Bên nhận nước ngoài chuyển tiếp dữ liệu: doanh nghiệp cần kiểm soát gì?

Bên nhận nước ngoài chuyển tiếp dữ liệu: doanh nghiệp cần kiểm soát gì?

Một nhà cung cấp ở nước ngoài có thể sử dụng thêm đơn vị lưu trữ, hỗ trợ hoặc phân tích. Doanh nghiệp cần biết dữ liệu đi qua những bên nào, được dùng vào việc gì và cách kiểm soát thay đổi trong cả chuỗi nhận dữ liệu.

Doanh nghiệp cần kiểm soát việc bên nhận nước ngoài chuyển tiếp dữ liệu ngay từ khi xác định phạm vi dịch vụ và hồ sơ đánh giá tác động. Nội dung phải làm rõ gồm bên nhận tiếp theo, mục đích, dữ liệu được cung cấp, nơi xử lý, trách nhiệm và khả năng thực hiện quyền của chủ thể dữ liệu. Điểm g khoản 3 Điều 18 Nghị định 356/2025/NĐ-CP yêu cầu báo cáo có quy trình bên tiếp nhận xuyên biên giới chuyển giao, cung cấp dữ liệu cho bên thứ ba. Vì vậy, chỉ kê khai nhà cung cấp ký hợp đồng đầu tiên thường chưa đủ phản ánh hoạt động sau tiếp nhận. Căn cứ: khoản 3 Điều 18 Nghị định 356.

Bên nhận tiếp theo có thể xuất hiện ở đâu

Chuyển tiếp có thể phát sinh khi nhà cung cấp thuê đơn vị khác sao lưu dữ liệu, chuyển yêu cầu sang nhóm hỗ trợ thuộc pháp nhân khác hoặc đưa dữ liệu vào công cụ phân tích. Hoạt động còn có thể diễn ra qua quyền truy cập từ xa, tích hợp giữa các hệ thống và tệp đính kèm trong yêu cầu xử lý lỗi. Doanh nghiệp nên khảo sát đường đi thực tế của dữ liệu thay vì chỉ yêu cầu một câu cam kết “không bán dữ liệu”.

Cần phân biệt một địa điểm xử lý mới với một pháp nhân nhận mới. Nhà cung cấp chuyển hạ tầng sang trung tâm dữ liệu khác do chính mình vận hành khác với việc giao công việc cho một doanh nghiệp độc lập. Hai tình huống đều có thể làm thay đổi rủi ro, nhưng thông tin về vai trò, hợp đồng và trách nhiệm cần bổ sung sẽ không giống nhau.

Trong bài này, “bên nhận tiếp theo” là cách gọi chung để lập bản đồ chuỗi dữ liệu. “Bên thứ ba” khi áp dụng pháp luật phải được xác định theo khoản 10 Điều 2 Luật, không tự gán cho mọi nhà cung cấp đứng sau đối tác đầu tiên. Một đơn vị thực hiện xử lý theo yêu cầu và hợp đồng có thể mang vai trò bên xử lý; một đơn vị tự quyết định mục đích khác cần được đánh giá theo hoạt động thực tế. Xem thêm cách phân biệt bên kiểm soát và bên xử lý dữ liệu cá nhân.

Khi luồng chuyển thuộc pháp luật Việt Nam, doanh nghiệp phải đối chiếu Điều 20 Luật và Điều 17 Nghị định 356, đồng thời xem xét hoạt động tiếp theo trong hồ sơ của mình. Không nên mặc định mỗi chặng giữa hai bên nước ngoài đều là một lần phát sinh nghĩa vụ nộp hồ sơ mới cho doanh nghiệp Việt Nam. Cần xác định chủ thể, vai trò, phạm vi áp dụng và việc cập nhật thông tin của hoạt động đã kê khai.

