Việc sử dụng các nền tảng điện toán đám mây (“Cloud”) như Microsoft 365, Amazon Web Services (“AWS”), Google Cloud hoặc các hệ thống ERP toàn cầu như SAP, Oracle và Microsoft Dynamics đã trở thành hạ tầng quen thuộc trong hoạt động của doanh nghiệp. Trên các hệ thống này có thể tồn tại đồng thời dữ liệu nhân viên, khách hàng, nhà cung cấp, tiền lương, giao dịch và nhiều dữ liệu phục vụ vận hành. Vấn đề pháp lý vì thế không dừng ở an toàn thông tin: tùy cách hệ thống được cấu hình và vận hành, một thao tác lưu trữ, đồng bộ hoặc xử lý tưởng như thuần túy kỹ thuật có thể làm phát sinh hoạt động chuyển dữ liệu xuyên biên giới.
Việc sử dụng Microsoft 365, AWS, Google Cloud hoặc ERP toàn cầu có thể làm phát sinh chuyển dữ liệu xuyên biên giới ngay trong quá trình lưu trữ, đồng bộ hoặc xử lý tự động.
Hiện nay, vấn đề này cần được xem xét dưới hai lớp pháp lý: (1) Luật Dữ liệu số 60/2024/QH15 ngày 30/11/2024, có hiệu lực từ 01/7/2025, điều chỉnh dữ liệu số nói chung và thiết lập cơ chế riêng đối với dữ liệu cốt lõi, dữ liệu quan trọng; (2) Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 01/01/2026, điều chỉnh riêng việc xử lý dữ liệu cá nhân. Cùng một hệ thống có thể chứa nhiều nhóm dữ liệu chịu các chế độ pháp lý khác nhau. Vì vậy, doanh nghiệp cần phân loại dữ liệu và xác định nghĩa vụ theo từng nhóm, thay vì mặc nhiên áp dụng đồng thời hai bộ nghĩa vụ cho cùng một tập dữ liệu.
1. Không chỉ gửi file mới là “chuyển dữ liệu”
Việc sử dụng Microsoft 365, AWS, Google Cloud hoặc ERP toàn cầu có thể làm phát sinh chuyển dữ liệu xuyên biên giới ngay trong quá trình lưu trữ, đồng bộ hoặc xử lý tự động. Điểm quyết định không phải tên thương mại của nền tảng, mà là dữ liệu nào được đưa vào hệ thống, dữ liệu đi đâu, chủ thể nào tiếp nhận hoặc có quyền xử lý, và hoạt động xử lý thực tế diễn ra ở đâu. Nói cách khác, trước khi hỏi “dùng cloud có phải chuyển dữ liệu xuyên biên giới hay không”, doanh nghiệp phải nhìn thấy được luồng dữ liệu của chính mình.
Pháp luật hiện hành không giới hạn khái niệm “xuyên biên giới” ở hành vi chủ động gửi một tệp dữ liệu ra nước ngoài. Điều 23.2 Luật Dữ liệu quy định việc chuyển, xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới bao gồm: (i) chuyển dữ liệu đang lưu trữ tại Việt Nam tới hệ thống lưu trữ đặt ngoài lãnh thổ; (ii) chuyển dữ liệu cho tổ chức, cá nhân nước ngoài; và (iii) sử dụng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu. Tương tự, Điều 20.1 Luật Bảo vệ dữ liệu cá nhân bao quát việc chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam sang hệ thống ở nước ngoài, chuyển dữ liệu từ Việt Nam cho tổ chức, cá nhân ở nước ngoài, hoặc sử dụng nền tảng ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam. Trường hợp cuối đặc biệt đáng lưu ý đối với SaaS, Cloud và ERP toàn cầu: hoạt động xử lý có thể đã mang tính xuyên biên giới dù người dùng không thực hiện một thao tác “gửi dữ liệu” riêng biệt.
Chẳng hạn, doanh nghiệp tải hồ sơ khách hàng lên Microsoft 365 để lưu trữ trên hạ tầng ở nước ngoài; cấu hình AWS hoặc Google Cloud để lưu cơ sở dữ liệu tại Singapore; hoặc đưa dữ liệu cá nhân thu thập tại Việt Nam vào ERP đặt ở nước ngoài để phân tích. Những tình huống này có thể thuộc các trường hợp nêu trên, dù người dùng chỉ thực hiện thao tác lưu tài liệu hoặc nhập liệu hằng ngày.
