Chia sẻ dữ liệu khách hàng cho đối tác có cần xin đồng ý không?

Chia sẻ dữ liệu khách hàng cho đối tác có cần xin đồng ý không?

Doanh nghiệp chỉ được chia sẻ dữ liệu khách hàng khi có căn cứ phù hợp với mục đích và bên nhận. Sự đồng ý là một căn cứ; pháp luật còn quy định những trường hợp chuyển giao khác. Tuy nhiên, ký hợp đồng với đối tác chưa đủ để kết luận được phép chuyển danh sách khách hàng. Cần kiểm tra nguồn dữ liệu, vai trò bên nhận, phạm vi sử dụng và điều kiện áp dụng.

Những cách chia sẻ nào cần được rà soát?

Việc gửi bảng tính, mở quyền xem phần mềm quản lý khách hàng, kết nối hệ thống hoặc cấp đường dẫn tải đều có thể làm phát sinh xử lý dữ liệu cá nhân. Không nên chỉ kiểm tra lần xuất tệp mà bỏ qua quyền truy cập thường xuyên của đối tác.

Theo Điều 2 Luật 91/2025/QH15, vai trò được xác định theo hoạt động thực tế. Bên quyết định mục đích và phương tiện là bên kiểm soát; bên xử lý theo yêu cầu thông qua hợp đồng là bên xử lý; bên vừa quyết định vừa trực tiếp xử lý là bên kiểm soát và xử lý. Tên gọi “đối tác chiến lược” không thay thế việc phân loại này.

Khi nào cần sự đồng ý của khách hàng?

Khoản 1 Điều 17 Luật 91/2025/QH15 quy định các trường hợp được chuyển giao, trong đó có sự đồng ý của chủ thể; chuyển cho bên xử lý, bên thứ ba theo quy định; yêu cầu của cơ quan có thẩm quyền và các trường hợp tại Điều 19.

Nếu dựa vào sự đồng ý, phải kiểm tra nội dung đã thông báo và phạm vi khách đã chấp thuận theo Điều 9. Điều khoản “có thể chia sẻ với đối tác” khó đủ để chứng minh khách đã hiểu một mục đích tiếp thị mới.

Điểm d khoản 1 Điều 19 cho phép xử lý để thực hiện thỏa thuận của chủ thể dữ liệu với bên liên quan theo pháp luật. Đây không phải căn cứ để hai doanh nghiệp tự ký hợp đồng rồi chuyển mọi dữ liệu đang có. Cần xác định thỏa thuận với khách, công việc phải thực hiện và dữ liệu cần dùng.

Với thông tin người tiêu dùng, cần kiểm tra thêm gì?

Khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu sự đồng ý của người tiêu dùng khi doanh nghiệp ủy quyền hoặc thuê bên thứ ba thực hiện việc thu thập, lưu trữ, sử dụng, chỉnh sửa, cập nhật, hủy bỏ thông tin. Việc thuê hoặc ủy quyền phải bằng văn bản, xác định phạm vi và trách nhiệm bảo vệ.

Khoản 2–3 Điều 18 coi chia sẻ, tiết lộ, chuyển giao là sử dụng thông tin và yêu cầu sử dụng đúng mục đích, phạm vi đã thông báo, có sự đồng ý, trừ các trường hợp luật nêu. Chẳng hạn, việc cung cấp hàng hóa theo yêu cầu của khách chỉ nằm trong phạm vi thông tin khách đã đồng ý.

Điểm a khoản 4 Điều 18 yêu cầu có cơ chế lựa chọn cho phép hoặc không cho phép chia sẻ với bên thứ ba. Ngoại lệ của cơ chế này áp dụng khi thông tin được thu thập hợp pháp, chuyển cho bên thứ ba lưu trữ hoặc phân tích phục vụ kinh doanh của bên chuyển và có thỏa thuận bảo vệ bằng văn bản. Không nên hiểu ngoại lệ này là miễn toàn bộ nghĩa vụ đồng ý, bao gồm yêu cầu tại Điều 15.

