Chuyển dữ liệu ra nước ngoài có cần xin đồng ý riêng?

Chuyển dữ liệu ra nước ngoài có cần xin đồng ý riêng?

Không thể kết luận mọi lần chuyển dữ liệu ra nước ngoài đều cần một văn bản đồng ý riêng, hoặc đã đồng ý dùng dịch vụ là đủ cho mọi lần chuyển. Cần kiểm tra căn cứ xử lý, mục đích, bên nhận và trường hợp pháp luật yêu cầu đồng ý theo từng lần chuyển giao.

Không phải lúc nào cũng phải có một văn bản đồng ý riêng chỉ vì dữ liệu được chuyển ra nước ngoài. Doanh nghiệp cần xác định hoạt động dựa trên sự đồng ý hay thuộc trường hợp được xử lý không cần đồng ý, rồi kiểm tra phạm vi chuyển và điều kiện cụ thể. Nếu dựa vào sự đồng ý, phải đáp ứng yêu cầu tự nguyện, đủ thông tin, theo từng mục đích và có thể kiểm chứng. Riêng trường hợp thuộc khoản 3 Điều 7 Nghị định 356/2025/NĐ-CP phải bảo đảm cơ chế đồng ý chính xác, rõ ràng theo từng lần chuyển giao; không được dùng một đồng ý chung để thay yêu cầu này.

Phân biệt riêng về mục đích, hình thức và từng lần chuyển

Khi trao đổi về “đồng ý riêng”, doanh nghiệp thường đang nói đến những vấn đề khác nhau. Đó có thể là một mục đích cần được lựa chọn riêng, một tờ giấy tách khỏi hợp đồng, hoặc việc chủ thể phải quyết định đối với từng lần chuyển giao. Cần xác định đúng yêu cầu thay vì mặc định cả ba luôn giống nhau.

Điểm a khoản 4 Điều 9 Luật Bảo vệ dữ liệu cá nhân yêu cầu sự đồng ý đối với từng mục đích. Điểm b khoản này không cho phép kèm điều kiện bắt buộc đồng ý với các mục đích khác nội dung thỏa thuận. Chẳng hạn, thực hiện một yêu cầu đặt dịch vụ và cho bên nhận sử dụng thông tin để quảng cáo riêng cần được phân biệt về mục đích; không gộp thành một lựa chọn bắt buộc. Điều 9 Luật số 91/2025/QH15.

Về hình thức, khoản 3 Điều 9 yêu cầu phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, gồm dạng điện tử hoặc định dạng kiểm chứng được. Điều 6 Nghị định 356 nêu các phương thức như văn bản, cuộc gọi ghi âm, tin nhắn, thư điện tử, trang thông tin điện tử hoặc ứng dụng có thiết lập kỹ thuật phù hợp. Do đó, yêu cầu về bằng chứng không đồng nghĩa mọi trường hợp đều phải ký tay thêm một tờ giấy. Điều 6 Nghị định 356.

Việc đồng ý theo từng lần chuyển giao là điều kiện riêng phải kiểm tra tại khoản 3 Điều 7 Nghị định 356. Một biểu mẫu điện tử có thể là cách thực hiện nếu đáp ứng đúng yêu cầu; một văn bản ký sẵn chưa tự chứng minh chủ thể đã đồng ý chính xác cho từng lần thuộc diện phải kiểm soát.

Căn cứ nào cho phép thực hiện luồng chuyển?

Nếu dựa trên sự đồng ý, cần kiểm tra nội dung đã được chấp thuận

Khoản 2 Điều 9 Luật yêu cầu chủ thể tự nguyện và biết rõ loại dữ liệu, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, cùng quyền, nghĩa vụ của mình. Khoản 4 còn quy định sự im lặng hoặc không phản hồi không phải sự đồng ý. Cần đọc nội dung cụ thể đã cung cấp cho chủ thể và phạm vi họ thực sự chấp thuận, không chỉ nhìn một trạng thái “đã tick”. Điều 9 Luật.

Với luồng ra nước ngoài, doanh nghiệp nên giải thích rõ việc chuyển phục vụ mục đích gì, dữ liệu nào được dùng, bên nhận và hoạt động sau nhận, nơi xử lý liên quan, cách liên hệ để thực hiện quyền. Đây là cách thể hiện thông tin phù hợp với luồng thực tế và hỗ trợ chứng minh tính minh bạch. Riêng khi khoản 3 Điều 7 áp dụng, việc biết chính xác mục đích và tổ chức, cá nhân tiếp nhận, xử lý là yêu cầu cụ thể của điều khoản đó.

