Chủ quyền dữ liệu, các luồng xuyên biên giới và cái giá của sự thận trọng

Tác giả: Lê Hồng Hiệp

Xem thêm: Các chương khác trong bản thảo “Vượt ra ngoài gia công” 

Tóm tắt

• • Ba mô hình đang định hình tranh luận toàn cầu về dữ liệu xuyên biên giới: mô hình dựa trên quyền của EU theo GDPR, cho phép chuyển dữ liệu dựa trên công nhận mức bảo vệ tương xứng hoặc bảo đảm hợp đồng, dưới sự giám sát độc lập; mô hình chủ quyền ưu tiên an ninh của Bắc Kinh, với các đánh giá do nhà nước tổ chức; và con đường trung dung, thân thiện với thương mại của Singapore, dựa trên chứng nhận quyền riêng tư quốc tế và DEPA.
  • Biến số quyết định là tính nhất quán: các quy tắc có tạo thành hệ thống rõ ràng hay chồng lấn, thiếu phối hợp, khiến một giao dịch phải chịu chi phí tuân thủ nhiều lần. Tính nhất quán pháp quy và khả năng tương tác — việc tuân thủ một khuôn khổ được khuôn khổ khác công nhận — là hai khái niệm trung tâm để đánh giá kiến trúc dữ liệu Việt Nam.
  • Ngay cả mô hình EU cũng tạo chi phí tuân thủ đáng kể, ước tính từ khoảng 1,7 triệu USD với doanh nghiệp nhỏ và vừa đến hàng chục triệu USD với tập đoàn lớn. Không chế độ bảo vệ dữ liệu nghiêm túc nào không có chi phí; khác biệt nằm ở nguồn phát sinh và cách phân bổ. Mức độ GDPR cản trở đầu tư công nghệ châu Âu vẫn gây tranh luận.
  • Từ tháng 3/2024, Trung Quốc bắt đầu nới lỏng quy định, nâng ngưỡng đánh giá an ninh bắt buộc và cho phép các khu thương mại tự do áp dụng “danh sách tiêu cực” hẹp hơn. Điều chỉnh này diễn ra sau nhiều năm vướng mắc, với vụ rà soát Didi năm 2021 và khoản phạt khoảng 1,2 tỷ USD là ví dụ nổi bật. Đến năm 2026, Bắc Kinh dần chuyển trọng tâm sang kiểm tra hiệu quả các cơ chế nới lỏng.
  • Việt Nam đang đi theo hướng ngược lại. Luật Dữ liệu năm 2024 đặt việc chuyển dữ liệu “cốt lõi” và “quan trọng” ra nước ngoài dưới cơ chế phê duyệt của Bộ Công an. Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 1/1/2026, bổ sung các yêu cầu mang đặc điểm GDPR về sự đồng ý, đánh giá tác động và thông báo vi phạm. Vi phạm về chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt tới 5% doanh thu năm trước.
  • Hai chế độ không dùng chung thủ tục và khác nhau về thời điểm: Luật Dữ liệu yêu cầu phê duyệt trước khi chuyển dữ liệu cốt lõi, còn Luật Bảo vệ dữ liệu cá nhân yêu cầu thông báo sau khi bắt đầu chuyển. Cùng một bộ dữ liệu vì thế có thể chịu cả tiền kiểm lẫn hậu kiểm mà không có bộ hồ sơ thống nhất đáp ứng hai yêu cầu.
  • Trong chưa đầy 18 tháng, Việt Nam đã kết hợp bộ máy tuân thủ của EU, nhưng thiếu truyền thống thực thi độc lập tương ứng, với logic phân loại của Trung Quốc, nhưng chưa phản ánh những điều chỉnh giảm gánh nặng của Bắc Kinh. Sự kết hợp này có nguy cơ gây bất lợi cho nền kinh tế số mà Nghị quyết 57 hướng tới, dù còn quá sớm để đo lường đầy đủ tác động.

Giới thiệu

Theo mặc định, dữ liệu không tôn trọng biên giới. Chính phủ nào muốn buộc dữ liệu tuân theo biên giới quốc gia đều phải dựng lên những “trạm kiểm soát”. Thiết kế các trạm kiểm soát này là một lựa chọn ít được chú ý nhưng có hệ quả sâu rộng đối với nền kinh tế số. Quá cởi mở, một quốc gia có nguy cơ đánh mất đòn bẩy đối với dữ liệu công dân, năng lực cạnh tranh của doanh nghiệp và lợi ích an ninh vào tay những khu vực tài phán có quy tắc và mục tiêu khác biệt. Quá khép kín, quốc gia đó lại tự tách khỏi các luồng dữ liệu làm nền tảng cho thương mại, điện toán đám mây, trí tuệ nhân tạo và hoạt động của các công ty đa quốc gia.

Gần như mọi chính phủ hiện đều điều tiết chuyển dữ liệu xuyên biên giới. Khác biệt không chỉ nằm ở mức độ nghiêm ngặt, mà còn ở logic thể chế quyết định khi nào dữ liệu được rời lãnh thổ và ai có thẩm quyền cho phép. Logic này có thể được hiểu qua khái niệm tính nhất quán pháp quy: mức độ các đạo luật, cơ quan và thủ tục về dữ liệu vận hành như một hệ thống thống nhất, thay vì những lớp quy định riêng biệt mà doanh nghiệp phải lần lượt vượt qua. Một chế độ nghiêm ngặt nhưng nhất quán vẫn giúp doanh nghiệp biết rõ yêu cầu và lập kế hoạch. Ngược lại, những quy định tương đối khoan dung vẫn có thể gây tốn kém nếu bị phân tán giữa các quy trình thiếu phối hợp.

Bên cạnh đó là khả năng tương tác: mức độ việc tuân thủ khuôn khổ của một quốc gia hoặc hệ thống quốc tế được nơi khác công nhận, giúp doanh nghiệp tránh lặp lại những công việc tương đương cho từng khu vực tài phán và đối tác.

EU, Trung Quốc và Singapore đều xây dựng những hệ thống tương đối nhất quán về nội tại, dù triết lý nền tảng khác nhau. Cơ chế công nhận mức độ bảo vệ tương xứng của EU, các hệ thống chứng nhận của Singapore và Hiệp định Đối tác Kinh tế Số (DEPA) đều hướng tới khả năng tương tác xuyên biên giới. Khó khăn đang nổi lên của Việt Nam trước hết là tính nhất quán, rồi mới đến mức độ nghiêm ngặt.

Một nguyên tắc tổ chức khác là tính tương xứng: hạn chế đối với luồng dữ liệu phải phù hợp với rủi ro thực tế, thay vì mức thận trọng tối đa mà cơ quan quản lý có thể đòi hỏi. Nguyên tắc này không riêng có ở châu Âu, dù EU đã phát triển học thuyết chính thức nhất: biện pháp hạn chế quyền cơ bản phải cần thiết để đạt mục tiêu chính đáng và không vượt quá mức cần thiết.[1]

Logic tương tự xuất hiện trong luật thương mại. Điều 19.11 của Hiệp định Hoa Kỳ–Mexico–Canada chỉ cho phép hạn chế luồng dữ liệu xuyên biên giới khi cần thiết cho một mục tiêu chính sách công chính đáng, và không được hạn chế quá mức cần thiết để đạt mục tiêu đó.[2]

Theo tiêu chuẩn này, câu hỏi đối với Việt Nam không chỉ là các thể chế có nhất quán hay không, mà còn là tổng gánh nặng tuân thủ có tương xứng với những rủi ro thúc đẩy việc ban hành quy định — buôn bán dữ liệu trái phép, đe dọa an ninh quốc gia và tổn hại quyền riêng tư — hay sự thận trọng đã tích tụ vượt quá mức các rủi ro có thể biện minh.

Câu hỏi đặc biệt cấp thiết vì Việt Nam đã xây dựng gần như toàn bộ kiến trúc quản trị dữ liệu từ con số không trong thời gian rất ngắn. Chương 20 xem xét cách Luật Dữ liệu năm 2024 phân loại và hạn chế dữ liệu “cốt lõi” và “quan trọng”, đồng thời đặt câu hỏi liệu luật có âm thầm đi ngược tham vọng dữ liệu mở của Việt Nam.

Chương 21 xem xét cơ quan quản lý chế độ an ninh mạng và nhận thấy thẩm quyền tiếp tục hội tụ về Bộ Công an. Chương này tập trung vào hệ quả thương mại và đầu tư của kiến trúc đó, nay được mở rộng bởi Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026. Câu hỏi trung tâm là liệu cách tiếp cận nhiều tầng, lấy an ninh làm nền tảng có tạo gánh nặng tuân thủ không tương xứng với rủi ro, qua đó làm tổn hại nền kinh tế số mà Nghị quyết 57 đặt mục tiêu phát triển lên một nửa GDP vào năm 2045.

Những được mất vượt xa thương mại số. Tham vọng AI của Việt Nam phụ thuộc vào luân chuyển dữ liệu huấn luyện, tiếp cận hạ tầng đám mây và GPU ở nước ngoài, cùng khả năng tích hợp với các mô hình nền tảng được huấn luyện và lưu trữ ngoài lãnh thổ. Một kiến trúc coi mọi hoạt động chuyển dữ liệu xuyên biên giới là sự kiện an ninh cần phê duyệt riêng lẻ khó tương thích với chiến lược AI dựa trên khả năng tiếp cận thông suốt hạ tầng dữ liệu và điện toán toàn cầu. Vì vậy, chính sách dữ liệu xuyên biên giới ngày càng trở thành chính sách hạ tầng của nền kinh tế AI, cùng phạm trù với cáp ngầm và năng lực trung tâm dữ liệu được xem xét trong Chương 18.

