Chuyển dữ liệu cá nhân xuyên biên giới: Khung pháp lý mới và bài toán tuân thủ cho doanh nghiệp

Kể từ ngày 01/01/2026, Luật Bảo vệ Dữ liệu Cá nhân năm 2025 chính thức có hiệu lực, thiết lập một khung pháp lý chặt chẽ kiểm soát hoạt động chuyển dữ liệu cá nhân ra ngoài lãnh thổ Việt Nam. Với doanh nghiệp đang vận hành trong môi trường số toàn cầu, đây không còn là câu chuyện của tương lai.

Nội dung chính

1 Chuyển dữ liệu cá nhân xuyên biên giới được hiểu như thế nào?
2 Ba hình thức chuyển dữ liệu xuyên biên giới theo luật định
3 Nghĩa vụ tuân thủ doanh nghiệp cần nắm
4 Quản lý consent: Từ thao tác đơn lẻ đến hệ thống có kiểm soát
5 FPT Consenta — Hạ tầng quản lý consent cho doanh nghiệp tuân thủ PDPL

Chuyển dữ liệu cá nhân xuyên biên giới được hiểu như thế nào?

Theo quy định hiện hành, chuyển dữ liệu cá nhân xuyên biên giới không chỉ bao gồm việc di chuyển dữ liệu về mặt vật lý giữa các hệ thống lưu trữ, mà còn bao gồm cả việc sử dụng các nền tảng công nghệ đặt tại nước ngoài để xử lý dữ liệu thu thập trong nước. Khái niệm này mang bao trùm cả hành vi lưu trữ, truyền tải và xử lý dữ liệu.

Bản chất của hoạt động này là sự dịch chuyển quyền kiểm soát và khai thác dữ liệu ra khỏi phạm vi quản lý trực tiếp của quốc gia. Điều này làm phát sinh rủi ro liên quan đến quyền riêng tư, an toàn thông tin và chủ quyền dữ liệu, đặc biệt khi pháp luật giữa các quốc gia có sự khác biệt đáng kể.

Ba hình thức chuyển dữ liệu xuyên biên giới theo luật định

Căn cứ khoản 1 Điều 20 Luật Bảo vệ Dữ liệu Cá nhân năm 2025, có ba trường hợp được xác định là chuyển dữ liệu cá nhân xuyên biên giới:

Chuyển dữ liệu ra hệ thống lưu trữ ở nước ngoài: Khi dữ liệu cá nhân được di chuyển từ hạ tầng lưu trữ trong nước sang máy chủ hoặc hệ thống đặt tại quốc gia khác, khả năng kiểm soát trực tiếp của cơ quan quản lý bị hạn chế đáng kể. Sự khác biệt về pháp luật giữa các quốc gia cũng khiến việc bảo vệ quyền lợi của chủ thể dữ liệu trở nên phức tạp hơn.

Chuyển dữ liệu cho chủ thể ở nước ngoài: Hoạt động này thường diễn ra trong bối cảnh hợp tác kinh doanh, cung cấp dịch vụ quốc tế hoặc thực hiện giao dịch xuyên biên giới. Dữ liệu trong trường hợp này có thể bị chuyển tiếp cho bên thứ ba mà không có sự kiểm soát đầy đủ từ phía doanh nghiệp gốc.

Sử dụng nền tảng nước ngoài để xử lý dữ liệu: Ngay cả khi dữ liệu không được chuyển giao trực tiếp cho một chủ thể cụ thể, quá trình xử lý diễn ra trên hạ tầng ở nước ngoài vẫn cấu thành hoạt động chuyển dữ liệu xuyên biên giới. Đây là hình thức phổ biến nhất trong thời đại số, nhưng cũng là hình thức ít được nhận diện nhất.

Nghĩa vụ tuân thủ doanh nghiệp cần nắm

Lập và gửi hồ sơ đánh giá tác động DPIA

Căn cứ khoản 2 Điều 20, mọi cơ quan, tổ chức, cá nhân thực hiện chuyển dữ liệu cá nhân xuyên biên giới có nghĩa vụ lập hồ sơ đánh giá tác động và gửi cho cơ quan chuyên trách. Hồ sơ này đóng vai trò nhận diện rủi ro, đặc biệt là các nguy cơ liên quan đến bảo mật và quyền riêng tư, đồng thời là căn cứ để cơ quan quản lý theo dõi và kiểm soát kịp thời.

