Hợp đồng với bên nhận dữ liệu nước ngoài cần có điều khoản gì?

Hợp đồng với bên nhận dữ liệu nước ngoài cần có điều khoản gì?

Hợp đồng với bên nhận nước ngoài cần xác định dữ liệu được dùng vào việc gì, ở đâu, qua những bên nào và cách kiểm tra việc thực hiện. Khung điều khoản dưới đây giúp doanh nghiệp rà soát trước khi chuyển dữ liệu, xử lý sự cố hoặc kết thúc dịch vụ.

Hợp đồng với bên nhận dữ liệu nước ngoài cần thể hiện rõ mục đích, nhóm chủ thể và loại dữ liệu, thời hạn xử lý, cơ sở pháp lý, trách nhiệm bảo vệ, thực hiện quyền và phối hợp khi có vi phạm trong trường hợp thuộc khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP. Với giao dịch có chuyển xuyên biên giới, cần làm rõ thêm bên nhận thực tế, nơi xử lý, chuyển tiếp, khả năng kiểm tra và cách trả hoặc xóa dữ liệu. Có thể dùng hợp đồng riêng hoặc phụ lục; thỏa thuận xử lý dữ liệu (DPA) hay cam kết bảo mật đều cần được kiểm tra về nội dung. Một khung điều khoản chỉ có thể sử dụng sau khi được điều chỉnh theo vai trò, dữ liệu, dịch vụ và hệ thống cụ thể. Điều 7 Nghị định 356; Điều 37 Luật Bảo vệ dữ liệu cá nhân.

Bắt đầu từ vai trò và căn cứ chuyển giao

Doanh nghiệp cần biết ai quyết định mục đích, phương tiện xử lý và ai thực hiện công việc theo yêu cầu. Nếu đối tác chỉ vận hành hệ thống theo chỉ dẫn, có thể xem xét vai trò bên xử lý. Nếu đối tác tự quyết định dùng dữ liệu cho hoạt động tiếp thị, xây dựng sản phẩm hoặc lợi ích riêng, phải đánh giá vai trò của hoạt động đó thay vì chỉ ghi “bên xử lý” cho toàn bộ quan hệ. Điều 2 và Điều 37 Luật.

Điểm a khoản 2 Điều 37 Luật yêu cầu bên xử lý chỉ tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng xử lý với bên kiểm soát hoặc bên kiểm soát và xử lý. Nghĩa vụ này cần được kiểm tra cả khi dùng thử nếu hệ thống nhận dữ liệu cá nhân thật. Một bản đề xuất dịch vụ chưa thống nhất hoặc thỏa thuận bảo mật chỉ hạn chế tiết lộ có thể còn thiếu phạm vi xử lý cần thiết.

Hợp đồng giữa hai doanh nghiệp cũng cần được phân biệt với căn cứ sử dụng dữ liệu của cá nhân. Phải xác định việc chuyển giao thuộc trường hợp nào tại Điều 17 Luật, có cần sự đồng ý theo Điều 9 hay đáp ứng trường hợp không cần đồng ý tại Điều 19. Ký phụ lục với bên nhận không tự tạo ra sự đồng ý của người có dữ liệu, cũng không cho phép bên nhận dùng dữ liệu ngoài mục đích hợp pháp đã xác định. Điều 9, Điều 17 và Điều 19 Luật.

Nếu đang cần khung chung cho quan hệ thuê xử lý trong nước hoặc nhiều nhóm nhà cung cấp, có thể tham khảo bài hợp đồng xử lý dữ liệu cá nhân DPA cần có những điều khoản nào. Phần dưới tập trung vào ràng buộc với bên nhận nước ngoài và sự thống nhất giữa hợp đồng, chuỗi xử lý và hồ sơ chuyển xuyên biên giới.