Lập bảng bên nhận theo từng chặng dữ liệu

Tình huống giả định: Công ty A ở Việt Nam sử dụng B ở Singapore để quản lý yêu cầu bảo hành. Dữ liệu gồm tên, số liên hệ và nội dung yêu cầu của khách hàng trưởng thành. B dùng C tại Nhật Bản để sao lưu, D tại Malaysia để hỗ trợ kỹ thuật, đồng thời đề xuất gửi nội dung yêu cầu cho E ở một quốc gia chưa xác định để phân tích, cải thiện sản phẩm của E.

Chưa giả định bất kỳ luồng nào đã đủ căn cứ xử lý hoặc được miễn hồ sơ. Bảng sau ghi nhận dữ kiện và việc A cần giải quyết trước khi cho triển khai. Tên A, B, C, D, E chỉ phục vụ minh họa, không phải khách hàng hay nhà cung cấp thực tế của Justix.

Khi triển khai thực tế, mỗi dòng nên có mã luồng, ngày áp dụng, người xác nhận và liên kết đến chứng cứ. Có thể dùng một bảng chi tiết nội bộ thay cho việc đưa toàn bộ hợp đồng vào sơ đồ. Nếu thông tin chưa xác minh, ghi đúng trạng thái và người chịu trách nhiệm bổ sung; không tự điền tên quốc gia dựa trên trụ sở của thương hiệu.

Đối với C, mã hóa là một biện pháp cần đánh giá nhưng không tự làm bản sao mất tính chất dữ liệu cá nhân. Đối với D, quyền chỉ xem vẫn cần được khảo sát theo thông tin thực tế được cung cấp. Đối với E, vấn đề quyết định là mục đích mới và vai trò trong xử lý, không chỉ việc E đứng ở chặng thứ ba hay thứ tư.

Khoản 3 Điều 18 Nghị định 356 yêu cầu thông tin các bên liên quan, luồng và hệ thống sau tiếp nhận, quy trình cung cấp tiếp, tự đánh giá tuân thủ và mức độ bảo vệ của bên nhận. Bảng chuỗi là công cụ để chuẩn bị những nội dung đó. Khi hoàn thiện Mẫu số 09, cần chuyển thông tin đã xác minh vào đúng phần báo cáo và đối chiếu tài liệu kèm theo, thay vì nộp bảng minh họa như một biểu mẫu bắt buộc.

Mục đích chuyển tiếp phải phù hợp với căn cứ xử lý

Doanh nghiệp cần hỏi bên nhận tiếp theo làm việc gì với dữ liệu. Sao lưu để duy trì dịch vụ đã thống nhất, hỗ trợ sửa lỗi và dùng dữ liệu để quảng cáo cho một doanh nghiệp khác có mục đích, phạm vi và rủi ro khác nhau. Cụm từ “cải thiện dịch vụ” phải được giải thích thành hoạt động cụ thể nếu nó cho phép sử dụng nội dung của từng khách hàng.

Điều 3 Luật yêu cầu xử lý đúng phạm vi, mục đích cụ thể, rõ ràng. Nếu dựa vào sự đồng ý, Điều 9 Luật 91 yêu cầu sự đồng ý theo từng mục đích cùng những điều kiện về thông tin và khả năng kiểm chứng. Nếu không cần sự đồng ý, phải xác định đúng căn cứ tại Điều 19 hoặc quy định liên quan. Chấp thuận của A cho B thuê thêm nhà cung cấp và sự đồng ý của chủ thể dữ liệu là hai việc khác nhau.

Trong ví dụ, A có thể cân nhắc C phục vụ sao lưu sau khi xác minh căn cứ và biện pháp bảo vệ. Với E dùng nội dung cho sản phẩm riêng, A phải xem lại phạm vi thông báo, sự đồng ý hoặc căn cứ khác; nội dung hợp đồng với E; loại dữ liệu thật sự cần chuyển. Việc người phụ trách mua hàng đồng ý thay nhà thầu không giải quyết thay các điều kiện này.

Không phải mọi thay đổi nhà cung cấp đều buộc xin lại sự đồng ý trong mọi trường hợp. Cần so thay đổi với nội dung đã cung cấp, mục đích, bên kiểm soát, điều kiện pháp luật và thỏa thuận áp dụng. Nếu mục đích mới chưa có căn cứ, chỉ bổ sung tên E vào danh sách nhà cung cấp sẽ không khắc phục thiếu sót.