2. Server ở Việt Nam đã giải quyết toàn bộ vấn đề?
Rủi ro chuyển dữ liệu xuyên biên giới thường rõ hơn đối với Cloud và ERP vận hành theo mô hình toàn cầu. Một hệ thống SAP, Oracle hoặc Microsoft Dynamics có thể đồng thời chứa dữ liệu nhân viên, khách hàng, nhà cung cấp, tiền lương, tài khoản ngân hàng và dữ liệu giao dịch. Trong mô hình tập đoàn, dữ liệu được nhập tại Việt Nam nhưng có thể được đồng bộ, lưu trữ, phân tích hoặc truy cập thông qua hệ thống khu vực hay hệ thống toàn cầu. Vì vậy, việc đặt server tại Việt Nam hoặc lựa chọn một địa điểm tại Việt Nam chưa đủ để kết luận toàn bộ vòng đời xử lý dữ liệu diễn ra trong lãnh thổ Việt Nam.
Trong thực tế, một hoạt động “đồng bộ dữ liệu” trong hệ thống ERP có thể về bản chất tạo ra một luồng chuyển dữ liệu xuyên biên giới. Ví dụ, Công ty A tại Việt Nam sử dụng hệ thống SAP chung của tập đoàn. Dữ liệu nhân viên được nhập tại Việt Nam, sau đó tự động đồng bộ với hệ thống nhân sự đặt tại Singapore để phục vụ quản trị nhân sự tập đoàn. Từ góc độ vận hành, đây có thể chỉ được gọi là đồng bộ hóa toàn cầu (global synchronization). Tuy nhiên, từ góc độ bảo vệ dữ liệu cá nhân, doanh nghiệp cần xác định dữ liệu nào được truyền, truyền cho chủ thể nào, được lưu trữ và xử lý tại đâu, cũng như bên nào có quyền truy cập dữ liệu. Đặc biệt, nếu hệ thống cho phép bộ phận công nghệ thông tin, nhân sự hoặc các đơn vị khác của tập đoàn ở nước ngoài truy cập dữ liệu cá nhân của người lao động Việt Nam, doanh nghiệp cần đánh giá riêng khả năng hoạt động này thuộc phạm vi chuyển dữ liệu cá nhân xuyên biên giới.
Đối với Microsoft 365, AWS và Google Cloud, vấn đề cũng không chỉ nằm ở vị trí data center chứa dữ liệu chính. Tùy cấu hình và dịch vụ được sử dụng, dữ liệu hoặc thông tin liên quan đến dữ liệu có thể đi qua các cơ chế hỗ trợ kỹ thuật được vận hành ở quốc gia khác; nhà cung cấp cũng có thể sử dụng nhà cung cấp khác cho một phần dịch vụ.
Vì vậy, đối với Cloud hoặc ERP toàn cầu, yếu tố cần xem xét trọng tâm là luồng dữ liệu ra vào, không chỉ là địa điểm đặt dữ liệu.
Trước khi triển khai, gia hạn hoặc thay đổi đáng kể một hệ thống Cloud/ERP toàn cầu, doanh nghiệp nên lập sơ đồ dòng chảy dữ liệu (data-flow mapping) cho các nhóm dữ liệu liên quan.
3. Có chuyển dữ liệu xuyên biên giới chưa chắc đã phải lập DTIA
Việc một luồng dữ liệu được xác định là chuyển xuyên biên giới chưa đồng nghĩa doanh nghiệp luôn phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (“DTIA”). Điều 20.6(b) Luật Bảo vệ dữ liệu cá nhân quy định ngoại lệ đối với trường hợp cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động của mình trên dịch vụ điện toán đám mây. Nhưng ngoại lệ này gắn với chủ thể dữ liệu và hoạt động lưu trữ cụ thể, không bao phủ toàn bộ tài khoản hay hệ thống cloud. Cùng một môi trường Microsoft 365 có thể chứa hồ sơ người lao động, danh sách khách hàng và thông tin người liên hệ của nhà cung cấp; việc nhóm dữ liệu thứ nhất thuộc ngoại lệ không tự động kéo theo hai nhóm còn lại. Tương tự, nếu ERP sử dụng dữ liệu nhân viên cho mục đích khác ngoài phạm vi ngoại lệ, doanh nghiệp vẫn phải đánh giá riêng luồng xử lý đó.
Cần phân biệt ngoại lệ nêu trên với một trường hợp khác trong Nghị định 356/2025/NĐ-CP. Điều 17.3(d) quy định trường hợp miễn đối với hoạt động chuyển dữ liệu cá nhân xuyên biên giới để quản lý nhân sự theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo pháp luật. Hai ngoại lệ có phạm vi và căn cứ khác nhau. Vì vậy, việc một hệ thống được gọi là hệ thống nhân sự toàn cầu (Global HR) hoặc doanh nghiệp có quy chế nhân sự nội bộ chưa đủ để mặc nhiên đưa mọi hoạt động chia sẻ dữ liệu với công ty mẹ hay xử lý cho các mục đích khác vào phạm vi miễn. Mục đích xử lý, loại dữ liệu và tài liệu lao động làm căn cứ phải được đối chiếu với luồng dữ liệu thực tế.