Những nội dung pháp luật yêu cầu thể hiện trong thỏa thuận

Khoản 1 Điều 7 Nghị định 356 áp dụng với chuyển giao theo điểm a, c, d khoản 1 Điều 17 Luật. Bảy nhóm nội dung cần thể hiện như sau. Việc bổ sung chi tiết thực hiện trong bảng là gợi ý soạn thảo để các bên có thể làm và kiểm chứng, không phải một biểu mẫu hợp đồng do Nhà nước ban hành. Khoản 1 Điều 7 Nghị định 356.

Đối với hoạt động thuộc diện phải lập hồ sơ chuyển xuyên biên giới, điểm b khoản 2 Điều 18 Nghị định 356 yêu cầu bản sao hợp đồng hoặc văn bản chuyển giao thể hiện ràng buộc, trách nhiệm giữa bên chuyển và bên nhận. Vì vậy, cần xác định tài liệu nào thực sự ràng buộc đúng pháp nhân nhận dữ liệu và phạm vi nào của chuỗi xử lý đã được điều chỉnh. Một tài liệu chỉ ghi nhãn hiệu của nền tảng có thể chưa đủ để nhận diện chủ thể hợp đồng. Khoản 2 Điều 18 Nghị định 356.

Mô tả bên nhận và chuỗi chuyển trước khi viết điều khoản

Tình huống giả định dùng cho khung dưới đây: A tại Việt Nam quản lý yêu cầu hỗ trợ của các đại lý là doanh nghiệp. A thuê B tại Singapore vận hành hệ thống; B đề nghị sử dụng hạ tầng sao lưu của C tại Nhật Bản. Dữ liệu gồm tên, email công việc, số điện thoại và lịch sử trao đổi của người liên hệ trưởng thành. Đây là mô hình giả định, không phải tình huống khách hàng hoặc kết luận cho một sản phẩm có thật.

Đối với mô hình này, A không nên cho phép điều khoản “mọi công ty liên kết và nhà cung cấp của B được xử lý dữ liệu tại bất kỳ đâu” mà không lấy thêm thông tin. Điều 18 Nghị định 356 yêu cầu hồ sơ mô tả hệ thống sau tiếp nhận, chuyển tiếp cho bên thứ ba và đánh giá bên nhận. Hợp đồng cần giúp A có thông tin để thực hiện việc đó và kiểm soát thay đổi. Điểm a, c, e, g, i khoản 3 Điều 18 Nghị định 356.

Khung điều khoản có chú thích cho mô hình A thuê B

Các đoạn dưới đây là minh họa soạn thảo cho giả định B xử lý theo chỉ dẫn. Khung chưa phải hợp đồng hoàn chỉnh, không xác nhận đáp ứng pháp luật của Singapore, Nhật Bản hoặc quốc gia khác. Những mốc 12 giờ, 15 ngày và cơ chế chấp thuận dưới đây là đề xuất thương lượng; cần điều chỉnh theo nghĩa vụ luật định, dữ liệu và khả năng thực hiện trước khi ký.

Phạm vi xử lý và giới hạn sử dụng

Nội dung minh họa: B chỉ tiếp nhận, lưu, tìm kiếm và hỗ trợ quản lý dữ liệu liên hệ của đại diện đại lý để A xử lý yêu cầu hỗ trợ theo Phụ lục 01. B thực hiện theo chỉ dẫn hợp pháp của A và không sử dụng dữ liệu để tiếp thị cho mình, chia sẻ danh sách khách hàng hoặc huấn luyện công cụ dùng chung. Mọi đề nghị bổ sung mục đích phải được đánh giá, thống nhất bằng văn bản và đáp ứng căn cứ pháp luật trước khi thực hiện.

Chú thích: Phụ lục 01 cần có danh mục dữ liệu, công việc, thời gian và giới hạn tệp đính kèm. Nếu B có hoạt động với mục đích riêng, phải xác định riêng vai trò và căn cứ, không chỉ sửa một câu để gọi B là bên xử lý. Cơ sở của phần phạm vi, mục đích và giới hạn là khoản 1 Điều 7 Nghị định 356 cùng Điều 37 Luật; việc cấm các mục đích cụ thể trong ví dụ là lựa chọn theo giao dịch. Điều 7 Nghị định 356; Điều 37 Luật.