Để trả lời câu hỏi trung tâm, chương xem xét ba điểm tham chiếu quốc tế. Thứ nhất là Quy định chung về bảo vệ dữ liệu (GDPR) của EU, đại diện cho mô hình dựa trên quyền. Thứ hai là Luật An ninh mạng, Luật An ninh dữ liệu và Luật Bảo vệ thông tin cá nhân của Trung Quốc, đại diện cho mô hình chủ quyền đặt an ninh lên hàng đầu, với những điều chỉnh chính sách gần đây đáng chú ý. Thứ ba là Đạo luật Bảo vệ dữ liệu cá nhân của Singapore và vai trò của nước này trong DEPA, thể hiện nỗ lực xây dựng con đường trung dung thân thiện với thương mại. Chương tiếp đó xem xét sáng kiến Dòng chảy dữ liệu tự do với niềm tin (DFFT) của Nhật Bản, vốn tìm cách kết nối các mô hình trên. Cùng với các nghiên cứu về thương mại số và quản trị dữ liệu, DFFT cung cấp hệ khái niệm về khả năng tương tác và tính tương xứng.[3] Trên cơ sở đó, chương đánh giá kiến trúc Việt Nam và đề xuất giảm độ phức tạp, chi phí tuân thủ trong khi bảo đảm các mục tiêu chính đáng về an ninh và quyền riêng tư.

Kinh nghiệm quốc tế

Liên minh châu Âu: Quy định dựa trên quyền và những chi phí thực tế

Quy định Bảo vệ Dữ liệu Chung (GDPR), có hiệu lực từ ngày 25/5/2018, vẫn là đạo luật bảo vệ dữ liệu có ảnh hưởng lớn nhất thế giới và là biểu hiện rõ nhất của mô hình quản trị dữ liệu dựa trên quyền. Theo mô hình này, dữ liệu cá nhân gắn với người mà dữ liệu mô tả. Tổ chức xử lý dữ liệu phải có cơ sở pháp lý phù hợp, tôn trọng các quyền truy cập, cải chính, xóa và chuyển dữ liệu, đồng thời chịu sự giám sát của các cơ quan bảo vệ dữ liệu độc lập. Hoạt động giám sát giữa các nước thành viên được phối hợp thông qua cơ chế một cửa và Ủy ban Bảo vệ Dữ liệu châu Âu.[4]

Đặc biệt, GDPR có hiệu lực ngoài lãnh thổ: tổ chức xử lý dữ liệu cá nhân của người dân EU có thể thuộc phạm vi điều chỉnh dù đặt trụ sở ở đâu. Nhờ đó, GDPR trở thành chuẩn mực có ảnh hưởng toàn cầu.[5]

Dù tập trung vào quyền cá nhân, GDPR cũng vận hành như công cụ bảo vệ chủ quyền số, bảo đảm dữ liệu châu Âu tiếp tục chịu sự chi phối của chuẩn mực pháp lý châu Âu, bất kể ai xử lý và ở đâu. Cách diễn giải dựa trên quyền và dựa trên chủ quyền vì thế có chung một nền tảng: duy trì việc quản trị dữ liệu trong phạm vi kiểm soát của hệ thống pháp luật trong nước. Chương này sẽ trở lại điểm giao thoa đó khi xem xét Trung Quốc.

GDPR điều chỉnh chuyển dữ liệu xuyên biên giới bằng hệ thống cơ chế phân tầng, phản ánh nguyên tắc tương xứng: áp dụng cơ chế ít gây gánh nặng nhất khi mức rủi ro cho phép. Ủy ban châu Âu có thể công nhận khuôn khổ pháp lý của một quốc gia ngoài EU cung cấp mức bảo vệ về cơ bản tương đương, qua đó cho phép dữ liệu lưu chuyển mà không cần các bảo đảm bổ sung dành riêng cho việc chuyển dữ liệu. Tính đến năm 2025, danh sách này gồm Nhật Bản, Hàn Quốc, Vương quốc Anh, Canada, Thụy Sĩ và một số quốc gia, vùng lãnh thổ khác. [6]

Khi không có quyết định công nhận, doanh nghiệp vẫn có thể sử dụng các Điều khoản Hợp đồng Tiêu chuẩn (SCC). Khuôn khổ năm 2021 gồm bốn mô-đun, bao quát các trường hợp chuyển dữ liệu giữa bên kiểm soát và bên xử lý. Các Quy tắc Doanh nghiệp Ràng buộc là lựa chọn khác cho việc chuyển dữ liệu nội bộ tập đoàn.[7]

Phán quyết Schrems II năm 2020 khiến quy trình phức tạp hơn khi yêu cầu bên xuất dữ liệu đánh giá liệu pháp luật và thực tiễn giám sát tại nước tiếp nhận có làm suy yếu các bảo đảm trong hợp đồng hay không. Vì vậy, SCC thường phải đi kèm đánh giá rủi ro bổ sung, với sự xem xét về tính cần thiết và tính tương xứng.[8]

Khung Quyền riêng tư Dữ liệu EU–Hoa Kỳ, được Tòa Sơ thẩm EU xác nhận vào tháng 9/2025, cho phép chuyển dữ liệu tới các công ty Hoa Kỳ đã được chứng nhận mà không cần SCC. Trường hợp này cho thấy ngay cả giữa hai nền dân chủ có nhiều điểm tương đồng, sự ổn định pháp lý của luồng dữ liệu vẫn đòi hỏi nỗ lực ngoại giao và pháp lý đáng kể.[9]

Hồ sơ thực thi cho thấy sức mạnh của GDPR: tổng tiền phạt đã vượt 4,5 tỷ euro kể từ năm 2018, gồm khoản phạt Meta 1,2 tỷ euro năm 2023 vì chuyển dữ liệu trái phép sang Hoa Kỳ và TikTok 530 triệu euro vào tháng 5/2025 vì chuyển dữ liệu người dùng EU sang Trung Quốc. [10] Tuy nhiên, chi phí tuân thủ cũng rất lớn. Các ước tính dao động từ khoảng 1,7 triệu USD với doanh nghiệp nhỏ và vừa đến hàng chục triệu USD với tập đoàn đa quốc gia. Một khảo sát được trích dẫn rộng rãi cho thấy 74% doanh nghiệp nhỏ và vừa đã chi hơn 100.000 USD để tuân thủ GDPR.[11]

Tác động đối với đầu tư gây tranh luận hơn. Một nghiên cứu cho thấy trong năm đầu thực thi, số thương vụ đầu tư mạo hiểm hằng tháng của doanh nghiệp công nghệ EU thấp hơn 26% so với các doanh nghiệp tương đồng tại Hoa Kỳ, chủ yếu ảnh hưởng đến doanh nghiệp nhỏ và trẻ.[12] Tuy nhiên, kết quả này phản ánh nhịp độ giao dịch ngay sau một thay đổi pháp lý đã biết trước; không thể suy rộng thành mức giảm 26% của tổng đầu tư công nghệ EU hoặc tác động dài hạn.

Các học giả khác, trong đó có Anu Bradford, đặt câu hỏi rộng hơn: liệu quy định có giải thích được khoảng cách công nghệ kéo dài giữa châu Âu và Hoa Kỳ hay không. Khi xét thêm các yếu tố cấu trúc, kết luận thường dè dặt hơn.[13] Cách diễn giải thận trọng là GDPR đã tạo ra chi phí ngắn hạn có thể đo lường đối với khả năng tiếp cận vốn của doanh nghiệp công nghệ nhỏ, nhưng tác động dài hạn cần được đánh giá trong bối cảnh rộng hơn.

Bài học cho Việt Nam không phải là mô hình dựa trên quyền là sai lầm. Chính sự nghiêm ngặt đã giúp GDPR trở thành điểm tham chiếu toàn cầu. Tuy nhiên, ngay cả một chế độ được thiết kế kỹ lưỡng, có thể chế mạnh và nguồn lực dồi dào cũng tạo ra chi phí tuân thủ đáng kể, thường đè nặng hơn lên doanh nghiệp nhỏ. Chính phủ áp dụng cơ chế theo mô hình GDPR vì thế cần dự liệu gánh nặng tuân thủ và ma sát pháp lý, đồng thời cân nhắc năng lực thể chế của mình.

Trung Quốc: Chủ quyền đặt an ninh lên hàng đầu — và bước lùi của chính mình

Kiến trúc quản trị dữ liệu của Trung Quốc được xây dựng trên ba đạo luật có liên hệ chặt chẽ với nhau. Thứ nhất là Luật An ninh mạng năm 2017, lần đầu tiên đặt ra yêu cầu nội địa hóa dữ liệu đối với các đơn vị vận hành hạ tầng thông tin trọng yếu. Thứ hai là Luật An ninh dữ liệu, có hiệu lực từ ngày 1/9/2021, thiết lập một hệ thống phân loại rộng hơn, phân biệt giữa dữ liệu thông thường, dữ liệu “quan trọng” và dữ liệu “cốt lõi” tùy theo mức độ liên quan đến an ninh quốc gia. Thứ ba là Luật Bảo vệ thông tin cá nhân (PIPL), có hiệu lực từ ngày 1/11/2021, bổ sung một hệ thống quyền cá nhân chịu ảnh hưởng rõ rệt từ GDPR lên trên nền tảng phân loại dựa trên an ninh này.[14]

Sự kết hợp đó được thiết kế có chủ ý theo logic đặt an ninh lên trước, thay vì quyền cá nhân lên trước. Các đơn vị vận hành hạ tầng thông tin trọng yếu phải lưu trữ tại Trung Quốc mọi dữ liệu cá nhân và dữ liệu quan trọng được tạo ra trong lãnh thổ nước này. Bất kỳ hoạt động chuyển các loại dữ liệu đó ra nước ngoài nào cũng phải trải qua quy trình đánh giá an ninh do nhà nước tổ chức và Cục Quản lý Không gian mạng Trung Quốc (CAC) quản lý.

