Quy định chuyển dữ liệu xuyên biên giới
ĐIỀU 1. CƠ SỞ PHÁP LÝ VÀ ĐỊNH NGHĨA
1.1. Căn cứ pháp lý:
- Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15, hiệu lực 01/01/2026);
- Nghị định 356/2025/NĐ-CP — quy định về xử lý, chuyển dữ liệu cá nhân ra nước ngoài và hồ sơ đánh giá tác động;
- Luật Dữ liệu 2024 (Luật số 60/2024/QH15) — về chuyển, xử lý dữ liệu xuyên biên giới;
- Luật An ninh mạng 2025 (Luật số 116/2025/QH15, hiệu lực 01/7/2026 — thay thế Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015) — về lưu trữ dữ liệu và bảo đảm an ninh mạng;
- Luật Giao dịch điện tử 2023;
- Nghị định 13/2023/NĐ-CP (áp dụng phần không trái với Luật 91/2025);
- GDPR (EU) 2016/679, Chương V (Điều 44–49); SCCs theo Quyết định EU 2021/914; PIPL (Trung Quốc) 2021 (Điều 38–43); Khung APEC CBPR — áp dụng tham chiếu đối với dữ liệu thuộc phạm vi điều chỉnh tương ứng.
1.2. Quy định này là văn bản chi tiết hóa Điều 12 (chuyển dữ liệu xuyên biên giới) và Điều 13 (đánh giá tác động) của Chính sách Bảo vệ Dữ liệu Cá nhân (PDPD), và là một phần của Thoả thuận Sử dụng Dịch vụ.
1.3. Định nghĩa:
- “Dữ liệu cá nhân” (DLCN): thông tin gắn với hoặc giúp xác định một cá nhân cụ thể theo Luật Bảo vệ dữ liệu cá nhân 2025;
- “Chuyển dữ liệu xuyên biên giới”: việc truyền, cung cấp, chia sẻ, lưu trữ hoặc xử lý DLCN của công dân Việt Nam bởi tổ chức/cá nhân tại nước ngoài, hoặc trên hệ thống đặt ngoài lãnh thổ Việt Nam;
- “Bên Kiểm soát / Bên Xử lý dữ liệu”: theo định nghĩa tại PDPD và Luật Bảo vệ dữ liệu cá nhân 2025;
- “Hồ sơ đánh giá tác động chuyển DLCN ra nước ngoài”: hồ sơ theo yêu cầu của Luật Bảo vệ dữ liệu cá nhân 2025;
- “TIA – Transfer Impact Assessment”: đánh giá tác động chuyển dữ liệu theo yêu cầu của GDPR;
- “SCC – Standard Contractual Clauses”: điều khoản hợp đồng chuẩn được EC phê duyệt cho chuyển dữ liệu EU sang nước thứ ba.
ĐIỀU 2. ĐIỀU KIỆN VÀ THỦ TỤC CHUYỂN DỮ LIỆU THEO PHÁP LUẬT VIỆT NAM
2.1. Điều kiện chuyển dữ liệu cá nhân ra nước ngoài:
(a) Có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật quy định khác;
(b) Có hợp đồng/thỏa thuận xử lý dữ liệu (DPA) hoặc điều khoản bảo vệ dữ liệu ràng buộc với bên tiếp nhận;
(c) Áp dụng biện pháp bảo vệ phù hợp bảo đảm mức độ bảo vệ dữ liệu;
(d) Hoạt động chuyển dữ liệu không xâm phạm an ninh quốc gia, lợi ích công cộng;
(e) Lập Hồ sơ đánh giá tác động xử lý/chuyển DLCN ra nước ngoài trước hoặc theo thời hạn luật định.
2.2. Thủ tục lập và nộp hồ sơ:
(a) HiTechCloud lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và gửi 01 bản chính cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) — cơ quan chuyên trách bảo vệ dữ liệu cá nhân — theo thời hạn quy định tại Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP;
(b) Hồ sơ gồm: mô tả loại dữ liệu, mục đích, quốc gia/bên tiếp nhận, biện pháp bảo vệ và đánh giá rủi ro;
(c) Hồ sơ được lưu trữ, cập nhật khi có thay đổi và xuất trình khi cơ quan có thẩm quyền yêu cầu.
Lưu ý: Cơ quan tiếp nhận hồ sơ về bảo vệ dữ liệu cá nhân là A05 – Bộ Công an, không phải cơ quan quản lý an toàn thông tin trước đây.
2.3. Lưu trữ dữ liệu trong nước:
(a) Theo Luật An ninh mạng 2025 và các văn bản hướng dẫn, một số loại dữ liệu và một số doanh nghiệp thuộc diện phải lưu trữ dữ liệu tại Việt Nam;
(b) HiTechCloud duy trì phương án lưu trữ/sao lưu dữ liệu quan trọng của công dân Việt Nam tại Việt Nam nhằm đáp ứng yêu cầu này khi thuộc diện áp dụng;
(c) Thời gian lưu trữ theo quy định của pháp luật chuyên ngành.
