Cập nhật hồ sơ chuyển dữ liệu khi đổi bên nhận, quốc gia, mục đích

Cập nhật hồ sơ chuyển dữ liệu khi đổi bên nhận, quốc gia, mục đích

Thay nhà cung cấp, chuyển nơi lưu trữ hoặc bổ sung mục đích có thể làm hồ sơ chuyển dữ liệu không còn phản ánh đúng hoạt động. Doanh nghiệp cần đối chiếu từng thay đổi với báo cáo, hợp đồng và mốc cập nhật áp dụng.

Khi đổi bên nhận, quốc gia xử lý hoặc mục đích chuyển dữ liệu, doanh nghiệp cần rà soát nội dung hồ sơ chuyển xuyên biên giới đang sử dụng và cập nhật theo trường hợp luật định. Đối với chủ thể có nghĩa vụ cập nhật, mục đích mới hoặc thay đổi bên tham gia thuộc nhóm cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ; ba nhóm thay đổi tại khoản 2 Điều 20 Nghị định 356 phải cập nhật ngay trong thời hạn 10 ngày. Thời hạn gửi hồ sơ không thay cho việc kiểm tra tính hợp pháp của hoạt động mới trước khi triển khai. Một hợp đồng đã sửa tên đối tác cũng chưa giải quyết được những thay đổi về nơi lưu, chuyển tiếp, quyền truy cập và rủi ro đối với cá nhân. Điều 22 Luật Bảo vệ dữ liệu cá nhân; Điều 20 Nghị định 356.

So sánh hoạt động trước và sau thay đổi

Để xác định việc cần cập nhật, phải biết chính xác phần nào đã đổi. Thông báo “chuyển sang hệ thống mới” có thể gồm nhiều việc: đổi pháp nhân ký hợp đồng, giữ nhà cung cấp nhưng chuyển trung tâm dữ liệu, thêm đơn vị hỗ trợ từ quốc gia khác hoặc cho phép bên nhận dùng thông tin vào mục đích riêng. Các việc này ảnh hưởng những phần khác nhau của hồ sơ và không nên được gộp thành một dòng thay tên phần mềm.

Điểm a, c, e, g và i khoản 3 Điều 18 Nghị định 356 yêu cầu báo cáo mô tả các bên, mục đích, luồng xử lý, hệ thống sau tiếp nhận, chuyển tiếp và đánh giá mức độ bảo vệ của bên nhận. Vì vậy, việc rà soát phải đi từ thay đổi thực tế đến nội dung báo cáo tương ứng. Hợp đồng, sơ đồ và bản đánh giá cần thống nhất với nhau. Khoản 3 Điều 18 Nghị định 356.

Ví dụ minh họa: doanh nghiệp vẫn trả phí cho nhà cung cấp B, nhưng dữ liệu đang được lưu ở Singapore chuyển sang Nhật Bản. Nếu pháp nhân B, mục đích và loại dữ liệu giữ nguyên, đây không tự động là “đổi bên nhận”. Tuy nhiên, hệ thống, nơi xử lý, nhà cung cấp hạ tầng hoặc quyền truy cập có thể đã đổi. Cần lấy tài liệu xác nhận thay vì chỉ sửa một tên quốc gia trong báo cáo.

Đối với người cần phân biệt kỳ cập nhật, bổ sung theo yêu cầu và hai loại hồ sơ, có thể đọc trước bài cập nhật hồ sơ đánh giá tác động: khi nào và thực hiện thế nào. Nội dung dưới đây đi sâu vào thay đổi của luồng chuyển xuyên biên giới, đặc biệt là tài liệu phải sửa cùng lúc.

Phân loại đúng kỳ 06 tháng và nhóm 10 ngày

Thay đổi mục đích hoặc bên tham gia

Khoản 1 Điều 20 Nghị định 356 quy định cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ khi phát sinh mục đích chuyển, mục đích xử lý mới; hoặc phát sinh, thay đổi bên kiểm soát, bên kiểm soát và xử lý, bên xử lý, bên thứ ba. Cần giữ bằng chứng của lần nộp đầu để quản lý kỳ, không tự khởi động lại kỳ sau mỗi lần sửa tài liệu. Khoản 1 Điều 20 Nghị định 356.

