Chuyển dữ liệu cá nhân ra nước ngoài là gì? Khi nào phải lập hồ sơ đánh giá tác động (TIA)
Chuyển dữ liệu cá nhân ra nước ngoài là đưa dữ liệu thu thập tại Việt Nam ra khỏi lãnh thổ, kể cả khi chỉ lưu lên máy chủ hay đám mây ở nước ngoài; theo Luật 91/2025/QH15, bên chuyển phải lập hồ sơ đánh giá tác động (TIA) và gửi trong 60 ngày.
Doanh nghiệp FDI và doanh nghiệp dùng phần mềm nước ngoài thường hỏi: việc mình đang làm có tính là chuyển không, có được miễn không, hồ sơ gồm gì. Phần dưới trả lời theo Nghị định 356/2025/NĐ-CP. Cần làm hồ sơ ngay, xem dịch vụ lập hồ sơ chuyển dữ liệu cá nhân ra nước ngoài của Musk-IS.
Điểm chính
- Có 3 trường hợp được tính là chuyển xuyên biên giới, trong đó có việc lưu dữ liệu thu thập tại Việt Nam lên máy chủ, đám mây ở nước ngoài (Điều 17 Nghị định 356/2025/NĐ-CP).
- Hồ sơ gồm Báo cáo theo Mẫu số 09, quyết định phân công nhân sự bảo vệ dữ liệu, bản sao hợp đồng chuyển giao và chính sách, quy trình; gửi kèm thông báo Mẫu số 01a/01b trong 60 ngày từ lần chuyển đầu tiên.
- Không phải lập khi lưu dữ liệu người lao động của tổ chức trên điện toán đám mây, quản lý nhân sự xuyên biên giới theo nội quy, và một số trường hợp thanh toán, logistics, visa.
- Doanh nghiệp nhỏ được miễn hồ sơ đánh giá tác động xử lý dữ liệu, nhưng không được miễn hồ sơ chuyển dữ liệu ra nước ngoài.
Chuyển dữ liệu cá nhân ra nước ngoài là gì? Trường hợp nào được tính?
Theo Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 và khoản 1 Điều 17 Nghị định 356/2025/NĐ-CP, có ba trường hợp được tính là chuyển dữ liệu cá nhân xuyên biên giới: lưu dữ liệu thu thập tại Việt Nam lên máy chủ hoặc đám mây đặt ở nước ngoài; chuyển dữ liệu cho bên nhận ở nước ngoài; và chuyển dữ liệu lên nền tảng ở nước ngoài để xử lý tiếp.
Trường hợp thứ nhất là trường hợp doanh nghiệp bỏ sót nhiều nhất. Không cần gửi file cho ai, chỉ cần CRM, email marketing, phần mềm nhân sự, công cụ chat chăm sóc khách hàng đặt máy chủ ngoài Việt Nam là đã có dữ liệu ra nước ngoài mỗi ngày. Phần lớn dịch vụ SaaS quốc tế thuộc nhóm này. Ngược lại, nếu chính doanh nghiệp cung cấp dịch vụ trực tuyến cho khách hàng, hệ thống đó còn phải xác định cấp độ an toàn hệ thống thông tin theo Nghị định 331/2026/NĐ-CP.
Trường hợp thứ hai quen thuộc hơn: nhà máy gửi danh sách nhân viên cho công ty mẹ ở Đài Loan, Hàn Quốc; công ty xuất khẩu gửi thông tin khách hàng cho đối tác logistics quốc tế. Trường hợp thứ ba gồm việc thuê đơn vị nước ngoài phân tích dữ liệu giao dịch, chấm điểm tín dụng, hay dùng dịch vụ AI đặt ngoài Việt Nam để xử lý dữ liệu khách hàng.
Luật dùng cụm “bên chuyển dữ liệu” cho tổ chức ở Việt Nam đưa dữ liệu đi, và “bên nhận” cho tổ chức ở nước ngoài. Một công ty có thể vừa là bên chuyển với dữ liệu nhân viên, vừa là bên xử lý với dữ liệu khách hàng mà nó quản lý hộ khách hàng khác.
