Doanh nghiệp mua lại công ty hoặc đổi thương hiệu: có phải xin đồng ý lại?

Doanh nghiệp mua lại công ty hoặc đổi thương hiệu: có phải xin đồng ý lại về xử lý dữ liệu cá nhân?

Đổi logo, mua cổ phần và sáp nhập công ty tạo ra những thay đổi khác nhau đối với dữ liệu khách hàng. Doanh nghiệp cần xác định đúng pháp nhân, bên sử dụng và mục đích trước khi quyết định thông báo, xin đồng ý hoặc bàn giao dữ liệu.

Không phải mọi trường hợp mua lại công ty hoặc đổi thương hiệu đều phải xin đồng ý lại của toàn bộ khách hàng. Nếu chỉ đổi thương hiệu, còn pháp nhân, mục đích và phạm vi xử lý không thay đổi, không thể chỉ từ việc đổi tên thương mại mà kết luận đã phát sinh một bên nhận dữ liệu mới. Ngược lại, mua danh sách khách hàng, đưa dữ liệu cho công ty mua vốn tự sử dụng hoặc bổ sung mục đích quảng cáo phải được đánh giá riêng. Luật Bảo vệ dữ liệu cá nhân có quy định chuyển giao để tiếp tục xử lý trong một số trường hợp tổ chức lại, nhưng đây không phải quyền sử dụng dữ liệu vô hạn. Quyết định có xin đồng ý hay không phải dựa trên giao dịch thực tế, căn cứ chuyển giao, thông tin đã cung cấp và hoạt động sau thay đổi.

Xác định thay đổi pháp nhân trước khi nhìn vào thương hiệu

Tên thương hiệu trên ứng dụng, tên doanh nghiệp trong giấy đăng ký và bên thực sự quyết định xử lý dữ liệu có thể khác nhau. Khi rà soát, cần đối chiếu tên pháp lý trước và sau, mã số doanh nghiệp, hồ sơ giao dịch, hợp đồng với khách và việc ai quyết định mục đích, phương tiện xử lý. Khoản 1 Điều 29 Luật Doanh nghiệp, được hợp nhất tại Văn bản 67/VBHN-VPQH quy định mỗi doanh nghiệp có mã số duy nhất, không được dùng lại để cấp cho doanh nghiệp khác. Đây là một dữ kiện đối chiếu tư cách chủ thể, cùng với hồ sơ pháp lý liên quan.

Nếu cùng một công ty chỉ đổi logo hoặc tên nhãn hiệu, việc nhận diện trên giao diện có thể thay đổi mà chưa phát sinh chuyển giao giữa hai tổ chức. Nếu đổi tên đăng ký nhưng công ty vẫn tiếp tục tồn tại, cần kiểm tra tài liệu chứng minh sự liên tục đó. Không nên chỉ nhìn tên hiển thị giống nhau để coi hai công ty là một, cũng không chỉ nhìn tên mới để kết luận đã thay pháp nhân.

Việc một nhà đầu tư mua cổ phần hoặc phần vốn cũng cần tách khỏi việc nhận dữ liệu của công ty mục tiêu. Trong tình huống giao dịch chỉ thay thành viên, cổ đông và công ty vẫn tồn tại, chưa thể suy ra dữ liệu khách hàng đã được chuyển sang công ty mua vốn. Quyền truy cập thực tế mới là điểm phải kiểm tra tiếp: ai được xuất danh sách, ai dùng để tiếp thị và ai quyết định việc sử dụng đó. Bài công ty trong cùng tập đoàn chia sẻ dữ liệu có được coi là nội bộ giúp kiểm tra việc mở quyền sau giao dịch.

Bảng phân biệt đổi tên và chuyển sang chủ thể khác

Bảng là công cụ sàng lọc do Justix biên soạn. Cần chọn dòng theo sự kiện pháp lý và luồng dữ liệu thực tế; tên gọi “mua lại” trong trao đổi kinh doanh chưa đủ để xác định kết luận.

Trường hợp tổ chức lại có quy định chuyển giao riêng

Điểm c khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định chuyển giao để tiếp tục xử lý trong các trường hợp chia, tách, sáp nhập, hợp nhất, kết thúc hoạt động và những trường hợp tổ chức lại khác được điều khoản liệt kê. Doanh nghiệp phải đối chiếu đúng sự kiện, tư cách bên giao, bên nhận và công việc tiếp tục. Không thể dùng một nhãn chung “M&A” để áp điều khoản cho mọi lần trao đổi dữ liệu.

