Đưa dữ liệu doanh nghiệp lên nền tảng và AI nước ngoài: pháp luật Việt Nam nói gì?

Câu trả lời ngắn

Đây là kết quả tra cứu của chúng tôi, không phải lời bảo đảm rằng không còn quy định nào khác. Điều chắc chắn là: tùy loại dữ liệu mà bạn đưa lên nền tảng nước ngoài, nghĩa vụ của doanh nghiệp khác nhau rất nhiều. Dưới đây là từng nhóm.

1. Dữ liệu cá nhân của khách hàng và nhân viên

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026. Điều 20 coi các trường hợp sau là chuyển dữ liệu cá nhân ra nước ngoài:

• Chuyển dữ liệu cá nhân đang lưu ở Việt Nam tới hệ thống đặt ngoài lãnh thổ.
• Chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài.
• Dùng nền tảng ngoài lãnh thổ để xử lý dữ liệu cá nhân thu thập tại Việt Nam.

Nghĩa vụ chính là lập hồ sơ đánh giá tác động của việc chuyển dữ liệu và gửi một bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển. Theo chữ của luật, chúng tôi không thấy yêu cầu phải chờ chấp thuận trước. Cơ quan chuyên trách có thể yêu cầu ngừng chuyển khi dữ liệu được dùng vào hoạt động có thể gây tổn hại quốc phòng, an ninh quốc gia.

Luật cũng nêu các trường hợp không phải lập hồ sơ, trong đó có tổ chức lưu dữ liệu cá nhân của chính người lao động của mình trên đám mây. Nghị định 356/2025/NĐ-CP (ban hành ngày 31/12/2025, hiệu lực từ ngày 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP) hướng dẫn chi tiết, trong đó điện toán đám mây nước ngoài được nêu trong các trường hợp chuyển dữ liệu xuyên biên giới.

Về xử phạt, Điều 8 của luật quy định mức phạt tối đa đối với tổ chức vi phạm quy định chuyển dữ liệu xuyên biên giới là 5% doanh thu của năm trước liền kề; các vi phạm khác tối đa 3 tỷ đồng; cá nhân bị phạt tối đa bằng một nửa mức của tổ chức. Nghị định 330/2026/NĐ-CP (ban hành và có hiệu lực từ ngày 19/8/2026) quy định xử phạt vi phạm hành chính về an ninh mạng và bảo vệ dữ liệu cá nhân, cũng nêu mức tối đa 5% doanh thu năm trước liền kề cho hành vi chuyển dữ liệu cá nhân xuyên biên giới, tối đa 3 tỷ đồng cho vi phạm bảo vệ dữ liệu cá nhân và tối đa 10 lần khoản thu có được cho hành vi mua, bán dữ liệu cá nhân (Điều 7).

Doanh nghiệp nhỏ, khởi nghiệp và hộ kinh doanh có được miễn không?

Chưa thể kết luận là được miễn. Điều 38 cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp quyền lựa chọn thực hiện hoặc không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 trong thời gian 05 năm kể từ ngày luật có hiệu lực. Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các điều đó. Đó là đánh giá tác động xử lý dữ liệu cá nhân, cập nhật hồ sơ và chỉ định nhân sự hoặc thuê dịch vụ bảo vệ dữ liệu.

Điều 20 về chuyển dữ liệu ra nước ngoài không nằm trong danh sách này, và chúng tôi chưa thấy văn bản nào nói ngược lại. Ngoài ra, quyền lựa chọn không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể.

2. Dữ liệu cốt lõi và dữ liệu quan trọng

Luật Dữ liệu số 60/2024/QH15 có hiệu lực từ ngày 01/7/2025, phân loại dữ liệu thành dữ liệu cốt lõi, dữ liệu quan trọng và dữ liệu khác. Điều 13 yêu cầu cả chủ sở hữu, chủ quản dữ liệu không phải cơ quan nhà nước cũng phải phân loại dữ liệu của mình. Danh mục dữ liệu cốt lõi và dữ liệu quan trọng do Thủ tướng ban hành; theo Báo Chính phủ, Quyết định 20/2025/QĐ-TTg gồm 26 loại dữ liệu cốt lõi và 18 loại dữ liệu quan trọng.