Phân biệt từng tình huống trước khi bàn giao

Bảng dưới đây là khung kiểm tra, không phải kết luận sẵn về căn cứ cho từng doanh nghiệp:

Điểm b khoản 1 Điều 17 chỉ nói về chia sẻ giữa các bộ phận trong cùng cơ quan, tổ chức, phù hợp mục đích đã xác lập. Vì vậy, không tự coi chuyển cho một công ty khác trong tập đoàn là chia sẻ nội bộ theo trường hợp này.

Trước khi chuyển dữ liệu, thỏa thuận phải có gì?

Khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu xác lập thỏa thuận với bên nhận đối với chuyển giao thuộc điểm a, c, d khoản 1 Điều 17. Nội dung phải làm rõ mục đích; nhóm chủ thể và loại dữ liệu; thời hạn xử lý, việc xóa hoặc hủy sau khi hoàn thành; cơ sở pháp lý; trách nhiệm bảo vệ, thực hiện quyền và phối hợp khi phát hiện vi phạm.

Một câu “hai bên cam kết bảo mật” chưa phản ánh đủ các nội dung này. Khi thương lượng, nên chốt cả người được truy cập, việc thuê tiếp và bằng chứng hoàn tất xóa để trách nhiệm có thể thực hiện được.

Với dữ liệu nhạy cảm, khoản 2 Điều 7 còn yêu cầu các biện pháp bảo mật vật lý đối với thiết bị lưu trữ, truyền tải, mã hóa, ẩn danh và biện pháp bảo mật khác trong quá trình chuyển giao. Cần kiểm tra khả năng thực hiện cùng bộ phận phụ trách hệ thống.

Chuyển dữ liệu có thu phí có phải mua bán dữ liệu không?

Khoản 6 Điều 7 Luật 91/2025/QH15 cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật quy định khác. Đồng thời, khoản 2 Điều 17 xác định việc chuyển giao thuộc khoản 1 điều này, có hoặc không thu phí, không được coi là mua, bán dữ liệu. Vì vậy, phải xét bản chất và điều kiện chuyển giao, không chỉ tên gọi khoản phí.

Khoản 3 Điều 7 Nghị định 356/2025/NĐ-CP đặt điều kiện riêng khi chuyển theo điểm a hoặc d khoản 1 Điều 17 có thu phí để cung cấp dịch vụ hoặc phục vụ lợi ích hợp pháp của chủ thể. Trong đó có đồng ý rõ ràng theo từng lần, biết chính xác mục đích và bên nhận; giới hạn loại dữ liệu, mục đích, ngành nghề; không tạo kho dữ liệu cho mục đích khác; xác định vai trò và có thỏa thuận trước khi chuyển. Không thể đổi tên tiền mua danh sách thành “phí hợp tác” để bỏ qua các điều kiện này.

Cần xử lý gì trước một chiến dịch hợp tác mới?

Ví dụ minh họa: cửa hàng muốn gửi danh sách người mua cho một doanh nghiệp bảo hiểm để mời chào sản phẩm. Việc khách cung cấp số điện thoại nhận hàng chưa chứng minh họ đồng ý nhận tư vấn bảo hiểm từ bên khác. Cửa hàng cần kiểm tra lại căn cứ, thông báo, lựa chọn của khách và thỏa thuận với bên nhận trước khi xuất danh sách.

Về thực hành, nên có bước duyệt ghi rõ dữ liệu được chuyển, căn cứ, người nhận, quyền truy cập và thời điểm kết thúc. Khi có yêu cầu rút đồng ý hoặc sự cố, các bên phải biết liên hệ ai và xử lý phần dữ liệu nào.

Nếu có yếu tố nước ngoài, cần đối chiếu luồng dữ liệu thực tế với Điều 20 Luật 91/2025/QH15 và nghĩa vụ đánh giá tác động khi thuộc diện áp dụng. Quốc gia đăng ký của đối tác không phải thông tin duy nhất để kết luận.

Cần rà soát điều khoản trước khi chia sẻ dữ liệu?

Doanh nghiệp có thể gửi Justix dự thảo hợp tác, danh mục dữ liệu, mục đích sử dụng và thông tin bên nhận để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ xác định vai trò, rà soát căn cứ và hoàn thiện trách nhiệm trong thỏa thuận. Liên hệ 0372717888 / 0878853686.