quan trọng: mỗi pháp nhân — công ty mẹ và từng công ty con — phải lập hồ sơ TIA độc lập, không thể gộp chung. Doanh nghiệp Việt Nam là thành viên của một tập đoàn nước ngoài vẫn phải tự lập và nộp hồ sơ riêng cho phần dữ liệu mình chuyển đi.
Tình huống 3 — Outsource nhân sự hoặc phát triển phần mềm ra nước ngoài
Doanh nghiệp thuê đội ngũ lập trình viên, thiết kế, kiểm thử hay hỗ trợ khách hàng ở nước ngoài thường phải cấp cho họ quyền truy cập vào hệ thống nội bộ — nơi lưu trữ dữ liệu cá nhân của khách hàng hoặc người dùng. Đây là một hình thức chuyển DLCN xuyên biên giới, cho dù dữ liệu không được “sao chép” hay “gửi đi” theo nghĩa thông thường.
Tương tự, khi thuê ngoài dịch vụ tuyển dụng quốc tế, hồ sơ ứng viên — vốn chứa nhiều dữ liệu cá nhân nhạy cảm — có thể được xử lý bởi bên thứ ba ở nước ngoài, từ đó phát sinh nghĩa vụ TIA.
Tình huống 4 — Tích hợp phần mềm SaaS quốc tế vào vận hành
Các công cụ SaaS phổ biến như HubSpot, Salesforce, Workday, Zendesk, Slack, Notion, hay hàng trăm phần mềm quản lý doanh nghiệp khác đều có máy chủ đặt ngoài Việt Nam. Khi doanh nghiệp đưa dữ liệu cá nhân của khách hàng hoặc nhân viên vào các hệ thống này — dù chỉ để gửi email marketing, quản lý ticket hỗ trợ hay theo dõi hiệu suất nhân viên — nghĩa vụ TIA đã phát sinh.
Đây là tình huống mà hầu hết doanh nghiệp vừa và nhỏ đang gặp phải mà chưa nhận ra, bởi việc dùng SaaS quốc tế đã trở thành thói quen vận hành bình thường, không ai nghĩ đến hệ quả pháp lý đi kèm.
Thời hạn bắt buộc: Hồ sơ phải luôn có sẵn tại doanh nghiệp và nộp 01 bản chính về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày bắt đầu chuyển dữ liệu.
Miễn trừ lập Hồ sơ Đánh giá tác động chuyển dữ liệu xuyên biên giới (TIA)
Tổ chức, cá nhân khi chuyển dữ liệu ra nước ngoài sẽ không phải lập hồ sơ TIA nếu rơi vào các trường hợp ngoại lệ sau đây:
– Việc chuyển dữ liệu do cơ quan nhà nước có thẩm quyền thực hiện.
– Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc nội bộ đơn vị mình trên dịch vụ điện toán đám mây.
– Chủ thể dữ liệu tự chuyển dữ liệu của chính mình ra nước ngoài.
– Phục vụ hoạt động báo chí, truyền thông theo quy định pháp luật.
– Chuyển dữ liệu cá nhân xuyên biên giới đối với các dữ liệu đã được công khai hợp pháp.
– Trong trường hợp khẩn cấp cần cung cấp dữ liệu ra nước ngoài để bảo vệ tính mạng, sức khỏe, an toàn tài sản của cá nhân hoặc thực hiện nghĩa vụ theo luật định.
– Chuyển dữ liệu để quản lý nhân sự xuyên biên giới tuân thủ theo quy tắc, quy chế và thỏa ước lao động tập thể.
– Cung cấp dữ liệu nhằm ký kết hợp đồng hoặc thực hiện các thủ tục về: vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, đặt khách sạn, xin thị thực (visa), hoặc xin học bổng.
Checklist tự kiểm tra nhanh việc lập hồ sơ TIA
Để giúp doanh nghiệp tự rà soát xem mình đã đủ điều kiện và chuẩn bị đúng hồ sơ TIA hay chưa, dưới đây là Checklist dựa trên yêu cầu của Mẫu số 09 và Điều 18 Nghị định 356/2025/NĐ-CP:
Phần 1: Sàng lọc nghĩa vụ bắt buộc (Do/Don’t)
[ ] Doanh nghiệp có đẩy dữ liệu cá nhân thu thập tại Việt Nam ra server/hệ thống đặt tại nước ngoài không? (Nếu Có -> Chuyển bước tiếp theo).
[ ] Hoạt động này có thuộc trường hợp được miễn trừ không? \Hoạt động của doanh nghiệp có rơi vào các trường hợp miễn trừ lập hồ sơ TIA sau không?
– Lưu trữ dữ liệu cá nhân của người lao động thuộc nội bộ đơn vị mình trên dịch vụ điện toán đám mây.
– Chuyển dữ liệu quản lý nhân sự xuyên biên giới quy định trong thỏa ước lao động tập thể hoặc nội quy lao động.
– Chuyển dữ liệu phục vụ thanh toán, chuyển tiền quốc tế, đặt phòng khách sạn, vé máy bay, xin visa, học bổng hoặc ký kết hợp đồng vận chuyển.
– Chuyển dữ liệu phục vụ báo chí, truyền thông hoặc trong tình huống khẩn cấp bảo vệ tính mạng.
– Nếu thuộc diện miễn trừ: Doanh nghiệp không cần lập hồ sơ TIA cho hoạt động đó.
– Nếu không thuộc diện miễn trừ: Doanh nghiệp bắt buộc phải lập hồ sơ TIA. Chuyển sang Phần 2.).