Điều 23 áp dụng cho việc chuyển dữ liệu cốt lõi và dữ liệu quan trọng xuyên biên giới, kể cả khi dùng nền tảng ở ngoài lãnh thổ để xử lý dữ liệu. Việc này phải bảo đảm quốc phòng, an ninh và lợi ích quốc gia. Nghị định 165/2025/NĐ-CP (ban hành ngày 30/6/2025, hiệu lực từ ngày 01/7/2025) hướng dẫn chi tiết. Theo các trang tổng hợp pháp luật, trước khi chuyển phải đánh giá tác động; dữ liệu cốt lõi phải gửi hồ sơ cho Bộ Công an hoặc Bộ Quốc phòng chờ kết quả, còn dữ liệu quan trọng không cần chấp thuận trước nhưng phải lập và gửi hồ sơ.

Quy định này áp dụng cho dữ liệu thuộc danh mục, không phải mọi dữ liệu của mọi doanh nghiệp. Doanh nghiệp nên đối chiếu dữ liệu mình quản lý với danh mục trước khi kết luận.

3. Bí mật nhà nước

Luật Bảo vệ bí mật nhà nước số 29/2018/QH14 liệt kê các hành vi bị nghiêm cấm tại Điều 5, gồm: soạn thảo, lưu giữ tài liệu mật trên máy tính hoặc thiết bị đã kết nối hoặc đang kết nối Internet (trừ trường hợp theo pháp luật về cơ yếu); truyền đưa bí mật nhà nước trên phương tiện thông tin, viễn thông trái quy định về cơ yếu; đăng tải, phát tán bí mật nhà nước trên mạng Internet và các phương tiện thông tin đại chúng.

Nhóm này chỉ liên quan khi doanh nghiệp được tiếp cận bí mật nhà nước, ví dụ qua hợp đồng với cơ quan nhà nước. Chúng tôi chưa xác minh đầy đủ trách nhiệm của doanh nghiệp tư nhân trong trường hợp đó, nên hãy hỏi đơn vị giao tài liệu hoặc luật sư.

4. Hệ thống thông tin và an ninh mạng

Luật An ninh mạng số 116/2025/QH15 thay thế Luật An ninh mạng 2018, được Quốc hội thông qua ngày 10/12/2025 và có hiệu lực từ ngày 01/7/2026. Theo bản đăng lại của điều luật, khoản 2 Điều 26 về bảo đảm an ninh dữ liệu có nội dung kiểm tra, đánh giá việc chuyển dữ liệu xuyên biên giới.

Về lưu trữ dữ liệu trong nước, Điều 25 của luật nêu nghĩa vụ của doanh nghiệp cung cấp dịch vụ viễn thông, Internet và dịch vụ giá trị gia tăng trên không gian mạng, trong đó có lưu dữ liệu của người dùng Việt Nam tại Việt Nam trong thời gian Chính phủ quy định. Nghị định 333/2026/NĐ-CP (ban hành và có hiệu lực từ ngày 19/8/2026) quy định chi tiết tại Điều 19 và Điều 20: dữ liệu người dùng Việt Nam phải lưu trữ tại Việt Nam, doanh nghiệp trong nước lưu tại Việt Nam, thời gian lưu tối thiểu 24 tháng kể từ khi nhận yêu cầu, riêng nhật ký hệ thống phục vụ điều tra lưu tối thiểu 12 tháng.

Doanh nghiệp không cung cấp loại dịch vụ này thì chưa chắc thuộc diện. Còn doanh nghiệp cung cấp ứng dụng, trang web, thương mại điện tử hay dịch vụ trực tuyến cho người dùng tại Việt Nam nên hỏi chuyên gia pháp lý để xác định mình có thuộc diện hay không, vì chúng tôi chưa đọc hết phần hướng dẫn về đối tượng áp dụng.

Cần theo dõi: dự án Luật An ninh dữ liệu

Theo Báo Chính phủ ngày 26/10/2026, Chính phủ đã trình Quốc hội dự án Luật An ninh dữ liệu, trong đó dự thảo phân dữ liệu theo cấp độ và quy định thủ tục chuyển ra nước ngoài tương ứng. Đây chưa phải luật có hiệu lực và chưa có số hiệu.

Ba việc chủ doanh nghiệp có thể làm trong tuần này

• Lập danh mục dữ liệu của doanh nghiệp: có những loại nào (khách hàng cá nhân, hợp đồng, tài chính, kỹ thuật), ai được truy cập, đang lưu ở dịch vụ nào.
• Đặt quy tắc dùng công cụ AI cho nhân viên: không dán dữ liệu cá nhân của khách hàng hay tài liệu mật vào chatbot công cộng, dùng tài khoản của doanh nghiệp.
• Nếu đang dùng dịch vụ đám mây hoặc AI ở nước ngoài để xử lý dữ liệu cá nhân của khách hàng Việt Nam, hỏi nhà cung cấp về nơi xử lý dữ liệu và hỏi luật sư về hồ sơ đánh giá tác động trong 60 ngày.