Một câu “đồng ý chia sẻ với mọi đối tác trong và ngoài nước để phục vụ hoạt động kinh doanh” khó cho thấy từng mục đích và phạm vi cần thiết. Cần thiết kế lại thông tin và lựa chọn theo hoạt động. Có thể tham khảo bài sự đồng ý xử lý dữ liệu cá nhân hợp lệ cần đáp ứng điều kiện gì để kiểm tra nguyên tắc trước khi xây dựng cơ chế cho luồng chuyển.

Nếu không cần đồng ý, vẫn phải có căn cứ và cơ chế giám sát

Khoản 1 Điều 19 Luật quy định các trường hợp xử lý dữ liệu không cần sự đồng ý, gồm trường hợp thực hiện thỏa thuận của chủ thể với cơ quan, tổ chức, cá nhân có liên quan theo pháp luật tại điểm d. Khi viện dẫn, phải chứng minh hoạt động thực tế phục vụ đúng thỏa thuận và điều kiện áp dụng, không lấy việc “đang có hợp đồng” để bao phủ mọi mục đích của doanh nghiệp.

Khoản 2 Điều 19 yêu cầu cơ chế giám sát, gồm quy trình và trách nhiệm, biện pháp bảo vệ và đánh giá rủi ro, kiểm tra tuân thủ, tiếp nhận phản ánh, kiến nghị. Vì vậy, “không cần đồng ý” không có nghĩa là không cần hồ sơ giải thích căn cứ hoặc không phải kiểm soát cách sử dụng dữ liệu. Điều 19 Luật.

Ngoài căn cứ xử lý, cần đối chiếu quy định về cung cấp, chuyển giao và trách nhiệm với bên nhận. Điều 17 Luật có các trường hợp chuyển giao, trong đó có việc bên kiểm soát hoặc bên kiểm soát và xử lý chuyển cho bên xử lý, bên thứ ba để xử lý theo quy định. Điều khoản này không cho phép bỏ qua tính hợp pháp của mục đích hoặc các điều kiện cụ thể khác. Điều 15, Điều 17, Điều 37 Luật.

Trường hợp nào phải xin đồng ý theo từng lần chuyển giao?

Khoản 3 Điều 7 Nghị định 356 áp dụng đối với chuyển giao theo điểm a, điểm d khoản 1 Điều 17 Luật có thu phí để cung cấp dịch vụ cho chủ thể dữ liệu hoặc phục vụ lợi ích hợp pháp của chủ thể dữ liệu. Khi đúng trường hợp này, tổ chức, cá nhân phải thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể đồng ý chính xác, rõ ràng theo từng lần, trên cơ sở biết chính xác mục đích và bên tiếp nhận, xử lý. Khoản 3 Điều 7 Nghị định 356.

Điều khoản còn yêu cầu xử lý đúng mục đích được đồng ý, giới hạn dữ liệu, không hình thành kho dữ liệu để dùng cho mục đích khác ngoài phạm vi đã đồng ý, xác định vai trò và có thỏa thuận chuyển giao, xử lý trước khi chuyển. Cần kiểm tra toàn bộ điều kiện, không chỉ thêm một ô lựa chọn rồi giữ nguyên quyền khai thác dữ liệu quá rộng của bên nhận.

Để xác định khoản này có áp dụng hay không, phải xem bản chất hoạt động, cơ chế thu phí, dịch vụ cho chủ thể và quan hệ chuyển giao. Một hóa đơn thuê phần mềm hoặc khoản phí của dịch vụ chính chưa tự mô tả đầy đủ những yếu tố đó. Ngược lại, cũng không nên bỏ qua khoản 3 chỉ vì hợp đồng được đặt tên là “dịch vụ công nghệ”.

Đây là quy định về chuyển giao dữ liệu; khi hoạt động đồng thời có yếu tố xuyên biên giới, doanh nghiệp cần kiểm tra cùng Điều 20 Luật và Điều 17, Điều 18 Nghị định 356. Không nên mặc định rằng mọi luồng xuyên biên giới đều thuộc khoản 3 Điều 7, hoặc rằng chỉ cần làm hồ sơ Mẫu số 09 là đã đáp ứng yêu cầu đồng ý theo từng lần.

Đã có một đồng ý trước đây thì khi nào cần xem lại?

Điểm cần xem là phạm vi, mục đích và điều kiện của luồng hiện tại so với nội dung đã xác lập. Nếu thêm mục đích tiếp thị, thêm cách sử dụng độc lập của bên nhận hoặc thay đổi làm nội dung được cung cấp cho chủ thể không còn phản ánh hoạt động thực tế, cần đánh giá lại căn cứ và cơ chế đồng ý tương ứng. Không thể suy rằng chấp thuận giao dịch ban đầu bao phủ toàn bộ việc sử dụng mới.

