Dùng dịch vụ email, CRM hoặc lưu trữ đám mây nước ngoài: có phải chuyển dữ liệu ra nước ngoài không?

Khái niệm pháp lý cần xác định trước

Trong thực tiễn doanh nghiệp, việc dùng email, CRM hoặc lưu trữ đám mây của nhà cung cấp nước ngoài thường đi kèm với việc dữ liệu được lưu trên máy chủ đặt ngoài lãnh thổ Việt Nam hoặc được xử lý trên nền tảng do tổ chức ở nước ngoài vận hành. Theo khoản 3 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025, chuyển dữ liệu cá nhân ra nước ngoài là việc truyền dữ liệu cá nhân từ Việt Nam đến tổ chức, cá nhân ở nước ngoài hoặc lưu trữ dữ liệu trên hệ thống đặt ngoài Việt Nam. Quy định này xác lập nguyên tắc cốt lõi: không phải cứ doanh nghiệp Việt Nam mua dịch vụ của nhà cung cấp nước ngoài mới là “mua phần mềm”, mà có thể đồng thời phát sinh hoạt động chuyển dữ liệu xuyên biên giới.

Do đó, vấn đề pháp lý không nằm ở tên gọi dịch vụ, mà ở cách dữ liệu được thu thập, lưu trữ, truy cập và xử lý. Nếu dữ liệu cá nhân của khách hàng, nhân sự, nhà cung cấp hoặc người dùng được chuyển lên hạ tầng ngoài Việt Nam, tình huống đó đi vào phạm vi điều chỉnh của quy định về chuyển dữ liệu cá nhân ra nước ngoài. Cách tiếp cận này đặc biệt quan trọng đối với email doanh nghiệp, hệ thống CRM, phần mềm quản trị quan hệ khách hàng và các dịch vụ lưu trữ đám mây xuyên biên giới.

Khi nào dùng email, CRM hoặc cloud nước ngoài được xem là chuyển dữ liệu ra nước ngoài

1. Lưu trữ dữ liệu trên máy chủ đặt ngoài Việt Nam

Theo điểm a khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, việc chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam sang hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ Việt Nam là chuyển dữ liệu cá nhân ra nước ngoài. Vì vậy, nếu doanh nghiệp dùng email hoặc cloud của nhà cung cấp nước ngoài và dữ liệu hộp thư, tệp đính kèm, danh bạ, log truy cập, hồ sơ khách hàng hay dữ liệu nhân sự được lưu trên máy chủ ở nước ngoài, đây là trường hợp chuyển dữ liệu ra nước ngoài theo luật.

Quy định này áp dụng cả khi dữ liệu được sao lưu tự động, đồng bộ đa vùng hoặc đặt tại trung tâm dữ liệu ngoài Việt Nam theo cấu hình mặc định của dịch vụ. Về bản chất pháp lý, yếu tố quyết định là nơi đặt hệ thống lưu trữ cuối cùng và việc dữ liệu rời khỏi lãnh thổ Việt Nam, chứ không phụ thuộc vào việc doanh nghiệp có chủ ý “xuất khẩu dữ liệu” hay không.

2. Truyền dữ liệu cho tổ chức, cá nhân ở nước ngoài

Theo điểm b khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, việc cơ quan, tổ chức, cá nhân tại Việt Nam truyền dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài cũng là chuyển dữ liệu cá nhân ra nước ngoài. Trường hợp doanh nghiệp dùng CRM nước ngoài, nhà cung cấp dịch vụ có thể truy cập dữ liệu để bảo trì, phân tích, hỗ trợ kỹ thuật hoặc xử lý dữ liệu theo ủy quyền; khi đó, việc cung cấp dữ liệu cho chủ thể ở nước ngoài đã chạm đến ngưỡng điều chỉnh của quy định này.

Điều này đặc biệt đáng lưu ý với các mô hình phần mềm dạng dịch vụ. Ngay cả khi dữ liệu được nhập từ Việt Nam, nếu nhà cung cấp nước ngoài được quyền xử lý, tổng hợp, lưu trữ hoặc hỗ trợ vận hành trên dữ liệu đó ở bên ngoài Việt Nam, doanh nghiệp cần xem đây là quan hệ chuyển dữ liệu xuyên biên giới và thiết kế tuân thủ tương ứng.