Đây không phải là một phép thử dựa trên quyền nhằm xác định liệu bên nhận dữ liệu có cung cấp mức độ bảo vệ tương đương hay không. Đó là một đánh giá của nhà nước về những rủi ro đối với lợi ích quốc gia.[15]

Sức mạnh thực thi của chế độ này được thể hiện rõ vào năm 2021. Chỉ vài ngày sau khi tập đoàn gọi xe Didi Chuxing huy động khoảng 4,4 tỷ USD qua đợt IPO tại New York, CAC công bố tiến hành rà soát an ninh mạng và ra lệnh gỡ ứng dụng Didi khỏi toàn bộ các cửa hàng ứng dụng trong nước, với lý do tồn tại rủi ro đối với an ninh dữ liệu quốc gia.[16]

Một năm sau, cuộc rà soát kết luận Didi đã vi phạm nghiêm trọng các quy định của Trung Quốc về an ninh mạng, an ninh dữ liệu và bảo vệ thông tin cá nhân. Công ty bị phạt 8,026 tỷ nhân dân tệ, tương đương khoảng 1,2 tỷ USD. Vào thời điểm đó, đây là một trong những khoản phạt liên quan đến dữ liệu lớn nhất từng được áp dụng trên thế giới. Nó cũng gửi đi một thông điệp không thể nhầm lẫn: Bắc Kinh coi bản thân việc niêm yết ở nước ngoài, do những hệ quả tiềm tàng đối với việc chuyển dữ liệu ra ngoài lãnh thổ, là một sự kiện có thể liên quan đến an ninh quốc gia và vì thế cần được cấp phép trước.[17]

Các tập đoàn đa quốc gia hoạt động tại Trung Quốc cũng tiếp nhận logic đó. Apple, Tesla và một số doanh nghiệp khác cam kết lưu trữ dữ liệu người dùng Trung Quốc ngay trong nước để tránh nguy cơ vi phạm chế độ quản lý này.[18]

Điều khiến kinh nghiệm Trung Quốc đặc biệt có ý nghĩa đối với Việt Nam nằm ở những gì diễn ra sau đó, và ở nguyên nhân của sự thay đổi. Đến năm 2024, chính các cơ quan quản lý Trung Quốc dường như đã đi đến kết luận rằng gánh nặng tuân thủ do kiến trúc này tạo ra đã trở nên quá lớn so với lợi ích an ninh mà nó mang lại. Các phòng thương mại nước ngoài tại Trung Quốc đã chỉ trích vấn đề này trong nhiều năm. Sức ép càng trở nên rõ rệt khi những quy định đó bắt đầu cản trở dòng vốn đầu tư nước ngoài và thương mại số xuyên biên giới mà Bắc Kinh vẫn muốn duy trì.

Đây là trường hợp thứ hai, ít ồn ào hơn, về sự giao thoa giữa chủ quyền và năng lực cạnh tranh mà chương này đã ghi nhận trong trường hợp EU. Cũng như GDPR đồng thời phục vụ mục tiêu bảo vệ quyền cá nhân và củng cố chủ quyền số của châu Âu, việc Trung Quốc nới lỏng các quy định vào năm 2024 cho thấy Bắc Kinh ngày càng coi chính năng lực cạnh tranh kinh tế là một thành tố của lợi ích quốc gia cần được bảo vệ. Năng lực cạnh tranh không còn đơn thuần bị xem là mối quan tâm của khu vực tư nhân phải nhường chỗ cho an ninh.

Tháng 3/2024, CAC ban hành các quy định mới, nới lỏng đáng kể chế độ kiểm soát chuyển dữ liệu xuyên biên giới. Ngưỡng kích hoạt đánh giá an ninh bắt buộc được nâng lên thành việc chuyển ra nước ngoài, trong vòng một năm, thông tin cá nhân của hơn một triệu người hoặc thông tin cá nhân nhạy cảm của hơn 10.000 người, thay vì tính trên giai đoạn hai năm như trước. CAC cũng làm rõ rằng bên xử lý dữ liệu không cần tự coi một tập dữ liệu là “quan trọng” trừ khi cơ quan nhà nước có thẩm quyền xác định cụ thể như vậy. Điều này loại bỏ một nguồn quan trọng dẫn đến tình trạng tuân thủ quá mức do bất định pháp lý.

Các khu thương mại tự do cũng được phép xây dựng những “danh sách tiêu cực” hẹp hơn của riêng mình. Sau đó, các khu ở Thượng Hải, Bắc Kinh, Thiên Tân, Hải Nam và Chiết Giang đã công bố các danh sách miễn áp dụng những quy định chung về chuyển dữ liệu đối với nhiều nhóm dữ liệu thuộc tổng cộng mười bảy lĩnh vực công nghiệp.[19]

Quá trình triển khai tiếp tục được mở rộng. Danh sách tiêu cực cập nhật của Thượng Hải, công bố tháng 4/2026, mở rộng cơ chế này ra toàn thành phố thay vì chỉ giới hạn trong khu thương mại tự do. Danh sách tiêu cực phiên bản năm 2025 của Bắc Kinh, được đăng ký vào tháng 5/2026, tương tự mở rộng phạm vi áp dụng từ khu thí điểm ra toàn đô thị và bổ sung bốn lĩnh vực mới được miễn, trong đó có lái xe tự động và thiết bị y tế. Các cơ quan quản lý Trung Quốc đồng thời phát đi tín hiệu rõ ràng rằng ưu tiên quản lý trong năm 2026 là kiểm tra xem các danh sách tiêu cực có vận hành hiệu quả trên thực tế hay không, thay vì tiếp tục bổ sung thêm các quy định mới.[20]

Nói cách khác, Trung Quốc đã xây dựng một trong những chế độ quản trị dữ liệu đặt an ninh lên hàng đầu có ảnh hưởng lớn nhất thế giới. Sau đó, nước này chứng kiến chính chế độ đó áp đặt những chi phí thực tế lên nền kinh tế số và dòng vốn đầu tư vào trong nước, rồi bắt đầu thu hẹp phạm vi áp dụng. Hai năm tiếp theo được dành cho việc mở rộng và đưa quá trình điều chỉnh này vào vận hành một cách có hệ thống.

Đây là một trình tự mà các cơ quan quản lý Việt Nam nên đặc biệt lưu ý. Luật Dữ liệu năm 2024 của Việt Nam áp dụng các nhóm dữ liệu “quan trọng” và “cốt lõi” có nhiều điểm tương đồng với mô hình Trung Quốc gần như đúng vào thời điểm Bắc Kinh bắt đầu thu hẹp phạm vi áp dụng của các khái niệm tương tự trong hệ thống của chính mình.

Singapore và DEPA: Con đường trung dung thân thiện với thương mại

Đạo luật Bảo vệ dữ liệu cá nhân (PDPA) của Singapore, được ban hành lần đầu năm 2012 và sửa đổi đáng kể vào năm 2020, về kiến trúc cơ bản gần với logic dựa trên quyền của EU hơn là mô hình đặt an ninh lên hàng đầu của Trung Quốc. Các thành tố cốt lõi bao gồm yêu cầu về sự đồng ý, giới hạn mục đích sử dụng và cơ chế giám sát theo luật định của Ủy ban Bảo vệ Dữ liệu Cá nhân (PDPC).

Tuy nhiên, đóng góp đặc sắc hơn của Singapore đối với cuộc tranh luận toàn cầu nằm ở hệ thống mà nước này xây dựng riêng cho việc chuyển dữ liệu xuyên biên giới: một tập hợp các cơ chế hướng tới khả năng tương tác và tạo thuận lợi cho thương mại, được thiết kế để cho phép dữ liệu lưu chuyển, thay vì mặc định tìm lý do để ngăn cản việc đó.

Singapore là thành viên sáng lập hệ thống Quy tắc Quyền riêng tư Xuyên biên giới APEC (CBPR). Theo đó, một tổ chức tiếp nhận dữ liệu ở nước ngoài đã được chứng nhận CBPR hoặc Công nhận Quyền riêng tư cho Bên xử lý (PRP) được pháp luật Singapore xem là có nghĩa vụ cung cấp mức độ bảo vệ tương đương. Cơ chế này giúp doanh nghiệp tránh phải thực hiện một đánh giá riêng cho từng hợp đồng và từng lần chuyển dữ liệu.[21]

Kể từ đó, hệ thống này đã được chủ ý mở rộng ra phạm vi toàn cầu. Các Hệ thống CBPR và PRP Toàn cầu được ra mắt ngày 2/6/2025, mở rộng cùng một kiến trúc chứng nhận ra ngoài phạm vi APEC tới bất kỳ nền kinh tế nào tham gia trên thế giới. Các tổ chức đã được chứng nhận theo hệ thống APEC trước đó được tự động chuyển sang hệ thống toàn cầu mới. Cơ quan Phát triển Truyền thông Thông tin Singapore (IMDA) tiếp tục quản lý hoạt động chứng nhận trong nước và tổ chức chuỗi hội thảo đầu tiên của Diễn đàn vào tháng 5/2025.[22] Diễn đàn CBPR Toàn cầu công bố khuôn khổ CBPR 2.0 cập nhật vào tháng 3/2026. Theo đó, các thành viên mới sẽ phải chứng nhận theo khuôn khổ này từ tháng 4/2027.

Điều đó cho thấy cách tiếp cận của Singapore đối với khả năng tương tác không phải là một thỏa thuận tĩnh được thiết lập một lần rồi để nguyên, mà là một hệ thống được chủ động duy trì, điều chỉnh và cập nhật.[23]

PDPC cũng phê chuẩn riêng các Điều khoản Hợp đồng Mẫu ASEAN cho việc chuyển dữ liệu trong khu vực. Các điều khoản này cung cấp cho các công ty hoạt động tại nhiều thị trường Đông Nam Á một mẫu hợp đồng chung, thay vì buộc họ phải sử dụng một tập hợp chắp vá các thỏa thuận song phương.[24]

Tuy nhiên, đổi mới thể chế có ý nghĩa lớn nhất của Singapore là Hiệp định Đối tác Kinh tế Số (DEPA), hiệp định thương mại độc lập đầu tiên trên thế giới dành riêng cho kinh tế số. Singapore sáng lập DEPA cùng Chile và New Zealand vào năm 2020. Hàn Quốc gia nhập vào tháng 5/2024, trong khi một số nền kinh tế khác, trong đó có Trung Quốc, đã nộp đơn xin gia nhập.[25]

DEPA được tổ chức theo các mô-đun thay vì một văn bản thống nhất duy nhất. Mô-đun 4 về các vấn đề dữ liệu được xây dựng trực tiếp trên các quy định hạn chế yêu cầu nội địa hóa dữ liệu của CPTPP. Mô-đun này xác định rõ rằng tự do lưu chuyển dữ liệu là trạng thái mặc định, còn mọi biện pháp nội địa hóa dữ liệu phải được biện minh, chứ không phải ngược lại.[26]

Các mô-đun bổ trợ bao quát hợp tác fintech, hòa nhập số cho doanh nghiệp nhỏ và vừa, thương mại không giấy tờ và hóa đơn điện tử. Qua đó, DEPA coi tự do hóa luồng dữ liệu là một thành phần của gói tạo thuận lợi cho thương mại số rộng hơn, thay vì một vấn đề riêng lẻ về quyền riêng tư.