Việc đổi nơi lưu hoặc nhà cung cấp cần được rà theo tác động thực tế, hợp đồng và thông tin đã công bố; không có một câu trả lời “luôn xin lại” hay “không bao giờ phải xin lại” chỉ từ tên sự kiện. Phải kiểm tra riêng trường hợp có yêu cầu từng lần chuyển giao. Các trách nhiệm về mục đích, lựa chọn bên xử lý và biện pháp bảo vệ được quy định tại Điều 3, Điều 37 Luật. Luật Bảo vệ dữ liệu cá nhân.

Với hoạt động đang thực hiện từ trước 01/01/2026, khoản 1 Điều 39 Luật có quy định chuyển tiếp cho hoạt động đã được đồng ý hoặc theo thỏa thuận theo Nghị định 13/2023/NĐ-CP trước ngày Luật có hiệu lực. Quy định này không nên được dùng làm căn cứ tự động cho một mục đích hoàn toàn mới sau đó. Cần giữ nội dung và chứng cứ của cơ chế cũ để đối chiếu đúng điều kiện. Điều 39 Luật.

Tình huống chuyển thông tin để cung cấp dịch vụ đặt phòng

Tình huống giả định: Công ty A nhận yêu cầu của một khách hàng trưởng thành ở Việt Nam để đặt phòng tại khách sạn B ở Singapore. Khách đã chọn B, thời gian lưu trú và cung cấp họ tên, thông tin liên hệ cần thiết. A muốn xác định có phải ký một văn bản đồng ý ra nước ngoài riêng, đồng thời B đề nghị dùng thông tin để gửi ưu đãi cho khách sau chuyến đi.

Trước hết, pháp chế của A cần đọc yêu cầu và thỏa thuận dịch vụ, xác định dữ liệu thực sự cần cho đặt phòng, bên nhận, hoạt động tiếp theo và trách nhiệm. Việc có thỏa thuận với khách là dữ kiện để xem xét điểm d khoản 1 Điều 19, không phải một kết luận miễn đồng ý cho mọi hoạt động của A và B.

Dòng thứ ba chỉ minh họa cách xử lý khi đã xác định đúng khoản 3 Điều 7. Bài viết không kết luận mọi phí đặt phòng, phí tư vấn hoặc phí thuê phần mềm đều là phí của hoạt động chuyển giao thuộc điều khoản này. Hồ sơ giao dịch và cách tổ chức dịch vụ phải được phân tích cụ thể.

Trong tình huống, mục đích đặt phòng có thể được đối chiếu ngoại lệ đánh giá tác động tại điểm đ khoản 3 Điều 17 Nghị định 356. Tuy nhiên, ngoại lệ về hồ sơ chuyển không tự trả lời câu hỏi có cần đồng ý và có bao phủ mục đích ưu đãi của B hay không. Hai kết luận phải được ghi riêng. Điều 17 Nghị định 356.

Cần lưu những bằng chứng nào nếu dựa trên sự đồng ý?

Khoản 1 Điều 6 Nghị định 356 yêu cầu kiểm chứng được người đã đồng ý, thời điểm và nội dung được đồng ý. Khoản 2 đặt trách nhiệm lưu và chứng minh khi tranh chấp cho bên kiểm soát, bên kiểm soát và xử lý. Cần thiết kế cơ chế lưu ngay khi xây dựng biểu mẫu, không đợi đến khi có yêu cầu mới tìm lại một ảnh giao diện chung. Điều 6 Nghị định 356.

Bộ chứng cứ nên nối được chủ thể với hành động xác nhận, phiên bản thông tin được hiển thị, mục đích, dữ liệu và phạm vi áp dụng. Với trường hợp phải đồng ý từng lần, cần gắn được chấp thuận với lần chuyển cụ thể, bên nhận và mục đích tương ứng. Một bản chính sách mới được sửa hôm nay không tự chứng minh nội dung khách đã thấy ở thời điểm trước.

Khi xử lý dữ liệu nhạy cảm, khoản 4 Điều 6 yêu cầu thông báo cho chủ thể rằng dữ liệu cần xử lý là dữ liệu nhạy cảm. Chuyển giao dữ liệu nhạy cảm còn phải đối chiếu biện pháp tại khoản 2 Điều 7 cùng quy định liên quan. Không dùng việc đã có một biểu mẫu đồng ý để bỏ qua phân loại và yêu cầu bảo vệ.

Các tài liệu về đồng ý, hợp đồng với chủ thể và thỏa thuận với bên nhận có chức năng khác nhau. Thỏa thuận chuyển giao giữa hai doanh nghiệp không tự là sự đồng ý của cá nhân; chữ ký của cá nhân vào điều khoản không rõ phạm vi cũng chưa chứng minh mọi mục đích đã được chấp thuận hợp lệ.

Doanh nghiệp nên rà soát theo trình tự nào?

