Công ty mẹ ở nước ngoài truy cập dữ liệu khách hàng Việt Nam có phải báo cáo không?

Có khả năng cao là có — việc công ty mẹ ở nước ngoài truy cập được dữ liệu khách hàng Việt Nam, dù không phải "gửi file" theo cách hiểu thông thường, vẫn có thể bị coi là chuyển dữ liệu xuyên biên giới theo luật hiện hành, và đi kèm nghĩa vụ nộp hồ sơ đánh giá tác động trong một thời hạn cụ thể. Căn cứ khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: bên chuyển dữ liệu cá nhân ra nước ngoài phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và nộp bản gốc cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 NGÀY kể từ ngày bắt đầu xử lý (lần chuyển đầu tiên). Điểm quan trọng: khái niệm "chuyển dữ liệu ra nước ngoài" trong thực tiễn áp dụng ở nhiều khung pháp lý tương tự thường không giới hạn ở việc chủ động gửi file — bao gồm cả trường hợp một bên ở nước ngoài được CẤP QUYỀN TRUY CẬP vào hệ thống lưu trữ dữ liệu, dù dữ liệu vật lý vẫn nằm trên máy chủ tại Việt Nam. Với tình huống công ty mẹ ở Singapore có quyền truy cập hệ thống chung để phân tích dữ liệu khách hàng Việt Nam, đây rất có thể rơi vào phạm vi cần đánh giá — công ty nên rà soát kỹ, tốt nhất tham vấn đơn vị tư vấn pháp lý về phạm vi truy cập cụ thể để xác định chắc chắn có thuộc diện phải nộp hồ sơ hay không, vì cách xác định phụ thuộc nhiều vào tính chất, mức độ, mục đích của quyền truy cập đó. Về các trường hợp được miễn nghĩa vụ này, khoản 6 Điều 20 liệt kê một số trường hợp loại trừ, bao gồm: cơ quan nhà nước thực hiện theo chức năng, nhiệm vụ; chính chủ thể dữ liệu tự mình chuyển dữ liệu của bản thân ra nước ngoài; và đáng chú ý — người sử dụng lao động lưu trữ dữ liệu của CHÍNH NHÂN VIÊN mình trên nền tảng đám mây/hệ thống của họ đặt ở nước ngoài. Lưu ý trường hợp miễn này chỉ áp dụng cho dữ liệu NHÂN VIÊN của chính doanh nghiệp, không áp dụng cho dữ liệu KHÁCH HÀNG — nên tình huống công ty bạn nêu (dữ liệu khách hàng, không phải nhân viên) không thuộc diện miễn trừ này. Về nội dung hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, đây là văn bản cần mô tả: loại dữ liệu được chuyển, mục đích chuyển và xử lý ở nước tiếp nhận, bên tiếp nhận dữ liệu, các biện pháp bảo vệ dữ liệu áp dụng, và đánh giá rủi ro liên quan — cấu trúc cụ thể của hồ sơ do Nghị định 356/2025/NĐ-CP quy định chi tiết thêm. Một điểm cần lưu ý về mặt thời hạn: quy định nói "60 ngày kể từ ngày bắt đầu xử lý" (tức lần chuyển dữ liệu đầu tiên) — nếu công ty đã hoạt động theo mô hình chia sẻ dữ liệu với công ty mẹ từ TRƯỚC ngày 01/01/2026 (khi Luật có hiệu lực), cần đối chiếu với điều khoản chuyển tiếp tại Điều 39 Luật: nếu đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023/NĐ-CP cũ và đã được cơ quan chuyên trách tiếp nhận, hồ sơ đó vẫn có giá trị, không phải nộp lại — chỉ khi có thay đổi hoặc đây là lần đầu tiên công ty thực hiện việc chia sẻ dữ liệu kiểu này thì mới tính mốc 60 ngày từ thời điểm phát sinh. Công ty nên làm gì: 1) Xác định rõ bản chất kỹ thuật của việc "công ty mẹ có quyền truy cập": là truy cập trực tiếp vào hệ thống đặt tại Việt Nam, hay dữ liệu thực sự được đồng bộ/sao lưu sang máy chủ đặt tại Singapore? Cách trả lời ảnh hưởng đến việc xác định có phải chuyển dữ liệu ra nước ngoài hay không. 2) Kiểm tra xem trước đây công ty đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023 cũ chưa — nếu có và đã được tiếp nhận, có thể không cần nộp lại theo điều khoản chuyển tiếp. 3) Nếu chưa từng nộp và việc chia sẻ dữ liệu với công ty mẹ đã/đang diễn ra, nên khẩn trương chuẩn bị hồ sơ đánh giá tác động và nộp cho cơ quan chuyên trách, tính từ thời điểm sớm nhất có thể xác định là "ngày bắt đầu xử lý" để tránh vi phạm thời hạn 60 ngày. 4) Rà soát hợp đồng/thỏa thuận nội bộ tập đoàn về việc chia sẻ dữ liệu giữa công ty mẹ và chi nhánh Việt Nam, đảm bảo có điều khoản về bảo vệ dữ liệu, phạm vi sử dụng, thời hạn lưu trữ rõ ràng — đây thường là một phần nội dung cần thể hiện trong hồ sơ đánh giá tác động.Nguồn: Điều 20, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Nghị định 356/2025/NĐ-CP