Nơi xử lý và điều kiện sử dụng bên tiếp theo

Nội dung minh họa: Nơi lưu chính là hệ thống của B tại Singapore theo cấu hình được xác nhận trong Phụ lục 02. Việc sao lưu tại C ở Nhật Bản chỉ được thực hiện sau khi A chấp thuận danh tính, phạm vi công việc, quyền truy cập và điều kiện bảo vệ. B không được bổ sung bên xử lý tiếp theo hoặc quốc gia ngoài danh sách đã thống nhất trước khi hoàn thành cơ chế thông báo, đánh giá và chấp thuận bằng văn bản của A. B phải ràng buộc C thực hiện các nghĩa vụ phù hợp và cung cấp thông tin, chứng cứ thực hiện cho A.

Chú thích: Đây là phương án kiểm soát theo mô hình giả định, không phải quy định rằng mọi hợp đồng đều bắt buộc xin một kiểu chấp thuận giống nhau. Cần thương lượng thời gian thông báo, quyền phản đối và cách xử lý khi không thống nhất để dịch vụ có thể vận hành. Phải xác minh cả lưu chính, bản sao, hỗ trợ từ xa và bên liên quan; danh sách công ty liên kết không tự đủ nếu chưa biết bên nào nhận dữ liệu trong giao dịch này. Khoản 3 Điều 18 Nghị định 356.

Biện pháp bảo vệ và chứng cứ triển khai

Nội dung minh họa: B thực hiện biện pháp bảo vệ đã mô tả tại Phụ lục 02, gồm phân quyền theo nhiệm vụ, xác thực tài khoản quản trị, bảo vệ đường truyền, quản lý bản sao và ghi nhận truy cập phù hợp. B duy trì hồ sơ thực hiện, rà soát quyền khi nhân sự thay đổi và thông báo cho A về thay đổi có thể ảnh hưởng mức bảo vệ đã thỏa thuận. Các biện pháp được ghi là “đã triển khai” phải thực sự áp dụng đối với hệ thống và dữ liệu của A.

Chú thích: Phụ lục kỹ thuật cần do người nắm hệ thống xác nhận. Không hứa mã hóa, nhật ký hoặc xóa tự động nếu cấu hình đang mua không có chức năng đó. Nếu chuyển dữ liệu nhạy cảm, phải đối chiếu riêng khoản 2 Điều 7 Nghị định 356 về bảo mật vật lý đối với thiết bị lưu và truyền tải, mã hóa, ẩn danh cùng các biện pháp khác. Một chứng chỉ không tự thay phần đánh giá hệ thống, biện pháp và rủi ro cụ thể của bên nhận. Khoản 2 Điều 7; khoản 3 Điều 18 và phần A.III.3 Mẫu số 09 Nghị định 356.

Phối hợp thực hiện quyền của cá nhân

Nội dung minh họa: Khi nhận yêu cầu liên quan đến dữ liệu A giao, B chuyển cho đầu mối bảo vệ dữ liệu của A qua kênh đã thống nhất và cung cấp thông tin cần thiết để xác minh phạm vi. B hỗ trợ tìm, trích xuất, chỉnh sửa, hạn chế hoặc xóa theo yêu cầu hợp pháp được giao; ghi nhận kết quả, phần chưa thực hiện và lý do. Thời hạn phối hợp được thiết kế theo từng loại yêu cầu để A có thể hoàn thành nghĩa vụ pháp luật đúng hạn.

Chú thích: Phụ lục quy trình nên xác định người tiếp nhận, người có quyền chỉ dẫn, cách bảo vệ dữ liệu của người khác trong kết quả và cơ chế xử lý yêu cầu khẩn. Không đặt một thời hạn chung dài hơn thời hạn pháp luật áp dụng cho từng quyền. A vẫn phải thực hiện trách nhiệm gắn với vai trò của mình; thuê B không loại bỏ trách nhiệm bảo đảm quyền của chủ thể. Điều 4, Điều 37 Luật; điểm e khoản 1 Điều 7 Nghị định 356.