Cách tự kiểm nhanh nhất là mở hợp đồng hoặc trang điều khoản của từng phần mềm đang dùng và tìm mục “nơi lưu trữ dữ liệu” (data location, data residency). Nhiều nhà cung cấp cho chọn vùng lưu trữ; có dịch vụ đặt máy chủ ở Singapore, Nhật Bản hay Mỹ mà người dùng không để ý. Một công ty thương mại điện tử cỡ vừa thường có 10–20 dịch vụ như vậy: nền tảng bán hàng, cổng thanh toán, công cụ đo lường quảng cáo, phần mềm tổng đài, công cụ gửi tin nhắn. Mỗi dịch vụ chứa dữ liệu khách hàng là một luồng cần được xem xét.
Trường hợp nào phải lập hồ sơ, trường hợp nào được miễn?
Mặc định, mọi trường hợp chuyển dữ liệu xuyên biên giới đều phải lập hồ sơ đánh giá tác động. Luật 91 và Nghị định 356 liệt kê một số ngoại lệ cụ thể; ngoài danh sách đó thì không được tự suy ra là được miễn.
| Tình huống | Có phải lập hồ sơ? | Căn cứ |
|---|---|---|
| Dùng CRM, email marketing, công cụ phân tích đặt máy chủ ở nước ngoài cho dữ liệu khách hàng | Có | Điều 17.1 Nghị định 356 |
| Công ty mẹ ở nước ngoài xử lý đơn hàng, dữ liệu khách hàng của công ty con Việt Nam | Có | Điều 17.1 Nghị định 356 |
| Thuê đơn vị nước ngoài xử lý dữ liệu khách hàng Việt Nam | Có | Điều 17.1 Nghị định 356 |
| Tổ chức lưu dữ liệu người lao động của chính mình trên điện toán đám mây | Không | Điều 20.6 Luật 91 |
| Quản lý nhân sự xuyên biên giới theo nội quy, quy chế lao động, thỏa ước lao động tập thể | Không | Điều 17.3 Nghị định 356 |
| Cung cấp dữ liệu để ký hợp đồng, làm thủ tục vận chuyển, logistics, chuyển tiền, thanh toán, đặt khách sạn, visa, học bổng | Không | Điều 17.3 Nghị định 356 |
| Chủ thể dữ liệu tự chuyển dữ liệu của mình | Không | Điều 20.6 Luật 91 |
| Doanh nghiệp nhỏ, khởi nghiệp chuyển dữ liệu khách hàng ra nước ngoài | Có | Điều 38 Luật 91 không miễn Điều 20 |
Dòng cuối bảng là điểm nhiều doanh nghiệp hiểu sai. Điều 38 Luật 91 cho doanh nghiệp nhỏ, khởi nghiệp chọn chưa thực hiện hồ sơ đánh giá tác động xử lý dữ liệu và chưa chỉ định nhân sự bảo vệ dữ liệu trong 5 năm, nhưng không nhắc đến hồ sơ chuyển dữ liệu ra nước ngoài. Một startup dùng toàn công cụ SaaS nước ngoài vì vậy vẫn cần hồ sơ TIA dù được miễn DPIA.
Ngoại lệ về nhân sự cũng hẹp hơn nhiều người nghĩ. Công ty mẹ dùng hệ thống nhân sự chung để quản lý lương, đánh giá, điều chuyển theo quy chế lao động thì có thể được miễn. Nhưng nếu dữ liệu nhân viên được dùng cho mục đích ngoài quản lý nhân sự, ví dụ bộ phận marketing của tập đoàn dùng danh sách để chạy chương trình bán hàng nội bộ, thì không còn nằm trong ngoại lệ đó.
Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài gồm những gì?
Khoản 2 Điều 18 Nghị định 356/2025/NĐ-CP nêu ba phần cốt lõi: Báo cáo đánh giá tác động theo Mẫu số 09, bản sao hợp đồng chuyển giao dữ liệu với bên nhận, và các chính sách, quy trình liên quan.
Khi nộp thực tế, thủ tục hành chính Bộ Công an công bố tại Quyết định 778/QĐ-BCA-A05 ngày 09/02/2026 yêu cầu bộ hồ sơ gồm: thông báo Mẫu số 01a (tổ chức) hoặc 01b (cá nhân); Báo cáo Mẫu số 09; bản sao quyết định hoặc giấy tờ phân công bộ phận, nhân sự bảo vệ dữ liệu; bản sao hợp đồng dịch vụ bảo vệ dữ liệu (nếu thuê ngoài); bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu với các bên; và giấy tờ khác như chứng minh năng lực nhân sự bảo vệ dữ liệu, chính sách, quy trình, biểu mẫu. Thủ tục không mất phí.
