Chuyển dữ liệu cá nhân ra nước ngoài và trách nhiệm của tổ chức

Khái niệm và phạm vi của chuyển dữ liệu cá nhân ra nước ngoài

Chuyển dữ liệu cá nhân ra nước ngoài là hoạt động sử dụng không gian mạng, thiết bị, phương tiện điện tử hoặc các hình thức khác để chuyển dữ liệu cá nhân của công dân Việt Nam tới địa điểm nằm ngoài lãnh thổ Việt Nam, hoặc sử dụng địa điểm ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân của công dân Việt Nam theo quy định tại khoản 14 Điều 2 Nghị định 13/2023/NĐ-CP. Phạm vi này bao trùm nhiều mô hình vận hành phổ biến như lưu trữ đám mây ở máy chủ nước ngoài, chia sẻ dữ liệu với công ty mẹ ở nước ngoài, thuê nhà cung cấp dịch vụ xử lý dữ liệu ở ngoài Việt Nam hoặc chuyển dữ liệu để phân tích, vận hành hệ thống, chăm sóc khách hàng. Do đó, doanh nghiệp không thể chỉ dựa vào yếu tố “máy chủ đặt ở đâu” mà phải nhìn vào toàn bộ chuỗi xử lý và luồng dữ liệu thực tế.

Về chủ thể thực hiện, Nghị định 13/2023/NĐ-CP xác định bên chuyển dữ liệu ra nước ngoài có thể là bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân hoặc bên thứ ba. Cách xác định này cho thấy trách nhiệm pháp lý không giới hạn ở doanh nghiệp sở hữu hệ thống mà còn bao gồm các tổ chức, cá nhân tham gia trực tiếp vào hoạt động chuyển giao hoặc xử lý dữ liệu liên quan. Trong thực tiễn, trách nhiệm có thể phát sinh đồng thời ở nhiều lớp chủ thể nếu cùng tham gia quyết định mục đích, phương thức và điểm đến của dữ liệu.

Nghĩa vụ pháp lý trọng tâm của tổ chức khi chuyển dữ liệu

Nghĩa vụ trung tâm của tổ chức là lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo khoản 2 Điều 25 Nghị định 13/2023/NĐ-CP. Hồ sơ phải phản ánh rõ mục đích chuyển dữ liệu, loại dữ liệu được chuyển, bên nhận dữ liệu ở nước ngoài, thông tin liên hệ của tổ chức, đánh giá tác động đối với quyền và lợi ích của chủ thể dữ liệu, biện pháp bảo vệ, cơ chế xử lý sự cố và cam kết quản lý rủi ro phù hợp. Đây không phải thủ tục hình thức mà là công cụ chứng minh tổ chức đã nhận diện và kiểm soát các nguy cơ xâm phạm dữ liệu ở môi trường xuyên biên giới.

Theo khoản 3 Điều 25 Nghị định 13/2023/NĐ-CP, tổ chức phải gửi 01 bộ hồ sơ chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu ra nước ngoài. Nghĩa vụ này gắn với yêu cầu bảo đảm tính minh bạch và cho phép cơ quan nhà nước theo dõi, kiểm tra hoạt động chuyển dữ liệu có yếu tố nước ngoài. Việc chậm lập, chậm gửi hoặc gửi không đầy đủ hồ sơ đều làm phát sinh rủi ro vi phạm hành chính và rủi ro bị yêu cầu dừng hoạt động chuyển dữ liệu.

Bên cạnh đó, tổ chức phải bảo đảm có sự đồng ý hợp lệ của chủ thể dữ liệu theo các nguyên tắc chung về xử lý dữ liệu cá nhân tại Nghị định 13/2023/NĐ-CP, trừ trường hợp luật chuyên ngành hoặc quy định đặc thù cho phép xử lý không cần đồng ý. Sự đồng ý phải được thể hiện rõ ràng, tự nguyện, có thể kiểm chứng và tương thích với mục đích chuyển dữ liệu đã công bố. Nếu mục đích chuyển sang nước ngoài vượt quá phạm vi đã thông báo hoặc không phù hợp với nền tảng đồng ý ban đầu, tổ chức có nguy cơ vi phạm nguyên tắc xử lý dữ liệu hợp pháp.

Trách nhiệm của tổ chức đối với bên nhận dữ liệu ở nước ngoài

Chuyển dữ liệu ra nước ngoài không làm chấm dứt trách nhiệm của tổ chức chuyển dữ liệu đối với dữ liệu đã cung cấp. Theo logic quản trị rủi ro của Nghị định 13/2023/NĐ-CP, tổ chức phải lựa chọn bên nhận có cơ chế bảo vệ dữ liệu tương thích, có thỏa thuận ràng buộc về mục đích, phạm vi sử dụng, lưu trữ, bảo mật và xử lý sự cố. Nếu bên nhận ở nước ngoài tái chuyển dữ liệu, sử dụng sai mục đích hoặc để xảy ra rò rỉ, tổ chức chuyển dữ liệu vẫn phải chịu trách nhiệm chứng minh đã áp dụng biện pháp phù hợp trước khi chuyển giao.