Về pháp luật doanh nghiệp, khoản 1 và khoản 4 Điều 200 phân biệt việc hợp nhất thành công ty mới và việc kế thừa quyền, nghĩa vụ sau đăng ký. Khoản 1 và điểm c khoản 2 Điều 201 quy định sáp nhập vào công ty nhận sáp nhập, chấm dứt tồn tại của công ty bị sáp nhập và việc kế thừa theo hợp đồng. Những tài liệu này giúp xác định ai tiếp nhận công việc và thời điểm chuyển, nhưng không làm mất các giới hạn bảo vệ dữ liệu cá nhân.

Khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu xác lập thỏa thuận với bên nhận khi chuyển giao thuộc điểm a, c, d khoản 1 Điều 17. Thỏa thuận phải nêu mục đích; nhóm chủ thể và loại dữ liệu; thời hạn xử lý và yêu cầu xóa, hủy; cơ sở pháp lý; trách nhiệm bảo vệ, thực hiện quyền và phối hợp khi phát hiện vi phạm. Nội dung cần được bố trí trong hồ sơ giao dịch hoặc tài liệu phù hợp, không bỏ qua chỉ vì đã có hợp đồng sáp nhập.

Việc tiếp tục phải được hiểu theo đúng công việc được phép. Nếu công ty nhận sáp nhập muốn dùng số điện thoại từng thu để bảo hành cho một chương trình quảng cáo khác, cần kiểm tra mục đích mới theo Điều 3, 9 và quy định liên quan. Đồng ý cũ, yêu cầu từ chối, giới hạn chia sẻ và thời hạn lưu phải đi cùng dữ liệu; chỉ chuyển bảng họ tên, số điện thoại sẽ làm thiếu thông tin để vận hành đúng.

Khi nào cần thông báo và lấy đồng ý cho phần thay đổi?

Khoản 2 Điều 9 Luật 91 yêu cầu cá nhân biết loại dữ liệu, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, quyền và nghĩa vụ. Khi công ty đổi tên hoặc thay đầu mối, doanh nghiệp nên cập nhật thông tin để khách nhận diện đúng bên chịu trách nhiệm và thực hiện quyền. Việc cập nhật đó cần phản ánh sự kiện thật, không mô tả thành một lần khách tự nguyện đồng ý nếu khách chưa thực hiện hành động nào.

Nếu phát sinh pháp nhân khác nhận dữ liệu để tự sử dụng, phải xác định căn cứ chuyển giao và hoạt động của bên nhận. Khi dựa vào đồng ý, nội dung cần đủ để khách biết bên và mục đích tương ứng; một câu cũ “chia sẻ với các đối tác trong hệ sinh thái” chưa tự chứng minh mọi công ty mua vốn đã được phép sử dụng. Điều 6 Nghị định 356 yêu cầu lưu bằng chứng kiểm chứng được; thông báo đã gửi hoặc việc khách im lặng không thay được đồng ý.

Với người tiêu dùng, khoản 1 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu thông báo lại và được đồng ý trước khi thay đổi mục đích, phạm vi sử dụng đã thông báo. Khoản 2 xác định sử dụng bao gồm chia sẻ, tiết lộ và chuyển giao cho bên thứ ba; khoản 3–4 quy định phạm vi sử dụng, ngoại lệ và cơ chế lựa chọn. Cần đối chiếu đồng thời các quy định này với căn cứ chuyển giao cụ thể, không coi chuyển giao do tổ chức lại là quyền bổ sung mọi hoạt động kinh doanh.

Trường hợp thuê, ủy quyền đơn vị khác thực hiện hoạt động thông tin của người tiêu dùng còn phải đối chiếu khoản 2 Điều 15 của luật này, gồm yêu cầu về đồng ý và văn bản xác định phạm vi, trách nhiệm. Việc đổi chủ sở hữu không tự thay thế thỏa thuận với nhà cung cấp hoặc cơ chế lựa chọn theo luật. Bài chia sẻ dữ liệu khách hàng cho đối tác có cần xin đồng ý không phân tích thêm phần này.