Khoản 3 Điều 18 yêu cầu báo cáo có 9 nhóm nội dung. Bảng dưới là khung kèm lưu ý viết, có thể dùng làm checklist trước khi chốt hồ sơ.
| Nội dung báo cáo (Điều 18.3) | Lưu ý khi viết |
|---|---|
| a. Thông tin bên chuyển, bên nhận, bên xử lý và các bên liên quan | Liệt kê cả công ty mẹ, nhà cung cấp cloud, đơn vị thuê ngoài |
| b. Liên lạc bộ phận, nhân sự bảo vệ dữ liệu | Ghi đầu mối thật của cả hai phía |
| c. Mục đích, loại dữ liệu, hoạt động chuyển và xử lý, sơ đồ luồng dữ liệu | Sơ đồ phải vẽ tới hệ thống của bên nhận, không dừng ở biên giới |
| d. Sự đồng ý, lưu trữ, xóa, hủy | Thời hạn lưu ở nước ngoài gắn với mục đích |
| đ. Phương án bảo đảm an toàn sau khi chuyển, tiêu chuẩn áp dụng | Mã hóa khi truyền và khi lưu, phân quyền ở phía bên nhận |
| e. Sơ đồ hệ thống lưu trữ, xử lý của bên nhận | Cần bên nhận cung cấp; nên xin sớm |
| g. Quy trình bên nhận chuyển tiếp cho bên thứ ba | Ví dụ công ty mẹ gửi tiếp cho kiểm toán, nhà cung cấp phần mềm |
| h. Kết quả tự đánh giá tuân thủ | Nêu điểm chưa đáp ứng và kế hoạch khắc phục |
| i. Mức độ bảo vệ của bên nhận, rủi ro và biện pháp giảm thiểu | Mỗi rủi ro gắn với một biện pháp cụ thể |
Phần khó nhất thường là mục e và g, vì thông tin nằm ở phía bên nhận. Công ty con Việt Nam ít khi có sơ đồ hệ thống của tập đoàn, còn nhà cung cấp SaaS lớn chỉ đưa tài liệu chuẩn chung. Doanh nghiệp nên gửi danh sách câu hỏi cho bên nhận ngay tuần đầu, vì đây thường là phần kéo dài thời gian nhất.
Quy trình nộp hồ sơ và thời hạn
Hồ sơ gửi Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an, trong 60 ngày kể từ lần chuyển dữ liệu đầu tiên. Cục trả kết quả trong 15 ngày (không tính ngày nghỉ lễ, Tết, kể từ khi nhận đủ hồ sơ hợp lệ); nếu hồ sơ chưa đầy đủ, doanh nghiệp hoàn thiện trong 30 ngày kể từ khi nhận kết quả.
Theo khoản 3 Điều 20 Luật 91, hồ sơ được lập một lần và cập nhật khi có thay đổi, không phải nộp mới cho mỗi lần chuyển. Khoản 4 cho phép cơ quan chuyên trách kiểm tra việc chuyển dữ liệu định kỳ không quá một lần mỗi năm, hoặc đột xuất. Theo khoản 2 Điều 17 Nghị định 356, cơ quan chuyên trách có thể yêu cầu ngừng chuyển khi dữ liệu bị dùng xâm phạm quốc phòng, an ninh, hoặc có vi phạm có thể gây tổn hại quốc phòng, an ninh.
Một quy trình làm hồ sơ hợp lý đi theo thứ tự sau:
- Kiểm kê mọi hệ thống, nhà cung cấp, bên nhận có máy chủ hoặc trụ sở ngoài Việt Nam.
- Với từng luồng dữ liệu, xác định có thuộc trường hợp được miễn hay không và ghi lại lý do.
- Rà soát hoặc bổ sung hợp đồng, phụ lục xử lý dữ liệu với từng bên nhận.
- Lấy thông tin hệ thống và quy trình chuyển tiếp từ phía bên nhận.
- Điền Mẫu số 09, gom quyết định phân công nhân sự bảo vệ dữ liệu, hợp đồng, chính sách, quy trình và nộp kèm thông báo Mẫu số 01a/01b qua Cổng dịch vụ công Bộ Công an, bưu chính hoặc trực tiếp.
