Chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài: Điều kiện và nghĩa vụ tuân thủ

Trong bối cảnh doanh nghiệp có vốn đầu tư nước ngoài ngày càng mở rộng hoạt động quản trị nhân sự xuyên biên giới, việc chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài trở thành nhu cầu phổ biến nhằm phục vụ quản lý tiền lương, đánh giá hiệu suất, đào tạo, kiểm soát nội bộ và vận hành hệ thống nhân sự toàn cầu. Tuy nhiên, chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài: Điều kiện và nghĩa vụ tuân thủ không chỉ là vấn đề kỹ thuật mà còn liên quan trực tiếp đến quyền riêng tư của người lao động, bảo vệ dữ liệu cá nhân và trách nhiệm pháp lý của doanh nghiệp tại Việt Nam. Do đó, doanh nghiệp cần xác định đúng trường hợp chuyển dữ liệu xuyên biên giới, căn cứ pháp lý áp dụng, điều kiện thực hiện và nghĩa vụ tuân thủ trước khi chia sẻ thông tin nhân sự với công ty mẹ.

Chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài là gì?

Dữ liệu nhân sự là những thông tin gắn với người lao động hoặc ứng viên, được doanh nghiệp thu thập, lưu trữ và sử dụng trong quá trình tuyển dụng, ký kết hợp đồng, quản lý lao động, trả lương, đánh giá công việc và chấm dứt quan hệ lao động. Những thông tin này có thể bao gồm họ tên, ngày sinh, thông tin liên hệ, mã số định danh, hồ sơ ứng tuyển, hợp đồng lao động, chức danh, lịch sử công tác, thu nhập, tài khoản nhận lương và thông tin về người phụ thuộc.

Khi các thông tin trên xác định hoặc giúp xác định một cá nhân cụ thể, chúng có thể thuộc phạm vi dữ liệu cá nhân được pháp luật bảo vệ. Một số thông tin, chẳng hạn dữ liệu sức khỏe, thông tin tài khoản tài chính hoặc dữ liệu sinh trắc học, còn có thể thuộc nhóm dữ liệu cá nhân nhạy cảm tùy theo tính chất và quy định pháp luật áp dụng.

Theo khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân năm 2025, chuyển dữ liệu cá nhân xuyên biên giới bao gồm các trường hợp chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ đặt ngoài lãnh thổ Việt Nam; chuyển dữ liệu từ tổ chức, cá nhân tại Việt Nam cho tổ chức, cá nhân ở nước ngoài; hoặc sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam.

Như vậy, chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài không chỉ là gửi một tệp Excel hoặc bản sao hồ sơ nhân viên qua email. Hoạt động này còn có thể phát sinh khi doanh nghiệp tại Việt Nam sử dụng hệ thống quản trị nhân sự toàn cầu (Global HR), phần mềm tính lương, nền tảng lưu trữ đám mây hoặc hệ thống phân tích nhân sự đặt tại nước ngoài.

Những trường hợp thường gặp về chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài

Trên thực tế, việc chuyển dữ liệu nhân sự về công ty mẹ có thể diễn ra dưới nhiều hình thức:

• Chuyển danh sách nhân viên, chức danh, mức lương, tiền thưởng và kết quả đánh giá hiệu suất để công ty mẹ tổng hợp báo cáo nhân sự toàn cầu.
• Đồng bộ hồ sơ nhân viên Việt Nam lên hệ thống quản trị nhân sự đặt tại trụ sở chính ở Nhật Bản, Hàn Quốc, Singapore, Hoa Kỳ hoặc quốc gia khác.
• Cung cấp thông tin nhân sự cho bộ phận kiểm toán, quản trị rủi ro, tuân thủ hoặc kiểm soát nội bộ của tập đoàn.
• Chia sẻ dữ liệu phục vụ chương trình đào tạo, luân chuyển nhân sự, bổ nhiệm quản lý hoặc điều động nhân viên giữa các công ty trong cùng tập đoàn.
• Cho phép bộ phận nhân sự tại nước ngoài truy cập trực tiếp vào cơ sở dữ liệu nhân viên được lưu trữ tại Việt Nam.