Thông báo và xử lý vi phạm dữ liệu

Nội dung minh họa: B thông báo cho A ngay sau khi phát hiện vi phạm liên quan dữ liệu thuộc hợp đồng, gửi thông tin ban đầu không chậm hơn 12 giờ theo cơ chế phối hợp đã thỏa thuận. Thông báo nêu phạm vi đã biết, thời điểm phát hiện, dữ liệu và hệ thống có thể bị ảnh hưởng, biện pháp đang thực hiện cùng đầu mối xử lý. B tiếp tục bổ sung thông tin, bảo toàn chứng cứ phù hợp và phối hợp khắc phục; không chờ kết thúc điều tra mới gửi báo ban đầu.

Chú thích: Mốc 12 giờ ở đây là đề xuất hợp đồng để A có thời gian xác minh và thực hiện nghĩa vụ, không phải thời hạn chung được Luật ấn định cho mọi bên nhận. Khoản 1 Điều 23 Luật yêu cầu bên kiểm soát, bên kiểm soát và xử lý, bên thứ ba thông báo cơ quan chuyên trách chậm nhất 72 giờ từ khi phát hiện vi phạm thuộc điều kiện nêu tại khoản này. Với bên xử lý, Luật yêu cầu thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Cần phân biệt hai tuyến thông báo theo đúng vai trò. Khoản 1 Điều 23 Luật.

Kiểm tra và phối hợp cung cấp thông tin

Nội dung minh họa: B cung cấp tài liệu phù hợp để A kiểm tra việc thực hiện phạm vi, biện pháp bảo vệ và nghĩa vụ liên quan. Khi cần kiểm tra sâu hơn, các bên thống nhất phạm vi, cách tiếp cận, bảo mật và bảo vệ dữ liệu của khách hàng khác; B phải hợp tác kịp thời đối với vi phạm hoặc yêu cầu hợp pháp của cơ quan có thẩm quyền. Nếu nhận yêu cầu cung cấp dữ liệu từ cơ quan công quyền, B thông tin cho A trong phạm vi pháp luật cho phép, ghi nhận căn cứ, phạm vi và cách xử lý yêu cầu.

Chú thích: Quyền kiểm tra, hình thức tài liệu và cách tiếp cận là nội dung cần thương lượng. Không mặc định A luôn có quyền vào toàn bộ trung tâm dữ liệu của B. Cũng không cam kết B được bỏ qua pháp luật tại nơi hoạt động. Nếu có xung đột nghĩa vụ hoặc giới hạn thông báo, phải yêu cầu tư vấn theo quốc gia và xác định ảnh hưởng đến phương án chuyển trước khi chấp nhận. Phần hợp tác cần hỗ trợ trách nhiệm tại Điều 37 Luật và thông tin đánh giá bên nhận theo Điều 18 Nghị định 356.

Trả dữ liệu và xử lý bản còn lưu khi kết thúc

Nội dung minh họa: Khi kết thúc dịch vụ, B cung cấp bản xuất dữ liệu theo cấu trúc và phương thức an toàn đã thống nhất để A đối chiếu. Sau khi A xác nhận bàn giao, B xóa bản vận hành trong thời hạn 15 ngày theo phương án kết thúc, trừ phần có căn cứ pháp luật phải tiếp tục giữ. Với bản sao chưa thể xóa ngay, B nêu rõ dữ liệu, căn cứ hoặc giới hạn kỹ thuật, thời gian còn lưu, biện pháp cô lập và lịch xử lý đã được các bên chấp thuận phù hợp pháp luật; không sử dụng cho mục đích khác. B cung cấp xác nhận kết quả và phần ngoại lệ còn tồn tại.