3. Xử lý dữ liệu đã thu thập ở Việt Nam trên nền tảng ở nước ngoài

Theo điểm c khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, trường hợp dữ liệu cá nhân được thu thập tại Việt Nam nhưng chuyển sang nền tảng ngoài Việt Nam để tiếp tục xử lý cũng là chuyển dữ liệu ra nước ngoài. Quy định này bao quát các công cụ marketing tự động, hệ thống phân tích hành vi khách hàng, nền tảng chăm sóc khách hàng đa kênh và các hệ thống quản trị dữ liệu tập trung trên cloud quốc tế.

Trong thực tiễn, nhiều doanh nghiệp cho rằng chỉ cần máy chủ đặt ở Việt Nam là an toàn pháp lý. Tuy nhiên, nếu dữ liệu được đẩy sang hệ sinh thái xử lý đặt ở nước ngoài, ví dụ phục vụ chấm điểm khách hàng, phân loại rủi ro, gửi email marketing hoặc tự động hóa bán hàng, thì hoạt động đó vẫn thuộc nhóm chuyển dữ liệu cá nhân ra nước ngoài theo luật hiện hành.

Những trường hợp sử dụng dịch vụ nước ngoài nhưng không phải lúc nào cũng phải làm thủ tục như nhau

Luật Bảo vệ dữ liệu cá nhân 2025 và văn bản hướng dẫn năm 2025 đã thiết lập một số ngoại lệ đối với nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài. Theo quy định hiện hành, một số trường hợp như cơ quan nhà nước có thẩm quyền; tổ chức lưu trữ dữ liệu cá nhân của nhân viên trên dịch vụ điện toán đám mây; chủ thể dữ liệu tự chuyển dữ liệu của chính mình; hoạt động báo chí, truyền thông; hoặc chuyển dữ liệu để thực hiện giao dịch, thủ tục liên quan đến vận tải quốc tế, logistics, thanh toán, đặt phòng, xin visa, học bổng được miễn hoặc được loại trừ trong phạm vi nhất định.

Điểm cần nhấn mạnh là ngoại lệ về thủ tục không đồng nghĩa với việc quan hệ dữ liệu không còn là chuyển dữ liệu ra nước ngoài. Nói cách khác, một doanh nghiệp vẫn có thể đang thực hiện chuyển dữ liệu xuyên biên giới nhưng được miễn nghĩa vụ nộp hồ sơ đánh giá tác động trong một số trường hợp luật định. Vì vậy, khi đánh giá rủi ro tuân thủ, phải tách bạch giữa “phân loại hành vi” và “miễn thủ tục”.

Nghĩa vụ pháp lý trọng tâm đối với tổ chức, doanh nghiệp

Theo khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, tổ chức, cá nhân thực hiện chuyển dữ liệu cá nhân ra nước ngoài phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi 01 bản chính cho cơ quan có thẩm quyền trong thời hạn 60 ngày kể từ ngày đầu tiên thực hiện chuyển dữ liệu, trừ trường hợp thuộc diện ngoại lệ. Đây là nghĩa vụ trung tâm khi doanh nghiệp dùng email, CRM hoặc cloud nước ngoài để xử lý dữ liệu cá nhân của người Việt Nam hoặc dữ liệu phát sinh tại Việt Nam.

Hồ sơ đánh giá tác động thường phải thể hiện mục đích chuyển dữ liệu, loại dữ liệu, chủ thể dữ liệu, bên nhận dữ liệu, địa điểm lưu trữ, biện pháp bảo vệ, cơ chế kiểm soát truy cập và cơ chế xử lý khi có sự cố. Với mô hình SaaS xuyên biên giới, doanh nghiệp cần rà soát toàn bộ vòng đời dữ liệu: thu thập, đồng bộ, lưu trữ, sao lưu, truy cập từ xa, chia sẻ cho đơn vị liên kết và xóa dữ liệu khi chấm dứt hợp đồng.

Ngoài nghĩa vụ về hồ sơ, doanh nghiệp còn phải bảo đảm các nguyên tắc xử lý dữ liệu cá nhân, đặc biệt là tính hợp pháp của mục đích xử lý và cơ sở xử lý phù hợp theo Luật Bảo vệ dữ liệu cá nhân 2025. Nếu dữ liệu cá nhân thuộc nhóm nhạy cảm, yêu cầu tuân thủ còn chặt chẽ hơn, nhất là về đánh giá tác động, kiểm soát truy cập và biện pháp bảo vệ kỹ thuật.