Phần 2: Checklist Thành phần Hồ sơ TIA (Tài liệu cần có)
Nếu bắt buộc phải làm TIA, bạn cần chuẩn bị đủ các đầu mục sau:
[ ] Văn bản thông báo gửi hồ sơ (Mẫu 01a đối với tổ chức, Mẫu 01b đối với cá nhân).
[ ] Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu 09): Đã điền đầy đủ thông tin các bên liên quan.
[ ] Thông tin đầu mối bảo vệ dữ liệu (DPO): Chi tiết liên lạc của nhân sự/bộ phận phụ trách bảo vệ dữ liệu cá nhân của cả bên chuyển dữ liệu và bên nhận dữ liệu.
[ ] Văn bản ràng buộc trách nhiệm: Bản sao hợp đồng hoặc thỏa thuận chuyển giao dữ liệu cá nhân thể hiện rõ nghĩa vụ bảo mật giữa bên chuyển (tại Việt Nam) và bên nhận (ở nước ngoài).
[ ] Tài liệu chính sách nội bộ: Các quy trình, biểu mẫu bảo vệ dữ liệu cá nhân của tổ chức (chính sách lưu trữ, xóa hủy dữ liệu,…).
Phần 3: Checklist Nội dung Đánh giá (Core Assessment)
Trong Báo cáo TIA, doanh nghiệp phải chứng minh được các yếu tố sau:
[ ] Cơ chế xin sư đồng ý của người dùng: Đã mô tả rõ cơ chế xin sự đồng ý của khách hàng/người dùng trước khi mang dữ liệu của họ ra nước ngoài.
[ ] Sơ đồ luồng dữ liệu: Đã có sơ đồ mô tả chi tiết dòng chảy dữ liệu từ VN ra nước ngoài, hệ thống nào lưu trữ, hệ thống nào xử lý.
[ ] Đánh giá đối tác nước ngoài (Bên nhận/Cloud Provider):
– Bên nhận có biện pháp bảo mật nào? Có đáp ứng tiêu chuẩn pháp luật Việt Nam không?.
– Bên nhận có quy trình chuyển tiếp dữ liệu cho một bên thứ ba (Sub-processor) nào khác không?.
[ ] Đánh giá rủi ro & Phương án giảm thiểu: Đã liệt kê các rủi ro (lộ lọt, hacker, gián đoạn) và phương án bảo vệ (như mã hóa dữ liệu ở trạng thái nghỉ và khi truyền dẫn trên Cloud, giới hạn phân quyền truy cập)
Dịch vụ Tư vấn tuân thủ Bảo vệ dữ liệu cá nhân
Để giải quyết toàn diện các rủi ro pháp lý trong hoạt động chuyển dữ liệu cá nhân ra nước ngoài, chúng tôi cung cấp dịch vụ xây dựng hồ sơ TIA theo lộ trình chuẩn hóa, bám sát các quy định hiện hành và nhu cầu thực tế của từng doanh nghiệp.
Điểm khởi đầu của lộ trình là rà soát toàn diện các luồng dữ liệu hiện tại — bao gồm cách thức lưu trữ, xử lý và chuyển giao thông tin ra nước ngoài — để xác định các khoảng trống pháp lý so với yêu cầu của Luật BVDLCN 2025 và Nghị định 356. Song song với đó, chúng tôi tư vấn xây dựng hệ thống tài liệu nội bộ, quy trình vận hành và chính sách bảo mật phù hợp nhằm kiểm soát chặt chẽ hoạt động chuyển dữ liệu xuyên biên giới.
Về thủ tục hành chính, đội ngũ chuyên gia trực tiếp tư vấn và xây dựng Báo cáo đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Mẫu số 09 — tài liệu bắt buộc phải nộp cho cơ quan chức năng. Bên cạnh hồ sơ pháp lý, dịch vụ còn đi sâu vào lựa chọn các giải pháp kỹ thuật và công nghệ mã hóa, bảo mật đường truyền phù hợp với nguồn lực thực tế của tổ chức, đảm bảo dữ liệu được bảo vệ hiệu quả ngay cả khi ra khỏi lãnh thổ Việt Nam.
Để hệ thống vận hành bền vững sau khi triển khai, lộ trình kết thúc bằng chương trình đào tạo chuyên sâu 8 giờ dành cho bộ phận DPO, tập trung nâng cao nhận thức, năng lực giám sát và khả năng phòng ngừa rủi ro trong quản lý luồng dữ liệu quốc tế.
Thời hạn nộp hồ sơ là 60 ngày kể từ ngày đầu tiên tiến hành chuyển dữ liệu. Đối với hoạt động chuyển dữ liệu đã diễn ra từ trước ngày Luật có hiệu lực: Nếu doanh nghiệp đã nộp hồ sơ theo Nghị định 13/2023/NĐ-CP và được cơ quan chức năng tiếp nhận trước ngày 01/01/2026 thì được tiếp tục sử dụng, không cần lập lại hồ sơ mới. Nếu doanh nghiệp chưa nộp hồ sơ, thời hạn hoàn thành và nộp hồ sơ theo Luật mới là trong vòng 60 ngày kể từ ngày Luật có hiệu lực (tức trước ngày 01/03/2026).
Ngoài ra, hồ sơ TIA và hồ sơ DPIA là hai nghĩa vụ độc lập. Doanh nghiệp có hoạt động chuyển dữ liệu ra nước ngoài phải thực hiện song song cả hai, không thể thay thế hồ sơ này bằng hồ sơ kia.
