NHÂN KIỆTSince 2009

Tin tức & cẩm nang

Chuyển dữ liệu cá nhân ra nước ngoài qua EOR, PEO, Payroll

Người viết Nguyễn Quốc Trung — Phó Tổng Giám đốc · Cập nhật

Khi dữ liệu người lao động tại Việt Nam — bảng lương, chấm công, hồ sơ — được gửi hoặc cung cấp cho một công ty ở nước ngoài, đó là chuyển dữ liệu cá nhân xuyên biên giới theo khoản 1 Điều 20 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Bên chuyển phải lập hồ sơ đánh giá tác động và gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an trong 60 ngày kể từ lần chuyển đầu tiên, trừ các trường hợp được miễn. Với EOR, PEO và dịch vụ tính lương thuê ngoài, câu hỏi quyết định là ai là bên chuyển: nhà cung cấp dịch vụ, hay chính doanh nghiệp của bạn.

Bài viết dành cho doanh nghiệp nước ngoài đang thuê nhân sự tại Việt Nam qua một nhà cung cấp, và cho công ty con tại Việt Nam cần báo cáo nhân sự về tập đoàn. Mọi điều khoản được dẫn từ nguyên văn Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, cùng có hiệu lực từ 01/01/2026.

Khi nào dữ liệu cá nhân của người lao động bị coi là chuyển ra nước ngoài?

Luật 91/2025/QH15 coi ba hoạt động là chuyển dữ liệu cá nhân xuyên biên giới, và cả ba đều thường gặp khi quản lý nhân sự có yếu tố nước ngoài:

Điều 17 Nghị định 356/2025/NĐ-CP nhắc lại ba trường hợp này và nói rõ chúng áp dụng cho mọi vai trò — bên kiểm soát, bên xử lý lẫn bên thứ ba. Nghĩa là một nhà cung cấp dịch vụ gửi dữ liệu ra nước ngoài theo yêu cầu của khách hàng cũng đang tự mình chuyển dữ liệu xuyên biên giới.

Khách hàng ở nước ngoài chỉ xem trên cổng thông tin có phải là chuyển dữ liệu không?

Cách hiểu thận trọng là có. Luật không có ngoại lệ nào cho việc "chỉ xem", và khoản 6 Điều 2 Luật 91/2025/QH15 liệt kê "cung cấp" dữ liệu là một hoạt động xử lý. Khi người ở nước ngoài mở màn hình bảng lương, dữ liệu được truyền tới thiết bị của họ, nên có thể coi là dữ liệu đã được cung cấp cho một tổ chức ở nước ngoài.

Điều đó không làm cách tiếp cận "chỉ xem" mất giá trị — ngược lại. Hồ sơ đánh giá tác động phải mô tả phương án bảo đảm an toàn dữ liệu sau khi chuyển, và quy trình bên nhận chuyển tiếp dữ liệu cho bên thứ ba (khoản 3 Điều 18 Nghị định 356/2025/NĐ-CP). Khi khách hàng chỉ được xem trong hệ thống của bên chuyển, dữ liệu có ít bản sao hơn, ít điểm rò rỉ hơn, và bên chuyển chứng minh được mình kiểm soát dữ liệu tới cùng. "Chỉ xem" không xóa nghĩa vụ, nhưng là cách mạnh nhất để thực hiện nghĩa vụ đó.

Ai phải lập hồ sơ khi dùng EOR, PEO hay dịch vụ tính lương?

Bên lập hồ sơ là bên thực hiện việc chuyển dữ liệu ra nước ngoài, và điều đó phụ thuộc vào ai là người sử dụng lao động. Với EOR, nhà cung cấp là người sử dụng lao động và là bên cung cấp dữ liệu cho khách hàng nước ngoài, nên nhà cung cấp lập hồ sơ. Với PEO và dịch vụ tính lương, pháp nhân Việt Nam của bạn là người sử dụng lao động; khi pháp nhân đó chia sẻ dữ liệu với công ty mẹ, nghĩa vụ thuộc về pháp nhân đó.