Nếu thay nhà cung cấp lưu trữ bằng một pháp nhân khác, phải xác định vai trò và công việc của bên mới. Nếu nhà cung cấp cũ bổ sung mục đích phân tích thông tin cho lợi ích riêng, phải kiểm tra cả mục đích mới và khả năng thay đổi vai trò. Tên gọi “đối tác kỹ thuật” trong phụ lục không tự quyết định bên đó luôn chỉ là bên xử lý.

Ba nhóm phải cập nhật ngay trong 10 ngày

Khoản 2 Điều 20 Nghị định 356 quy định ba nhóm: cơ quan, tổ chức, đơn vị được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ. Nếu một sự kiện đồng thời làm thay bên nhận và thuộc một trong các nhóm này, không chỉ theo dõi kỳ 06 tháng rồi bỏ qua nghĩa vụ cập nhật ngay. Khoản 2 Điều 22 Luật; khoản 2 Điều 20 Nghị định 356.

Đơn vị cung cấp dịch vụ bảo vệ dữ liệu cá nhân cần được phân biệt với nhà cung cấp phần mềm hoặc hạ tầng. Việc thay nhà cung cấp đám mây không tự thuộc điểm b khoản 2 chỉ vì dịch vụ đó cũng có chức năng bảo mật. Phải xác định đúng loại dịch vụ và nội dung thay đổi thực tế.

Riêng việc thay quốc gia cần kiểm tra gì

Khoản 2 Điều 20 không đặt một mốc 10 ngày riêng cho mọi thay đổi quốc gia. Điều 22 Luật vẫn yêu cầu cập nhật định kỳ khi có thay đổi, còn Điều 18 và Mẫu số 09 đòi hỏi mô tả đúng hệ thống, luồng và bảo vệ dữ liệu sau khi chuyển. Doanh nghiệp cần đối chiếu việc đổi nơi xử lý với các thay đổi về mục đích, bên tham gia và các trường hợp cập nhật ngay, đồng thời sửa nội dung hồ sơ bị ảnh hưởng. Không nên kết luận “không đổi bên nhận nên không cần xem lại hồ sơ”. Điều 22 Luật; Điều 18, Điều 20 và Mẫu số 09 Nghị định 356.

Nếu dữ kiện chưa đủ để phân loại, nên lấy xác nhận về pháp nhân vận hành, hệ thống, quyền truy cập và ngày hiệu lực, rồi làm rõ cách gửi với đầu mối tiếp nhận chính thức. Việc hiệu chỉnh tài liệu và đánh giá rủi ro nên được thực hiện khi thiết kế thay đổi; không dùng kỳ gửi hồ sơ làm lý do để tiếp tục dựa vào bản mô tả đã sai thực tế.

Bảng đối chiếu trước và sau thay đổi

Tình huống giả định: Công ty A tại Việt Nam có hồ sơ chuyển dữ liệu đầy đủ, thuộc diện phải cập nhật và đã xác định căn cứ cho hoạt động quản lý yêu cầu bảo trì của khách hàng doanh nghiệp. A đang dùng bên B tại Singapore, dự định chuyển sang bên C tại Nhật Bản. Người liên hệ trong hệ thống là người trưởng thành; tên công ty, quốc gia và cấu hình dưới đây chỉ dùng để minh họa, không mô tả một nhà cung cấp thật.

Bảng này là công cụ làm việc nội bộ được khuyến nghị. Kết luận về kỳ gửi không cho phép mặc nhiên chấp nhận mọi điều khoản của C. Trong ví dụ, việc thêm mục đích huấn luyện công cụ cần được xem xét độc lập; hai doanh nghiệp ký phụ lục không tự thay thế căn cứ xử lý đối với người có dữ liệu. Điều 3, Điều 9, Điều 17 và Điều 37 Luật; Điều 7 Nghị định 356.