Hợp đồng phải giúp doanh nghiệp kiểm soát được cả chuỗi

Đối với các hoạt động chuyển giao thuộc điểm a, điểm c, điểm d khoản 1 Điều 17 Luật, khoản 1 Điều 7 Nghị định 356 quy định phải có thỏa thuận với bên nhận, nêu các nội dung về mục đích, dữ liệu, thời hạn, căn cứ, trách nhiệm bảo vệ, quyền của chủ thể và phối hợp khi có vi phạm. Điều 37 Luật đặt trách nhiệm lựa chọn bên xử lý phù hợp và ràng buộc trách nhiệm trong hợp đồng.

Để thực hiện những trách nhiệm đó trong chuỗi nhiều bên, doanh nghiệp nên đàm phán các nội dung sau. Đây là khuyến nghị tổ chức hợp đồng, không phải khẳng định pháp luật Việt Nam quy định một thời hạn báo trước hoặc một cơ chế phê duyệt chung cho mọi nhà cung cấp phụ.

Danh mục bên nhận và phạm vi được giao. Phụ lục xác định pháp nhân, quốc gia, hệ thống, công việc, nhóm dữ liệu và người liên hệ. Danh mục trực tuyến có thể được sử dụng nếu hợp đồng xác định cách thông báo thay đổi, lưu phiên bản và giá trị ràng buộc. Một trang web có thể sửa bất kỳ lúc nào, không có lịch sử, sẽ khó chứng minh phạm vi mà doanh nghiệp đã xem xét.

Cơ chế thêm hoặc thay bên nhận. Thống nhất thông tin phải cung cấp trước thay đổi, đầu mối tiếp nhận và cách xử lý khi doanh nghiệp phản đối có căn cứ. Nếu dịch vụ tiêu chuẩn không cho quyền phủ quyết từng bên, cần xem quyền tắt tính năng, giới hạn dữ liệu, chuyển dịch vụ hoặc chấm dứt cùng phương án xuất và xóa dữ liệu. Hợp đồng phải phù hợp với khả năng vận hành, không chỉ có một câu “sẽ xin phép khách hàng” mà không có cách thực hiện.

Nghĩa vụ được ràng buộc ở chặng tiếp theo. Yêu cầu B ràng buộc C và D về phạm vi, bảo mật, lưu giữ, xóa, hỗ trợ quyền, sự cố và cung cấp chứng cứ. A cần có cơ chế yêu cầu B chứng minh nghĩa vụ đã được áp dụng, có thể qua trích lục phù hợp hoặc xác nhận kèm tài liệu kiểm chứng. Không mặc định A phải ký trực tiếp với mọi bên trong chuỗi hoặc được xem toàn bộ hợp đồng thương mại không liên quan.

Đầu mối chịu trách nhiệm khi có yêu cầu. Xác định ai tiếp nhận yêu cầu từ A, ai phối hợp với từng bên nhận và ai xác nhận kết quả. A không nên phải tự tìm từng đơn vị trong chuỗi khi khách hàng yêu cầu xóa hoặc khi cần kiểm tra dữ liệu bị cung cấp sai phạm vi. Có thể tham khảo thêm những điều khoản trong hợp đồng xử lý dữ liệu cá nhân khi rà soát phụ lục.

Việc ghi B chịu trách nhiệm với các đơn vị do B lựa chọn giúp tổ chức phối hợp, nhưng không tự xóa trách nhiệm của A theo pháp luật. Phân bổ trách nhiệm hợp đồng phải đi cùng việc A thực hiện nghĩa vụ của mình và kiểm tra dữ kiện cần thiết.