- Theo dõi kết quả 15 ngày, hoàn thiện nếu được yêu cầu, chỉ định người theo dõi cập nhật.
Hợp đồng với bên nhận là thành phần bắt buộc của hồ sơ, vì vậy cần làm sớm. Một phụ lục xử lý dữ liệu tối thiểu cần quy định phạm vi và mục đích xử lý, nghĩa vụ bảo mật, việc bên nhận có được chuyển tiếp cho bên khác không, thời hạn thông báo khi có sự cố, và cam kết hợp tác khi cơ quan chức năng Việt Nam yêu cầu. Với công ty mẹ, phụ lục này thường ký một lần cho toàn bộ luồng dữ liệu nội bộ tập đoàn.
Với doanh nghiệp đã chuyển dữ liệu từ lâu, hạn 60 ngày tính từ lần chuyển đầu tiên đã qua. Cách xử lý hợp lý là lập hồ sơ càng sớm càng tốt, thay vì chờ đến khi bị kiểm tra; hồ sơ đã nộp theo Nghị định 13/2023 và đã được tiếp nhận thì tiếp tục được dùng, chỉ cần cập nhật theo quy định mới.
Lỗi thường gặp khi lập hồ sơ chuyển dữ liệu ra nước ngoài
Lỗi hay gặp nhất là kê khai thiếu luồng dữ liệu: doanh nghiệp liệt kê hệ thống ERP và email nhưng quên công cụ khảo sát khách hàng, nền tảng tuyển dụng, phần mềm kế toán hay ứng dụng chat của bộ phận bán hàng. Lỗi thứ hai là sơ đồ luồng dữ liệu dừng ở “gửi sang công ty mẹ” mà không mô tả dữ liệu đi tiếp đến đâu.
Một luồng mới ít ai kê khai là công cụ AI tạo sinh. Khi nhân viên dán danh sách khách hàng hay nội dung hồ sơ ứng viên vào một chatbot AI đặt máy chủ ở nước ngoài, dữ liệu đã được đưa lên nền tảng nước ngoài để xử lý, tức trường hợp thứ ba ở Điều 17. Cách an toàn hơn là quy định rõ công cụ AI nào được dùng với dữ liệu cá nhân, và đưa công cụ được phép vào hồ sơ như mọi nhà cung cấp khác.
Lỗi thứ ba là không có hợp đồng hoặc điều khoản xử lý dữ liệu riêng với bên nhận. Điều khoản dịch vụ chuẩn của nhiều nhà cung cấp quốc tế không nhắc đến luật Việt Nam, nên thường phải bổ sung phụ lục. Lỗi thứ tư là lập hồ sơ rồi để đó: đổi nhà cung cấp cloud hay thêm công ty con nhận dữ liệu mà không cập nhật.
| Kiểm tra trước khi nộp | Đã xong |
|---|---|
| Danh sách tất cả hệ thống, dịch vụ có máy chủ ngoài Việt Nam | ☐ |
| Mỗi luồng đã xác định có được miễn hay không, kèm căn cứ | ☐ |
| Mỗi luồng ghi rõ mục đích và loại dữ liệu cụ thể | ☐ |
| Sơ đồ luồng dữ liệu vẽ tới hệ thống của bên nhận | ☐ |
| Có hợp đồng hoặc phụ lục xử lý dữ liệu với từng bên nhận | ☐ |
| Ghi rõ bên nhận có chuyển tiếp cho bên thứ ba không | ☐ |
| Đã có chính sách, quy trình, biểu mẫu bảo vệ dữ liệu | ☐ |
| Có quyết định phân công nhân sự bảo vệ dữ liệu (và hợp đồng dịch vụ nếu thuê ngoài) | ☐ |
| Nộp trong 60 ngày từ lần chuyển đầu tiên, kèm Mẫu số 01a/01b | ☐ |
| Đã chỉ định người theo dõi cập nhật hồ sơ | ☐ |
Khi nào phải cập nhật hồ sơ và vi phạm bị phạt thế nào?