Phần nào trong Mẫu số 09 và hợp đồng cần sửa

Đối với đổi bên nhận, cần sửa thông tin, liên lạc, vai trò và quan hệ hợp đồng của các bên; phần mô tả sau tiếp nhận; quy trình chuyển tiếp; đánh giá năng lực bảo vệ của bên mới. Phần B Mẫu số 09 cần nhận diện đúng bên nhận và các bên khác liên quan. Không chỉ thay tên B thành C trong trang đầu rồi giữ nguyên kết luận về hệ thống B.

Đối với đổi nơi xử lý, cần cập nhật sơ đồ luồng, sơ đồ hệ thống, nơi lưu, truy cập hỗ trợ, sao lưu và phương án bảo vệ. Phần A.III.3 Mẫu số 09 yêu cầu đánh giá cách xử lý, lưu trữ, biện pháp đã triển khai, mức độ phù hợp và rủi ro còn tồn tại của bên nhận. Nên kiểm tra cả việc bảo vệ khóa mã hóa, tài khoản quản trị và cách kiểm soát bản sao theo thông tin thực tế, thay vì coi một chứng chỉ chung là kết luận đủ cho mọi cấu hình. Khoản 3 Điều 18 và Mẫu số 09 Nghị định 356.

Đối với mục đích mới, cần xác định dữ liệu nào được dùng thêm, ai quyết định và thông tin đã cung cấp cho cá nhân có còn phù hợp không. Nếu căn cứ đang dựa vào sự đồng ý, phải đối chiếu điều kiện đồng ý cho mục đích tương ứng; nếu dùng trường hợp không cần đồng ý, phải chứng minh đúng điều kiện pháp luật. Không lấy nghĩa vụ cập nhật hồ sơ thay cho việc xác lập căn cứ mới. Điều 9, Điều 19 Luật.

Hợp đồng cần được hiệu chỉnh cùng báo cáo. Những phần thường phải xem lại gồm danh mục dữ liệu, mục đích, quốc gia, phạm vi sử dụng nhà cung cấp tiếp theo, quyền kiểm tra, phối hợp khi có yêu cầu của cá nhân, sự cố và trả hoặc xóa dữ liệu khi kết thúc. Thông tin mới cần có ràng buộc với đúng bên nhận; văn bản chỉ ký với đơn vị bán lại có thể chưa phản ánh đủ chuỗi thực hiện nếu đơn vị vận hành và nhận dữ liệu là pháp nhân khác. Điểm b khoản 2 Điều 18; Điều 7 Nghị định 356.

Đổi hệ thống là cập nhật hay nộp một hồ sơ lần đầu khác

Khoản 3 Điều 20 Luật quy định đánh giá một lần cho suốt thời gian hoạt động và cập nhật theo Điều 22. Vì vậy, với cùng chủ thể đang có hồ sơ, việc thêm nhà cung cấp hoặc quốc gia không tự tạo ra quy tắc phải lập một bộ lần đầu riêng cho từng nơi đến. Cần đưa các thay đổi vào phạm vi đánh giá, báo cáo và tài liệu theo đúng hoạt động. Khoản 3 Điều 20 Luật.

Tuy nhiên, cần phân biệt thay đổi hệ thống của A với việc một pháp nhân D độc lập bắt đầu chuyển dữ liệu của chính mình. Hồ sơ của A không tự là hồ sơ của D. Phải xác định D có nghĩa vụ lập, ngoại lệ hoặc điều kiện chuyển tiếp nào áp dụng; nếu thuộc diện nộp lần đầu thì kiểm tra mốc 60 ngày của D theo khoản 2 Điều 20. Trường hợp tổ chức lại còn phải đối chiếu nhóm cập nhật ngay, chủ thể kế thừa và tài liệu pháp lý tương ứng, không suy ra chỉ từ một tên thương mại.