Chú thích: Mốc 15 ngày chỉ là phương án soạn thảo cho việc kết thúc dịch vụ; phải đối chiếu nghĩa vụ xóa, thời gian thực hiện quyền và căn cứ lưu tương ứng. Không biến lịch sao lưu kỹ thuật thành một ngoại lệ pháp luật tự động. Cần kiểm tra cả dữ liệu tại C, tài khoản hỗ trợ và khả năng phục hồi bản sao. Xác nhận xóa phải mô tả đúng phạm vi đã xử lý, tránh cam kết “xóa toàn bộ” khi còn bản giữ lại. Điểm c khoản 1 Điều 7 Nghị định 356; Điều 37 Luật.

Trách nhiệm và quan hệ giữa các tài liệu hợp đồng

Nội dung minh họa: B chịu trách nhiệm hợp đồng đối với công việc của mình và việc sử dụng C theo phạm vi đã thỏa thuận. Các bên xác định nghĩa vụ khắc phục, phân bổ chi phí, bồi thường và giới hạn trách nhiệm phù hợp pháp luật. Khi có khác nhau giữa điều khoản dữ liệu đã ký và chính sách dẫn chiếu của B, áp dụng thứ tự ưu tiên mà các bên đã thống nhất; thay đổi chính sách không tự mở rộng mục đích, dữ liệu hoặc bên được phép sử dụng.

Chú thích: Cần đọc giới hạn trách nhiệm cùng điều khoản vi phạm, sử dụng sai mục đích, tự chuyển tiếp và không phối hợp. Không tự đặt mức phạt hoặc khẳng định một điều khoản bồi thường chắc chắn thực thi ở mọi quốc gia. Luật áp dụng, cơ quan giải quyết tranh chấp, ngôn ngữ ưu tiên và khả năng thi hành cần được xem theo giao dịch cụ thể. Thỏa thuận phân công, hoàn trả chi phí không xóa trách nhiệm pháp luật của A hoặc B theo vai trò thực tế. Điều 37 Luật.

Những điều kiện không thể giải quyết chỉ bằng một bản phụ lục

Nếu thuộc khoản 3 Điều 7 Nghị định 356, tức chuyển giao theo điểm a, d khoản 1 Điều 17 Luật có thu phí để cung cấp dịch vụ cho chủ thể dữ liệu hoặc phục vụ lợi ích hợp pháp của chủ thể, phải kiểm tra đầy đủ cơ chế đồng ý chính xác, rõ ràng theo từng lần chuyển giao và các điều kiện tại khoản này. Không tự coi mọi khoản phí thuê phần mềm là trường hợp đó. Ngược lại, khi đúng điều kiện áp dụng thì một điều khoản “A chịu trách nhiệm xin mọi sự đồng ý” chưa đủ chứng minh hệ thống đã đáp ứng. Khoản 3 Điều 7 Nghị định 356.

Nghĩa vụ hồ sơ chuyển xuyên biên giới cũng phải được xác định riêng. Có hợp đồng không đồng nghĩa đã lập, gửi hoặc cập nhật hồ sơ đúng quy định. Được miễn đánh giá tác động cho một hoạt động cũng không tự miễn yêu cầu về căn cứ, bảo vệ và thỏa thuận khi vẫn thuộc diện áp dụng. Có thể kiểm tra phạm vi qua bài chuyển dữ liệu cá nhân ra nước ngoài có phải lập hồ sơ không.

Với nhà cung cấp có điều kiện dịch vụ chuẩn, doanh nghiệp nên lưu được phiên bản điều khoản, phụ lục, chính sách dẫn chiếu và chứng cứ giao kết áp dụng cho gói đang dùng. Nếu không thương lượng được một điều khoản, cần xác định điều kiện đó có làm hoạt động trái pháp luật hoặc thiếu thông tin cần thiết không; quyết định chấp nhận rủi ro thương mại không tự khắc phục một nghĩa vụ pháp luật chưa đáp ứng. Một quyền yêu cầu đối tác cung cấp thông tin chỉ có giá trị sử dụng khi doanh nghiệp thực sự nhận và kiểm tra thông tin đó.

