Một doanh nghiệp không cần tự xây trung tâm dữ liệu ở nước ngoài mới phát sinh câu hỏi về chuyển dữ liệu xuyên biên giới. Nguồn bài viết nêu ba tình huống: lưu trên cloud nước ngoài, gửi dữ liệu cho tổ chức nước ngoài và xử lý trên nền tảng nằm ngoài Việt Nam. Google Workspace, AWS và Salesforce được dùng làm ví dụ về dịch vụ có thể tạo ra luồng như vậy. Từ khóa quan trọng là “có thể”: tên nhà cung cấp chưa đủ để kết luận. Doanh nghiệp phải đi vào cấu hình thực tế, vùng lưu trữ, bên nhận, loại dữ liệu và mục đích xử lý, sau đó đối chiếu nghĩa vụ hồ sơ đánh giá tác động theo quy định liên quan.
Bắt đầu từ luồng dữ liệu, không bắt đầu từ logo nhà cung cấp
Google Workspace, AWS và Salesforce có thể được triển khai theo nhiều cách. Việc doanh nghiệp sử dụng một dịch vụ trong danh sách không tự động cho biết dữ liệu đang nằm ở đâu hoặc bên nào có quyền xử lý. Câu trả lời phải đến từ cấu hình, hợp đồng và luồng kỹ thuật thực tế của tổ chức.
Một bản đồ tối thiểu cần chỉ ra hệ thống nguồn tại Việt Nam, dữ liệu được gửi đi, dịch vụ tiếp nhận, vùng lưu trữ hoặc xử lý và bên có thể truy cập. Nếu một dữ liệu được sao lưu, phân tích hoặc hỗ trợ từ ngoài Việt Nam, luồng đó cũng cần được ghi nhận để đánh giá đầy đủ thay vì chỉ nhìn nơi người dùng đăng nhập.
Ba câu hỏi xác định phạm vi cần rà soát
Câu hỏi thứ nhất là nơi lưu trữ: dữ liệu chính, bản sao và bản sao lưu đang ở đâu. Câu hỏi thứ hai là bên nhận: tổ chức nào ngoài doanh nghiệp có thể tiếp nhận hoặc xử lý. Câu hỏi thứ ba là mục đích: dữ liệu được chuyển để cung cấp dịch vụ, phân tích, hỗ trợ hay một hoạt động khác. Ba câu hỏi tạo nền tảng cho việc đánh giá.
Nguồn nhấn mạnh doanh nghiệp cần biết cả biện pháp bảo vệ. Vì vậy, bản đồ không nên kết thúc ở mũi tên chuyển dữ liệu. Mỗi mũi tên cần gắn với kiểm soát đang áp dụng và chủ sở hữu nội bộ. Đây là bằng chứng giúp tổ chức hiểu luồng thay vì phụ thuộc hoàn toàn vào mô tả chung của nhà cung cấp.
- Dữ liệu nào được gửi hoặc lưu trên dịch vụ cloud và SaaS.
- Vùng lưu trữ, xử lý và sao lưu được cấu hình ở đâu.
- Nhà cung cấp hoặc tổ chức nước ngoài nào là bên nhận.
- Mục đích xử lý và biện pháp bảo vệ tại từng chặng là gì.
Ngoại lệ không nên được áp dụng theo suy đoán
Nguồn đề cập một số ngoại lệ liên quan đến báo chí, dữ liệu công khai, tình huống bảo vệ tính mạng và một số giao dịch xuyên biên giới. Bản tóm tắt không chứa đầy đủ điều kiện hoặc phạm vi của từng ngoại lệ. Do đó, doanh nghiệp không nên lấy tên một nhóm làm căn cứ duy nhất để loại một luồng khỏi đánh giá.
Cách an toàn là ghi nhận luồng trước, sau đó đối chiếu điều kiện ngoại lệ với Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP và văn bản gốc liên quan. Nếu kết luận thuộc ngoại lệ, hồ sơ nội bộ vẫn nên lưu căn cứ và người phê duyệt. Điều này giúp quyết định có thể được kiểm tra khi hệ thống hoặc mục đích xử lý thay đổi.
Từ bản đồ cloud đến hồ sơ đánh giá tác động
Nguồn gắn hoạt động chuyển dữ liệu ra nước ngoài với hồ sơ đánh giá tác động và rủi ro xử phạt theo doanh thu. Chi tiết về cách tính hoặc phạm vi áp dụng không được cung cấp đầy đủ trong bản tóm tắt, nên cần được xác minh trước khi đưa ra kết luận định lượng. Tuy nhiên, doanh nghiệp có thể bắt đầu ngay từ việc lập bản đồ dữ liệu và trách nhiệm.
ICS đề xuất một chu trình bốn bước: kiểm kê dịch vụ cloud và SaaS, xác minh cấu hình thực tế, ghi nhận bên nhận và biện pháp bảo vệ, sau đó đối chiếu nghĩa vụ hồ sơ. Chu trình cần lặp lại khi nhà cung cấp, vùng lưu trữ hoặc loại dữ liệu thay đổi. Nhờ đó, việc dùng nền tảng nước ngoài không còn là một giả định mơ hồ mà trở thành tập hợp luồng có chủ sở hữu và bằng chứng.
- Kiểm kê Google Workspace, AWS, Salesforce và các nền tảng ngoài Việt Nam đang dùng.
- Xác minh cấu hình thay vì kết luận chỉ từ tên dịch vụ.
- Đối chiếu từng luồng với điều kiện hồ sơ đánh giá tác động.
- Ghi căn cứ nếu áp dụng ngoại lệ và rà lại khi mục đích thay đổi.
- Theo dõi nội dung chính thức về cơ chế xử phạt theo doanh thu.