Điểm cần lưu ý: theo khoản 3, đánh giá tác động được thực hiện một lần cho toàn bộ thời gian hoạt động và chỉ cần cập nhật khi có thay đổi nhằm tạo sự cân bằng giữa tính ổn định và linh hoạt trong quản lý.

Chịu sự kiểm tra của cơ quan có thẩm quyền

Theo khoản 4, cơ quan chuyên trách có quyền kiểm tra việc chuyển dữ liệu xuyên biên giới theo định kỳ hoặc đột xuất. Kiểm tra định kỳ đảm bảo tính hệ thống trong giám sát tuân thủ; kiểm tra đột xuất được áp dụng khi có dấu hiệu vi phạm hoặc sự cố phát sinh. Cả hai hình thức đều yêu cầu doanh nghiệp sẵn sàng chứng minh tuân thủ bất cứ lúc nào.

Nguy cơ bị yêu cầu dừng hoạt động

Căn cứ khoản 5, cơ quan chuyên trách có quyền yêu cầu dừng chuyển dữ liệu xuyên biên giới khi phát hiện dữ liệu bị sử dụng vào hoạt động có thể gây tổn hại đến quốc phòng, an ninh quốc gia. Đây là cơ chế can thiệp kịp thời với tính răn đe rõ ràng đối với các chủ thể tham gia hoạt động này.

Quản lý consent: Từ thao tác đơn lẻ đến hệ thống có kiểm soát

Song song với yêu cầu về chuyển dữ liệu xuyên biên giới, PDPL đặt ra tiêu chuẩn cao về quản lý sự đồng ý (consent) của người dùng. Doanh nghiệp không chỉ cần thu thập được consent mà phải quản lý và chứng minh được consent đó trong toàn bộ vòng đời dữ liệu.

Theo quy định, consent hợp lệ phải đảm bảo: người dùng có thể rút lại bất kỳ lúc nào, không được mặc định đồng ý dưới mọi hình thức, và phải được tách riêng theo từng mục đích sử dụng marketing, phân tích, chia sẻ bên thứ ba. Với dữ liệu nhạy cảm như sức khỏe, tài chính hay sinh trắc học, bắt buộc phải có consent riêng biệt cho từng loại.

Trong thực tế, consent không nằm ở một điểm duy nhất mà xuất hiện trên nhiều kênh khác nhau. Khi không có hệ thống quản lý tập trung, trạng thái consent không được cập nhật kịp thời, thiếu audit log để đối soát, và doanh nghiệp không xử lý được các yêu cầu rút lại hay hạn chế xử lý dữ liệu từ người dùng. Kết quả là: doanh nghiệp có thể đã xin consent, nhưng vẫn không chứng minh được mình đang tuân thủ khi bị kiểm tra.

FPT Consenta — Hạ tầng quản lý consent cho doanh nghiệp tuân thủ PDPL

FPT Consenta là giải pháp CMP (Consent Management Platform) của FPT BizNext, được phát triển để đáp ứng trực tiếp các yêu cầu của Luật Bảo vệ Dữ liệu Cá nhân năm 2025.

Thay vì để consent phân tán, FPT Consenta tập trung hóa và chuẩn hóa toàn bộ dữ liệu đồng ý trên mọi kênh từ digital đến offline. Hệ thống lưu trữ trên hạ tầng FPT Cloud tại Việt Nam, đồng bộ trạng thái consent theo thời gian thực, lưu trữ đầy đủ lịch sử audit log, quản lý consent theo từng mục đích xử lý, và xử lý các yêu cầu của người dùng như rút lại, hạn chế hoặc phản đối. Toàn bộ có khả năng tích hợp với các hệ thống lõi hiện có của doanh nghiệp như CRM, CDP hay Data Lake.

Khi quy định pháp lý yêu cầu doanh nghiệp chứng minh được consent hợp lệ, quản lý thủ công hoặc rời rạc gần như không còn khả thi. FPT Consenta là câu trả lời cho bài toán đó.