Chuyển dữ liệu xuyên biên giới: thủ tục và thời hạn

Bài viết theo Nghị định 165/2025/NĐ-CP có hiệu lực từ ngày 01/07/2025

Doanh nghiệp dùng máy chủ nước ngoài, thuê dịch vụ đám mây, hoặc gửi dữ liệu về công ty mẹ đều là chuyển dữ liệu xuyên biên giới. Nghĩa vụ khác nhau rõ rệt giữa dữ liệu cốt lõi và dữ liệu quan trọng.

Hai loại dữ liệu, hai đường thủ tục

Loại dữ liệu	Nghĩa vụ khi chuyển ra nước ngoài
Dữ liệu cốt lõi	Gửi hồ sơ đánh giá tác động và phải chờ kết quả đánh giá đạt mới được chuyển
Dữ liệu quan trọng	Lập hồ sơ đánh giá tác động và gửi trước 15 ngày, khỏi cần chờ chấp thuận

Hồ sơ gửi Bộ Công an. Riêng lĩnh vực quân sự, quốc phòng, cơ yếu thì gửi Bộ Quốc phòng.

Thời hạn đánh giá với dữ liệu cốt lõi

Hoàn thành đánh giá trong 10 ngày kể từ ngày nhận được hồ sơ đầy đủ, hợp lệ.
Hồ sơ phức tạp, cần xác minh, kiểm tra thì khỏi quá 15 ngày.
Bên chuyển dữ liệu được thông báo bằng văn bản về kết quả đánh giá.
Nhận kết quả đạt thì chủ quản dữ liệu mới quyết định việc chuyển.

Đánh giá tác động làm một lần

Đánh giá tác động chuyển dữ liệu cốt lõi, dữ liệu quan trọng ra nước ngoài được thực hiện 01 lần cho suốt thời gian hoạt động của tổ chức, doanh nghiệp.

Sau đó chỉ cập nhật, bổ sung khi có thay đổi.

Nghĩa là khỏi phải làm lại thủ tục cho từng lần chuyển dữ liệu.

Nhưng bản đánh giá phải phản ánh đúng thực tế đang chạy, khỏi để lạc hậu so với hệ thống.

Bên chuyển phải đánh giá những gì

Tính hợp pháp, sự cần thiết, phạm vi, phương thức truyền dữ liệu và cách xử lý của bên nhận.
Rủi ro cho quốc phòng, an ninh, hoạt động kinh tế, đối ngoại, ổn định xã hội, lợi ích công cộng và quyền lợi hợp pháp của cá nhân, tổ chức.
Rủi ro dữ liệu bị giả mạo, phá hủy, rò rỉ, mất hoặc sử dụng bất hợp pháp.
Trách nhiệm và nghĩa vụ, các biện pháp quản lý và kỹ thuật của bên nhận dữ liệu.

Sáu điều hợp đồng phải ghi rõ

Mục đích, phương pháp, phạm vi xuất dữ liệu và cách bên nhận xử lý dữ liệu.
Địa điểm và thời gian lưu trữ, cùng biện pháp xử lý dữ liệu sau khi hết thời hạn lưu trữ hoặc hoàn thành mục tiêu.
Ràng buộc về việc bên nhận cung cấp dữ liệu cho bên thứ ba.
Các biện pháp bảo vệ dữ liệu mà bên nhận sẽ sử dụng.
Biện pháp khắc phục hậu quả, bồi thường thiệt hại, trách nhiệm xử lý vi phạm hợp đồng và cách giải quyết tranh chấp.
Trách nhiệm của các bên trong việc xử lý dữ liệu.

Phân biệt hai loại dữ liệu

Cả hai đều xét trên mức tác động tới quốc phòng, an ninh, cơ yếu, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng khi bị thu thập, sử dụng trái phép, và khỏi bao gồm bí mật nhà nước. Khác nhau ở mức độ.

Loại	Căn cứ xác định
Dữ liệu quan trọng	Dữ liệu có thể gây tác động nguy hiểm
Dữ liệu cốt lõi	Dữ liệu trực tiếp gây tác động nguy hiểm

Nhóm kinh tế gồm dữ liệu tác động đến phát triển và vận hành kinh tế vĩ mô, ngành kinh tế quan trọng, tổng cung và tổng cầu, tổng giá trị kinh tế quốc gia, tỷ lệ thất nghiệp, lĩnh vực tiền tệ, thương mại, xuất nhập khẩu và cung ứng hàng hóa, dịch vụ thiết yếu.

Việc cần làm

Lập danh mục dữ liệu doanh nghiệp đang gửi ra nước ngoài, gồm cả dịch vụ đám mây và hệ thống của công ty mẹ.
Phân loại xem có dữ liệu nào rơi vào nhóm cốt lõi hay quan trọng hay khỏi.
Có dữ liệu cốt lõi thì nộp hồ sơ sớm, vì phải chờ kết quả đánh giá mới được chuyển.
Có dữ liệu quan trọng thì gửi hồ sơ trước ít nhất 15 ngày so với ngày bắt đầu xử lý.
Rà lại hợp đồng với nhà cung cấp nước ngoài, bổ sung đủ sáu nội dung bắt buộc.
Cập nhật bản đánh giá tác động mỗi khi đổi nhà cung cấp hoặc đổi phạm vi dữ liệu.

Chuyển dữ liệu cốt lõi ra nước ngoài có phải xin phép không?

Phải gửi hồ sơ đánh giá tác động đến Bộ Công an, hoặc Bộ Quốc phòng với lĩnh vực quân sự, quốc phòng, cơ yếu, và chỉ được chuyển sau khi nhận kết quả đánh giá đạt.

Dữ liệu quan trọng thì sao?

Khỏi cần sự chấp thuận trước. Bên chuyển lập hồ sơ đánh giá tác động và gửi 01 bản chính tới Bộ Công an hoặc Bộ Quốc phòng trước 15 ngày khi tiến hành xử lý dữ liệu.

Cơ quan đánh giá hồ sơ trong bao lâu?

10 ngày kể từ ngày nhận được hồ sơ đầy đủ, hợp lệ. Hồ sơ phức tạp cần xác minh, kiểm tra thì khỏi quá 15 ngày.

Mỗi lần chuyển dữ liệu có phải đánh giá lại không?

Không. Đánh giá tác động được thực hiện 01 lần cho suốt thời gian hoạt động của tổ chức, doanh nghiệp, và được cập nhật, bổ sung khi có thay đổi.

Hợp đồng với bên nhận dữ liệu phải có gì?

Mục đích, phương pháp và phạm vi xuất dữ liệu cùng cách xử lý của bên nhận; địa điểm và thời gian lưu trữ, biện pháp xử lý sau khi hết thời hạn; ràng buộc về việc cung cấp cho bên thứ ba; các biện pháp bảo vệ dữ liệu; biện pháp khắc phục hậu quả, bồi thường và giải quyết tranh chấp; và trách nhiệm của các bên.

Dữ liệu cốt lõi khác dữ liệu quan trọng ở đâu?

Dữ liệu quan trọng là dữ liệu có thể gây tác động nguy hiểm, còn dữ liệu cốt lõi là dữ liệu trực tiếp gây tác động nguy hiểm, xét trên cùng các lĩnh vực quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng.

Bí mật nhà nước có nằm trong hai loại này không?

Không. Tiêu chí xác định dữ liệu quan trọng và dữ liệu cốt lõi khỏi bao gồm bí mật nhà nước.