Công ty trong cùng tập đoàn chia sẻ dữ liệu: có được coi là nội bộ?

Công ty trong cùng tập đoàn chia sẻ dữ liệu: có được coi là nội bộ?

Chia sẻ dữ liệu giữa các công ty trong cùng tập đoàn không mặc nhiên là chia sẻ giữa các bộ phận trong cùng một tổ chức. Khi các bên là những doanh nghiệp độc lập, cần xác định căn cứ chuyển giao và vai trò của từng bên theo hoạt động thực tế. Một trung tâm dịch vụ dùng chung có thể xử lý theo hợp đồng, trong khi công ty mẹ nhận báo cáo để tự sử dụng có thể có vai trò khác. Nếu có bên nhận hoặc hoạt động xử lý tại nước ngoài, cần kiểm tra thêm luồng xuyên biên giới và điều kiện áp dụng tương ứng.

Vì sao cùng tập đoàn chưa đủ để coi là chia sẻ nội bộ?

Khoản 1–2 Điều 194 Luật Doanh nghiệp 59/2020/QH14, đã được sửa đổi, bổ sung xác định tập đoàn kinh tế, tổng công ty là nhóm công ty có quan hệ sở hữu hoặc liên kết khác; bản thân nhóm này không phải một loại hình doanh nghiệp, không có tư cách pháp nhân. Công ty mẹ, công ty con và từng thành viên có quyền, nghĩa vụ của doanh nghiệp độc lập.

Khoản 2 Điều 196 còn yêu cầu hợp đồng, giao dịch và quan hệ khác giữa công ty mẹ với công ty con được thiết lập, thực hiện độc lập, bình đẳng theo điều kiện áp dụng đối với chủ thể pháp lý độc lập. Quyền của chủ sở hữu hoặc cổ đông cần được xem trong đúng phạm vi; không tự trở thành quyền truy cập mọi hồ sơ nhân viên, khách hàng của công ty con cho mọi mục đích.

Trong khi đó, điểm b khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 nói đến chia sẻ giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý phù hợp mục đích đã xác lập. Cần kiểm tra đúng chủ thể đứng sau mỗi bộ phận. Hai đội nhân sự cùng mang tên thương hiệu tập đoàn nhưng thuộc hai công ty khác nhau không vì thế tự thuộc trường hợp này.

Cần kiểm tra pháp nhân và hệ thống theo từng luồng

Trước hết, xác định bên sử dụng lao động, bên ký với khách hàng, bên vận hành hệ thống và bên nhận báo cáo. Không chỉ ghi tên thương hiệu tập đoàn hoặc tên phần mềm. Cần biết dữ liệu đang được tổ chức nào quyết định sử dụng và nhân sự của tổ chức nào có quyền truy cập.

Với chia sẻ thực sự giữa các bộ phận trong một tổ chức, khoản 4 Điều 7 Nghị định 356/2025/NĐ-CP vẫn yêu cầu quy trình kiểm soát việc chia sẻ, sử dụng đúng quy định và biện pháp phòng, chống nhân sự chia sẻ trái phép với bên thứ ba. “Nội bộ” không phải căn cứ để mọi người xem toàn bộ hồ sơ.

Với luồng giữa các công ty độc lập, cần xác định trường hợp chuyển giao tại khoản 1 Điều 17 và điều kiện liên quan. Việc hai công ty dùng cùng một thư mục, máy chủ hoặc tài khoản quản trị không thay đổi phép kiểm tra này. Mở quyền xem từ xa cũng cần được rà soát; không chỉ lần gửi tệp mới làm phát sinh việc tiếp cận dữ liệu.

Sơ đồ nhóm công ty và các luồng dữ liệu cần rà soát

Tình huống giả định: M là công ty mẹ ở nước ngoài của A, B và S tại Việt Nam; S cung cấp dịch vụ nhân sự dùng chung. A, B tự quyết định và trực tiếp quản lý dữ liệu lao động của mình, thuê S tính lương theo yêu cầu. M đề xuất nhận báo cáo có họ tên, lương và thông tin công việc từ S để phân tích ở cấp tập đoàn.

Nét đứt thể hiện quan hệ sở hữu trong giả định. Mũi tên xanh là luồng A, B giao dữ liệu cho S để xử lý theo hợp đồng. Mũi tên màu nâu là đề xuất báo cáo từ S tới M, chưa khẳng định đủ điều kiện thực hiện. Sơ đồ chỉ thể hiện các quan hệ cần phân tích, không thay căn cứ pháp lý cho từng luồng.

Các công ty có cùng một vai trò dữ liệu không?