Điểm khó trong thực tế vì thế không chỉ là xác định “có chuyển dữ liệu hay không”, mà còn là chứng minh ranh giới giữa các luồng dữ liệu trên cùng một hệ thống: dữ liệu nào chỉ được lưu trữ, dữ liệu nào phục vụ quản lý nhân sự, dữ liệu nào được chia sẻ hoặc xử lý cho mục đích khác, và luồng nào thuộc trường hợp miễn. Hợp đồng với nhà cung cấp, cấu hình kỹ thuật và thực tế vận hành phải kể cùng một câu chuyện. Nếu ba lớp này không thống nhất, căn cứ miễn trên giấy tờ có thể không phản ánh đúng hoạt động xử lý thực tế.
4. Doanh nghiệp cần rà soát những gì?
Trước khi triển khai, gia hạn hoặc thay đổi đáng kể một hệ thống Cloud/ERP toàn cầu, doanh nghiệp nên lập sơ đồ dòng chảy dữ liệu (data-flow mapping) cho các nhóm dữ liệu liên quan. Việc rà soát không nên dừng ở câu hỏi “dữ liệu được lưu ở đâu”, mà cần trả lời ít nhất các câu hỏi: dữ liệu được thu thập từ đâu; đi vào hệ thống nào; được lưu trữ, sao lưu hoặc lưu trữ dự phòng ở đâu; chủ thể nào có quyền truy cập; có được cung cấp cho nhà cung cấp ở nước ngoài hay không; và dữ liệu được xử lý cho mục đích gì. Đây cũng là nền tảng để lập hồ sơ DTIA khi nghĩa vụ phát sinh, bởi pháp luật yêu cầu mô tả luồng xử lý và hệ thống lưu trữ, xử lý dữ liệu sau khi chuyển.
Song song đó, doanh nghiệp cần xác định đúng vai trò pháp lý của từng chủ thể trong chuỗi xử lý. Doanh nghiệp Việt Nam có thể là bên quyết định mục đích và phương tiện xử lý; nhà cung cấp Cloud có thể là bên xử lý; công ty mẹ hoặc đơn vị IT khu vực có thể trở thành chủ thể tiếp nhận hoặc tiếp tục xử lý; còn các đơn vị cung cấp dịch vụ con khác có thể đảm nhiệm các dịch vụ hỗ trợ kỹ thuật, bảo mật hoặc lưu trữ. Việc gắn đúng vai trò uyết định ai phải thực hiện nghĩa vụ nào, hợp đồng cần phân bổ trách nhiệm ra sao và doanh nghiệp phải kiểm soát những điểm nào trong dòng chảy dữ liệu.
Về mặt hợp đồng, doanh nghiệp nên rà soát thỏa thuận xử lý dữ liệu, điều khoản chuyển dữ liệu, danh sách bên nhận, vị trí lưu trữ/xử lý, quyền truy cập, cơ chế thông báo sự cố, bảo mật, thời hạn lưu giữ và xóa dữ liệu. Một điểm đặc biệt cần kiểm tra là liệu nhà cung cấp có quyền đơn phương bổ sung nhà cung cấp dịch vụ xử lý dữ liệu hoặc chuyển hoạt động xử lý sang quốc gia khác hay không. Nếu có, doanh nghiệp cần bảo đảm mình có cơ chế thông báo, quyền đánh giá hoặc phản đối phù hợp và khả năng cập nhật hồ sơ tuân thủ khi dòng dữ liệu thay đổi.
Trong môi trường Cloud và ERP toàn cầu, ranh giới pháp lý của hoạt động chuyển dữ liệu xuyên biên giới không thể xác định chỉ bằng vị trí đặt máy chủ hay tên nhà cung cấp dịch vụ. Điều quyết định là luồng dữ liệu thực tế: dữ liệu được chuyển đến đâu, ai tiếp nhận, ai xử lý và nhằm mục đích gì. Chỉ khi nhận diện được những yếu tố này, doanh nghiệp mới có thể phân biệt ba tình huống pháp lý: không phát sinh chuyển dữ liệu xuyên biên giới; có chuyển nhưng được miễn đánh giá tác động; hoặc có chuyển và phải thực hiện DTIA. Quản trị rủi ro pháp lý trên cloud, vì vậy, phải bắt đầu từ việc hiểu và kiểm soát luồng dữ liệu, thay vì chỉ dựa vào cam kết lưu trữ của nhà cung cấp.