Mô hìnhNgười sử dụng lao độngVai trò của nhà cung cấpAi chuyển dữ liệu ra nước ngoài
EORNhà cung cấp EORBên kiểm soát và xử lýNhà cung cấp, khi cung cấp dữ liệu cho khách hàng nước ngoài
PEOPháp nhân Việt Nam của khách hàngBên xử lýPháp nhân Việt Nam, khi chia sẻ với công ty mẹ
Tính lương thuê ngoàiDoanh nghiệp khách hàngBên xử lýDoanh nghiệp khách hàng, khi chia sẻ với công ty mẹ

Cách chia vai gọn nhất cho PEO và tính lương: nhà cung cấp giao báo cáo cho pháp nhân Việt Nam của bạn, còn việc gửi tiếp lên tập đoàn là quyết định — và hồ sơ — của người sử dụng lao động. Nếu bạn yêu cầu nhà cung cấp gửi thẳng cho công ty mẹ, nhà cung cấp cũng trở thành một bên chuyển dữ liệu và phải có tên trong hồ sơ. Khác biệt đầy đủ giữa hai mô hình có trong bài EOR và PEO khác nhau thế nào.

Chuyển dữ liệu cho công ty mẹ có được miễn hồ sơ đánh giá tác động không?

Có thể được miễn, nếu việc chuyển nhằm quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể. Đây là trường hợp miễn mới tại điểm d khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP, viết cho các tập đoàn quản lý nhân sự ở nhiều nước.

Điều kiện nằm ngay trong câu chữ: việc chia sẻ phải theo quy tắc, quy chế lao động và thỏa ước lao động tập thể của người sử dụng lao động. Doanh nghiệp chưa ghi việc báo cáo nhân sự về tập đoàn vào các văn bản này thì khó viện dẫn ngoại lệ. Luật còn một trường hợp miễn khác nhưng phạm vi hẹp: tổ chức lưu trữ dữ liệu người lao động của chính mình trên dịch vụ điện toán đám mây (điểm b khoản 6 Điều 20 Luật 91/2025/QH15). Ngoại lệ này chỉ phủ việc lưu trữ; gửi hay chia sẻ chính dữ liệu đó cho công ty mẹ ở nước ngoài vẫn là chuyển dữ liệu phải lập hồ sơ.

Vì sao EOR khó dựa vào ngoại lệ quản lý nhân sự?

Trong EOR, khách hàng nước ngoài không phải người sử dụng lao động: họ không ký hợp đồng lao động, không ban hành nội quy và không cùng tập đoàn với nhà cung cấp. Dữ liệu đi từ người sử dụng lao động sang một pháp nhân khác ở nước ngoài — đúng trường hợp "chuyển cho tổ chức ở nước ngoài" mà ngoại lệ quản lý nhân sự không nhắm tới. Chưa có hướng dẫn nào nói rõ điểm này, nên cách thận trọng là coi đây là chuyển dữ liệu xuyên biên giới thông thường và lập hồ sơ.

Được miễn hồ sơ cũng không có nghĩa được miễn luật. Các nghĩa vụ khác vẫn giữ nguyên: có căn cứ xử lý hợp pháp, bảo mật, ràng buộc bên nhận bằng hợp đồng, và xóa dữ liệu của người lao động khi chấm dứt hợp đồng, trừ khi có thỏa thuận hoặc luật quy định khác (khoản 2 Điều 25 Luật 91/2025/QH15). Ngoài ra, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là một hồ sơ riêng mà bên kiểm soát phải gửi trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (Điều 21 Luật 91/2025/QH15) — được miễn hồ sơ chuyển dữ liệu không có nghĩa được miễn hồ sơ này.

Hợp đồng với khách hàng nước ngoài phải ràng buộc những gì?

Hợp đồng phải ràng buộc trách nhiệm của bên nhận ở nước ngoài, vì bản sao hợp đồng này là thành phần bắt buộc của hồ sơ đánh giá tác động (điểm b khoản 2 Điều 18 Nghị định 356/2025/NĐ-CP). Nguyên tắc nên dùng: khách hàng chỉ được xem dữ liệu để điều hành công việc, mọi hoạt động xử lý khác đều bị loại trừ:

Danh sách này bám đúng các hoạt động mà khoản 6 Điều 2 Luật 91/2025/QH15 gọi là "xử lý dữ liệu cá nhân": thu thập, phân tích, tổng hợp, chỉnh sửa, cung cấp, chuyển giao. Loại trừ từng hoạt động đó khỏi phạm vi của khách hàng là cách viết điều khoản "chỉ xem, không xử lý" có căn cứ pháp lý, thay vì chỉ là một lời hứa. Khi thẩm định nhà cung cấp, hãy hỏi họ có sẵn điều khoản này không — danh mục câu hỏi đầy đủ có trong bài cách chọn Employer of Record tại Việt Nam.