Singapore tiếp tục mở rộng logic của luật thương mại này trên cơ sở song phương vào năm 2024 thông qua Hiệp định Thương mại Số với EU. Văn bản này có cấu trúc pháp lý khác biệt đáng kể so với cơ chế công nhận mức độ bảo vệ tương xứng thông thường. Thay vì yêu cầu Ủy ban châu Âu phải chứng nhận toàn bộ hệ thống pháp luật Singapore là tương xứng, hiệp định đặt ra nguyên tắc rằng dữ liệu phải được lưu chuyển tự do trừ khi một hạn chế cụ thể có thể được chứng minh là cần thiết và không hạn chế thương mại quá mức cần thiết. Đây chính là logic về tính cần thiết và tính tương xứng mà phần mở đầu của chương đã xác định là nguyên tắc xuyên suốt. Ở đây, logic đó được áp dụng trực tiếp vào luật thương mại.[27]

Điểm mạnh trong cách tiếp cận của Singapore là việc coi luồng dữ liệu xuyên biên giới như một tài sản kinh tế cần được chủ động vun đắp, chứ không chỉ là một rủi ro cần kiềm chế. Triết lý này cũng phù hợp với các chương trình chỉ định cơ sở hạ tầng trọng yếu và nhãn tín nhiệm.

Tuy nhiên, cách tiếp cận này cũng có những giới hạn. Hạn chế lớn nhất nằm ở quy mô và tính có đi có lại. Chứng nhận CBPR, các Điều khoản Hợp đồng Mẫu ASEAN và DEPA đều vận hành hiệu quả bởi có đủ số lượng đối tác thương mại đồng ý công nhận các cơ chế này. Singapore, Chile và New Zealand đã phải mất nhiều năm chủ động xây dựng liên minh để thiết lập chúng. Một chính phủ gia nhập những khuôn khổ đó sau này sẽ được thừa hưởng lợi ích, thay vì phải tự xây dựng mọi thứ từ đầu. Đối với Việt Nam, vốn đã là thành viên CPTPP và do đó về nguyên tắc đã chịu ràng buộc bởi các quy định hạn chế nội địa hóa dữ liệu vốn chưa thực hiện đầy đủ trong pháp luật trong nước, đây là một điểm đặc biệt đáng chú ý.

Mô hình Singapore cho thấy một chế độ quản trị dữ liệu thân thiện với thương mại hoàn toàn có thể đi đôi với việc bảo vệ quyền riêng tư một cách thực chất. Nhưng điều đó chỉ khả thi khi chính phủ sẵn sàng coi khả năng tương tác với các khuôn khổ quốc tế là một mục tiêu thiết kế ngay từ đầu, thay vì một yếu tố bổ sung muộn màng gắn vào một đạo luật đặt an ninh lên hàng đầu sau khi đạo luật đó đã có hiệu lực.

Khả năng tương tác, tính tương xứng và cuộc tìm kiếm con đường thứ tư

EU, Trung Quốc và Singapore đại diện cho ba triết lý quản trị dữ liệu xuyên biên giới: quyền, an ninh và thương mại. Một điểm tham chiếu bổ sung là sáng kiến Dòng chảy dữ liệu tự do với niềm tin (DFFT) của Nhật Bản, đóng vai trò cầu nối khái niệm giữa ba mô hình.

Thủ tướng Nhật Shinzo Abe giới thiệu DFFT tại Diễn đàn Kinh tế Thế giới ở Davos tháng 1/2019. Cuối năm đó, các nhà lãnh đạo G20 đưa khái niệm này vào tuyên bố chung tại Osaka, khởi động “Tiến trình Osaka” nhằm thúc đẩy hợp tác quốc tế để hiện thực hóa sáng kiến. [28]

DFFT xem tự do lưu chuyển dữ liệu và quản trị đáng tin cậy là hai mục tiêu bổ trợ, có thể được dung hòa thông qua hợp tác quốc tế. Hội nghị G7 Hiroshima năm 2023 thông qua cơ chế đối tác nhằm tạo nền tảng tổ chức lâu dài cho sáng kiến. Các nhiệm kỳ chủ tịch G7 và G20 sau đó tiếp tục dùng DFFT làm khung thảo luận về khả năng tương tác giữa những chế độ quốc gia khác biệt.[29]

Thành tựu thực tiễn của DFFT vẫn khiêm tốn: nhiều nhóm công tác, hoạt động lập bản đồ và nguyên tắc chung hơn là cam kết ràng buộc. Tuy vậy, sáng kiến cung cấp cho Việt Nam một hệ ngôn ngữ để đồng thời theo đuổi niềm tin và sự cởi mở, thay vì mặc nhiên giải quyết sự đánh đổi giữa hai mục tiêu theo hướng ưu tiên thận trọng như các đạo luật hiện hành dường như đang làm.

Nghiên cứu về thương mại số đưa ra bài học tương tự và là nền tảng cho lập luận của chương này, hơn bất kỳ mô hình quốc gia riêng lẻ nào. Christopher Kuner nhận xét rằng các quy tắc chuyển dữ liệu vận hành gần giống quy tắc lựa chọn pháp luật trong tư pháp quốc tế: mở rộng sự bảo vệ pháp lý ra ngoài lãnh thổ. Điều này giải thích vì sao những khu vực tài phán có triết lý khác nhau vẫn hội tụ ở các công cụ như công nhận mức bảo vệ tương xứng, bảo đảm hợp đồng và chứng nhận.[30]

Các công trình của Anupam Chander và Mira Burri về chủ quyền dữ liệu và hiệp định thương mại ưu đãi cũng nhấn mạnh thách thức về khả năng tương tác: xây dựng công cụ đủ linh hoạt để dung nạp các giá trị quốc gia, đồng thời giảm chi phí tuân thủ trùng lặp do phân mảnh.[31]

OECD cho rằng câu hỏi chính sách quan trọng là thiết kế các bảo đảm dựa trên rủi ro, tương xứng với tổn hại cần phòng ngừa. Trong khi đó, Báo cáo Kinh tế Số của UNCTAD nhấn mạnh rằng các nền kinh tế đang phát triển thường chịu chi phí phân mảnh bất tương xứng. Họ thiếu đòn bẩy đàm phán để đạt được công nhận mức bảo vệ tương xứng, thỏa thuận công nhận lẫn nhau hoặc các mô-đun thương mại giúp doanh nghiệp tại những nền kinh tế lớn giảm chi phí.[32]

Nỗ lực xây dựng quy tắc thương mại số của WTO cho thấy khó khăn trong việc đạt khả năng tương tác toàn cầu. Sáng kiến Tuyên bố chung về Thương mại Điện tử, với 91 thành viên tham gia, công bố văn bản cuối cùng vào tháng 7/2024 sau năm năm đàm phán. Tuy nhiên, dù 72 bên đồng bảo trợ đề nghị đưa văn bản vào khuôn khổ pháp lý WTO, Đại hội đồng vẫn không đạt đồng thuận để thông qua dưới hình thức hiệp định nhiều bên vào tháng 2/2025. Thành tựu kỹ thuật này vì thế chưa có đầy đủ hiệu lực pháp lý.[33]

Nhìn tổng thể, nghiên cứu cho thấy những công cụ tương tác hiệu quả thường có phạm vi hẹp, được phát triển từng bước theo hình thức song phương hoặc giữa một nhóm đối tác. Chứng nhận CBPR, hiệp định dạng mô-đun như DEPA và cơ chế công nhận mức bảo vệ tương xứng của EU nhìn chung khả thi hơn những nỗ lực đa phương toàn diện như sáng kiến WTO. Mô thức này có hàm ý trực tiếp đối với lựa chọn chính sách của Việt Nam.

Bối cảnh Việt Nam

Kiến trúc quản trị dữ liệu của Việt Nam không hình thành từ một bản thiết kế thống nhất có chủ ý, mà được lắp ghép qua ba bước lập pháp diễn ra trong thời gian ngắn, với mức độ phối hợp còn hạn chế. Mỗi bước được cuốn sách này xem xét từ một góc độ khác nhau.

