Điều kiện chia sẻ dữ liệu cho bên thứ ba

Luật Dữ liệu số 60/2024/QH15 cho phép chủ sở hữu, chủ quản dữ liệu kết nối, chia sẻ dữ liệu cho người dùng dữ liệu theo quy định của pháp luật hoặc theo thỏa thuận, đồng thời yêu cầu bảo đảm an ninh, an toàn trong quá trình xử lý. Nếu dữ liệu có thể xác định hoặc giúp xác định một cá nhân cụ thể, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP đặt ra thêm các yêu cầu riêng về chuyển giao, sự đồng ý, trách nhiệm của các bên và bảo vệ dữ liệu. Các văn bản này đã có hiệu lực từ ngày 01/01/2026 đối với cơ chế bảo vệ dữ liệu cá nhân.

Phải có căn cứ hợp pháp để chuyển giao dữ liệu cá nhân

Điều 17 Luật Bảo vệ dữ liệu cá nhân quy định các trường hợp dữ liệu cá nhân có thể được chuyển giao. Trong quan hệ với một đối tác hoặc bên thứ ba, hai căn cứ thường gặp nhất là có sự đồng ý của chủ thể dữ liệu hoặc việc bên kiểm soát dữ liệu chuyển dữ liệu cho bên xử lý, bên thứ ba để tiếp tục xử lý theo đúng quy định pháp luật. Luật cũng cho phép chuyển giao trong một số trường hợp đặc thù như tổ chức lại đơn vị, theo yêu cầu của cơ quan nhà nước có thẩm quyền hoặc thuộc trường hợp pháp luật cho phép xử lý không cần sự đồng ý.

Điều này có nghĩa doanh nghiệp không nên mặc định rằng việc ký hợp đồng thương mại với một đối tác đã tự động tạo quyền chuyển toàn bộ dữ liệu khách hàng cho đối tác đó. Hợp đồng giữa hai doanh nghiệp giải quyết quan hệ giữa các bên, nhưng hoạt động chuyển dữ liệu vẫn phải nằm trong một trường hợp được pháp luật cho phép.

Khi căn cứ là sự đồng ý, Điều 9 yêu cầu sự đồng ý phải tự nguyện và chủ thể dữ liệu phải biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu cùng các quyền, nghĩa vụ liên quan. Sự đồng ý phải được thể hiện rõ ràng, cụ thể và có khả năng kiểm chứng; phải tách theo từng mục đích và sự im lặng không được coi là đồng ý.

Do đó, một điều khoản chung như “chúng tôi có thể chia sẻ thông tin với các đối tác” có thể chưa đủ để chứng minh một sự đồng ý hợp lệ nếu người dùng không được cung cấp thông tin cần thiết về mục đích và hoạt động xử lý tương ứng.

Dữ liệu chỉ được chia sẻ đúng mục đích và trong phạm vi cần thiết

Một trong những nguyên tắc nền tảng của Luật Bảo vệ dữ liệu cá nhân là dữ liệu chỉ được thu thập, xử lý trong phạm vi và cho mục đích cụ thể, rõ ràng. Vì chuyển giao hoặc chia sẻ cũng là một hoạt động xử lý dữ liệu, bên chuyển không được sử dụng việc cung cấp dữ liệu cho đối tác để mở rộng sang một mục đích khác không có căn cứ pháp lý.

Nghị định 356/2025/NĐ-CP cụ thể hóa yêu cầu này. Khi thuộc trường hợp phải lập thỏa thuận chuyển giao, loại dữ liệu chuyển cho bên nhận phải phù hợp với mục đích chuyển giao; thỏa thuận phải xác định cả đối tượng chủ thể dữ liệu và loại dữ liệu được chuyển.

Ví dụ, nếu đối tác giao vận chỉ cần tên người nhận, số điện thoại và địa chỉ để giao hàng thì việc cung cấp thêm lịch sử mua hàng chi tiết hoặc các thông tin không cần thiết cho hoạt động giao hàng phải có căn cứ riêng. Nguyên tắc cần áp dụng là chỉ chuyển lượng dữ liệu cần thiết cho nhiệm vụ mà bên nhận thực sự phải thực hiện.

Phải có thỏa thuận với bên nhận và xác định rõ trách nhiệm

Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu trong các trường hợp chuyển giao thuộc phạm vi điều chỉnh, tổ chức, cá nhân phải xác lập thỏa thuận với bên nhận dữ liệu trước khi chuyển giao. Thỏa thuận cần xác định tối thiểu:

·         Mục đích chuyển giao dữ liệu cá nhân

·         Đối tượng chủ thể dữ liệu và loại dữ liệu được chuyển

·         Thời hạn xử lý, yêu cầu xóa hoặc hủy dữ liệu sau khi hoàn thành mục đích

·         Cơ sở pháp lý của việc chuyển giao

·         Trách nhiệm bảo vệ dữ liệu trong quá trình chuyển và xử lý

·         Trách nhiệm bảo đảm quyền của chủ thể dữ liệu

·         Cơ chế phối hợp và tuân thủ khi phát hiện vi phạm

Các yêu cầu này cho thấy một thỏa thuận bảo mật thông thường chưa chắc đã đủ. Hợp đồng hoặc phụ lục xử lý dữ liệu cần xác định được vòng đời của dữ liệu và trách nhiệm thực tế của từng bên.