Dữ liệu cá nhân nào của người lao động là "nhạy cảm" theo Nghị định 356?

Theo Điều 4 Nghị định 356/2025/NĐ-CP, bốn loại dữ liệu nhân sự hay gặp thuộc diện nhạy cảm là ảnh chụp thẻ căn cước, vị trí xác định qua dịch vụ định vị, dữ liệu sinh trắc học và tình trạng sức khỏe. Trong khi đó, số căn cước và số điện thoại chỉ là dữ liệu cơ bản (Điều 3).

Ranh giới này quyết định nên gửi gì ra nước ngoài:

Nguyên tắc chung: gửi báo cáo tổng hợp hoặc đã khử nhận dạng bất cứ khi nào có thể. Dữ liệu đã khử nhận dạng là dữ liệu không thể giúp xác định một người cụ thể (khoản 11 Điều 2 Luật 91/2025/QH15). Cẩn thận với nhóm nhỏ: bảng lương "theo phòng ban" của một phòng chỉ có một người vẫn là dữ liệu của người đó.

Không tuân thủ thì doanh nghiệp chịu rủi ro gì?

Mức phạt tiền tối đa với tổ chức vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề; nếu không có doanh thu năm trước hoặc mức 5% thấp hơn 3 tỷ đồng thì mức tối đa là 3 tỷ đồng (khoản 4 và khoản 5 Điều 8 Luật 91/2025/QH15).

Ngoài tiền phạt, có ba mốc thủ tục cần nhớ:

Mốc cập nhật 06 tháng đặc biệt đáng chú ý với EOR: mỗi khách hàng nước ngoài mới là một bên mới nhận dữ liệu. Khi chọn nhà cung cấp, bạn có quyền hỏi thẳng hồ sơ đánh giá tác động của họ đã gửi chưa, và luồng dữ liệu tới công ty bạn đã được cập nhật vào hồ sơ chưa.

Nhân Kiệt xử lý dữ liệu của khách hàng nước ngoài thế nào?

Nhân Kiệt tách vai theo mô hình. Khi làm EOR, Nhân Kiệt là người sử dụng lao động và là bên chuyển dữ liệu, nên nghĩa vụ hồ sơ đánh giá tác động thuộc về Nhân Kiệt, không chuyển sang khách hàng; khách hàng nước ngoài ký cam kết của bên nhận theo nguyên tắc chỉ xem, không xử lý. Khi làm PEO và tính lương, Nhân Kiệt là bên xử lý theo hợp đồng và giao báo cáo cho pháp nhân Việt Nam của khách hàng.

Cách chia này giúp khách hàng biết chính xác phần việc của mình. Với dịch vụ EOR tại Việt Nam, bạn ký cam kết bên nhận. Với dịch vụ tính lương thuê ngoài hay dịch vụ PEO, việc chia sẻ tiếp với tập đoàn nằm trong quy chế lao động và hồ sơ của chính doanh nghiệp bạn.

Công ty TNHH Cung Ứng Nhân Lực Nhân Kiệt (MST 0308022768) thành lập tháng 4/2009, nay là năm thứ 17, hoạt động theo Giấy phép cho thuê lại lao động số 15/2019/SHCM, đạt ISO 9001:2015, ISO 45001 và ISO 14001, với hơn 40.000 người lao động và hơn 500 khách hàng tại 34 tỉnh thành.

Nguồn tham khảo

Bài viết tổng hợp quy định để doanh nghiệp định hướng; tình huống cụ thể cần được tư vấn riêng.

Liên hệ tư vấn

Doanh nghiệp cần sắp xếp luồng dữ liệu nhân sự ra nước ngoài khi dùng EOR, PEO hoặc tính lương thuê ngoài có thể liên hệ:

Cần tư vấn cụ thể cho doanh nghiệp của bạn?
Gọi 0908 636 108 (Nguyễn Quốc Trung — Phó Tổng Giám đốc) hoặc xem dịch vụ hợp thức hóa lao động, tính lương thuê ngoài, cung ứng lao động.

← Các bài viết khác

Gọi 0908 636 108 Nhắn Zalo