Mở một luồng có phạm vi khác cũng cần được phân tích đầy đủ. Nếu A trước đây chỉ lưu dữ liệu người lao động trên đám mây thuộc ngoại lệ, nay chuyển dữ liệu khách hàng để phân tích bán hàng, phải xét riêng nghĩa vụ đối với hoạt động khách hàng. Không dùng kết luận miễn của luồng cũ để bỏ qua báo cáo cho luồng mới. Khoản 6 Điều 20 Luật; khoản 3 Điều 17 Nghị định 356. Có thể đối chiếu thêm bài chuyển dữ liệu ra nước ngoài có phải lập hồ sơ không.

Chuẩn bị và gửi bộ cập nhật

Khoản 3 Điều 20 Nghị định 356 quy định cập nhật theo Mẫu số 03a đối với tổ chức hoặc 03b đối với cá nhân. Cần mô tả nội dung, lý do thay đổi và tài liệu kèm theo. Với hồ sơ chuyển xuyên biên giới, báo cáo được sửa là Mẫu số 09; không đổi sang Mẫu số 10 chỉ vì hai thủ tục có cùng cơ chế thông báo cập nhật. Điều 20 và Phụ lục Mẫu số 03a/03b Nghị định 356.

Thủ tục số 3 Quyết định 778 công bố thông báo cập nhật, báo cáo đã cập nhật và các văn bản, tài liệu liên quan. Mục III phần B Phụ lục I.7 Nghị quyết 22 quy định việc cập nhật sử dụng Mẫu số 03a/03b, gửi qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính về Bộ Công an; Bộ Công an tiếp nhận, phân loại và chuyển Công an tỉnh, thành phố xử lý theo địa bàn, quy mô, lĩnh vực. Cần đối chiếu thủ tục và đầu mối đang hướng dẫn trước khi gửi. Mục 3.3 Quyết định 778; mục III phần B Phụ lục I.7 Nghị quyết 22.

Trong tình huống A, phần mô tả của thông báo có thể trình bày: “Thay bên xử lý B bằng C cho hoạt động tiếp nhận, theo dõi yêu cầu bảo trì; chuyển nơi lưu chính từ Singapore sang Nhật Bản; điều chỉnh sơ đồ, đánh giá bên nhận và tài liệu chuyển giao tương ứng. Phần sử dụng để huấn luyện công cụ chưa được triển khai và không nằm trong phạm vi được A chấp thuận ở lần cập nhật này.” Đây là đoạn minh họa cách mô tả sự kiện, chỉ dùng khi đúng dữ kiện và quyết định thực tế; không phải biểu mẫu đã điền đủ để ký.

Đầu mối hồ sơ nên ghi thêm bản báo cáo đang được cập nhật, ngày thay đổi, vị trí sửa và danh mục tài liệu. Đây là cách tổ chức được khuyến nghị để cơ quan và doanh nghiệp đối chiếu được lịch sử, không phải tự đặt thêm mẫu nhà nước.

Phân công việc để thay đổi được kiểm soát

Trước khi triển khai, bộ phận sử dụng dịch vụ cần nêu rõ nhu cầu và dữ liệu sẽ đưa sang hệ thống mới. Mua sắm lấy hợp đồng, phụ lục và xác nhận của bên nhận; kỹ thuật kiểm tra cấu hình, nơi lưu, chuyển tiếp và cách chuyển đổi. Pháp chế hoặc người phụ trách bảo vệ dữ liệu xác định căn cứ, nội dung cần sửa và mốc cập nhật. Đầu ra cần có là một phương án đã được kiểm tra cả vận hành lẫn pháp lý.

Trong khi chuyển đổi, kỹ thuật và chủ hoạt động kiểm soát phần dữ liệu được xuất, nhập, tài khoản đang mở và khả năng đối chiếu. Nếu B còn giữ bản sao, cần ghi đúng phạm vi và cách xử lý; không kết luận đã xóa chỉ vì A không còn đăng nhập được. Việc giữ tạm để chuyển đổi cần có mục đích, giới hạn và biện pháp phù hợp.

