Models for managing cross-border personal data transfers in selected countries
ThS. Lưu Thị Bích Hạnh
Phân hiệu Trường Đại học Ngoại thương tại TP. Hồ Chí Minh
(Quanlynhanuoc.vn) – Xây dựng hệ thống pháp luật điều chỉnh việc chuyển dữ liệu ra nước ngoài là vấn đề mà mỗi quốc gia cần phải giải quyết trong bối cảnh chưa có mô hình toàn cầu duy nhất nào để quản lý luồng dữ liệu cá nhân xuyên biên giới. Bài viết phân tích các mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới ở các quốc gia có nền kinh tế số phát triển, như: EU, Mỹ và Trung Quốc, Singapore nhằm tìm kiếm mô hình quản lý hiệu quả thúc đẩy chuyển giao dữ liệu xuyên biên giới vừa bảo vệ quyền riêng tư của công dân, trên cơ sở đó có thể xây dựng mô hình phù hợp cho Việt Nam, góp phần phát triển kinh tế đất nước.
Từ khóa: Dữ liệu cá nhân; chuyển giao dữ liệu; xuyên biên giới; chủ quyền không gian mạng; chủ quyền dữ liệu; EU; Hoa Kỳ; Trung Quốc; Singapore.
Abstract: Establishing a legal framework to regulate the cross-border transfer of data is an issue that every country must address, given that there is currently no single global model for managing the cross-border flow of personal data. This article analyzes models for managing cross-border transfers of personal data in countries with developed digital economies—such as the EU, the United States, China, and Singapore—to identify an effective regulatory model that promotes cross-border data transfers while protecting citizens’ privacy. Based on this analysis, the article aims to develop a suitable model for Vietnam that contributes to the country’s economic development.
Keywords: Personal data; data transfer; cross-border; cyberspace sovereignty; data sovereignty; EU; United States; China; Singapore.
1. Đặt vấn đề
Trong kỷ nguyên toàn cầu hóa và phát triển công nghệ nhanh chóng, việc truyền tải dữ liệu xuyên biên giới đã trở thành một phần không thể thiếu của nền kinh tế số (Thai Thị Tuyet Dung, Nguyen Van Duong, Nguyen Van Lam, 2025). Tính đến tháng 02/2025, có khoảng 80 triệu người dùng internet tại Việt Nam, trên tổng dân số 100 triệu người (Statistics, 2025a). Năm 2021, doanh thu bán lẻ thương mại điện tử xuyên biên giới của Việt Nam đạt 6,11 tỷ USD. Dự báo doanh thu bán lẻ thương mại điện tử xuyên biên giới của cả nước sẽ tiếp tục tăng và đạt 15,21 tỷ USD vào năm 2026 (Statistics, 2025b).
Việt Nam là quốc gia thuộc nhóm 10 quốc gia có lượng trao đổi dữ liệu xuyên biên giới hàng đầu. Thực tiễn cho thấy, sự gián đoạn của dòng chảy dữ liệu xuyên biên giới có thể gây hại đến an ninh quốc gia, lợi ích công cộng, lợi ích kinh doanh và chủ quyền dữ liệu. Mặt khác, mặc dù công nghệ số Việt Nam đã phát triển mạnh mẽ, nhưng văn bản pháp luật hiện hành điều chỉnh việc bảo vệ dữ liệu cá nhân và chuyển giao dữ liệu cá nhân xuyên biên giới là Luật Bảo vệ dữ liệu cá nhân năm 2025 còn ở giai đoạn sơ khai. Theo đó, việc tham khảo kinh nghiệm của EU, Hoa Kỳ, Trung Quốc và Singapore, những quốc gia có tầm ảnh hưởng với những thành tựu và kinh nghiệm nhất định trong việc xây dựng luật điều chỉnh bảo vệ dữ liệu cá nhân xuyên biên giới cho Việt Nam là rất cần thiết.
2. Mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới của EU
Thứ nhất, trong mô hình quản lý chuyển dữ liệu xuyên biên giới, EU đã thiết lập một cơ chế bảo vệ dữ liệu các nhân dựa trên quy định chung về bảo vệ dữ liệu (GDPR), trong đó bảo vệ dữ liệu cá nhân được xác định là nguyên tắc cốt lõi đối với mọi hoạt động xử lý và chuyển giao dữ liệu xuyên biên giới. GDPR quy định các nguyên tắc cơ bản, gồm: tính hợp pháp, công bằng và minh bạch; giới hạn mục đích; giảm thiểu dữ liệu; bảo đảm tính chính xác; giới hạn thời gian lưu trữ; tính toàn vẹn và bảo mật; trách nhiệm giải trình (Efrén Díaz Díaz, 2016). Không chỉ áp dụng với các quốc gia thành viên, GDPR còn có phạm vi hiệu lực ngoài lãnh thổ, yêu cầu mọi tổ chức, doanh nghiệp cung cấp hàng hóa hoặc dịch vụ cho cá nhân tại EU hoặc xử lý dữ liệu của họ đều phải tuân thủ các quy định này, bất kể doanh nghiệp được thành lập ở quốc gia nào. Nhờ đó, GDPR của EU đã trở thành một chuẩn mực pháp lý có ảnh hưởng lớn trong quản trị dữ liệu cá nhân và chuyển giao dữ liệu xuyên biên giới trên phạm vi toàn cầu.
Thứ hai, EU hạn chế quyền truy cập dữ liệu từ nước ngoài trong khu vực. Ủy ban châu Âu đã đề xuất một loạt các quy định nghiêm ngặt mà tất cả các doanh nghiệp hoạt động trong EU phải tuân thủ. Những quy định này không chỉ áp dụng cho các công ty EU trong nước mà còn cho bất kỳ công ty nước ngoài nào có dữ liệu người dùng tại EU. Để bảo đảm thực thi hiệu quả các quy định này, EU cũng đã thành lập một cơ quan bảo vệ dữ liệu chuyên trách chịu trách nhiệm giám sát và thực thi các luật liên quan. Các cơ quan này có quyền áp đặt hình phạt đối với các công ty vi phạm quy định, bao gồm cả các khoản tiền phạt nặng và các hạn chế kinh doanh. Điều này cũng áp dụng cho các doanh nghiệp xử lý dữ liệu cá nhân của công dân EU ở nước ngoài. Những người vi phạm sẽ phải đối mặt với mức phạt đáng kể, lên tới 4% doanh thu hằng năm. Ví dụ, Meta đã bị phạt 1,2 tỷ euro vì vi phạm quy định chuyển dữ liệu xuyên biên giới (VTV, 2023).
Đối với việc chuyển dữ liệu xuyên biên giới, EU đã thiết lập một cơ chế hai cấp gồm “xác định mức độ bảo vệ dữ liệu đầy đủ và các biện pháp thay thế”. Dữ liệu từ các quốc gia có xác định mức độ bảo vệ dữ liệu đầy đủ (Nhật Bản và Hàn Quốc) có thể được lưu chuyển tự do, trong khi dữ liệu từ các quốc gia không có xác định phải áp dụng các biện pháp như Điều khoản Hợp đồng chuẩn (SCC) và Quy tắc doanh nghiệp ràng buộc (BCR) và chủ thể dữ liệu phải cung cấp sự đồng ý rõ ràng (Yuexuan He, 2025). Quy định nghiêm ngặt này tạo ra nơi dữ liệu có thể được lưu chuyển tự do, nhưng áp đặt các ngưỡng tuân thủ cao hơn đối với các thực thể bên ngoài lãnh thổ. Năm 2018, EU thông qua Quy định về Lưu chuyển tự do dữ liệu phi cá nhân, thiết lập một khuôn khổ quản trị “tự do nội bộ và kiểm soát bên ngoài” dựa trên GDPR để giải quyết các quy định liên quan đến dữ liệu phi cá nhân. EU luôn thúc đẩy các điều khoản mẫu để điều chỉnh việc chuyển giao dữ liệu quốc tế và bảo vệ quyền riêng tư. Những điều khoản này nhấn mạnh việc bảo vệ quyền riêng tư cá nhân, đồng thời tạo điều kiện thuận lợi cho việc trao đổi dữ liệu xuyên biên giới và ngăn ngừa các nghĩa vụ bản địa hóa không cần thiết (Yang, K. H., 2025).
3. Mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới ở Hoa Kỳ
Là một cường quốc công nghệ dữ liệu, Hoa Kỳ sử dụng lợi thế công nghệ của mình một cách hiệu quả, thu thập tài nguyên dữ liệu trên quy mô toàn cầu. Về quy định pháp lý đối với luồng dữ liệu xuyên biên giới, Hoa Kỳ có luồng dữ liệu nội địa không giới hạn, áp dụng mô hình tự do, thiết lập hệ thống khung pháp lý như Quy tắc bảo vệ quyền riêng tư xuyên biên giới và tăng cường bảo vệ dữ liệu doanh nghiệp trong nước bằng cách mở rộng phạm vi quyền hạn. Quy định pháp luật có những đặc điểm sau:
(1) Không có hạn chế nội bộ, chế độ lưu chuyển tự do, hệ thống khung CBPR và mở rộng phạm vi quyền tài phán. Hoa Kỳ có chính sách kép, cụ thể Hoa Kỳ đã thực thi luật pháp địa phương hóa cực kỳ nghiêm ngặt trong nước để đảm bảo tính địa phương, lưu trữ và xử lý dữ liệu. Tuy nhiên, khi nói đến các vấn đề quốc tế, Hoa Kỳ phản đối việc các quốc gia khác áp dụng chính sách lưu trữ dữ liệu trong nước và ủng hộ việc lưu chuyển dữ liệu tự do.
(2) Nhấn mạnh nguyên tắc “thống trị thị trường”. Hoa Kỳ tin rằng cơ chế thị trường là cách tốt nhất để giải quyết vấn đề luồng dữ liệu xuyên biên giới, ủng hộ cạnh tranh thị trường và tự điều chỉnh của doanh nghiệp để bảo đảm an ninh và quyền riêng tư dữ liệu. Do đó, Chính phủ Hoa Kỳ phần lớn đã tránh can thiệp trực tiếp vào luồng dữ liệu, thay vào đó khuyến khích các công ty giải quyết những thách thức do luồng dữ liệu xuyên biên giới gây ra, thông qua đổi mới công nghệ và tự quản lý, đồng thời thúc đẩy sự phát triển của công nghệ, ở một mức độ nhất định, cũng có thể dẫn đến những lỗ hổng trong bảo mật dữ liệu và bảo vệ quyền riêng tư (Monika Z., 2022).
(3) Chú ý đến nguyên tắc “trung lập về công nghệ” trong việc xây dựng các quy định pháp luật. Đối với luồng dữ liệu xuyên biên giới, Hoa Kỳ cố gắng tránh ưu tiên bất kỳ công nghệ cụ thể nào hoặc các nền tảng.
Hiện nay, Hoa Kỳ đã thiết lập một hệ thống lập pháp phi tập trung và giám sát đa cấp để bảo đảm tuân thủ dữ liệu xuyên biên giới. Ở cấp liên bang, Đạo luật Ủy ban Thương mại Liên bang (FTC) cho phép cơ quan này điều tra và áp đặt hình phạt đối với các hành vi vi phạm dữ liệu. Ở cấp tiểu bang, Đạo luật Bảo vệ Quyền riêng tư người tiêu dùng California (CCPA) thiết lập quyền của người tiêu dùng được biết và xóa dữ liệu vào năm 2023, bổ sung một cơ quan bảo vệ quyền riêng tư mới, nâng cao đáng kể các tiêu chuẩn tuân thủ dữ liệu. Liên quan đến việc chuyển dữ liệu xuyên biên giới, Khung bảo mật dữ liệu EU – Hoa Kỳ đã thiết lập lại cơ chế luồng dữ liệu xuyên Đại Tây Dương, giới thiệu các kênh khắc phục cho chủ thể dữ liệu và cơ chế giám sát của chính phủ (Zhang, X. and Zhu, Y., 2024). Đối với các công ty nước ngoài, hệ thống tuân thủ dữ liệu của Hoa Kỳ cung cấp cách tiếp cận kép “khuyến khích và trừng phạt”. Vụ lạm dụng dữ liệu người dùng Google Android thể hiện các đặc điểm quy định được đặc trưng bởi việc tái cấu trúc thể chế, mở rộng chủ quyền và cách tiếp cận cân bằng giữa sự cứng rắn và linh hoạt (Global Network, 2025). Đối mặt với môi trường tuân thủ dữ liệu phức tạp, các công ty phải thiết lập một hệ thống tuân thủ năng động, theo dõi chặt chẽ những thay đổi trong luật pháp liên bang và tiểu bang, đồng thời tăng cường đầu tư vào các công nghệ bảo mật dữ liệu để giảm thiểu rủi ro pháp lý tiềm ẩn (Liu, J., 2022).