Chương 20 phân tích cách Luật Dữ liệu năm 2024 phân loại dữ liệu của khu vực công và doanh nghiệp thành các nhóm “quan trọng” và “cốt lõi”, yêu cầu Bộ Công an phê duyệt trước khi dữ liệu cốt lõi được chuyển ra nước ngoài, đồng thời yêu cầu nộp hồ sơ đánh giá tác động ít nhất mười lăm ngày trước khi tiến hành chuyển dữ liệu quan trọng.[34]

Chương 21 trình bày cách Bộ Công an, thông qua Luật An ninh mạng năm 2025, đã hợp nhất gần như toàn bộ thẩm quyền về an ninh mạng và an toàn thông tin, tiếp nhận những chức năng trước đây từng được chia sẻ với bộ phụ trách thông tin và truyền thông.[35]

Trọng tâm của chương này là Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15), được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 1/1/2026. Đây là trụ cột thứ ba của kiến trúc quản trị dữ liệu mới, đồng thời là đạo luật vay mượn nhiều nhất từ mô hình dựa trên quyền của EU, nhưng vẫn duy trì cơ chế thực thi do bộ phụ trách an ninh đảm nhiệm mà hai đạo luật trước đã thiết lập.[36]

Xét ở cấp độ từng điều khoản, các quy tắc nội dung của Luật Bảo vệ dữ liệu cá nhân có cấu trúc khá gần với GDPR. Sự đồng ý phải mang tính tự nguyện, cụ thể và dựa trên việc chủ thể dữ liệu được thông báo đầy đủ về loại dữ liệu được xử lý, mục đích xử lý và danh tính của bên kiểm soát hoặc bên xử lý. Sự đồng ý cũng phải được thể hiện bằng văn bản hoặc hình thức điện tử rõ ràng và có thể truy xuất.[37]

Các tổ chức xử lý dữ liệu cá nhân trên quy mô lớn phải bổ nhiệm cán bộ bảo vệ dữ liệu có ít nhất hai năm kinh nghiệm liên quan và đã hoàn thành chương trình đào tạo bắt buộc. Đồng thời, họ phải thực hiện Đánh giá tác động xử lý dữ liệu (DPIA) trong vòng sáu mươi ngày kể từ khi bắt đầu hoạt động xử lý.[38] Khi dữ liệu cá nhân được chuyển ra nước ngoài, doanh nghiệp phải thực hiện riêng một Đánh giá tác động chuyển dữ liệu xuyên biên giới (CTIA) và nộp cho cơ quan bảo vệ dữ liệu của Việt Nam trong vòng sáu mươi ngày kể từ lần chuyển đầu tiên.

Cả DPIA và CTIA sau đó đều phải được cập nhật trong vòng sáu tháng nếu có thay đổi đáng kể về mục đích xử lý, danh tính của bên kiểm soát hoặc bên xử lý, hay các nhóm dữ liệu liên quan; đồng thời phải được cập nhật ngay khi doanh nghiệp tái cơ cấu, giải thể hoặc thay đổi nhà cung cấp dịch vụ xử lý dữ liệu.[39]

Dự thảo nghị định hướng dẫn thi hành được đưa ra lấy ý kiến vào tháng 10/2025 còn quy định rằng cơ quan đánh giá — một đơn vị chuyên trách thuộc Bộ Công an — phải xem xét hồ sơ hoàn chỉnh trong vòng mười lăm ngày và đưa ra kết quả đạt hoặc không đạt, trong khi doanh nghiệp có ba mươi ngày để hoàn thiện hồ sơ chưa đầy đủ. Điểm đáng chú ý là thời hạn này chỉ điều chỉnh tốc độ phản hồi của cơ quan chức năng, trong khi bản thân hồ sơ nền tảng lại chỉ phải nộp sau khi hoạt động chuyển dữ liệu đã bắt đầu.[40]

Nhằm giảm gánh nặng cho các chủ thể nhỏ hơn, luật cho phép doanh nghiệp nhỏ và công ty khởi nghiệp được miễn bắt buộc thực hiện DPIA trong năm năm kể từ ngày luật có hiệu lực. Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn hoàn toàn, trừ khi trực tiếp xử lý dữ liệu cá nhân nhạy cảm, xử lý dữ liệu trên quy mô lớn hoặc cung cấp dịch vụ xử lý dữ liệu mang tính thương mại.[41]

Mức xử phạt tăng mạnh đối với những hoạt động chuyển dữ liệu mà chương này đặc biệt quan tâm: phạt tới mười lần khoản thu bất hợp pháp đối với hành vi mua bán dữ liệu trái phép; tới 5% doanh thu năm trước của tổ chức đối với vi phạm liên quan đến chuyển dữ liệu xuyên biên giới; và tới 3 tỷ đồng, tương đương khoảng 115.000 USD, đối với các vi phạm khác. Cấu trúc xử phạt gắn với doanh thu này rõ ràng được mô phỏng theo cơ chế xử phạt của GDPR.[42]

Ba đặc điểm trong thiết kế này khiến Việt Nam khác biệt rõ rệt so với cả EU và Singapore, đồng thời đưa thực tiễn thể chế của Việt Nam đến gần mô hình Trung Quốc hơn nhiều. Tuy nhiên, khác với quỹ đạo gần đây của chính Trung Quốc, Việt Nam chưa cho thấy dấu hiệu tương đương về một cuộc rà soát có chủ đích nhằm giảm gánh nặng tuân thủ.

Thứ nhất, việc thực thi Luật Bảo vệ dữ liệu cá nhân không thuộc về một cơ quan bảo vệ dữ liệu độc lập như GDPR yêu cầu tại mỗi quốc gia thành viên EU, cũng không nằm trong tay một cơ quan dân sự chuyên trách như PDPC của Singapore. Thẩm quyền này thuộc Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao (A05) của Bộ Công an — chính là đầu mối trung tâm về an ninh mạng, điều tra tội phạm mạng và giám sát tuân thủ của các nền tảng theo Luật An ninh mạng năm 2025.[43]

Trên thực tế, Việt Nam đã xây dựng một bộ máy tuân thủ mang nhiều đặc điểm của mô hình dựa trên quyền, nhưng giao việc thực thi cho một bộ phụ trách an ninh thay vì một cơ quan quản lý dân sự độc lập. Điều này tái hiện logic thể chế mà chương về an ninh mạng của cuốn sách xác định là điểm khiến Việt Nam khác biệt rõ nhất với những mô hình quốc tế mà trên giấy tờ Việt Nam có nhiều nét tương đồng.

Thứ hai, và có hệ quả lớn hơn đối với lập luận về chi phí của chương này, CTIA theo Luật Bảo vệ dữ liệu cá nhân không thay thế đánh giá tác động chuyển và xử lý dữ liệu riêng theo Luật Dữ liệu đối với dữ liệu “quan trọng” và “cốt lõi”. Hai quy trình tồn tại song song, được kích hoạt theo các tiêu chí khác nhau và nộp cho những cơ quan có phạm vi thẩm quyền chồng lấn nhưng không hoàn toàn trùng khớp.[44]

Thứ ba, hai quy trình thậm chí không vận hành theo cùng một logic về thời điểm. Theo thiết kế của Luật Dữ liệu, việc chuyển dữ liệu cốt lõi ra nước ngoài phải được phê duyệt trước; nói cách khác, đây là một cơ chế cấp phép tiền kiểm. Trong khi đó, CTIA theo Luật Bảo vệ dữ liệu cá nhân lại mang tính hậu kiểm: doanh nghiệp chỉ phải nộp hồ sơ sau khi hoạt động chuyển dữ liệu đã bắt đầu.

Vì vậy, một doanh nghiệp chuyển dữ liệu cá nhân ra nước ngoài mà dữ liệu đó đồng thời được xếp vào nhóm quan trọng hoặc cốt lõi — một kịch bản hoàn toàn có thể xảy ra đối với các công ty fintech, nền tảng y tế hay doanh nghiệp logistics xử lý dữ liệu vị trí trên quy mô lớn — phải cùng lúc tuân thủ hai đạo luật riêng biệt. Hai đạo luật này không chỉ yêu cầu hai bộ hồ sơ khác nhau mà còn dựa trên hai khái niệm vận hành khác nhau: một bên là cấp phép trước, bên kia là thông báo sau.

Đây là minh họa điển hình cho điều chương này gọi là thất bại về tính nhất quán, chứ không đơn thuần là thất bại do mức độ nghiêm ngặt. Xét riêng từng yêu cầu, không yêu cầu nào hiển nhiên là bất hợp lý. Nhưng khi kết hợp lại, chúng tạo ra một hệ thống khó dự đoán và khó lập kế hoạch tuân thủ.

Bối cảnh thúc đẩy việc xây dựng hệ thống này là rõ ràng. Chỉ trong nửa đầu năm 2025, các cơ quan chức năng Việt Nam đã phát hiện 56 vụ mua bán dữ liệu trái phép, liên quan đến hơn 110 triệu bản ghi. Quy mô của hoạt động buôn bán dữ liệu bất hợp pháp này tạo cơ sở rõ ràng và có thể biện minh cho mức phạt nghiêm khắc nhất của Luật Bảo vệ dữ liệu cá nhân, tức phạt tới mười lần khoản thu bất hợp pháp từ việc mua bán dữ liệu.[45]

Vấn đề chính sách thực sự mà chương này đặt ra không phải là phủ nhận sự tồn tại của rủi ro. Ngược lại, một phân tích dựa trên nguyên tắc tương xứng như phần mở đầu của chương đã trình bày nhiều khả năng sẽ ủng hộ các biện pháp xử phạt nghiêm khắc và có mục tiêu đối với hành vi buôn bán dữ liệu trái phép.

Điều khó biện minh hơn theo tiêu chuẩn tương xứng là một kiến trúc đánh giá tác động bao trùm, gồm hai tuyến riêng biệt, được áp dụng gần như đồng loạt cho các hoạt động chuyển dữ liệu thương mại thông thường không mang những rủi ro buôn bán trái phép mà các đợt truy quét năm 2025 phát hiện.

Kiến trúc đó bổ sung thêm một vòng tuân thủ mang dáng dấp GDPR lên trên một chế độ phân loại dữ liệu vốn đã mang tính hạn chế và do bộ phụ trách an ninh quản lý, thay vì tích hợp hai cơ chế thành một lộ trình đánh giá duy nhất, phân tầng theo rủi ro và dành mức giám sát cao nhất cho những hoạt động chuyển dữ liệu thực sự cần thiết. Điều này làm trầm trọng thêm những vướng mắc tuân thủ mà Chương 20 đã xác định, trong đó có dự báo của ITIF rằng các biện pháp hạn chế dữ liệu có thể khiến Việt Nam mất khoảng 9% tiềm năng thương mại trong vòng năm năm.[46]

Các nhóm doanh nghiệp quốc tế cũng đã bắt đầu nêu rõ mối lo ngại này. Hội đồng Kinh doanh Hoa Kỳ–ASEAN và Liên minh Internet châu Á, với thành viên gồm nhiều công ty nền tảng và điện toán đám mây lớn đang hoạt động tại Việt Nam, đã công khai cảnh báo rằng các yêu cầu chồng lấn về lưu trữ dữ liệu, sự đồng ý và tuân thủ trong Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân và Luật An ninh mạng năm 2025 tạo ra chi phí bất tương xứng đối với các nhà cung cấp dịch vụ số quy mô trung bình và doanh nghiệp nước ngoài.