Sau khi gửi cập nhật, người quản lý hồ sơ lưu bộ đã ký, chứng từ gửi, phản hồi và danh sách việc chưa hoàn thành. Nên đối chiếu lại với cấu hình đã vận hành vì phương án thiết kế có thể khác bản triển khai cuối. Nếu phát hiện một thay đổi mới, phân loại tiếp thay vì chờ đến đợt rà soát sau mới ghi nhận.

Đối với hồ sơ cũ đủ điều kiện chuyển tiếp, cần giữ chứng cứ đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026. Việc cập nhật sau thời điểm đó theo quy định hiện hành; không dùng mẫu cũ chỉ vì hồ sơ gốc đã lập theo Nghị định 13. Khoản 2 Điều 39 Luật.

Câu hỏi thường gặp

Đổi bên nhận có được chuyển ngay rồi đợi kỳ 06 tháng để tính tiếp không?

Kỳ gửi cập nhật không thay cho điều kiện của hoạt động chuyển. Doanh nghiệp phải kiểm tra căn cứ, hợp đồng, phạm vi, biện pháp bảo vệ và nghĩa vụ với cá nhân trước khi triển khai tương ứng. Nếu đồng thời có sự kiện thuộc nhóm cập nhật ngay, còn phải thực hiện theo thời hạn 10 ngày, không chỉ đợi kỳ định kỳ.

Chỉ đổi quốc gia lưu trữ có phải nộp một hồ sơ lần đầu riêng không?

Không có quy tắc một hồ sơ lần đầu cho mỗi quốc gia. Cần kiểm tra chủ thể, luồng và nội dung đang có, sửa phần nơi xử lý, hệ thống, bên liên quan và đánh giá bị ảnh hưởng. Sau đó xác định cách cập nhật theo Điều 22 Luật, Điều 20 Nghị định 356 và dữ kiện thực tế. Không mặc định chỉ đổi quốc gia là thuộc hạn 10 ngày.

Mọi doanh nghiệp nhỏ đều phải cập nhật giống nhau không?

Phải xét cơ chế tại khoản 2, khoản 3 Điều 38 Luật và Điều 41 Nghị định 356. Các quy định này tác động đến nghĩa vụ tại Điều 22, có điều kiện và ngoại lệ, không chỉ dựa vào số nhân viên. Đối tượng kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt quy mô dữ liệu theo quy định phải được kiểm tra riêng. Cơ chế với Điều 22 không tự xóa nghĩa vụ hồ sơ chuyển lần đầu tại Điều 20. Điều 38 Luật; Điều 41 Nghị định 356.

Đã ký phụ lục với C thì có cần giữ hợp đồng và hồ sơ của B không?

Cần giữ được lịch sử và chứng cứ phù hợp với việc chuyển đổi, nghĩa vụ lưu trữ áp dụng và hồ sơ đã gửi. Đặc biệt phải theo dõi dữ liệu còn tại B, xác nhận trả hoặc xóa, bản sao được giữ hợp pháp và nghĩa vụ tiếp tục bảo vệ. Không ghi đè toàn bộ tài liệu cũ đến mức không xác định được bên nào đã xử lý ở thời điểm nào.

Justix hỗ trợ rà soát thay đổi luồng chuyển dữ liệu

Khi chuẩn bị thay nhà cung cấp, chuyển nơi lưu hoặc mở mục đích mới, doanh nghiệp có thể gửi bản mô tả trước và sau thay đổi, hồ sơ đang dùng, chứng từ tiếp nhận và dự thảo hợp đồng để trao đổi dịch vụ hồ sơ chuyển dữ liệu cá nhân xuyên biên giới. Justix hỗ trợ đối chiếu nghĩa vụ, thông tin bên nhận, tài liệu cần sửa và thủ tục trong phạm vi đã thống nhất. Có thể bắt đầu bằng mô tả thay đổi qua trang liên hệ Justix, kèm mốc triển khai dự kiến để xác định việc cần ưu tiên.