Hoa Kỳ đã thực hiện một loạt các biện pháp hạn chế việc chuyển dữ liệu ra nước ngoài. Chính sách và luật pháp của Hoa Kỳ về thông báo vi phạm dữ liệu đã được xây dựng và thực hiện ở cả cấp liên bang và cấp tiểu bang. Tất cả 50 tiểu bang của Hoa Kỳ đã ban hành luật thông báo vi phạm dữ liệu (tiểu bang cuối cùng là Alabama) (Ong, R., 2020). Ngay từ năm 2007, Hoa Kỳ đã triển khai một chương trình Giám sát internet bí mật, có tên mã là PRISM, hợp tác với Microsoft, Yahoo, Google và các công ty khác, như một cơ chế để giám sát các liên lạc của người nước ngoài, bao gồm cả những liên lạc đi qua Hoa Kỳ. Vi phạm dữ liệu và các cuộc tấn công mạng vào cơ sở hạ tầng thông tin quan trọng có thể gây ra những thiệt hại đáng kể về kinh tế và xã hội (Cheng, L., and J. Nasirov., 2025). Do đó, trong những năm gần đây, Hoa Kỳ đã tăng cường kiểm soát việc xuất khẩu dữ liệu thương mại và công nghệ quan trọng.
4. Mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới ở Trung Quốc
Trung Quốc đặc biệt coi trọng việc giám sát chuyển giao dữ liệu xuyên biên giới và thúc đẩy chuyển đổi số. Những năm gần đây, chính phủ Trung Quốc đã dần tăng cường khuôn khổ pháp lý để quản lý dòng dữ liệu quốc tế bằng cách tích hợp các điều khoản liên quan đối với an ninh mạng, bảo mật dữ liệu và luật bảo vệ thông tin cá nhân của quốc gia đã tạo ra một khuôn khổ pháp lý cơ bản cho việc di chuyển dữ liệu cá nhân xuyên biên giới. Theo Điều 38 của Luật Bảo vệ thông tin cá nhân năm 2021, việc xuất khẩu dữ liệu cá nhân phải đáp ứng ba yếu tố cốt lõi:
Một là, việc xuất khẩu dữ liệu phải tuân thủ các thủ tục pháp lý, bao gồm việc vượt qua đánh giá an ninh của bộ phận an ninh mạng và tin học quốc gia, vượt qua chứng nhận của tổ chức chứng nhận, hoặc ký kết hợp đồng tiêu chuẩn với bên nhận ở nước ngoài.
Hai là, bên nhận ở nước ngoài phải bảo đảm các tiêu chuẩn xử lý dữ liệu không thấp hơn tiêu chuẩn trong nước, phản ánh cách tiếp cận quản lý hai chiều, một mặt việc đánh giá được thực hiện dựa trên mức độ bảo vệ của quốc gia nhận, mặt khác, bảo đảm bên nhận dữ liệu tuân thủ các yêu cầu thể chế tương ứng.
Ba là, việc truyền dữ liệu xuyên biên giới yêu cầu sự đồng ý cá nhân của chủ thể dữ liệu. Điều 39 Luật Bảo vệ thông tin cá nhân quy định rõ ràng rằng chủ thể dữ liệu phải đưa ra sự ủy quyền riêng biệt và rõ ràng cho việc xuất khẩu thông tin cá nhân của họ ra nước ngoài để bảo đảm quyền được biết và lựa chọn của họ được bảo vệ. Từ năm 2021, Luật An ninh dữ liệu và Luật Bảo vệ thông tin cá nhân được ban hành, từng bước thiết lập một khuôn khổ thể chế dựa trên nguyên tắc “bảo vệ theo loại và theo thứ bậc”. Hai luật này thực hiện các biện pháp kiểm soát nghiêm ngặt đối với việc truyền tải dữ liệu quan trọng và cốt lõi xuyên biên giới, phân loại dữ liệu thành 3 cấp độ: chung, quan trọng và cốt lõi và áp dụng các chiến lược quản lý khác nhau. Khung pháp lý của họ đã thiết lập một cơ chế quản trị toàn diện cho mọi giai đoạn của vòng đời dữ liệu và cung cấp cơ sở pháp lý có hệ thống cho các luồng dữ liệu xuyên biên giới (Yang, Y., 2024).