Phân biệt thuê dịch vụ công nghệ với chuyển dữ liệu xuyên biên giới

Không phải mọi dịch vụ nước ngoài đều dẫn đến cùng một mức độ rủi ro pháp lý, nhưng trong bối cảnh dữ liệu cá nhân, việc thuê email, CRM hoặc cloud quốc tế thường gắn trực tiếp với chuyển dữ liệu ra nước ngoài. Tiêu chí nhận diện nằm ở ba câu hỏi: dữ liệu có rời khỏi Việt Nam hay không, bên nước ngoài có khả năng truy cập hoặc xử lý dữ liệu hay không, và dữ liệu có được lưu trên hạ tầng ngoài Việt Nam hay không.

Nếu câu trả lời cho một trong các câu hỏi này là có, doanh nghiệp không thể chỉ coi đó là giao dịch mua phần mềm thuần túy. Khi đó, hệ thống hợp đồng, chính sách bảo mật, phân quyền truy cập, thông báo cho chủ thể dữ liệu và hồ sơ đánh giá tác động đều phải được thiết kế như một cấu phần của quản trị tuân thủ dữ liệu.

Hệ quả thực tiễn đối với doanh nghiệp

Doanh nghiệp sử dụng dịch vụ email, CRM hoặc đám mây nước ngoài cần rà soát ngay phạm vi dữ liệu mà hệ thống đó xử lý, đặc biệt là dữ liệu khách hàng, hồ sơ tuyển dụng, dữ liệu nhân sự, lịch sử giao dịch và nội dung trao đổi nội bộ. Cùng một nền tảng có thể vừa phục vụ vận hành vừa là kênh chuyển dữ liệu xuyên biên giới theo nghĩa pháp lý. Vì vậy, việc phân loại đúng ngay từ đầu giúp tránh rủi ro vi phạm thủ tục và rủi ro từ chính điều khoản hợp đồng với nhà cung cấp.

Về quản trị tuân thủ, doanh nghiệp nên xác định rõ vai trò của mình là bên kiểm soát dữ liệu hay bên xử lý dữ liệu, lựa chọn trung tâm dữ liệu phù hợp, kiểm tra điều khoản chuyển dữ liệu trong hợp đồng và thiết lập quy trình đáp ứng yêu cầu của cơ quan có thẩm quyền khi cần. Với các hệ thống đang dùng mặc định máy chủ nước ngoài, doanh nghiệp phải coi đây là tình huống cần rà soát pháp lý ngay, không phải vấn đề kỹ thuật thuần túy.

Kết luận

Dùng dịch vụ email, CRM hoặc lưu trữ đám mây nước ngoài thường đồng thời là hoạt động chuyển dữ liệu cá nhân ra nước ngoài nếu dữ liệu được lưu trên máy chủ ngoài Việt Nam, truyền cho tổ chức ở nước ngoài hoặc tiếp tục xử lý trên nền tảng ngoài lãnh thổ Việt Nam. Theo khoản 3 Điều 2 và điểm a, điểm b, điểm c khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025, phạm vi điều chỉnh được xác định khá rộng và bao trùm nhiều mô hình SaaS phổ biến. Doanh nghiệp vì vậy phải đánh giá cả bản chất kỹ thuật lẫn hệ quả pháp lý của dịch vụ đang sử dụng.

Trong thực tiễn 2026, câu hỏi đúng không phải là “có dùng dịch vụ nước ngoài hay không”, mà là “dịch vụ đó có làm dữ liệu ra khỏi Việt Nam hoặc để bên nước ngoài xử lý hay không”. Khi câu trả lời là có, nghĩa vụ đánh giá tác động chuyển dữ liệu xuyên biên giới và các biện pháp bảo vệ kèm theo cần được triển khai ngay theo Luật Bảo vệ dữ liệu cá nhân 2025 và quy định hướng dẫn hiện hành.

Tài liệu tham khảo

• Luật Bảo vệ dữ liệu cá nhân 2025.
• Luật An ninh mạng 2018.
• Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
• Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
• Thông tin hướng dẫn về chuyển dữ liệu cá nhân xuyên biên giới trong các tài liệu pháp lý chuyên ngành năm 2026.