Dùng Facebook, Google có phải chuyển dữ liệu ra nước ngoài?

Điều 20 áp dụng khi nào?

Theo Điều 20, quy định về chuyển dữ liệu ra nước ngoài áp dụng khi:

• chuyển dữ liệu đang lưu tại Việt Nam ra hệ thống đặt ngoài lãnh thổ Việt Nam;
• chuyển dữ liệu cho tổ chức, cá nhân nước ngoài;
• dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam.

Trường hợp thứ ba là chỗ nhiều chủ doanh nghiệp không để ý. Họ nghĩ "dữ liệu của tôi để trên máy chủ ở Việt Nam, đâu có chuyển đi đâu". Nhưng nếu website dùng công cụ của nền tảng nước ngoài để xử lý dữ liệu khách, điều này cần được xem xét.

Ví dụ: shop gốm Hà Linh

Shop gốm Hà Linh (shop tưởng tượng) bán hàng qua website của mình. Chủ shop gắn Meta Pixel để biết ai xem sản phẩm, ai thêm giỏ, ai mua.

Khi khách mở trang, Pixel chạy ngay trên trình duyệt của khách và gửi thẳng tới máy chủ Meta, không đi qua máy chủ của shop. Dữ liệu gửi đi gồm trang đang xem, hành động (xem trang, thêm giỏ, mua), giá trị đơn, mã nhận diện trình duyệt, cùng địa chỉ IP, loại máy, trình duyệt. Các cookie đi kèm là _fbp và _fbc.

Shop không tự tay gửi file nào ra nước ngoài, nhưng chính shop quyết định gắn mã, đặt mục đích và hưởng lợi. Đó là vai bên kiểm soát dữ liệu. Vì vậy nên coi đây là việc cần xử lý, chứ không chỉ là chuyện của Meta.

Tương tự với các công cụ khác: phần mềm email marketing, chat, bảng tính trực tuyến, lưu trữ đám mây đặt ở nước ngoài, nếu chúng chứa dữ liệu khách hàng Việt Nam. Nhưng chưa có hướng dẫn chi tiết cho từng loại công cụ, nên hãy hỏi luật sư khi cần chắc chắn. Công cụ AI như ChatGPT là trường hợp hay gặp: xem dán dữ liệu khách vào ChatGPT, công cụ AI.

Ngoài chuyện chuyển ra nước ngoài, dữ liệu theo dõi hành vi trên mạng còn được xem là dữ liệu nhạy cảm theo Nghị định 356/2025/NĐ-CP. Xem bài theo dõi hành vi trên mạng và Facebook Pixel có vi phạm không.

Phải làm gì theo luật?

Theo Điều 20:

• Lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài.
• Gửi cho cơ quan chuyên trách trong 60 ngày kể từ lần chuyển đầu tiên.
• Lập một lần, sau đó cập nhật theo Điều 22.
• Cơ quan chuyên trách có thể kiểm tra định kỳ không quá 1 lần mỗi năm, hoặc đột xuất.

Cơ quan chuyên trách thuộc Bộ Công an (Điều 33). Cách nộp hồ sơ xem bài hồ sơ đánh giá tác động.

Điều 20 miễn cho một số trường hợp, như cơ quan nhà nước, lưu dữ liệu người lao động trên điện toán đám mây, hoặc chủ thể tự chuyển dữ liệu của chính mình.

Doanh nghiệp nhỏ có được miễn không?

Đừng vội mừng. Điều 38 cho doanh nghiệp nhỏ và khởi nghiệp được chọn có hay không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 trong 5 năm. Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ đó. Nhưng danh sách miễn này không nhắc đến Điều 20.

Vì vậy, bài này không khẳng định doanh nghiệp nhỏ được miễn hồ sơ chuyển dữ liệu ra nước ngoài. Đây là điểm cần luật sư xác nhận cho trường hợp của bạn, hoặc chờ hướng dẫn thêm từ cơ quan có thẩm quyền.

Mức phạt

Luật 91/2025/QH15, Điều 8 và Nghị định 330/2026/NĐ-CP, Điều 7 khoản 4 đặt trần phạt với hành vi chuyển dữ liệu ra nước ngoài sai quy định là 5% doanh thu năm trước liền kề của tổ chức. Với cá nhân, mức tối đa bằng một nửa.