Doanh nghiệp cần đánh giá bản chất của từng hoạt động, chủ thể nhận dữ liệu, mục đích sử dụng và địa điểm lưu trữ, xử lý dữ liệu. Việc công ty mẹ và công ty con thuộc cùng một tập đoàn không mặc nhiên loại trừ nghĩa vụ tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.

Điều kiện chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài

Xác định mục đích chuyển dữ liệu hợp pháp

Trước khi chuyển dữ liệu, doanh nghiệp cần xác định rõ lý do cung cấp thông tin nhân sự cho công ty mẹ, chẳng hạn quản lý nhân sự toàn cầu, thực hiện chính sách lương thưởng, đánh giá hiệu quả công việc, kiểm toán nội bộ hoặc quản lý việc điều động nhân sự quốc tế.

Theo nguyên tắc bảo vệ dữ liệu cá nhân tại Luật Bảo vệ dữ liệu cá nhân năm 2025, việc xử lý dữ liệu phải có căn cứ pháp lý phù hợp, bảo đảm mục đích xác định và tôn trọng quyền của chủ thể dữ liệu. Doanh nghiệp không nên sử dụng dữ liệu đã thu thập để thực hiện hợp đồng lao động cho một mục đích hoàn toàn khác mà chưa xác định cơ sở pháp lý tương ứng.

Ví dụ, doanh nghiệp thu thập thông tin tài khoản nhận lương để thanh toán tiền lương cho người lao động. Việc cung cấp dữ liệu này cho công ty mẹ chỉ nhằm tổng hợp chi phí nhân sự cần được đánh giá về tính cần thiết, phạm vi dữ liệu và vai trò của bên nhận. Nếu công ty mẹ muốn sử dụng thông tin để xây dựng hệ thống quảng cáo tuyển dụng hoặc phân tích hành vi cá nhân ngoài mục đích ban đầu, doanh nghiệp phải đánh giá riêng tính hợp pháp của hoạt động xử lý mới.

Xác định căn cứ xử lý dữ liệu và sự đồng ý của người lao động

• Sự đồng ý của người lao động là một nội dung cần được xem xét cẩn trọng khi chuyển dữ liệu nhân sự xuyên biên giới. Theo Điều 9 Luật Bảo vệ dữ liệu cá nhân, doanh nghiệp phải đối chiếu điều kiện, trường hợp và cách thức thể hiện sự đồng ý theo quy định pháp luật.
• Khi sử dụng sự đồng ý làm căn cứ xử lý dữ liệu, doanh nghiệp cần bảo đảm người lao động được thông tin đầy đủ về mục đích xử lý, loại dữ liệu, tổ chức tiếp nhận và quyền của mình. Sự đồng ý phải đáp ứng yêu cầu pháp luật, có khả năng kiểm chứng và không được mặc định rằng người lao động đã đồng ý chỉ vì họ ký hợp đồng lao động hoặc tiếp tục làm việc.
• Tuy nhiên, không nên hiểu rằng mọi hoạt động xử lý dữ liệu nhân sự đều bắt buộc phải dựa trên sự đồng ý trong mọi trường hợp. Doanh nghiệp cần đối chiếu các căn cứ xử lý không cần sự đồng ý được pháp luật quy định, nếu có, và xác định chính xác căn cứ áp dụng cho từng hoạt động.
• Đặc biệt, Điều 25 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định trách nhiệm bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý và sử dụng người lao động. Theo đó, doanh nghiệp cần giới hạn thông tin thu thập và sử dụng phù hợp với mục đích, bảo đảm việc lưu trữ và xử lý đúng quy định, đồng thời thực hiện nghĩa vụ xóa, hủy dữ liệu khi chấm dứt hợp đồng, trừ trường hợp pháp luật hoặc thỏa thuận hợp pháp có quy định khác.