Hồ sơ chuyển dữ liệu ra nước ngoài cập nhật theo cùng quy tắc với hồ sơ đánh giá tác động xử lý dữ liệu tại Điều 20 Nghị định 356: định kỳ 6 tháng kể từ lần nộp đầu khi phát sinh mục đích mới hoặc thay đổi bên chuyển, bên nhận, bên xử lý, bên thứ ba; trong 10 ngày khi doanh nghiệp tổ chức lại, giải thể, đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu hoặc thay đổi ngành nghề liên quan. Hồ sơ cập nhật dùng Mẫu số 03a/03b.
Vi phạm về chuyển dữ liệu là nhóm có mức phạt nặng nhất trong Luật 91: tới 5% doanh thu năm liền trước. Nghị định 330/2026/NĐ-CP, hiệu lực từ 19/08/2026, chia cụ thể như sau với tổ chức:
| Hành vi | Mức phạt | Căn cứ |
|---|---|---|
| Không lập, không nộp trong 60 ngày, không hoàn thiện, không cập nhật hồ sơ | 30–50 triệu đồng | Điều 56 khoản 1 |
| Không có hợp đồng chuyển giao; không bảo đảm đồng ý; tiếp tục chuyển sau quyết định ngừng | 50–100 triệu đồng | Điều 56 khoản 2 |
| Chuyển không lập hồ sơ, che giấu, khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu | 1–5% tổng doanh thu năm tài chính liền trước tại Việt Nam, tùy số công dân bị ảnh hưởng | Điều 56 khoản 3 |
Theo Nghị định 356, lập hồ sơ chuyển dữ liệu ra nước ngoài và hồ sơ đánh giá tác động là nhiệm vụ của nhân sự bảo vệ dữ liệu cá nhân, nên người theo dõi cập nhật thường cũng là người đó. Điều kiện chỉ định nhân sự này được giải thích trong bài DPO là gì. Doanh nghiệp chưa có người đủ điều kiện có thể dùng dịch vụ DPO thuê ngoài để giữ lịch cập nhật cho cả hai hồ sơ.
Với khoản 3, doanh nghiệp còn có thể bị đình chỉ chuyển dữ liệu xuyên biên giới từ 6 đến 12 tháng. Với công ty outsourcing, BPO hay nhà máy phụ thuộc hệ thống của tập đoàn, lệnh đình chỉ có thể làm ngưng hoạt động, thiệt hại lớn hơn nhiều so với tiền phạt.
Hiểu lầm thường gặp về chuyển dữ liệu ra nước ngoài
Bốn hiểu lầm dưới đây xuất phát phần lớn từ việc đọc tài liệu viết theo Nghị định 13/2023 cũ hoặc theo GDPR.
“Mỗi lần chuyển thành công phải thông báo Bộ Công an.” Đây là quy định của Nghị định 13/2023, đã hết hiệu lực từ 01/01/2026. Theo Luật 91 và Nghị định 356, doanh nghiệp lập hồ sơ một lần, gửi trong 60 ngày và cập nhật khi có thay đổi; không có nghĩa vụ thông báo sau từng lần chuyển.
“Không gửi file cho ai thì không phải chuyển dữ liệu.” Lưu dữ liệu thu thập tại Việt Nam lên máy chủ hay đám mây ở nước ngoài đã là chuyển xuyên biên giới theo Điều 17 Nghị định 356, dù dữ liệu không qua tay người nào khác.
“Doanh nghiệp nhỏ được miễn tất cả.” Miễn trừ 5 năm chỉ áp dụng cho hồ sơ đánh giá tác động xử lý dữ liệu và nhân sự bảo vệ dữ liệu. Hồ sơ chuyển dữ liệu ra nước ngoài không có trong danh sách miễn.
“Dữ liệu nhân viên gửi về công ty mẹ luôn được miễn.” Chỉ hai trường hợp được miễn: lưu dữ liệu người lao động của chính tổ chức trên điện toán đám mây, và quản lý nhân sự xuyên biên giới theo nội quy, quy chế, thỏa ước lao động. Mục đích khác vẫn phải lập hồ sơ.
Nên kiểm tra hệ thống nào trước tiên?
Bắt đầu với ba nhóm hệ thống chứa nhiều dữ liệu cá nhân nhất và hay đặt máy chủ ở nước ngoài: hệ thống nhân sự và tính lương của tập đoàn, CRM và công cụ email marketing, ứng dụng chat và tổng đài chăm sóc khách hàng. Với mỗi hệ thống, chỉ cần trả lời ba câu: máy chủ ở đâu, ai ở nước ngoài truy cập được, dùng cho mục đích gì. Ba câu này đủ để biết luồng nào được miễn, luồng nào cần hồ sơ.