Bước 1. Chủ hoạt động mô tả mục đích và dữ liệu cần chuyển. Xác định bên chuyển, bên nhận, nơi lưu, xử lý tiếp và chuyển tiếp. Đầu ra là danh mục từng mục đích, không chỉ một tên chung “phục vụ kinh doanh”.

Bước 2. Pháp chế xác định căn cứ xử lý và điều kiện chuyển giao. Đối chiếu Điều 9, Điều 15, Điều 17, Điều 19 Luật cùng Điều 7 Nghị định 356. Nếu không cần đồng ý, ghi rõ điều khoản và chứng cứ; nếu cần đồng ý, chốt thông tin và phạm vi phải được chấp thuận. Kiểm tra riêng khoản 3 Điều 7 trước khi thiết kế một đồng ý dùng chung.

Bước 3. Nghiệp vụ và kỹ thuật triển khai cơ chế đúng phạm vi. Thiết kế lựa chọn, nội dung hiển thị, khả năng lưu và tra bằng chứng; phân biệt mục đích tùy chọn với dịch vụ chính. Bộ phận phụ trách hợp đồng kiểm tra trách nhiệm, quyền của bên nhận và việc sử dụng tiếp.

Bước 4. Người có trách nhiệm kiểm tra bằng một giao dịch mẫu. Xác nhận có thể tra người, thời điểm, nội dung, lần chuyển khi cần và bên nhận. Đồng thời kiểm tra luồng thực tế đúng nội dung đã cung cấp; phần kiểm tra phải phản ánh kết quả thật, không chỉ dựa vào việc biểu mẫu đã được ban hành.

Bước 5. Đầu mối dữ liệu đánh giá nghĩa vụ hồ sơ riêng. Xác định trường hợp không phải đánh giá tác động chuyển hoặc chuẩn bị hồ sơ theo Điều 20 Luật, Điều 18 Nghị định 356. Điểm d khoản 3 Điều 18 yêu cầu báo cáo mô tả, luận giải việc xin sự đồng ý; nội dung này phải thống nhất với căn cứ, tài liệu và hoạt động thực tế. Luật; Nghị định 356.

Câu hỏi thường gặp

Đã ghi trong chính sách bảo mật thì coi là khách đồng ý chưa?

Công bố chính sách chưa tự chứng minh hành động đồng ý. Cần đối chiếu Điều 9 Luật và Điều 6 Nghị định 356 về tự nguyện, thông tin, phương thức và khả năng kiểm chứng. Sự im lặng hoặc không phản hồi không được coi là đồng ý.

Có phải ký tay thêm một phụ lục cho mọi khách hàng không?

Không thể kết luận chung như vậy. Phải xác định có cần đồng ý, phạm vi và yêu cầu từng lần hay không. Nếu cần, pháp luật cho phép các phương thức kiểm chứng được theo Điều 6; hình thức phải phù hợp giao dịch và điều kiện áp dụng, không chỉ dựa vào việc có chữ ký tay.

Được miễn hồ sơ chuyển dữ liệu thì có cần xem xét sự đồng ý nữa không?

Vẫn cần xác định căn cứ xử lý và điều kiện chuyển giao. Ngoại lệ tại khoản 6 Điều 20 Luật, khoản 3 Điều 17 Nghị định 356 không tự miễn các yêu cầu tại Điều 9, Điều 19 Luật hoặc Điều 7 Nghị định 356 khi chúng áp dụng cho hoạt động thực tế.

Chuyển cho công ty mẹ có được coi như chia sẻ trong cùng một tổ chức không?

Cần xác định đúng pháp nhân và quan hệ. Các công ty trong cùng tập đoàn không tự trở thành các phòng ban của một tổ chức để áp dụng cơ chế chia sẻ nội bộ tại điểm b khoản 1 Điều 17 Luật. Phải kiểm tra vai trò, mục đích, căn cứ, điều kiện chuyển và ngoại lệ hồ sơ tương ứng.

Justix hỗ trợ rà căn cứ và cơ chế chuyển dữ liệu

Doanh nghiệp có thể trao đổi với Justix khi một cơ chế đồng ý đang được dùng cho nhiều mục đích hoặc hợp đồng nước ngoài cho phép bên nhận sử dụng dữ liệu rộng hơn dịch vụ đã thống nhất. Trong dịch vụ lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới, phạm vi có thể gồm rà căn cứ chuyển, thông tin hoặc cơ chế đồng ý, hợp đồng và nghĩa vụ hồ sơ theo thỏa thuận. Nên chuẩn bị nội dung khách đã thấy, chứng cứ xác nhận, hợp đồng dịch vụ, bên nhận và mô tả luồng; gửi mô tả ban đầu qua trang liên hệ Justix để xác định tài liệu cần kiểm tra.