Việc phân loại vai trò cũng rất quan trọng. Luật định nghĩa bên thứ ba là tổ chức hoặc cá nhân nằm ngoài chủ thể dữ liệu, bên kiểm soát, bên kiểm soát và xử lý và bên xử lý nhưng tham gia hoạt động xử lý dữ liệu. Trong khi đó, bên xử lý dữ liệu thực hiện việc xử lý theo yêu cầu của bên kiểm soát thông qua hợp đồng. Vì quyền quyết định mục đích và phương tiện xử lý khác nhau giữa các vai trò, trách nhiệm pháp lý cũng không hoàn toàn giống nhau.

Điều 37 còn yêu cầu bên kiểm soát dữ liệu phải nêu rõ quyền, nghĩa vụ và trách nhiệm của các bên trong hợp đồng liên quan đến xử lý dữ liệu, áp dụng biện pháp quản lý và kỹ thuật phù hợp, đồng thời lựa chọn bên xử lý phù hợp. Bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận hoặc hợp đồng và phải xử lý theo đúng nội dung đã thống nhất.

Phải bảo đảm an toàn dữ liệu trong suốt quá trình chuyển giao

Điều kiện pháp lý không dừng ở việc có giấy tờ hoặc sự đồng ý. Luật yêu cầu áp dụng đồng bộ các biện pháp về quản lý, kỹ thuật và con người để bảo vệ dữ liệu trong toàn bộ quá trình xử lý.

Đối với dữ liệu cá nhân nhạy cảm, Nghị định 356/2025/NĐ-CP yêu cầu khi chuyển giao phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, biện pháp mã hóa, ẩn danh và các biện pháp bảo mật khác phù hợp.

Trong thực tế, điều này đòi hỏi tổ chức không chỉ kiểm tra bên nhận trước khi ký hợp đồng mà còn phải kiểm soát quyền truy cập, phương thức truyền dữ liệu, thời hạn lưu trữ, khả năng sao chép hoặc chuyển tiếp và quy trình xử lý khi xảy ra lộ, mất dữ liệu. Bên nhận không nên được giữ dữ liệu vô thời hạn nếu mục đích chuyển giao đã hoàn thành.

Chia sẻ dữ liệu không đồng nghĩa với được phép mua bán dữ liệu cá nhân

Luật Bảo vệ dữ liệu cá nhân phân biệt hoạt động chuyển giao hợp pháp với hành vi mua bán dữ liệu cá nhân. Khoản 2 Điều 17 quy định việc chuyển giao thuộc các trường hợp mà Luật cho phép, dù có thu phí hay không, không tự động bị xem là mua bán dữ liệu cá nhân. Tuy nhiên, điều đó chỉ đúng khi hoạt động thực sự đáp ứng điều kiện chuyển giao theo pháp luật.

Đối với một số trường hợp chuyển giao có thu phí để cung cấp dịch vụ hoặc phục vụ lợi ích hợp pháp của chủ thể dữ liệu, Nghị định 356/2025/NĐ-CP còn đặt ra cơ chế chặt chẽ hơn: chủ thể dữ liệu phải có khả năng đồng ý rõ ràng theo từng lần chuyển giao; phải biết mục đích và bên tiếp nhận; dữ liệu chỉ được sử dụng đúng mục đích; không được hình thành kho dữ liệu để khai thác cho mục đích khác; đồng thời phải xác định rõ vai trò của bên kiểm soát, bên xử lý và bên thứ ba.

Vì vậy, yếu tố “có thu phí” không phải tiêu chí duy nhất để xác định hoạt động hợp pháp hay bất hợp pháp. Cần xem xét cả căn cứ chuyển giao, mục đích, phạm vi dữ liệu, quyền của chủ thể và cách bên nhận sử dụng dữ liệu sau khi tiếp nhận.

Phải thực hiện nghĩa vụ đánh giá tác động khi pháp luật yêu cầu

Bên kiểm soát dữ liệu và bên kiểm soát, xử lý dữ liệu có nghĩa vụ lập và lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, đồng thời gửi một bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý, trừ trường hợp được Luật loại trừ. Hồ sơ được lập một lần trong quá trình hoạt động nhưng phải cập nhật khi có thay đổi theo quy định.