Giai đoạn từ năm 2022 đến nay là giai đoạn tối ưu hóa và cải thiện việc quản lý dữ liệu xuyên biên giới của Trung Quốc. Do đó, các chính sách liên quan của Trung Quốc đã dần chuyển sang cách tiếp cận chuyên sâu hơn, nỗ lực thiết lập sự cân bằng năng động. Biện pháp về hợp đồng chuẩn cho việc chuyển giao thông tin cá nhân xuyên biên giới năm 2023 cũng đã đưa ra các mẫu hợp đồng tương ứng để giảm chi phí cho các tổ chức và giảm bớt áp lực do quy định gây ra đối với các doanh nghiệp vừa và nhỏ. Các quy định về tạo điều kiện và điều chỉnh dòng chảy dữ liệu xuyên biên giới năm 2024 đã giới thiệu mô hình danh sách tiêu cực để quản lý trong các khu thí điểm thương mại tự do và thực hiện các trường hợp ngoại lệ cho các tình huống cụ thể như nghiên cứu khoa học và môi trường học thuật cũng như các kịch bản xử lý ẩn danh. Điều này phản ánh cách tiếp cận quản trị đặc trưng bởi “phát triển an toàn và bền vững”, thúc đẩy hơn nữa việc khai thác tiềm năng giá trị của các yếu tố dữ liệu và nâng cao tính chủ động và mức độ tham gia của các công ty Trung Quốc vào cạnh tranh thị trường ở cấp độ quốc tế (Chen, S., 2024).
5. Singapore điều chỉnh khung pháp lý chuyển giao dữ liệu cá nhân xuyên biên giới theo mô hình linh hoạt và dựa trên trách nhiệm giải trình
Tại Singapore, Luật Bảo vệ dữ liệu cá nhân (PDPA) là khung pháp lý đầu tiên của Singapore về bảo vệ dữ liệu cá nhân. Luật được thông qua vào năm 2012 nhưng việc thực thi được tiến hành theo từng giai đoạn để các tổ chức có 18 tháng điều chỉnh hoạt động của mình cho phù hợp với PDPA, Luật PDPA cho phép chuyển dữ liệu xuyên biên giới với điều kiện bên nhận bảo đảm mức độ bảo vệ không thấp hơn tiêu chuẩn của Singapore. Trên thực tế, các doanh nghiệp thường áp dụng các biện pháp bảo vệ thích hợp như: Quy tắc ràng buộc doanh nghiệp, điều khoản hợp đồng chuẩn hoặc hệ thống Quy tắc bảo mật xuyên biên giới APEC (CBPR) để bảo đảm chuyển dữ liệu an toàn. Singapore áp dụng cách tiếp cận pháp lý linh hoạt, chủ yếu dựa vào sự tự giác tuân thủ và trách nhiệm giải trình của doanh nghiệp. Singapore coi PDPA là một cơ chế quan trọng để nâng cao khả năng cạnh tranh và củng cố vị thế của mình như một đối tác kinh doanh đáng tin cậy (Yuet Ming Tham, Ijin Tan and Teena Zhang, 2014).
Điều 26 của PDPA hạn chế việc chuyển dữ liệu cá nhân ra ngoài Singapore, trừ khi tổ chức đảm bảo rằng bên nhận cung cấp tiêu chuẩn bảo vệ tương đương với tiêu chuẩn bảo vệ theo PDPA. Nghĩa vụ này áp dụng bất kể việc chuyển giao là cho công ty liên kết, nhà cung cấp hay bất kỳ bên nhận nào khác (Resguard Solution, 2026).
Các bước quản lý việc chuyển tiền xuyên biên giới bao gồm: lập bản đồ luồng dữ liệu, tạo một danh mục toàn diện về tất cả các hoạt động chuyển dữ liệu cá nhân xuyên biên giới, đánh giá từng lần chuyển dữ liệu; lựa chọn và thực hiện cơ chế thích hợp để bảo đảm sự bảo vệ tương đương; kiểm tra các hợp đồng hiện có với nhà cung cấp và nhà cung cấp dịch vụ để bảo đảm chúng bao gồm các điều khoản bảo vệ dữ liệu đầy đủ cho việc chuyển dữ liệu xuyên biên giới.