Phân loại dữ liệu nhân sự trước khi chuyển

Không phải tất cả dữ liệu trong hồ sơ nhân viên đều có cùng mức độ rủi ro. Doanh nghiệp nên phân loại dữ liệu trước khi cung cấp cho công ty mẹ để lựa chọn biện pháp bảo vệ phù hợp.

• Dữ liệu nhân sự thông thường: Họ tên, chức danh, bộ phận làm việc, địa chỉ email công việc và lịch sử công tác.Dữ liệu về thu nhập, tài chính: Mức lương, tiền thưởng, thông tin tài khoản ngân hàng và các dữ liệu tài chính liên quan. Tùy nội dung cụ thể, dữ liệu có thể thuộc nhóm dữ liệu cá nhân nhạy cảm.
• Dữ liệu sức khỏe: Hồ sơ khám sức khỏe, tình trạng bệnh lý, thông tin nghỉ ốm hoặc dữ liệu y tế khác.
• Dữ liệu sinh trắc học và dữ liệu đặc thù: Thông tin nhận diện khuôn mặt, dấu vân tay hoặc dữ liệu khác thuộc danh mục dữ liệu cá nhân nhạy cảm theo pháp luật.
• Dữ liệu về gia đình: Thông tin vợ, chồng, con, người phụ thuộc hoặc thông tin của người thân được lưu trong hồ sơ nhân sự.

Việc một tập đoàn sử dụng chung hệ thống nhân sự không đồng nghĩa với việc công ty mẹ cần truy cập toàn bộ hồ sơ của từng nhân viên. Doanh nghiệp cần áp dụng nguyên tắc giới hạn dữ liệu ở mức cần thiết cho mục đích đã xác định, đồng thời hạn chế việc chuyển dữ liệu nhạy cảm nếu không thực sự cần thiết.

Nghĩa vụ đánh giá tác động khi chuyển dữ liệu xuyên biên giới

Nguyên tắc lập hồ sơ đánh giá tác động

Theo khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân năm 2025, các cơ quan, tổ chức, cá nhân thực hiện hoạt động chuyển dữ liệu cá nhân xuyên biên giới thuộc phạm vi điều chỉnh phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi một bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, trừ trường hợp được miễn theo quy định.

Nội dung này được hướng dẫn tại Điều 18 Nghị định số 356/2025/NĐ-CP. Theo đó, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới bao gồm báo cáo đánh giá tác động theo Mẫu số 09, bản sao hợp đồng hoặc văn bản chuyển giao thể hiện trách nhiệm giữa các bên và các chính sách, quy trình, quy định, biểu mẫu cùng tài liệu liên quan đến bảo vệ dữ liệu cá nhân.

Doanh nghiệp cần lưu ý rằng nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới khác với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân nói chung. Tùy hoạt động thực tế, doanh nghiệp có thể phải thực hiện cả hai nghĩa vụ hoặc được áp dụng trường hợp miễn trừ cụ thể theo quy định.

Trường hợp chuyển dữ liệu nhân sự có thể được miễn đánh giá tác động

Một điểm đáng chú ý đối với doanh nghiệp FDI là quy định tại khoản 6 Điều 20 Luật Bảo vệ dữ liệu cá nhân năm 2025 và khoản 3 Điều 17 Nghị định số 356/2025/NĐ-CP quy định một số trường hợp không phải thực hiện đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, bao gồm:

• Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền;
• Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây;
• Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới;
• Hoạt động báo chí, truyền thông theo quy định của pháp luật;
• Việc chuyển dữ liệu cá nhân xuyên biên giới đã được công khai theo quy định của pháp luật;
• Trong các tình huống khẩn cấp, thực sự cần thiết phải cung cấp dữ liệu cá nhân xuyên biên giới để bảo vệ tính mạng, sức khỏe và an toàn tài sản của cá nhân; để thực hiện nhiệm vụ, nghĩa vụ theo quy định của pháp luật;
• Hoạt động chuyển dữ liệu cá nhân xuyên biên giới để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo quy định của pháp luật;
• Việc cung cấp dữ liệu cá nhân xuyên biên giới để ký kết hợp đồng hoặc thực hiện các thủ tục liên quan đến vận chuyển xuyên biên giới, hậu cần, chuyển tiền, thanh toán, khách sạn, xin thị thực, xin học bổng.