Đây lại chính là nhóm doanh nghiệp mà các tham vọng của Việt Nam về thu hút vốn đầu tư mạo hiểm, thúc đẩy R&D doanh nghiệp và phát triển nền kinh tế số phụ thuộc nhiều vào khả năng thu hút và giữ chân. Họ cũng ngày càng là những doanh nghiệp có vị thế tốt nhất để cung cấp khả năng tiếp cận các mô hình nền tảng và hạ tầng đám mây mà chiến lược AI của Việt Nam giả định sẽ luôn sẵn có.[47]

Đặt bên cạnh các điểm tham chiếu quốc tế của chương, vị trí của Việt Nam hiện tương đối rõ.

Về cấu trúc, logic phân loại dữ liệu và kiểm soát luồng dữ liệu xuyên biên giới của Việt Nam — bao gồm các cuộc đánh giá do bộ phụ trách an ninh quản lý, hệ thống phân loại dữ liệu “quan trọng” và “cốt lõi”, cùng việc không có cơ quan giám sát độc lập — gần nhất với mô hình chủ quyền đặt an ninh lên hàng đầu của Trung Quốc. Việt Nam áp dụng mô hình này gần như đúng vào thời điểm chính Trung Quốc bắt đầu nới lỏng những quy định tương đương và, khác với Trung Quốc, đến nay chưa cho thấy một cơ chế tự điều chỉnh tương tự nhằm giảm gánh nặng tuân thủ.

Về thủ tục, các yêu cầu về sự đồng ý, DPIA và hình phạt gắn với doanh thu vay mượn trực tiếp từ mô hình dựa trên quyền của EU. Tuy nhiên, Việt Nam không có cùng truyền thống thực thi độc lập, cũng chưa xây dựng những cơ chế như công nhận mức độ bảo vệ tương xứng hay SCC để tạo thuận lợi thực sự cho thương mại xuyên biên giới sau khi doanh nghiệp đã đạt được mức tuân thủ cần thiết.

Và khác với Singapore, Việt Nam chưa xây dựng, thậm chí chưa phát đi tín hiệu rõ ràng về ý định xây dựng một hạ tầng dành cho khả năng tương tác, chẳng hạn cơ chế công nhận lẫn nhau theo mô hình CBPR Toàn cầu, các cam kết thương mại dạng mô-đun như DEPA, việc áp dụng các Điều khoản Hợp đồng Mẫu ASEAN, hay thậm chí những hình thức hợp tác dựa trên nguyên tắc và ít ràng buộc hơn theo tinh thần của cơ chế DFFT. Nếu thiếu những công cụ như vậy, doanh nghiệp dù đã hoàn tất nghĩa vụ tuân thủ tại Việt Nam cũng khó tận dụng kết quả đó ở các thị trường Đông Nam Á khác, mà vẫn phải lặp lại gần như toàn bộ quy trình theo từng quốc gia.

Tóm lại, Việt Nam đã kết hợp chi phí tuân thủ của hai triết lý quản lý khác nhau nhưng chưa nắm bắt đầy đủ những lợi ích bù đắp vốn là mục tiêu thiết kế của mỗi mô hình. Kết quả là một hệ thống vừa khó tìm đường hơn đối với doanh nghiệp, vừa khó tương thích hơn trên bình diện quốc tế so với bất kỳ mô hình tham chiếu nào trong ba mô hình mà Việt Nam hiện đang phần nào vay mượn.

Khuyến nghị chính sách

Ngắn hạn

• • Hợp nhất quy trình đánh giá chuyển dữ liệu xuyên biên giới theo Luật Dữ liệu với Đánh giá tác động chuyển dữ liệu xuyên biên giới của Luật Bảo vệ dữ liệu cá nhân thành một bộ hồ sơ duy nhất đối với những trường hợp thuộc phạm vi điều chỉnh của cả hai chế độ, đồng thời thống nhất logic về thời điểm thực hiện. Bộ Công an và Bộ Khoa học và Công nghệ nên ban hành hướng dẫn thi hành chung, thiết lập một bộ hồ sơ kết hợp, một thời hạn xử lý và một cơ chế tiền kiểm hoặc hậu kiểm thống nhất đối với hoạt động chuyển dữ liệu vừa là dữ liệu cá nhân, vừa thuộc nhóm dữ liệu quan trọng hoặc cốt lõi. Cách làm này sẽ loại bỏ cả việc nộp hồ sơ trùng lặp lẫn sự bất tương thích giữa cơ chế cấp phép và cơ chế thông báo, hai nguồn chi phí tuân thủ không cần thiết rõ ràng nhất và cũng dễ khắc phục nhất.
  • Xây dựng một hệ thống đăng ký công khai, có thể tra cứu, về các quyết định phê duyệt chuyển dữ liệu xuyên biên giới và thời gian xử lý. Một cơ sở dữ liệu công khai, dù chỉ ở dạng tổng hợp và đã loại bỏ thông tin mật, sẽ giúp doanh nghiệp đối chiếu và dự liệu thời gian phê duyệt. Đồng thời, nó cũng cung cấp cho giới nghiên cứu và các hiệp hội doanh nghiệp một cơ sở bằng chứng đáng tin cậy cho những đề xuất cải cách trong tương lai, thay vì phải dựa vào thông tin truyền miệng.
  • Mở rộng cơ chế miễn trừ DPIA dành cho doanh nghiệp nhỏ theo Luật Bảo vệ dữ liệu cá nhân sang quy trình đánh giá dữ liệu quan trọng theo Luật Dữ liệu. Bộ Khoa học và Công nghệ nên đề xuất sửa đổi các văn bản hướng dẫn ở cấp nghị định để doanh nghiệp nhỏ và vừa dưới một ngưỡng khối lượng dữ liệu nhất định được hưởng cùng thời gian ân hạn và thủ tục đơn giản hóa theo Luật Dữ liệu như Luật Bảo vệ dữ liệu cá nhân đã dành cho họ. Điều này sẽ giúp hai đạo luật đối xử nhất quán hơn với doanh nghiệp nhỏ, thay vì tạo ra hai chế độ vận hành theo những hướng khác nhau.

Trung hạn

• • Theo đuổi việc gia nhập các Hệ thống Quy tắc Quyền riêng tư Xuyên biên giới và Công nhận Quyền riêng tư cho Bên xử lý Toàn cầu. Việt Nam nên nộp đơn tham gia các Hệ thống CBPR và PRP Toàn cầu theo hướng mà Singapore đã thực hiện, qua đó tạo cho doanh nghiệp Việt Nam và doanh nghiệp nước ngoài hoạt động tại Việt Nam một lộ trình chứng nhận trước, được các nền kinh tế tham gia khác công nhận, thay vì phải thực hiện đánh giá riêng cho từng đối tác và từng thị trường. Vì từ năm 2027 hệ thống sẽ chuyển sang chứng nhận theo khuôn khổ CBPR 2.0 cập nhật, việc tham gia sớm sẽ giúp Việt Nam có cơ hội góp phần định hình các tiêu chuẩn mà sau này chính mình sẽ áp dụng, thay vì chỉ tiếp nhận chúng sau khi đã hoàn tất.
  • Công nhận các Điều khoản Hợp đồng Mẫu ASEAN như một cơ chế “vùng an toàn” đối với hoạt động chuyển dữ liệu trong nội khối ASEAN. Quốc hội và các cơ quan soạn thảo nghị định thi hành Luật Bảo vệ dữ liệu cá nhân nên xem xét công nhận các hợp đồng tuân thủ Điều khoản Hợp đồng Mẫu ASEAN là đáp ứng yêu cầu CTIA đối với các hoạt động chuyển dữ liệu trong khu vực. Cách làm này sẽ giảm đáng kể tình trạng hồ sơ trùng lặp đối với các doanh nghiệp đã hoạt động trên nhiều thị trường ASEAN.
  • Thiết lập một chức năng bảo vệ dữ liệu tách biệt về mặt thể chế với chức năng điều tra tội phạm mạng của A05. Quốc hội nên cân nhắc liệu việc giám sát tuân thủ dữ liệu cá nhân, vốn khác về bản chất với thực thi pháp luật về tội phạm mạng, có thể được đặt trong một cơ quan dân sự gắn với nhiệm vụ phát triển kinh tế số của Bộ Khoa học và Công nghệ hay không. Điều này sẽ giúp thu hẹp khoảng cách thể chế giữa Việt Nam với các mô hình cơ quan quản lý độc lập của EU và Singapore.
  • Thực hiện một cuộc rà soát độc lập về tính nhất quán pháp quy và chi phí tuân thủ của toàn bộ khuôn khổ quản trị dữ liệu. Bộ Khoa học và Công nghệ và Bộ Tài chính nên cùng tài trợ một nghiên cứu, có thể phối hợp với VCCI, áp dụng rõ ràng phép thử về tính tương xứng: xác định những điều khoản nào của Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân và Luật An ninh mạng năm 2025 xử lý các loại rủi ro thực sự khác nhau, và những điều khoản nào chủ yếu tạo ra sự trùng lặp. Cách làm này sẽ mở rộng hoạt động hạch toán chi phí mà Chương 20 khuyến nghị riêng đối với Luật Dữ liệu sang toàn bộ hệ thống mà doanh nghiệp thực tế phải tuân thủ.