Ủy ban Bảo vệ Dữ liệu cá nhân (PDPC) cho rằng “tương đương” không có nghĩa là giống nhau. Quốc gia hoặc tổ chức nhận dữ liệu không cần phải có luật pháp hoàn toàn giống với Đạo luật PDPA. Thay vào đó, mức độ bảo vệ phải ít nhất tương đương về hiệu quả tổng thể, bảo đảm dữ liệu cá nhân tiếp tục được bảo vệ khỏi việc truy cập, thu thập, sử dụng, tiết lộ trái phép và các rủi ro tương tự (Resguard Solution, 2026).
6. Đề xuất hoàn thiện mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới tại Việt Nam
6.1. Thực trạng mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới tại Việt Nam hiện nay
Theo quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025, mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới tại Việt Nam hiện nay là mô hình chủ quyền dữ liệu có kiểm soát, không cấm tuyệt đối, việc chuyển giao chỉ được thực hiện khi đáp ứng đủ 3 điều kiện: có sự đồng ý của chủ thể, bảo đảm hạ tầng lưu trữ tại chỗ và có hồ sơ đánh giá tác động. Việt Nam không áp dụng cơ chế quyết định tương xứng như EU (chọn quốc gia an toàn để cho phép chuyển tự do), mọi doanh nghiệp đều phải tự lập hồ sơ và nộp để cơ quan chức năng hậu kiểm. Trách nhiệm cao nhất thuộc về bên chuyển dữ liệu, nhưng quyền quyết định cuối cùng là cơ quan quản lý chuyên trách (Bộ Công an).
Thông qua nghiên cứu quy định về bảo vệ dữ liệu xuyên biên giới cho thấy, quy định bảo vệ dữ liệu xuyên biên giới của Việt Nam không “mở” như Singapore cũng không “hạn chế” như EU, mô hình quản lý dữ liệu của Việt Nam được đánh giá là gần gũi nhất với mô hình của Trung Quốc, nhưng có sự kế thừa các tiêu chuẩn kỹ thuật của EU. Việt Nam yêu cầu một số doanh nghiệp cung cấp dịch vụ xuyên biên giới phải lưu trữ dữ liệu người dùng Việt Nam trên máy chủ tại Việt Nam, Bộ Công an Việt Nam đóng vai trò chủ chốt trong việc giám sát dòng chảy dữ liệu, tương tự như vai trò của CAC (Cơ quan Quản lý không gian mạng) tại Trung Quốc. Dù kiểm soát chặt chẽ như Trung Quốc nhưng Việt Nam quy định trong Luật Bảo vệ dữ liệu cá nhân rất gần với quy định EU về quyền của chủ thể dữ liệu, hồ sơ đánh giá tác động, yêu cầu doanh nghiệp lập báo cáo đánh giá rủi ro trước khi chuyển dữ liệu ra nước ngoài.
Mô hình quản lý chuyển giao dữ liệu của Việt Nam ít giống mô hình Hoa Kỳ và Singapore, Hoa Kỳ ưu tiên tự do luân chuyển dữ liệu và coi trọng quyền tự quyết của doanh nghiệp, Singapore chú trọng vào sự linh hoạt và các chứng nhận đa phương. Trong khi đó, Việt Nam hiện đang tập trung vào việc xây dựng hàng rào pháp lý nội địa và thẩm định trực tiếp từng hồ sơ của doanh nghiệp.
Ngoài việc khác biệt so với các mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới của các quốc gia nêu trên, quy định về chuyển giao dữ liệu cá nhân xuyên biên giới của Việt Nam cũng còn nhiều hạn chế trong cách tiếp cận việc chuyển giao dữ liệu xuyên biên giới, lưu trữ dữ liệu gốc, thiếu các biện pháp bảo vệ dữ liệu, việc ẩn danh dữ liệu xuyên biên giới và trách nhiệm giải trình…, trách nhiệm tuân thủ liên tục của doanh nghiệp thông qua hồ sơ đánh giá tác động và cơ chế giám sát sau chuyển giao. Vì vậy, cần sửa đổi và bổ sung trong các điều khoản của pháp luật Việt Nam để tạo ra mô hình pháp lý linh hoạt cho các chủ thể, cho phép các bên lựa chọn các biện pháp bảo vệ dữ liệu cá nhân phù hợp.