ĐIỀU 3. CƠ CHẾ CHUYỂN DỮ LIỆU QUỐC TẾ (ĐỐI VỚI DỮ LIỆU THUỘC PHẠM VI GDPR)
3.1. Standard Contractual Clauses (SCCs): đối với dữ liệu người dùng thuộc phạm vi GDPR (EU/EEA), HiTechCloud áp dụng SCCs theo Quyết định EU 2021/914, gồm Module 1 (Controller → Controller), Module 2 (Controller → Processor), Module 3 (Processor → Processor) và Module 4 (Processor → Controller) tùy vai trò trong từng luồng dữ liệu.
3.2. Transfer Impact Assessment (TIA): trước mỗi đợt chuyển dữ liệu mới ra ngoài EU, HiTechCloud thực hiện TIA: (a) xác định pháp luật nước tiếp nhận và khả năng tiếp cận của cơ quan nhà nước sở tại; (b) đánh giá mức bảo vệ thực tế so với tiêu chuẩn EU (Schrems II test); (c) áp dụng biện pháp bổ sung nếu cần (mã hóa, ẩn danh hóa); (d) lập báo cáo TIA và lưu tối thiểu 5 năm; (e) rà soát lại khi có thay đổi pháp lý hoặc chuyển sang nhà cung cấp mới.
3.3. Cơ chế bổ sung: BCR (Binding Corporate Rules) trong nội bộ tập đoàn xuyên quốc gia; ưu tiên Adequacy Decision khi nước tiếp nhận được EC công nhận tương đương; sự đồng ý cụ thể trong trường hợp ad-hoc; lợi ích thiết yếu chỉ trong trường hợp khẩn cấp về sức khỏe, an toàn.
ĐIỀU 4. DANH SÁCH ĐỐI TÁC VÀ QUỐC GIA TIẾP NHẬN
| Đối tác / Dịch vụ | Quốc gia | Cơ chế áp dụng | Loại dữ liệu |
|---|---|---|---|
| Amazon Web Services | Hoa Kỳ / Toàn cầu | SCCs + DPA | Dữ liệu hosting |
| Google Cloud Platform | Hoa Kỳ / Toàn cầu | SCCs + DPA | Dữ liệu ứng dụng |
| Microsoft Azure | Hoa Kỳ / EU | SCCs + DPA | Dữ liệu doanh nghiệp |
| Cloudflare | Hoa Kỳ / Toàn cầu | SCCs + DPA | Log, CDN |
| Stripe / PayPal | Hoa Kỳ | SCCs + PCI DSS | Dữ liệu thanh toán |
| Các nhà cung cấp khác | Theo hợp đồng | Đánh giá từng trường hợp | Tùy mục đích |
Danh sách này được rà soát, cập nhật định kỳ. HiTechCloud lập và duy trì hồ sơ đánh giá tác động tương ứng cho từng luồng chuyển dữ liệu.
ĐIỀU 5. QUYỀN CỦA CHỦ THỂ DỮ LIỆU
Chủ thể dữ liệu có các quyền: (a) được thông báo về việc dữ liệu được chuyển ra nước ngoài; (b) từ chối hoặc rút lại đồng ý chuyển dữ liệu xuyên biên giới; (c) yêu cầu thông tin về biện pháp bảo vệ/DPA áp dụng; (d) khiếu nại đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) khi phát hiện vi phạm; (e) yêu cầu xóa dữ liệu và chấm dứt chuyển dữ liệu xuyên biên giới. Việc thực hiện quyền theo Điều 7, Điều 8 PDPD.
ĐIỀU 6. BIỆN PHÁP KỸ THUẬT BẢO VỆ
Mã hóa khi truyền (TLS 1.3 trở lên); mã hóa khi lưu trữ (AES-256); ẩn danh hóa/giả danh hóa dữ liệu trước khi chuyển khi có thể; kiểm soát truy cập theo vai trò (RBAC) tại bên tiếp nhận; giám sát và ghi log mọi hoạt động chuyển dữ liệu ra nước ngoài; kiểm toán bảo mật định kỳ (hàng năm) đối với đối tác nhận dữ liệu; phù hợp tiêu chuẩn ISO/IEC 27001.
ĐIỀU 7. XỬ LÝ VI PHẠM VÀ CHẾ TÀI
7.1. Vi phạm nội bộ: xử lý kỷ luật lao động theo quy chế nội bộ, kể cả chấm dứt hợp đồng.
7.2. Vi phạm hành chính: theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt tới 5% doanh thu năm liền trước của tổ chức; đối với dữ liệu thuộc phạm vi GDPR, mức phạt có thể tới 20 triệu EUR hoặc 4% doanh thu toàn cầu tùy mức nào cao hơn.
7.3. Vi phạm hình sự: có thể bị truy cứu theo Bộ luật Hình sự 2015 (ví dụ Điều 288 về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông).
7.4. Bồi thường thiệt hại: theo Bộ luật Dân sự 2015 và thỏa thuận hợp đồng.
Quy định này có hiệu lực từ ngày 01/07/2026 và thay thế toàn bộ các phiên bản trước đây. Bản tiếng Việt có giá trị pháp lý cao nhất.