Dài hạn

• • Đàm phán để Việt Nam gia nhập Hiệp định Đối tác Kinh tế Số. Là thành viên CPTPP và đã cam kết về nguyên tắc với các chuẩn mực hạn chế yêu cầu nội địa hóa dữ liệu, Việt Nam có vị thế thuận lợi để theo gương Hàn Quốc năm 2024 và chính thức gia nhập DEPA. Quá trình đàm phán gia nhập có thể được sử dụng như một đòn bẩy bên ngoài để hài hòa pháp luật dữ liệu trong nước với các cam kết CPTPP mà Việt Nam vẫn chưa thực hiện đầy đủ.
  • Tham gia Cơ chế thể chế cho quan hệ đối tác thuộc sáng kiến Dòng chảy dữ liệu tự do với niềm tin của Nhật Bản như một điểm khởi đầu có mức cam kết thấp hơn đối với các chuẩn mực quốc tế về khả năng tương tác. Trước khi chính thức gia nhập DEPA hoặc CBPR Toàn cầu, Việt Nam có thể tham gia các hoạt động hợp tác cấp chuyên viên trong khuôn khổ DFFT nhằm xây dựng năng lực thể chế về quản trị dữ liệu dựa trên niềm tin và tính tương xứng. Đây cũng là cách để phát đi tín hiệu về định hướng dài hạn tới các đối tác thương mại mà chưa phải ngay lập tức gánh những nghĩa vụ ràng buộc gắn với tư cách thành viên DEPA hoặc CBPR.
  • Theo đuổi một hiệp định thương mại số theo mô hình EU thay vì ưu tiên con đường công nhận mức độ bảo vệ tương xứng truyền thống. Xét khoảng cách thể chế giữa chế độ do bộ phụ trách an ninh quản lý của Việt Nam với mô hình cơ quan độc lập mà cơ chế công nhận mức độ bảo vệ tương xứng của EU thường đòi hỏi, Việt Nam nên nghiên cứu một hiệp định thương mại số theo hướng Singapore–EU. Cách tiếp cận này tập trung vào việc đánh giá tính cần thiết và tính tương xứng của từng hạn chế cụ thể, thay vì đòi hỏi EU phải công nhận toàn bộ hệ thống quản trị dữ liệu của Việt Nam là tương xứng.
  • Tiến tới một khuôn khổ duy nhất, thống nhất và phân tầng theo rủi ro đối với hoạt động chuyển dữ liệu xuyên biên giới, thay thế cấu trúc hai đạo luật hiện nay. Khi các biện pháp tăng cường khả năng tương tác ở trung hạn đã được triển khai và có thể đánh giá tác động, Quốc hội nên cân nhắc hợp nhất các chế độ đánh giá xuyên biên giới riêng biệt của Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân thành một khuôn khổ duy nhất. Khuôn khổ này nên đơn giản đối với các hoạt động chuyển dữ liệu có rủi ro thấp và chỉ yêu cầu đánh giá đầy đủ đối với những nhóm thực sự có rủi ro cao, thay vì duy trì vô thời hạn hai lộ trình pháp lý song song.

Kết luận

EU, Trung Quốc và Singapore cho thấy quản trị dữ liệu xuyên biên giới có thể được xây dựng từ những tiền đề khác nhau: quyền cá nhân, an ninh nhà nước hoặc thuận lợi thương mại. Mỗi lựa chọn đều có cái giá riêng.

Mô hình EU tạo chi phí tuân thủ đáng kể, nhưng đi kèm cơ chế thực thi độc lập và hạ tầng trưởng thành về công nhận mức bảo vệ tương xứng cùng các công cụ hợp đồng. Dù chưa hoàn hảo, hệ thống vẫn cho phép doanh nghiệp thực sự chuyển dữ liệu sau khi hoàn tất nghĩa vụ. Mô hình Trung Quốc hạn chế hơn. Tuy nhiên, việc Bắc Kinh điều chỉnh chính sách từ năm 2024 cho thấy ngay cả bên kiến tạo mô hình ưu tiên chủ quyền cũng nhận ra rằng phiên bản nghiêm ngặt nhất đã tạo chi phí vượt lợi ích cận biên. Singapore cho thấy một nền kinh tế nhỏ, phụ thuộc thương mại có thể chủ động xây dựng khả năng tương tác qua CBPR, các Điều khoản Hợp đồng Mẫu ASEAN và DEPA, khi thuận lợi hóa luồng dữ liệu được coi là mục tiêu chiến lược ngang với an ninh và quyền riêng tư.

Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân của Việt Nam chưa lựa chọn dứt khoát giữa các con đường này. Hai luật kết hợp logic phân loại an ninh của Trung Quốc với bộ máy tuân thủ dựa trên quyền của EU trong một kiến trúc nhiều tầng, do cùng một bộ phụ trách an ninh thực thi. Sự kết hợp này có thể đáp ứng mục tiêu an ninh và quyền riêng tư. Quy mô buôn bán dữ liệu trái phép được phát hiện năm 2025 cho thấy rủi ro là có thật. Tuy nhiên, hai cơ chế đánh giá tác động riêng biệt, thiếu cơ quan quản lý độc lập và hạ tầng tương tác tương đương Singapore đang tạo chi phí khó được biện minh đầy đủ bằng lợi ích an ninh tăng thêm so với phương án tích hợp, phân tầng theo rủi ro.

Cộng đồng doanh nghiệp nước ngoài đã bắt đầu coi chi phí đó là lực cản đối với nền kinh tế số mà Nghị quyết 57 kỳ vọng đóng góp một nửa GDP năm 2045. Vì vậy, câu hỏi chiến lược cần làm rõ là: Việt Nam muốn xây dựng một khu vườn khép kín hay một thị trường kết nối? Hệ thống hiện đang cố làm cả hai — và âm thầm trả chi phí cho cả hai.

Bài viết trích từ bản thảo “Vượt ra ngoài gia công: Kinh nghiệm quốc tế về khoa học công nghệ, đổi mới sáng tạo và chuyển đổi số cho Việt Nam”. Rất mong nhận được ý kiến phản biện, góp ý của quý độc giả. Mọi liên hệ, góp ý xin gửi về: nghiencuuquocte@gmail.com. Trân trọng cảm ơn! 

——————-

[1] “Necessity & Proportionality,” European Data Protection Supervisor, https://www.edps.europa.eu/data-protection/our-work/subjects/necessity-proportionality_en; “EDPS Guidelines on Assessing the Proportionality of Measures That Limit the Fundamental Rights to Privacy and Protection of Personal Data,” EDPS, https://www.edps.europa.eu/sites/default/files/publication/19-12-19_edps_proportionality_guidelines_en.pdf.

[2] “Cross-Border Data Flows and Free Trade Agreements,” Digital Trade Alliance, https://dtalliance.org/2024/01/05/cross-border-data-flows-and-free-trade-agreements/.

[3] “Data Free Flow with Trust (DFFT),” Digital Agency, Government of Japan, https://www.digital.go.jp/en/policies/dfft.

[4] Regulation (EU) 2016/679 (General Data Protection Regulation), EUR-Lex, https://eur-lex.europa.eu/eli/reg/2016/679/oj; GDPR.eu, “General Data Protection Regulation (GDPR) Compliance Guidelines,” https://gdpr.eu/.

[5] “Art. 46 GDPRTransfers subject to appropriate safeguards,” Intersoft Consulting, https://gdpr-info.eu/art-46-gdpr/.

[6] “Data Protection Adequacy for Non-EU Countries,” European Commission, https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en; “GDPR Data Transfer Rules 2026: SCC, BCR, Adequacy Decision Tree,” Legiscope, https://www.legiscope.com/blog/cross-border-data-transfers.html.

[7] “Cross-Border Data Transfer: GDPR International Guide,” ComplyDog, https://complydog.com/blog/cross-border-data-transfer-gdpr-international-guide.

[8] “Cross-Border Data Transfers: The Complete Compliance Guide,” SecurePrivacy, https://secureprivacy.ai/blog/cross-border-data-transfers; “EDPS Guidelines on Assessing the Proportionality of Measures That Limit the Fundamental Rights to Privacy and Protection of Personal Data,” EDPS, sđd.

[9] “How GDPR 2025 Impacts Cross-Border Data Transfers,” Reform, https://www.reform.app/blog/gdpr-2025-impacts-cross-border-data-transfers.

[10] “GDPR Cross-Border Data Transfers in 2025: Navigation Guide for International Organizations,” SecurityAlign, https://securityalign.com/insights/gdpr-cross-border-data-transfers-2025.

[11] “How Much Does GDPR Compliance Really Cost? Guide for 2026,” Usercentrics, https://usercentrics.com/knowledge-hub/cost-of-gdpr-compliance/; “GDPR Compliance Cost Breakdown for Startups,” Medium, https://medium.com/@byjoe/gdpr-compliance-cost-breakdown-for-startups-e04a158a9436.

[12] “GDPR Has Dampened Investment in European Tech Ventures, Study Finds,” INFORMS, https://www.informs.org/News-Room/INFORMS-Releases/News-Releases/GDPR-Has-Dampened-Investment-in-European-Tech-Ventures-Study-Finds; “The Short-Run Effects of GDPR on Technology Venture Investment,” CEPR, https://cepr.org/voxeu/columns/short-run-effects-gdpr-technology-venture-investment.

[13] Anu Bradford, *Digital Empires: The Global Battle to Regulate Technology* (Oxford University Press, 2023); “GDPR & European Innovation Culture: What the Evidence Shows,” Medium, https://medium.com/@AdamThierer/gdrp-european-innovation-culture-what-the-economic-evidence-shows-b19d2309de07.

[14] “Personal Information Protection Law of the People’s Republic of China,” Wikipedia, https://en.wikipedia.org/wiki/Personal_Information_Protection_Law_of_the_People%27s_Republic_of_China; “China’s New Comprehensive Data Protection Law: Context, Stated Objectives, Key Provisions,” Future of Privacy Forum, https://fpf.org/blog/chinas-new-comprehensive-data-protection-law-context-stated-objectives-key-provisions/.

[15] “Transfer of Personal Data in China,” Data Protection Laws of the World, DLA Piper, https://www.dlapiperdataprotection.com/countries/china/transfer.html.

[16] “China Launches Cybersecurity Review on Didi,” CMS Law, https://cms.law/en/chn/legal-updates/China-launches-cybersecurity-review-on-Didi.