Musk-IS làm việc với doanh nghiệp FDI Đài Loan, Hàn Quốc tại Việt Nam, có đội ngũ nói tiếng Trung, tiếng Hàn để làm việc trực tiếp với công ty mẹ lấy thông tin phía bên nhận. Nếu cần người làm từ kiểm kê đến nộp hồ sơ, xem dịch vụ lập hồ sơ TIA, hoặc bắt đầu từ một buổi trao đổi 30 phút.
Câu hỏi thường gặp về chuyển dữ liệu cá nhân ra nước ngoài
Gửi dữ liệu nhân viên về công ty mẹ có phải làm hồ sơ không?
Tùy mục đích. Theo Điều 17 Nghị định 356, quản lý nhân sự xuyên biên giới theo nội quy, quy chế lao động, thỏa ước lao động tập thể không phải lập hồ sơ; tổ chức lưu dữ liệu người lao động của mình trên điện toán đám mây cũng được miễn theo Điều 20 Luật 91. Dùng dữ liệu nhân viên cho mục đích khác, như marketing hay chia sẻ cho đối tác của tập đoàn, vẫn phải lập hồ sơ.
Dùng cloud nước ngoài có tính là chuyển dữ liệu không?
Có. Khoản 1 Điều 17 Nghị định 356 tính việc lưu dữ liệu cá nhân thu thập tại Việt Nam lên máy chủ hoặc đám mây ở nước ngoài là chuyển dữ liệu xuyên biên giới. Ngoại lệ duy nhất cho cloud là tổ chức lưu dữ liệu người lao động của chính mình; dữ liệu khách hàng trên cloud nước ngoài vẫn cần hồ sơ đánh giá tác động.
Không nộp hồ sơ chuyển dữ liệu thì sao?
Theo Điều 56 Nghị định 330/2026/NĐ-CP, tổ chức không lập, không nộp hồ sơ trong 60 ngày bị phạt 30–50 triệu đồng. Nếu chuyển mà không lập hồ sơ dẫn đến lộ, mất dữ liệu, mức phạt là 1–5% doanh thu năm tài chính liền trước tại Việt Nam, kèm đình chỉ chuyển dữ liệu ra nước ngoài 6–12 tháng.
Doanh nghiệp nhỏ có được miễn hồ sơ chuyển dữ liệu ra nước ngoài không?
Không. Điều 38 Luật 91 chỉ cho doanh nghiệp nhỏ, khởi nghiệp chọn chưa thực hiện hồ sơ đánh giá tác động xử lý dữ liệu và chỉ định nhân sự bảo vệ dữ liệu trong 5 năm. Nghĩa vụ lập hồ sơ chuyển dữ liệu ra nước ngoài ở Điều 20 không thuộc phần được miễn, nên doanh nghiệp nhỏ dùng dịch vụ nước ngoài vẫn phải lập.
Có phải thông báo Bộ Công an sau mỗi lần chuyển dữ liệu không?
Không. Nghĩa vụ thông báo sau khi chuyển thành công thuộc Nghị định 13/2023, đã hết hiệu lực từ 01/01/2026. Theo Luật 91 và Nghị định 356, doanh nghiệp lập hồ sơ một lần, gửi bản chính trong 60 ngày từ lần chuyển đầu tiên và cập nhật khi có thay đổi về mục đích, các bên liên quan hoặc tổ chức.
Tài liệu tham khảo
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 – Điều 20 về chuyển dữ liệu cá nhân xuyên biên giới; Điều 38 về miễn trừ. Quốc hội · 26/06/2025
- Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân – Điều 17, 18, 20; Mẫu số 01a/01b, 03a/03b, 09. Chính phủ · 31/12/2025
- Quyết định 778/QĐ-BCA-A05 công bố thủ tục hành chính về bảo vệ dữ liệu cá nhân – Thành phần hồ sơ, cách nộp, thời hạn 15 ngày cho thủ tục gửi và cập nhật hồ sơ đánh giá tác động. Bộ Công an · 09/02/2026
- Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân – Tóm tắt Nghị định 330/2026/NĐ-CP, hiệu lực 19/08/2026. Tạp chí Thị trường Tài chính Tiền tệ · 23/08/2026