6.2. Đề xuất định hướng mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới tại Việt Nam
Từ những phân tích thực trạng mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới tại Việt Nam hiện nay, tác giả đề xuất mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới tương lai của Việt Nam là mô hình cân bằng giữa các mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới của EU, Hoa Kỳ, Trung Quốc, Singapore nhằm hỗ trợ Việt Nam đạt mục tiêu trở thành một điểm đến mà ở đó dữ liệu vừa được bảo vệ như một tài sản quốc gia, vừa được khai thác tối đa như một nhiên liệu của kinh tế số (Thủ tướng Chính phủ, 2024).
Thứ nhất, Việt Nam cần học tập mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới của Singapore theo hướng tiếp cận linh hoạt, ưu tiên khuyến khích hơn ngăn cấm, doanh nghiệp được quyền xử lý và chuyển giao dữ liệu để phục vụ hoạt động kinh doanh nhưng phải cam kết tuân thủ các tiêu chuẩn bảo vệ dữ liệu và chịu sự kiểm tra, thanh tra định kỳ. Cách tiếp cận này giúp giảm thiểu rào cản pháp lý, đồng thời vẫn bảo đảm kiểm soát rủi ro một cách hiệu quả, tạo điều kiện cho doanh nghiệp phát triển trong môi trường số.
Thứ hai, Việt Nam cần tiếp thu có chọn lọc kinh nghiệm của EU trong việc cho phép chuyển dữ liệu ra nước ngoài thông qua các cơ chế công nhận mức độ bảo vệ tương đương hoặc sử dụng điều khoản hợp đồng chuẩn (SCC). Việt Nam có thể học tập cách tiếp cận này để vừa bảo vệ dữ liệu cá nhân, vừa tạo điều kiện tiếp cận thị trường khó tính như châu Âu và Hoa Kỳ, từ đó nâng cao năng lực cạnh tranh của doanh nghiệp. Theo đó, Việt Nam có thể kế thừa quy định cụ thể của EU như: áp dụng bắt buộc việc lập hồ sơ đánh giá tác động chuyển dữ liệu, kiểm soát dòng chảy dữ liệu dựa trên mức độ an toàn của bên nhận, xây dựng các quyền của người dùng (truy cập, xóa, phản đối xử lý) giống với GDPR.
Thứ ba, tham khảo kinh nghiệm của Hoa Kỳ và Singapore trong việc thúc đẩy các cơ chế hợp tác quốc tế về chuyển giao dữ liệu xuyên biên giới. Việt Nam cần chủ động tham gia các khuôn khổ hợp tác về bảo vệ dữ liệu trong ASEAN, đồng thời từng bước hài hòa hóa pháp luật trong nước với các tiêu chuẩn quốc tế, đặc biệt là các chuẩn mực được áp dụng rộng rãi như GDPR của EU. Đây là giải pháp quan trọng nhằm nâng cao mức độ tin cậy của môi trường pháp lý, tạo thuận lợi cho hoạt động đầu tư, thương mại số và chuyển giao dữ liệu xuyên biên giới trong bối cảnh hội nhập quốc tế ngày càng sâu rộng.
Thứ tư, tham khảo mô hình quản lý của Trung Quốc: bảo đảm “chủ quyền và an ninh quốc gia” bằng cách phân loại và lưu trữ để bảo vệ lợi ích quốc gia, chia dữ liệu thành các nhóm: dữ liệu cá nhân, dữ liệu quan trọng và dữ liệu cốt lõi. Các nhóm dữ liệu quan trọng sẽ bị kiểm soát chặt chẽ hoặc cấm chuyển ra nước ngoài. Yêu cầu các doanh nghiệp cung cấp dịch vụ xuyên biên giới phải lưu trữ bản sao dữ liệu người dùng Việt Nam tại các máy chủ trong nước.