[17] “Didi Cybersecurity Review – Which Laws Did Didi Break?,” China Briefing, https://www.china-briefing.com/news/didi-cyber-security-review-which-laws-did-didi-break/.

[18] “Didi Booted from App Stores: A Glimpse of China’s Plan on Cybersecurity Compliance,” China Briefing, https://www.china-briefing.com/news/china-removes-didi-from-app-stores-lessons-learned-chinas-cybersecurity-regime/.

[19] “China Relaxes Cross-Border Data Transfer Rules with New Provisions,” CMS Law, https://cms.law/en/chn/legal-updates/china-relaxes-cross-border-data-transfer-rules-with-new-provisions; “China Finalizes the Network Data Security Management Regulations and Issues the First Free Trade Zone Data Export Negative List,” WilmerHale, https://www.wilmerhale.com/en/insights/client-alerts/20241011-china-finalizes-the-network-data-security-management-regulations-and-issues-the-first-free-trade-zone-data-export-negative-list.

[20] “Cross-Border Data Transfer Negative List Measures Benefit Businesses Across Beijing,” Beijing Municipal Government, https://english.beijing.gov.cn/latest/news/202605/t20260525_4664345.html; “Shanghai Data Export Negative List: Key Updates for Foreign Businesses,” China Briefing, https://www.china-briefing.com/news/shanghai-data-export-negative-list-update/; “China Data Protection and Cybersecurity Annual Review of 2025 and Outlook for 2026 (II),” Bird & Bird, https://www.twobirds.com/en/insights/2026/china/china-data-protection-and-cybersecurity-annual-review-of-2025-and-outlook-for-2026-(ii).

[21] “APEC Cross Border Privacy Rules and Privacy Recognition for Processors Systems,” PDPC, 2021, https://www.pdpc.gov.sg/help-and-resources/2021/10/apec-cross-border-privacy-rules-and-privacy-recognition-for-processors-systems.

[22] “Global CBPR Forum Launches International Data Protection and Privacy Certifications and Opens Participation to New Members,” Global CBPR Forum, https://www.globalcbpr.org/global-cbpr-forum-launches-international-data-protection-and-privacy-certifications-and-opens-participation-to-new-members/; “The Cross Border Privacy Rules (CBPR) System Goes Global,” Schellman, https://www.schellman.com/blog/privacy/cbpr-system-goes-global.

[23] “The Global CBPR Forum Announces CBPR 2.0,” Schellman, https://www.schellman.com/blog/privacy/global-cbpr-forum-announces-cbpr-2.0.

[24] “Guidance for Use of ASEAN MCCs for Cross-Border Data Flows in Singapore,” PDPC, https://pdpc.gov.sg/using-asean-mccs-for-cross-border-data-flows-in-singapore.

[25] “Digital Economy Partnership Agreement,” Wikipedia, https://en.wikipedia.org/wiki/Digital_Economy_Partnership_Agreement; “DEPA: The World’s First Digital-Only Trade Agreement,” Asia Pacific Foundation of Canada, https://www.asiapacific.ca/publication/depa-worlds-first-digital-only-trade-agreement.

[26] “Overview of the DEPA,” New Zealand Ministry of Foreign Affairs and Trade, https://www.mfat.govt.nz/en/trade/free-trade-agreements/free-trade-agreements-in-force/digital-economy-partnership-agreement-depa/overview.

[27] “Access Alert: EU-Singapore Digital Trade Agreement Concludes Negotiations,” Access Partnership, https://accesspartnership.com/opinion/access-alert-eu-singapore-digital-trade-agreement-concludes-negotiations/; “EU Adopts DTA with Singapore Despite Warnings,” European Digital Rights (EDRi), https://edri.org/our-work/eu-adopts-digital-trade-agreement-with-singapore-despite-warnings-a-setback-for-digital-rights-and-democratic-oversight/.

[28] “Data Free Flow with Trust (DFFT),” Digital Agency, Government of Japan, sđd; “Data Free Flow with Trust (DFFT): Paths Towards Free and Trusted Data Flows,” World Economic Forum, https://www.weforum.org/publications/data-free-flow-with-trust-dfft-paths-towards-free-and-trusted-data-flows/.

[29] “Operationalizing Data Free Flow with Trust (DFFT),” CSIS, https://www.csis.org/analysis/operationalizing-data-free-flow-trust-dfft.

[30] Christopher Kuner, *Transborder Data Flows and Data Privacy Law* (Oxford University Press, 2013); “Regulation of Transborder Data Flows Under Data Protection and Privacy Law: Past, Present, and Future,” SSRN, https://papers.ssrn.com/sol3/papers.cfm?abstract_id=1689483.

[31] Anupam Chander and Haochen Sun, eds., *Data Sovereignty: From the Digital Silk Road to the Return of the State* (Oxford University Press, 2023), featuring Mira Burri, “Creating Data Flow Rules Through Preferential Trade Agreements,” https://digitaltradelaw.ch/wp-content/uploads/2024/03/Burri_Creating-Data-Flows-Rules-through-Preferential-Trade-Agreements.pdf.

[32] “Digital Economy Report 2021: Cross-Border Data Flows and Development,” UNCTAD, https://digitallibrary.un.org/record/3942554; “G20 Members’ Regulations of Cross-Border Data Flows,” UNCTAD, https://unctad.org/system/files/official-document/dtlecdc2023d1_en.pdf.

[33] “WTO | Agreement on Electronic Commerce,” World Trade Organization, https://www.wto.org/english/tratop_e/ecom_e/joint_statement_e.htm; “The Joint Statement on E-commerce: Is This Glass Half Empty or Half Full?,” Centre for International Governance Innovation, https://www.cigionline.org/articles/the-joint-statement-on-e-commerce-is-this-glass-half-empty-or-half-full/; “WTO | 2025 News Items – Members Review Possible Deliverables for MC14 at Final 2025 General Council Meeting,” World Trade Organization, https://www.wto.org/english/news_e/news25_e/gc_16dec25_255_e.htm.

[34] “An Overview of Vietnam’s Law on Data (Law No. 60/2024/QH15),” Securiti, https://securiti.ai/vietnam-data-law-no-60-2024-qh15/; “Vietnam’s Cross-Border Data Transfer Legal Framework,” HMP Law, https://hmplaw.vn/en/vietnams-cross-border-data-transfer-legal-framework-perspectives-from-the-data-law-2024-and-the-personal-data-protection-law-2025.

[35] “Law on Cybersecurity 2025, No. 116/2025/QH15,” LuatVietnam, https://english.luatvietnam.vn/lawoncybersecurityno116-2025-qh15dateddecember102025ofthenationalassembly-422396-doc1.html.

[36] “Law on Personal Data Protection, Law No. 91/2025/QH15,” LuatVietnam, https://english.luatvietnam.vn/dan-su/law-on-personal-data-protection-law-no-91-2025-qh15-405135-d1.html; “Vietnam Enacts Landmark Law on Personal Data Protection,” HLC, https://www.hlc.com/en/publications/vietnam-enacts-landmark-law-on-personal-data-protection-stable-standing-with-stricter-compliance.

[37] “Vietnam’s Personal Data Protection Law: A Complete Guide for 2025,” Cookie Script, https://cookie-script.com/privacy-laws/vietnam-personal-data-protection-law.

[38] “Vietnam Law on Personal Data Protection 2025 (Law No. 91/2025/QH15),” Securiti, https://securiti.ai/solutions/vietnam-law-on-personal-data-protection/.

[39] “Vietnam’s New Personal Data Protection Law: A Closer Look,” Tilleke & Gibbins, https://www.tilleke.com/insights/vietnams-new-personal-data-protection-law-a-closer-look/; “Legal Alert | July 2025 | Personal Data Protection Law,” EY Vietnam, https://www.ey.com/en_vn/technical/tax/tax-and-law-updates/legal-alert-july-2025-personal-data-protection-law.

[40] “Legal Alert | October 2025 | Draft Decree Detailing Several Provisions of the Personal Data Protection Law,” EY Vietnam, https://www.ey.com/en_vn/technical/tax/tax-and-law-updates/legal-alert-october-2025-draft-decree-detailing-several-provisions-of-the-personal-data-protection-law.

[41] “Vietnam PDPL 2026 Compliance Checklist for Businesses,” Lawzana, https://lawzana.com/articles/vietnam/vietnam-pdpl-2026-compliance-checklist-for-businesses-375.

[42] “Personal Data Protection Law 91/2025/QH15: What Enterprises Must Do,” VNetwork, https://www.vnetwork.vn/en-US/news/luat-so-91-2025-qh15/.

[43] “Vietnam Law on Personal Data Protection 2025 (Law No. 91/2025/QH15),” Securiti, https://securiti.ai/solutions/vietnam-law-on-personal-data-protection/.

[44] “Vietnam’s Cross-Border Data Transfer Legal Framework: Perspectives from the Data Law 2024 and the Personal Data Protection Law 2025,” HMP Law, https://hmplaw.vn/en/vietnams-cross-border-data-transfer-legal-framework-perspectives-from-the-data-law-2024-and-the-personal-data-protection-law-2025.

[45] “Law on Personal Data Protection, No. 91/2025/QH15 and Data Breach Challenges in the Digital Era,” VNetwork, https://www.vnetwork.vn/en-US/news/luat-so-91-2025-qh15/.

[46] “Vietnam Will Lose 9 Percent of Its Trade Potential Due to Restrictive Data Policies,” Information Technology and Innovation Foundation, 12 December 2022, https://itif.org/publications/2022/12/12/vietnam-will-lose-9-percent-of-its-trade-potential-due-to-restrictive-data-policies-itif-also-projects-losses-for-bangladesh-hong-kong-indonesia-and-pakistan/.

[47] “Vietnam’s PDPL Takes Effect: Why Stacking Data Rules Risks Hanoi’s Digital Ambitions,” People of Internet, https://www.peopleofinternet.com/articles/vietnam-s-pdpl-takes-effect-why-stacking-data-rules-risks-ha.html.