Kiểm tra khả năng thực hiện quyền và xử lý sự cố

Một bảng nhà cung cấp đầy đủ tên vẫn chưa chứng minh doanh nghiệp có thể thực hiện quyền của khách hàng. Cần kiểm tra cách tìm dữ liệu tại B, C, D; sửa thông tin; dừng sử dụng; xóa dữ liệu khi có căn cứ; và xử lý dữ liệu có thể quay lại sau khi khôi phục từ bản sao lưu.

Nên yêu cầu nhà cung cấp mô tả sự khác nhau giữa dữ liệu hoạt động, bản sao lưu, nhật ký và bản ghi hỗ trợ. Nếu một phần chưa thể xóa ngay do đặc điểm hệ thống, phải làm rõ căn cứ lưu, thời điểm xử lý, người được truy cập và cách ngăn sử dụng ngoài phạm vi. Lịch sao lưu do nhà cung cấp tự đặt không tự trở thành ngoại lệ pháp luật cho quyền xóa.

Doanh nghiệp có thể thử quy trình với dữ liệu giả lập: gửi một yêu cầu, kiểm tra B chuyển việc cho C và D thế nào, nhận bằng chứng gì và đóng yêu cầu ở đâu. Đây là khuyến nghị kiểm tra khả năng vận hành, không phải một thủ tục thử nghiệm nhà nước bắt buộc. Căn cứ trách nhiệm bảo đảm quyền và biện pháp bảo vệ nằm tại Điều 4, Điều 37 Luật 91.

Đối với sự cố, cần có đường thông báo từ bên nhận tiếp theo về B và từ B về A đủ sớm để các bên thực hiện nghĩa vụ tương ứng. Khoản 1 Điều 23 Luật phân biệt nghĩa vụ thông báo kịp thời của bên xử lý với nghĩa vụ thông báo chậm nhất 72 giờ của bên kiểm soát, bên kiểm soát và xử lý, bên thứ ba khi vi phạm đáp ứng điều kiện luật định. Hợp đồng có thể quy định mốc phối hợp ngắn hơn theo nhu cầu, nhưng phải ghi đó là thời hạn thỏa thuận.

Nếu phát hiện D đã gửi hồ sơ cho E ngoài phạm vi, A cần xác định dữ liệu, chủ thể, thời gian, mục đích và các bản còn tồn tại; yêu cầu kiểm soát luồng đang tiếp diễn; giữ nhật ký và xác nhận của các bên. Kết quả được dùng để đánh giá hậu quả, nghĩa vụ thông báo, biện pháp khắc phục và thay đổi cần thiết trong hợp đồng, hệ thống.

Thêm bên nhận có phải cập nhật hồ sơ không

Đối với chủ thể thuộc nghĩa vụ cập nhật, khoản 1 Điều 20 Nghị định 356 quy định cập nhật định kỳ 6 tháng kể từ lần đầu nộp khi phát sinh mục đích mới hoặc phát sinh, thay đổi bên kiểm soát, bên kiểm soát và xử lý, bên xử lý, bên thứ ba. Vì vậy, khi B thêm C hoặc D, cần xác định vai trò và thay đổi thực tế để phản ánh vào hồ sơ đã nộp. Khoản 3 Điều 18 còn yêu cầu nội dung về hệ thống, chuyển tiếp và bảo vệ sau tiếp nhận.

Các trường hợp cập nhật ngay trong 10 ngày tại khoản 2 Điều 20 là tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thay đổi thông tin bên cung cấp dịch vụ bảo vệ dữ liệu cá nhân; phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đã đăng ký trong hồ sơ. Không tự xếp mọi nhà cung cấp lưu trữ hoặc hỗ trợ thành “bên cung cấp dịch vụ bảo vệ dữ liệu cá nhân” để áp mốc 10 ngày. Căn cứ: Điều 22 Luật và Điều 20 Nghị định 356.

Kỳ cập nhật hồ sơ không phải thời gian được phép dùng dữ liệu cho mục đích mới khi chưa đủ điều kiện. Doanh nghiệp phải xử lý căn cứ, hợp đồng và cấu hình trước khi thực hiện hoạt động tương ứng. Nên duy trì danh mục thay đổi nội bộ theo ngày để không bỏ sót khi đến kỳ cập nhật.