7. Kết luận
Việt Nam đang đứng trước cơ hội rõ ràng để phát triển và hưởng lợi từ nền kinh tế số, trở thành một quốc gia phát triển. Do đó, cần có một phương pháp tiếp cận chính sách phù hợp để quản lý dòng chảy dữ liệu cá nhân xuyên biên giới một cách an toàn, đáng tin cậy và cho phép tự do lưu chuyển. Thông qua nghiên cứu mô hình quản lý chuyển giao dữ liệu cá nhân xuyên biên giới của EU, Hoa Kỳ, Trung Quốc và Singapore, tác giả đề xuất mô hình cân bằng giữa các mô hình quản lý của các quốc gia trên với mong muốn Việt Nam có thể dễ dàng thu hút đầu tư nước ngoài và từng bước nâng cao hiệu quả bảo vệ dữ liệu cá nhân, góp phần phát triển kinh tế đất nước trong kỷ nguyên số.
Tài liệu tham khảo:
Chen, S. (2024). Research on the legal regulation of cross-border data flow in our country (Master’s thesis). Chinese People’s Public Security University.
Cheng, L., & Nasirov, J. (2025). Promoting trust and security in the digital domain: A discourse analysis of legal constructs. International Journal of Legal Discourse, 10(1), 13-34.
Díaz Díaz, E. (2016). The new European Union General Regulation on Data Protection and the legal consequences for institutions, church. Communication and Culture, 1(1), 206-239. https://doi.org/10.1080/23753234.2016.1240912
Dong, F. (2019). The comparative analysis of trans-border data flow laws and regulations in European Union and U.S., and “Chinese Wisdom” in face of challenges. Library Journal, 38(12), 92-97.
Global Network (2025). California jury finds Google $315 million in damages for abuse of Android user data. Retrieved from https://www.toutiao.com/article/7522356400656335423/?upstream_biz=doubao&source=m_redirect
He, Y. (2025). Research on enterprise cross-border data compliance. In Proceedings of ICILLP 2025 Symposium: Digital Governance: Inter-Firm Coopetition and Legal Frameworks for Sustainability (pp. 74-83). https://doi.org/10.54254/2753-7048/2025.BR26817
Li, Q. (2023). Legal issues of international regulation on cross-border flow of personal data (Doctoral dissertation). Liaoning University. https://doi.org/10.27209/d.cnki.glniu.2023.002463
Liu, J. (2022). Towards global regulation of cross-border data flows: Fundamental concerns and China’s plan. Administrative Law Research, (4), 73-88.
Monika, Z. (2022). Transborder data flows and data privacy law. Computer Law & Security Review: The International Journal of Technology Law and Practice, 23(1), 104-108.
Nikkei Asia. (2022). China rises as world’s data superpower as internet fractures. https://asia.nikkei.com/Spotlight/Century-of-Data/China-rises-as-world-s-data-superpower-as-internet-fractures (Accessed April 12, 2026).
Ong, R. (2020). Mandatory data breach notification: Its role in protecting personal data. Journal of International and Comparative Law, 10(1), 87-112.
Statista (2025a). Internet usage in Vietnam – Statistics & facts. https://www.statista.com/topics/6231/internet-usage-in-vietnam/
Statista (2025b). Retail sales of cross-border e-commerce in Vietnam from 2017 to 2021 with forecasts to 2026. https://www.statista.com/statistics/1372713/vietnam-cross-border-e-commerce-retail-sales/
Thai, T. T. D., Nguyen, V. D., & Nguyen, V. L. (2025). A comparative study of cross-border data transfer regulations in Vietnam and Singapore: Ensuring the protection of privacy. Asia-Pacific Journal on Human Rights and the Law, 1-32.
Yang, K. H. (2025). The global reach of EU law: Insights from EU data institutionalization. Journal of International and Comparative Law, 12(1), 141-154.
Zhang, X., & Zhu, Y. (2024). The evolution and enlightenment of the legal system of personal data protection in the United States. Journal of Wuhan University of Science and Technology (Social Sciences), 26, 60-76.
Thủ tướng Chính phủ (2024). Quyết định số 142/QĐ-TTg ngày 02/02/2024 phê duyệt Chiến lược dữ liệu quốc gia đến năm 2030.
Yuet Ming Tham, Ijin Tan and Teena Zhang (2014). “Chapter 16: Singapore”, The Privacy, Data Protection and Cybersecurity Law Review, Edition 1, tr. 204.