Lưu ý: Việc được miễn đánh giá tác động chuyển dữ liệu xuyên biên giới không đồng nghĩa với việc được miễn toàn bộ nghĩa vụ bảo vệ dữ liệu cá nhân. Doanh nghiệp vẫn cần xác định căn cứ xử lý hợp pháp, bảo đảm quyền của người lao động, giới hạn mục đích và phạm vi dữ liệu, thực hiện các biện pháp bảo mật và tuân thủ những nghĩa vụ khác có liên quan.

Thành phần hồ sơ và nội dung cần chuẩn bị

Trong trường hợp không thuộc diện miễn, doanh nghiệp cần chuẩn bị hồ sơ theo Điều 18 Nghị định số 356/2025/NĐ-CP. Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

• Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09 tại Phụ lục của Nghị định;
• Bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu cá nhân thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu cá nhân xuyên biên giới;
• Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có hoạt động chuyển dữ liệu cá nhân xuyên biên giới.

Báo cáo đánh giá tác động cần thể hiện rõ các yếu tố liên quan đến hoạt động chuyển dữ liệu, bên chuyển, bên nhận, loại dữ liệu, mục đích, phương thức xử lý và các rủi ro có thể phát sinh.

So sánh nghĩa vụ trong hai trường hợp chuyển dữ liệu nhân sự

Rủi ro pháp lý khi không tuân thủ quy định về chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài

Chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài mà không đánh giá đầy đủ căn cứ pháp lý và nghĩa vụ liên quan có thể dẫn đến nhiều rủi ro.

• Rủi ro về căn cứ xử lý dữ liệu. Doanh nghiệp có thể xử lý dữ liệu vượt quá mục đích đã xác định, không đáp ứng điều kiện về sự đồng ý hoặc áp dụng không đúng trường hợp xử lý không cần sự đồng ý.
• Rủi ro về hồ sơ và thủ tục. Doanh nghiệp có thể không lập hồ sơ đánh giá tác động khi thuộc diện bắt buộc, gửi hồ sơ không đúng thời hạn hoặc không cập nhật hồ sơ khi phát sinh thay đổi.
• Eủi ro về bảo mật. Việc cấp quyền truy cập quá rộng, truyền tải dữ liệu không mã hóa hoặc sử dụng tài khoản dùng chung có thể làm tăng nguy cơ lộ, mất dữ liệu nhân sự.
• Rủi ro trong quan hệ lao động. Người lao động có thể khiếu nại nếu thông tin của họ bị sử dụng ngoài mục đích, chia sẻ không minh bạch hoặc không được bảo vệ đầy đủ.
• Rủi ro về hợp đồng và quản trị tập đoàn. Nếu công ty mẹ và công ty con không phân định trách nhiệm, việc xử lý yêu cầu của chủ thể dữ liệu, khắc phục sự cố hoặc chấm dứt chia sẻ dữ liệu có thể bị chậm trễ.

Quy trình tuân thủ về chuyển dữ liệu nhân sự dành cho doanh nghiệp FDI

Để triển khai việc chuyển dữ liệu nhân sự một cách có kiểm soát, doanh nghiệp có thể áp dụng quy trình sau:

• Bước 1: Lập danh mục dữ liệu. Xác định loại dữ liệu, nhóm người lao động, nguồn thu thập, hệ thống lưu trữ và bên có quyền truy cập.
• Bước 2: Xác định mục đích và căn cứ xử lý. Làm rõ lý do chuyển dữ liệu, cơ sở pháp lý và mức độ cần thiết của từng nhóm thông tin.
• Bước 3: Phân loại hoạt động chuyển dữ liệu. Xác định hoạt động có thuộc phạm vi chuyển dữ liệu cá nhân xuyên biên giới hay không; đồng thời kiểm tra điều kiện miễn đánh giá tác động, nếu có.
• Bước 4: Chuẩn bị hồ sơ và thỏa thuận. Nếu thuộc diện phải đánh giá tác động, lập hồ sơ theo Điều 18 Nghị định số 356/2025/NĐ-CP; đồng thời thiết lập văn bản quy định trách nhiệm giữa các bên.
• Bước 5: Triển khai biện pháp bảo mật. Thiết lập phân quyền, mã hóa, nhật ký truy cập, thời hạn lưu trữ và quy trình ứng phó sự cố.
• Bước 6: Thực hiện và giám sát. Kiểm tra việc sử dụng dữ liệu đúng mục đích, tiếp nhận yêu cầu của người lao động và đánh giá lại rủi ro khi có thay đổi.
• Bước 7: Cập nhật hồ sơ và kiểm tra định kỳ. Theo dõi các mốc thời hạn, cập nhật hồ sơ khi phát sinh trường hợp thuộc diện phải cập nhật và lưu tài liệu chứng minh việc tuân thủ.

Quy trình này nên được cụ thể hóa thành chính sách nội bộ, phân công trách nhiệm giữa bộ phận nhân sự, pháp chế, công nghệ thông tin và người phụ trách bảo vệ dữ liệu cá nhân.

Đọc thêm bài viết về Dịch vụ tư vấn pháp luật xử lý dữ liệu cá nhân cho doanh nghiệp của Luật Việt An tại: https://luatvietan.vn/tu-van-phap-ly-xu-ly-du-lieu-ca-nhan.html

Câu hỏi thường gặp

Công ty Việt Nam có được chuyển dữ liệu nhân sự cho công ty mẹ ở nước ngoài không?

Có thể, nếu hoạt động chuyển dữ liệu đáp ứng các điều kiện và nghĩa vụ theo pháp luật về bảo vệ dữ liệu cá nhân. Doanh nghiệp cần xác định mục đích, căn cứ xử lý, phạm vi dữ liệu và nghĩa vụ đánh giá tác động hoặc trường hợp miễn áp dụng tương ứng.

Doanh nghiệp phải nộp hồ sơ đánh giá tác động trong thời hạn bao lâu?

Theo khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân và Điều 18 Nghị định số 356/2025/NĐ-CP, trường hợp thuộc diện phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới phải gửi một bản chính hồ sơ trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, trừ trường hợp được miễn theo quy định.

Công ty mẹ ở nước ngoài có được tự do sử dụng dữ liệu nhân sự đã nhận không?

Không. Việc tiếp nhận dữ liệu không đồng nghĩa với quyền sử dụng không giới hạn. Công ty mẹ cần tuân thủ mục đích chuyển giao, phạm vi dữ liệu, trách nhiệm bảo mật, thời hạn lưu trữ và các nghĩa vụ khác theo pháp luật và thỏa thuận giữa các bên.

Chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài: Điều kiện và nghĩa vụ tuân thủ là vấn đề doanh nghiệp FDI cần rà soát kỹ để vừa bảo đảm hiệu quả quản trị nhân sự toàn cầu, vừa tuân thủ pháp luật Việt Nam. Nếu quý khách hàng cần tư vấn về chuyển dữ liệu nhân sự về công ty mẹ ở nước ngoài, hãy liên hệ Luật Việt An để được hỗ trợ.

Viết bài: Luật sư tập sự Đỗ Quỳnh Trang

Luật sư phụ trách và kiểm duyệt bài viết: LS: Trung Thị Liệu.

Hotline/ Zalo/ Whatsapp: (+84) 961 571 818

Email: info@vietanlaw.com

Văn phòng Hà Nội: Tầng 3, Tòa nhà Hoàng Ngân Plaza, số 125 Hoàng Ngân,

Phường Yên Hòa, TP. Hà Nội

Văn phòng TP.HCM: P. 2.26 – 2.27 Tòa nhà Charmington La Pointe, 181 Cao Thắng, Phường Hòa Hưng, TP. HCM.