Đừng chờ hoàn tất mua lại mới kiểm tra dữ liệu

Trong giai đoạn thẩm định, bên mua có thể đề nghị xem danh sách khách, lịch sử mua hoặc hồ sơ nhân sự. Hoạt động cho xem, tải xuống và chuyển cho nhóm tư vấn cần được đánh giá ngay khi diễn ra. Không lấy một phương án sáp nhập dự kiến trong tương lai làm căn cứ tự động cho việc đưa toàn bộ dữ liệu sang bên mua trước đó.

Doanh nghiệp nên bắt đầu bằng báo cáo tổng hợp hoặc phạm vi thông tin cần thiết cho câu hỏi thẩm định, rồi đánh giá riêng nhu cầu tiếp cận hồ sơ có thể nhận diện cá nhân. Che một phần tên chưa chắc đã khử nhận dạng nếu vẫn có thể xác định người từ mã khách, số liên hệ hoặc dữ kiện kết hợp. Khoản 6 Điều 14 Luật 91 có yêu cầu kiểm soát việc khử nhận dạng; việc lựa chọn biện pháp cần được người phụ trách kỹ thuật và pháp lý đối chiếu với dữ liệu thật.

Thỏa thuận bảo mật giúp ràng buộc việc sử dụng, tiết lộ trong phạm vi được xác lập, nhưng tự nó không tạo căn cứ cho mọi lần cung cấp dữ liệu. Phải làm rõ bên được truy cập, dữ liệu được xem, việc lưu bản sao, thời hạn, thu hồi quyền khi đàm phán kết thúc và trách nhiệm khi có sự cố. Nếu chuyển dữ liệu nhạy cảm, đối chiếu thêm biện pháp bảo vệ tại khoản 2 Điều 7 Nghị định 356; không chỉ áp cơ chế của một danh sách liên hệ thông thường.

Sau giao dịch, cần kiểm tra nghĩa vụ về hồ sơ đánh giá tác động theo Điều 20–22 Luật 91 tương ứng với thay đổi thực tế. Điểm a khoản 2 Điều 22 xác định việc tổ chức lại, chấm dứt hoạt động, giải thể, phá sản thuộc trường hợp cập nhật ngay; không xếp chung vào đợt cập nhật định kỳ khi có thay đổi ở khoản 1. Nếu hệ thống hoặc bên nhận ở nước ngoài phát sinh, phải xác định đúng luồng và điều kiện áp dụng; quốc tịch của cổ đông không tự quyết định đã có chuyển dữ liệu xuyên biên giới. Bài hồ sơ đánh giá tác động xử lý và chuyển dữ liệu cá nhân khác nhau thế nào giúp phân loại phần hồ sơ cần kiểm tra tiếp.

Ví dụ đổi thương hiệu nhưng đồng thời xuất dữ liệu cho công ty mua vốn

Tình huống giả định: Công ty B mua 70% cổ phần Công ty A. A tiếp tục tồn tại và đổi thương hiệu trên website, vẫn thực hiện những đơn hàng của mình. B đồng thời muốn nhận toàn bộ danh sách khách A để quảng cáo sản phẩm của B.

Cần tách hai việc. Với việc A đổi thương hiệu, đối chiếu pháp nhân, mục đích, thông tin và lựa chọn đang áp dụng; không chỉ vì logo mới mà yêu cầu toàn bộ khách đồng ý lại. Với việc B nhận danh sách để tự quảng cáo, phải xác định vai trò của B, căn cứ chuyển và phạm vi sử dụng riêng. Giao dịch mua cổ phần trong giả định này không phải là việc A sáp nhập vào B; không áp điểm c khoản 1 Điều 17 chỉ từ tỷ lệ 70%.

Nếu căn cứ dự kiến là sự đồng ý mà hồ sơ hiện có chỉ thể hiện khách cho A liên hệ về đơn hàng, chưa thể coi là đã được phép quảng cáo sản phẩm của B. Cần hoàn thiện thông tin, cơ chế lấy đồng ý phù hợp và thỏa thuận chuyển giao trước khi thực hiện phần dựa vào đồng ý. Nếu chưa xác định đủ căn cứ, không đưa danh sách vào chiến dịch; giữ nguyên hồ sơ cũ để kiểm tra, thay vì đổi hàng loạt trạng thái thành “đồng ý với B”.