Cơ chế dành cho doanh nghiệp nhỏ, khởi nghiệp, siêu nhỏ có thể ảnh hưởng nghĩa vụ tại Điều 22 nếu đáp ứng đầy đủ điều kiện của Điều 38 Luật và Điều 41 Nghị định 356. Cơ chế đó không tự miễn việc lập hồ sơ chuyển lần đầu theo Điều 20 Luật hoặc các trách nhiệm bảo vệ dữ liệu khác. Không xác định điều kiện miễn chỉ từ số nhân viên.

Lưu ý từ 15/11/2026: Điều 45 Nghị định 392/2026/NĐ-CP sửa khoản 3 Điều 20 Nghị định 356 về kênh và cơ quan nhận cập nhật, vẫn sử dụng Mẫu số 03a/03b. Điều 43 sửa quy định tiếp nhận, đánh giá hồ sơ chuyển. Tại ngày kiểm tra 24/10/2026, các sửa đổi này chưa có hiệu lực; hồ sơ qua mốc áp dụng cần được đối chiếu thêm khoản 3 Điều 49 về chuyển tiếp. Nguồn Nghị định 392.

Câu hỏi thường gặp

Bên nhận nói danh sách nhà cung cấp phụ là bí mật thì làm gì

Doanh nghiệp cần yêu cầu mức thông tin đủ xác định pháp nhân, công việc, quốc gia và biện pháp bảo vệ đối với dữ liệu của mình. Có thể trao đổi theo cơ chế bảo mật hoặc sử dụng tài liệu đã lược bỏ nội dung thương mại không cần thiết. Nếu vẫn thiếu thông tin trọng yếu, phải ghi nhận việc chưa đủ căn cứ để đánh giá, cân nhắc giới hạn hoặc chưa triển khai luồng đó.

Chỉ cần B cam kết tuân thủ pháp luật là đủ không

Cam kết chung cần được cụ thể hóa bằng phạm vi xử lý, danh mục bên nhận, nghĩa vụ tại từng chặng và chứng cứ thực hiện. Doanh nghiệp phải có thông tin để lập hồ sơ đúng thực tế và xử lý yêu cầu của chủ thể dữ liệu, không thể chỉ dựa vào một câu bảo đảm chung.

Có phải luôn xin lại sự đồng ý khi B thay đơn vị sao lưu

Không kết luận tự động như vậy. Cần xem thay đổi có ảnh hưởng mục đích, bên kiểm soát, nội dung đã cung cấp, căn cứ xử lý và điều kiện của thỏa thuận hay không. Dù không phát sinh yêu cầu xin lại trong trường hợp cụ thể, vẫn phải kiểm tra trách nhiệm hợp đồng, biện pháp bảo vệ và cập nhật hồ sơ khi thuộc diện áp dụng.

Nhà cung cấp đã có chứng nhận bảo mật thì có thể bỏ qua chuỗi bên nhận không

Không. Chứng nhận có phạm vi và thời kỳ nhất định, cần xem nó bao phủ pháp nhân, hệ thống và hoạt động nào. Nó có thể hỗ trợ đánh giá biện pháp bảo vệ nhưng không tự xác định căn cứ xử lý, mục đích chuyển tiếp hoặc khả năng thực hiện quyền tại tất cả các bên.

Chuẩn bị thông tin về chuỗi bên nhận để trao đổi với Justix

Qua dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới, Justix hỗ trợ lập danh mục luồng chuyển, rà soát bên nhận, ngoại lệ, hợp đồng và thông tin xử lý sau tiếp nhận trong phạm vi thỏa thuận. Doanh nghiệp nên chuẩn bị hợp đồng chính, danh sách nhà cung cấp phụ, thông báo thay đổi, sơ đồ hệ thống và hồ sơ đã nộp. Có thể gửi mô tả đã lược bỏ dữ liệu cá nhân thật qua trang liên hệ Justix để xác định phần cần làm rõ.