Vì vậy, khi doanh nghiệp bổ sung một đối tác mới, thay đổi mô hình xử lý hoặc phát sinh hoạt động mới liên quan đến dữ liệu cá nhân, cần kiểm tra xem thay đổi đó có làm phát sinh nghĩa vụ cập nhật hồ sơ đánh giá tác động hay không. Không nên coi đánh giá tác động là thủ tục chỉ thực hiện tại thời điểm xây dựng chính sách bảo mật ban đầu.

Chuyển dữ liệu cho bên thứ ba ở nước ngoài có thêm yêu cầu riêng

Nếu bên thứ ba ở nước ngoài hoặc dữ liệu được xử lý trên hạ tầng ở ngoài Việt Nam, hoạt động có thể trở thành chuyển dữ liệu cá nhân xuyên biên giới.

Điều 20 Luật Bảo vệ dữ liệu cá nhân coi các trường hợp như chuyển dữ liệu đang lưu tại Việt Nam sang hệ thống lưu trữ ở nước ngoài, chuyển dữ liệu từ Việt Nam cho tổ chức hoặc cá nhân nước ngoài, hoặc sử dụng nền tảng ở ngoài Việt Nam để xử lý dữ liệu thu thập tại Việt Nam là hoạt động chuyển dữ liệu cá nhân xuyên biên giới.

Trong trường hợp thuộc diện phải thực hiện thủ tục, tổ chức hoặc cá nhân chuyển dữ liệu phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi một bản chính cho cơ quan chuyên trách trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu.

Do đó, sử dụng nhà cung cấp SaaS, nền tảng CRM, dịch vụ điện toán đám mây hoặc nhà thầu quốc tế cũng cần được rà soát về vị trí hạ tầng và luồng dữ liệu. Việc doanh nghiệp không trực tiếp gửi một tệp dữ liệu ra nước ngoài không đồng nghĩa chắc chắn không có hoạt động chuyển dữ liệu xuyên biên giới.

Doanh nghiệp nên kiểm tra gì trước khi chia sẻ dữ liệu cho bên thứ ba?

Trước khi thực hiện một luồng chia sẻ dữ liệu, có thể kiểm tra theo trình tự sau:

1.    Xác định dữ liệu có chứa dữ liệu cá nhân hay dữ liệu cá nhân nhạy cảm hay không

2.    Xác định bên nhận là bên xử lý, bên thứ ba hay một chủ thể có vai trò pháp lý khác

3.    Xác định chính xác căn cứ cho phép chuyển giao

4.    Kiểm tra sự đồng ý hiện có có bao phủ mục đích chuyển giao hay không nếu hoạt động dựa trên sự đồng ý

5.    Chỉ lựa chọn những trường dữ liệu thực sự cần thiết cho mục đích đã xác định

6.    Thiết lập thỏa thuận xử lý hoặc chuyển giao với đầy đủ trách nhiệm của các bên

7.    Quy định thời hạn lưu trữ, việc hoàn trả, xóa hoặc hủy dữ liệu

8.    Đánh giá biện pháp kỹ thuật và tổ chức của bên nhận

9.    Kiểm tra nghĩa vụ đánh giá tác động và cập nhật hồ sơ

10.  Xác định dữ liệu có được chuyển hoặc xử lý ở nước ngoài hay không để áp dụng yêu cầu về chuyển dữ liệu xuyên biên giới

Luật Dữ liệu cũng đặt nguyên tắc chung rằng việc kết nối, chia sẻ dữ liệu phải theo pháp luật hoặc thỏa thuận và phải bảo đảm an toàn, toàn vẹn và bảo vệ dữ liệu trong quá trình xử lý. Vì vậy, ngay cả khi tập dữ liệu không chứa dữ liệu cá nhân, tổ chức vẫn cần xem xét quyền sở hữu, quyền quản lý, điều kiện khai thác, nghĩa vụ bảo mật và các quy định chuyên ngành có liên quan.

Việc chia sẻ dữ liệu cho bên thứ ba hợp pháp không thể được xác định chỉ bằng tiêu chí “đã có hợp đồng” hoặc “người dùng từng đồng ý với chính sách bảo mật”. Đối với dữ liệu cá nhân, tổ chức cần đồng thời có căn cứ chuyển giao hợp lệ, giới hạn mục đích và phạm vi dữ liệu, xác định đúng vai trò của bên nhận, thiết lập thỏa thuận cần thiết, áp dụng biện pháp bảo vệ và hoàn thành các nghĩa vụ đánh giá tác động hoặc chuyển dữ liệu xuyên biên giới khi phát sinh. Một quy trình tuân thủ tốt phải kiểm soát toàn bộ vòng đời của dữ liệu từ trước khi chuyển đến khi bên nhận xóa hoặc chấm dứt xử lý dữ liệu.