Không thể chỉ từ quan hệ sở hữu mà gắn một vai trò chung. Khoản 7–9 Điều 2 Luật 91 xác định bên kiểm soát theo quyền quyết định mục đích và phương tiện; bên xử lý thực hiện theo yêu cầu qua hợp đồng; bên kiểm soát và xử lý vừa quyết định vừa trực tiếp xử lý. Phải đối chiếu từng hoạt động trong sơ đồ.

Theo giả định, A và B có dấu hiệu của bên kiểm soát và xử lý đối với dữ liệu nhân viên của mình. S có thể là bên xử lý trong công việc tính lương nếu thực hiện đúng yêu cầu qua hợp đồng và không tự dùng dữ liệu riêng. Việc S thuộc cùng nhóm công ty không thay cho hợp đồng hoặc cho phép S gom dữ liệu để phát triển dịch vụ khác.

Đối với đề xuất gửi báo cáo cho M, phải xác định M quyết định gì và sử dụng vào việc nào. Nếu M tự quyết định mục đích, phương tiện và trực tiếp phân tích dữ liệu, cần đánh giá vai trò tương ứng với hoạt động đó. Không tiếp tục gọi M là bên xử lý chỉ vì thỏa thuận tính lương giữa A, B và S đã dùng thuật ngữ này.

Quy chế tập đoàn có thay căn cứ chuyển giao không?

Quy chế có thể phân công và kiểm soát hoạt động, nhưng không tự tạo mọi quyền sử dụng dữ liệu. Nếu dựa vào sự đồng ý, Điều 9 Luật 91 yêu cầu nội dung rõ, tự nguyện và theo từng mục đích; Điều 6 Nghị định 356 yêu cầu bằng chứng có thể kiểm chứng. Một dòng “chia sẻ trong hệ sinh thái” chưa chứng minh cá nhân đã được biết đủ và chấp thuận hoạt động cụ thể.

Nếu dựa vào Điều 19 để xử lý không cần đồng ý, phải xác định đúng điều kiện của hoạt động. Hợp đồng lao động với A không tự là thỏa thuận của nhân viên cho mọi mục đích thương mại của B, S hoặc M. Với thông tin người tiêu dùng, còn phải đối chiếu khoản 2 Điều 15 và Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng khi thuộc phạm vi áp dụng.

Trong sơ đồ, S không nên thực hiện đề xuất của M chỉ dựa trên email của công ty mẹ. Cần đối chiếu chỉ dẫn hợp pháp của bên giao, mục đích, dữ liệu và điều kiện bên nhận. Nếu báo cáo đã vượt công việc tính lương, các bên phải rà soát hoạt động mới, không chỉ thêm M vào danh sách người xem.

Thỏa thuận chia sẻ giữa các công ty cần làm rõ gì?

Đối với chuyển giao thuộc điểm a, c, d khoản 1 Điều 17 Luật, khoản 1 Điều 7 Nghị định 356 yêu cầu thỏa thuận về mục đích, đối tượng chủ thể và loại dữ liệu, thời hạn xử lý và xóa, hủy; cơ sở pháp lý; trách nhiệm bảo vệ, thực hiện quyền, phối hợp khi có vi phạm. Tài liệu có thể được tổ chức phù hợp quan hệ giữa các bên, nhưng nội dung phải xác định được trách nhiệm của từng chủ thể.

Trong tình huống A, B và S, cần tách phạm vi từng công ty: S được nhận dữ liệu nào, ai có thể chỉ dẫn, người của A có được xem hồ sơ B hay không, công việc nào phải xin xác nhận lại. Tránh cấu hình quyền của một tài khoản tập đoàn bao trùm dữ liệu của mọi đơn vị khi chưa có căn cứ và nhiệm vụ tương ứng.

Với đề xuất báo cáo cho M, cần ghi nguồn, nội dung, mục đích, bên nhận, nơi xử lý và việc dùng tiếp. Nếu chỉ cần thống kê tổng chi phí, các bên nên xem có thể sử dụng đầu ra không nhận diện cá nhân hay không. Chỉ khi đáp ứng khoản 1, 11 Điều 2 Luật 91 mới kết luận đầu ra đã khử nhận dạng; xóa tên nhưng vẫn có mã hoặc tổ hợp giúp xác định nhân viên chưa đủ.

Các bên cũng nên thống nhất đầu mối tiếp nhận yêu cầu của cá nhân, cách điều phối đến nơi có dữ liệu, xác nhận kết quả và phối hợp khi có vi phạm theo Điều 23. Phân công công việc không xóa trách nhiệm gắn với vai trò theo Điều 37. Có thể dùng bài hợp đồng xử lý dữ liệu cá nhân DPA cần có những điều khoản nào để rà soát phạm vi tài liệu.