Đầu ra nên có bản phân loại hai hoạt động, thông tin công khai đã sửa cho A, quyết định phạm vi B được nhận nếu đủ điều kiện, thỏa thuận và bằng chứng tương ứng. Danh sách từ chối hoặc rút lại phải được xem xét trong việc sử dụng tiếp theo, không bị bỏ lại ở hệ thống cũ.

Ai quyết định và ai thực hiện việc bàn giao?

Người phụ trách giao dịch cung cấp hồ sơ về hình thức mua, cơ cấu trước và sau, thời điểm có hiệu lực và phạm vi tài sản, quyền, nghĩa vụ. Pháp chế cùng người phụ trách dữ liệu lập danh mục luồng: dữ liệu nào tiếp tục ở công ty cũ, dữ liệu nào chuyển, bên nào dùng cho mục đích nào và căn cứ nào cho từng luồng. Kết quả phải đủ để người có thẩm quyền quyết định phần được triển khai và phần cần bổ sung.

Kinh doanh và marketing đối chiếu thông tin đã cung cấp, lựa chọn và yêu cầu của khách với kế hoạch sau giao dịch. Người quản lý hệ thống triển khai quyền truy cập theo phạm vi đã duyệt, chuyển cùng lịch sử mục đích và bằng chứng, kiểm tra công cụ gửi tin và thu hồi tài khoản không còn nhiệm vụ. Biên bản bàn giao cần ghi nhận dữ liệu, trạng thái, tài liệu, bên nhận và kết quả kiểm tra; việc hoàn tất xuất tệp không tự xác nhận đã hoàn tất tuân thủ.

Câu hỏi thường gặp

Gửi email báo công ty đổi thương hiệu rồi khách không trả lời có được coi là đồng ý mới?

Không. Điểm d khoản 4 Điều 9 Luật 91 không coi im lặng hoặc không phản hồi là đồng ý. Nếu chỉ cập nhật cách nhận diện của cùng pháp nhân, phải mô tả đúng việc cập nhật; nếu cần đồng ý cho hoạt động mới, phải có cơ chế và bằng chứng phù hợp.

Sự đồng ý hợp lệ từ trước năm 2026 có dùng tiếp sau giao dịch không?

Khoản 1 Điều 39 Luật 91 cho tiếp tục hoạt động đang thực hiện đã có đồng ý hoặc thỏa thuận theo Nghị định 13 trước ngày Luật có hiệu lực. Cần giữ bằng chứng về điều kiện chuyển tiếp và đối chiếu phần hoạt động thực sự tiếp tục. Quy định này không tự mở rộng cho bên nhận, mục đích mới hoặc dữ liệu trước đó chưa có căn cứ hợp lệ.

Hợp đồng mua lại ghi giá trị dữ liệu thì có đủ căn cứ chuyển không?

Không thể kết luận chỉ từ cách định giá hoặc tên khoản tiền. Khoản 2 Điều 17 quy định chuyển giao thuộc các trường hợp ở khoản 1, có thu phí hay không, không bị xác định là mua, bán dữ liệu cá nhân. Trước hết phải chứng minh giao dịch dữ liệu thực sự thuộc trường hợp luật cho phép và đáp ứng điều kiện liên quan; một điều khoản giá không thay được việc đó. Nếu thuộc chuyển giao theo điểm a, d khoản 1 Điều 17 có thu phí để cung cấp dịch vụ hoặc phục vụ lợi ích hợp pháp của chủ thể, phải đối chiếu thêm khoản 3 Điều 7 Nghị định 356, gồm cơ chế đồng ý chính xác, rõ ràng theo từng lần chuyển và các điều kiện về mục đích, phạm vi, vai trò, thỏa thuận, trách nhiệm.

Justix hỗ trợ rà soát phạm vi sử dụng dữ liệu sau thay đổi

Doanh nghiệp nên chuẩn bị sơ đồ pháp nhân, mô tả giao dịch, luồng dữ liệu dự kiến, thông báo và bằng chứng lựa chọn hiện có để trao đổi phạm vi. Dịch vụ bảo vệ dữ liệu khách hàng, website và marketing hỗ trợ rà soát thông tin, cơ chế lựa chọn, việc nhập, xuất, chia sẻ và sử dụng dữ liệu trong bán hàng, tiếp thị. Các công việc về giao dịch doanh nghiệp hoặc hồ sơ khác cần được xác định theo yêu cầu cụ thể. Liên hệ 0372 717 888 hoặc legal@justix.vn.