Trên phương diện quản trị nội bộ, tổ chức phải phân định rõ vai trò giữa bộ phận pháp chế, công nghệ thông tin, an ninh thông tin và bộ phận kinh doanh. Cơ chế phân quyền này giúp kiểm soát việc quyết định chuyển dữ liệu, ngăn ngừa chuyển dữ liệu vượt mục đích và bảo đảm khả năng truy vết khi xảy ra sự cố. Trong doanh nghiệp có yếu tố nước ngoài, việc một tập đoàn mẹ chỉ đạo xử lý dữ liệu từ xa cũng không miễn trừ trách nhiệm của pháp nhân tại Việt Nam nếu chính pháp nhân đó là chủ thể chuyển dữ liệu theo hồ sơ vận hành.

Trách nhiệm khi có vi phạm hoặc rủi ro vi phạm

Khi tổ chức chuyển dữ liệu không đúng quy định, trách nhiệm pháp lý thường phát sinh trên ba bình diện: hành chính, dân sự và quản trị tuân thủ nội bộ. Về hành chính, tổ chức có thể bị xử phạt theo quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng, bảo vệ dữ liệu cá nhân và các văn bản có liên quan đang có hiệu lực. Về dân sự, nếu hành vi chuyển dữ liệu trái phép gây thiệt hại cho chủ thể dữ liệu, tổ chức phải bồi thường theo quy định của Bộ luật Dân sự 2015, đồng thời xử lý trách nhiệm nội bộ đối với cá nhân vi phạm theo quy chế của doanh nghiệp.

Về quản trị tuân thủ, tổ chức phải kịp thời khắc phục sai sót, rà soát hồ sơ, tạm dừng hoặc điều chỉnh luồng chuyển dữ liệu khi điều kiện bảo vệ không còn bảo đảm. Nghĩa vụ phối hợp kiểm tra, cung cấp hồ sơ và làm việc với cơ quan có thẩm quyền là một phần của trách nhiệm pháp lý, không phải lựa chọn tùy nghi của doanh nghiệp. Việc né tránh, chậm trễ hoặc cung cấp thông tin không đầy đủ làm tăng mức độ rủi ro và có thể ảnh hưởng đến đánh giá tuân thủ của toàn bộ hệ thống.

Chuyển tiếp pháp lý đến năm 2026 và ý nghĩa thực tiễn

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 đã tạo ra khung pháp lý mới ở cấp luật, đồng thời tiếp nối yêu cầu chặt chẽ hơn đối với hoạt động chuyển dữ liệu cá nhân xuyên biên giới. Trong giai đoạn chuyển tiếp, hồ sơ đã lập theo Nghị định 13/2023/NĐ-CP vẫn tiếp tục được sử dụng theo quy định chuyển tiếp của luật mới, nhưng việc cập nhật và tuân thủ tiếp theo phải bám theo khung luật hiện hành. Vì vậy, tổ chức không được xem Nghị định 13/2023/NĐ-CP là toàn bộ nghĩa vụ pháp lý, mà phải đọc nó trong tương quan với Luật Bảo vệ dữ liệu cá nhân 2025 và các văn bản hướng dẫn có hiệu lực đến năm 2026.

Ý nghĩa thực tiễn của cơ chế này là chuyển dữ liệu cá nhân ra nước ngoài trở thành một hoạt động phải được quản trị như một rủi ro pháp lý cấp cao. Tổ chức cần xây dựng quy trình nội bộ về phân loại dữ liệu, thẩm định nhà cung cấp, kiểm tra căn cứ đồng ý, lập hồ sơ đánh giá tác động, lưu trữ chứng từ và phản ứng sự cố. Với mô hình kinh doanh số, việc tuân thủ ngay từ thiết kế hệ thống sẽ giảm đáng kể nguy cơ vi phạm và tăng khả năng chứng minh tuân thủ khi bị kiểm tra.

Kết luận

Trách nhiệm pháp lý của tổ chức khi chuyển dữ liệu cá nhân ra nước ngoài không chỉ là nghĩa vụ thủ tục mà là nghĩa vụ tuân thủ toàn diện đối với quyền riêng tư và an toàn dữ liệu của cá nhân. Trọng tâm của trách nhiệm này gồm xác định đúng phạm vi chuyển dữ liệu, bảo đảm căn cứ xử lý hợp pháp, lập và gửi hồ sơ đánh giá tác động đúng thời hạn, kiểm soát bên nhận ở nước ngoài và khắc phục kịp thời khi phát sinh vi phạm. Trong môi trường pháp lý hiện hành, doanh nghiệp và tổ chức cần coi quản trị dữ liệu xuyên biên giới là một cấu phần bắt buộc của quản trị rủi ro pháp lý và tuân thủ doanh nghiệp.

Tài liệu tham khảo

• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
• Luật Bảo vệ dữ liệu cá nhân 2025.
• Bộ luật Dân sự 2015.
• Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân hiện hành đến năm 2026.
• Tài liệu hướng dẫn thủ tục hành chính về hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài của cơ quan có thẩm quyền.