Gửi cho công ty mẹ ở nước ngoài có được miễn đánh giá tác động không?

Cần xác định luồng theo khoản 1 Điều 20 Luật 91 và Điều 17 Nghị định 356, sau đó kiểm tra điều kiện ngoại lệ. Điểm b khoản 6 Điều 20 Luật đề cập việc tổ chức lưu dữ liệu người lao động của chính mình trên dịch vụ đám mây. Không tự dùng ngoại lệ lưu trữ đó để kết luận mọi báo cáo gửi công ty mẹ đều được miễn.

Điểm d khoản 3 Điều 17 Nghị định quy định trường hợp chuyển để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động, thỏa ước lao động tập thể phù hợp pháp luật. Phải đối chiếu mục đích và tài liệu thực tế. Quan hệ sở hữu, tên gọi “quản trị tập đoàn” hoặc một yêu cầu báo cáo chưa tự chứng minh điều kiện này.

Ngoại lệ đánh giá tác động chuyển không thay căn cứ xử lý, thỏa thuận, biện pháp bảo vệ hoặc nghĩa vụ hồ sơ xử lý được xác định riêng. Với sơ đồ giả định, cần xem M thực sự nhận báo cáo để quản lý nhân sự theo điều kiện áp dụng hay có mục đích khác. Có thể đối chiếu thêm bài gửi dữ liệu nhân viên cho công ty mẹ ở nước ngoài có phải lập hồ sơ không.

Cách tổ chức một đợt rà soát chia sẻ trong tập đoàn

Lập danh sách chủ thể và hệ thống: bộ phận nghiệp vụ xác định công ty, bộ phận, người quản lý và nơi dữ liệu đi qua. IT xác nhận quyền thực tế, gồm tài khoản tập đoàn, hỗ trợ từ xa, sao lưu và nền tảng tiếp theo.

Đối chiếu từng luồng: pháp chế xác định quyền quyết định, vai trò, mục đích và căn cứ; kiểm tra quy chế, thỏa thuận với cá nhân và hợp đồng giữa các công ty. Luồng chưa đủ điều kiện cần được ghi rõ phần phải làm trước khi tiếp tục.

Chốt tài liệu và quyền truy cập: người phụ trách hợp đồng hoàn thiện trách nhiệm; IT triển khai giới hạn đã được phê duyệt. Lưu cấu hình, phạm vi dữ liệu đã mở và người xác nhận để kiểm tra được việc thực hiện.

Theo dõi thay đổi: rà soát khi có công ty mới, mục đích mới, bên nhận hoặc nơi xử lý thay đổi. Đồng thời kiểm tra nghĩa vụ cập nhật hồ sơ theo Điều 22 Luật và quy định hướng dẫn, không để sơ đồ tổ chức trên giấy khác quyền truy cập trong hệ thống.

Câu hỏi thường gặp

Các công ty dùng chung thương hiệu thì có thể chia sẻ toàn bộ khách hàng không?

Không thể kết luận chỉ từ thương hiệu. Cần xác định từng tổ chức, mục đích, vai trò và căn cứ chuyển giao; kiểm tra thêm quy định thông tin người tiêu dùng nếu áp dụng.

Dữ liệu vẫn lưu tại Việt Nam thì công ty mẹ ở nước ngoài được xem tự do không?

Không. Phải xác minh cách tiếp cận, xử lý và luồng xuyên biên giới theo thực tế, cùng căn cứ sử dụng. Vị trí máy chủ không tự quyết định toàn bộ điều kiện của hoạt động.

Có thể ký một thỏa thuận áp dụng cho nhiều công ty không?

Có thể xem xét cách tổ chức tài liệu theo giao dịch, nhưng phải xác định được bên bị ràng buộc, thẩm quyền ký, phạm vi từng luồng và trách nhiệm. Một văn bản mang tên tập đoàn chưa đủ nếu không rõ tổ chức nào thực hiện nghĩa vụ.

Justix hỗ trợ rà soát luồng và thỏa thuận giữa các công ty

Doanh nghiệp có thể chuẩn bị sơ đồ nhóm công ty, danh sách hệ thống, luồng dữ liệu, quy chế và hợp đồng đang dùng để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ xác định vai trò, giới hạn chuyển giao và trách nhiệm phối hợp theo từng quan hệ. Liên hệ 0372 717 888 hoặc info@justix.vn.