Nghị định 330/2026/NĐ-CP, Điều 56 chia mức phạt theo từng hành vi (các nhóm vi phạm khác xem bảng mức phạt). Các mức dưới đây áp cho tổ chức, cá nhân bị phạt một nửa:

• 30–50 triệu đồng (khoản 1): không lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, không nộp hồ sơ trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, hoặc không cập nhật hồ sơ.
• 50–100 triệu đồng (khoản 2 điểm b): không bảo đảm sự đồng ý của khách với mục đích chuyển dữ liệu ra nước ngoài, hoặc không báo cho khách biết dữ liệu của họ được chuyển ra nước ngoài, ai nhận và dùng vào việc gì.
• 1% đến 5% tổng doanh thu năm tài chính liền trước tại Việt Nam (khoản 3): chỉ áp dụng với tổ chức chuyển dữ liệu mà không lập hồ sơ đánh giá tác động, che giấu hoặc khai sai dòng dữ liệu, dẫn đến lộ, mất dữ liệu cá nhân, hoặc tiếp tục chuyển sau khi có quyết định yêu cầu ngừng của cơ quan chuyên trách. Có ba bậc theo số công dân Việt Nam bị lộ, mất dữ liệu: 1–2% (từ 10.000 đến dưới 100.000 người), 2–3% (từ 100.000 đến dưới 1 triệu người), 3–5% (từ 1 triệu người trở lên, hoặc tiếp tục chuyển sau quyết định ngừng gây tổn hại quốc phòng, an ninh quốc gia).
• 200 triệu đến 3 tỷ đồng (khoản 4): thay cho tỷ lệ % khi tổ chức không có doanh thu tại Việt Nam trong năm tài chính liền trước, hoặc mức tính theo tỷ lệ % thấp hơn 3 tỷ đồng. Cũng ba bậc như trên: 200–500 triệu đồng, 500 triệu–1 tỷ đồng, 1–3 tỷ đồng.

Ngoài tiền phạt, tổ chức vi phạm khoản 3 có thể bị đình chỉ hoạt động chuyển dữ liệu ra nước ngoài từ 06 đến 12 tháng (khoản 5 điểm b), và bị buộc yêu cầu bên nhận xoá toàn bộ dữ liệu đã chuyển trái quy định (khoản 6 điểm c).

Hãy đọc kỹ điều kiện của mức theo tỷ lệ %. Mức này không áp dụng cho mọi website dùng Pixel. Nó dành cho trường hợp dẫn đến lộ, mất dữ liệu của ít nhất 10.000 công dân Việt Nam, hoặc (mức 3–5%) tiếp tục chuyển dữ liệu sau quyết định yêu cầu ngừng gây tổn hại quốc phòng, an ninh quốc gia. Còn việc Pixel hay Google Analytics có được coi là việc chuyển dữ liệu ra nước ngoài của chính website hay không, và dữ liệu theo dõi có là dữ liệu nhạy cảm hay không, vẫn là cách hiểu thận trọng, chưa được cơ quan có thẩm quyền xác nhận.

Đây là mức trần, không phải mức mặc định. Nhưng nó cho thấy luật coi việc này nghiêm túc hơn các vi phạm thông thường (trần 3 tỷ đồng).

Bạn cần làm gì

• Liệt kê mọi công cụ nước ngoài website, app, bán hàng đang dùng: Pixel, Analytics, email marketing, CRM, lưu trữ đám mây.
• Với mỗi công cụ, ghi rõ nó nhận dữ liệu gì của khách.
• Chạy máy quét website để thấy trình duyệt khách đang gửi gì tới Meta, TikTok, Google. Lưu ý máy quét chỉ thấy những gì trình duyệt tải; việc gửi từ máy chủ (như Meta Conversions API) không quét được từ ngoài, và vẫn cần có đồng ý.
• Ngừng gửi dữ liệu trước khi khách đồng ý: dùng banner xin đồng ý chặn mã theo dõi.
• Hỏi luật sư xem doanh nghiệp bạn có phải lập hồ sơ chuyển dữ liệu ra nước ngoài, và tính mốc 60 ngày từ lần chuyển đầu tiên.
• Nếu phải lập hồ sơ, chuẩn bị sớm: mục đích, loại dữ liệu, bên nhận, biện pháp bảo vệ.

Dùng công cụ kiểm tra nghĩa vụ của DuLieuCaNhan.vn để biết doanh nghiệp bạn thuộc diện nào. Xem bảng giá nếu cần hỗ trợ thêm.

Căn cứ pháp lý

• Luật 91/2025/QH15, Điều 8 (xử lý vi phạm), Điều 20 (chuyển dữ liệu ra nước ngoài), Điều 22 (cập nhật hồ sơ), Điều 33 (lực lượng bảo vệ dữ liệu), Điều 38 (hiệu lực thi hành).
• Nghị định 356/2025/NĐ-CP, hiệu lực từ 1/1/2026.
• Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026), Điều 7 khoản 4, Điều 56 khoản 1 đến 6: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.