Rà soát hợp đồng gắn với hệ thống và hồ sơ chuyển

Bộ phận mua sắm nên tổng hợp toàn bộ tài liệu được dẫn chiếu, pháp nhân ký, pháp nhân vận hành và quyền sửa điều khoản của nhà cung cấp. Đầu ra là một bộ tài liệu có thể xác định phiên bản, thay vì chỉ một đường dẫn đến trang chính sách có thể đổi nội dung.

Chủ hoạt động và kỹ thuật cùng xác nhận những điều khoản có thực hiện được không: có giới hạn trường dữ liệu không, có tắt mục đích dùng thêm không, xuất dữ liệu ở định dạng nào, ai xóa được và bản sao tồn tại bao lâu. Pháp chế đối chiếu kết quả với căn cứ, trách nhiệm và phần mô tả trong hồ sơ. Đây là bước cần thiết trước khi ký các cam kết vượt khả năng hệ thống.

Người duyệt hợp đồng cần nhìn thấy điểm còn thiếu, phương án thương lượng và ảnh hưởng nếu không được chấp nhận. Khi chốt, nên có danh mục tài liệu bàn giao, người tiếp nhận thông báo sự cố, người xử lý yêu cầu cá nhân và cách ghi nhận việc thay đổi. Nếu bên nhận hoặc nơi xử lý đổi, phải đưa thông tin cho người quản lý hồ sơ để xem xét nghĩa vụ tương ứng.

Đối với mô hình A, B, C, đầu ra nên gồm hợp đồng hoặc phụ lục ràng buộc đúng bên, danh mục dữ liệu và công việc, sơ đồ địa điểm cùng chuỗi chuyển, biện pháp có xác nhận, quy trình quyền và sự cố, phương án kết thúc. Thông tin này còn giúp chuẩn bị hoặc hiệu chỉnh Mẫu số 09 khi thuộc diện áp dụng; không phải sáu loại hợp đồng riêng mà mọi doanh nghiệp đều phải ký.

Câu hỏi thường gặp

Chỉ ký cam kết bảo mật với bên nước ngoài có đủ không?

Cần kiểm tra nội dung. Cam kết chỉ cấm tiết lộ có thể thiếu mục đích, thời hạn xử lý, thực hiện quyền, phối hợp vi phạm và kết thúc dịch vụ. Nếu chuyển giao thuộc khoản 1 Điều 7 Nghị định 356, phải thể hiện đủ các nhóm nội dung của khoản này; nếu B là bên xử lý thì còn đối chiếu Điều 37 Luật.

Có mẫu hợp đồng nhà nước bắt buộc dùng cho mọi bên nhận nước ngoài không?

Mẫu số 09 trong Nghị định 356 là báo cáo đánh giá tác động chuyển xuyên biên giới, không phải mẫu hợp đồng chuyển giao dùng chung cho mọi giao dịch. Cần soạn thỏa thuận theo yêu cầu pháp luật và hoạt động thực tế. Khung trong bài chỉ là minh họa cho mô hình thuê xử lý đã nêu.

Có thể dùng một phụ lục cho tất cả công ty trong tập đoàn không?

Có thể xem xét cấu trúc thỏa thuận chung nếu xác định được bên tham gia, cơ chế ràng buộc, vai trò và từng luồng dữ liệu. Tuy nhiên, chỉ ghi “các công ty liên kết” không tự giải quyết danh tính bên nhận, quốc gia, mục đích và trách nhiệm. Từng pháp nhân nhận dữ liệu cần được nhận diện phù hợp với quan hệ thực tế và hồ sơ.

Chọn luật nước ngoài thì có bỏ nghĩa vụ bảo vệ dữ liệu tại Việt Nam không?

Việc chọn luật cho hợp đồng không tự làm mất nghĩa vụ pháp luật đang áp dụng đối với hoạt động dữ liệu của doanh nghiệp tại Việt Nam. Cần rà soát cả pháp luật bảo vệ dữ liệu liên quan, điều kiện hợp đồng, cơ quan giải quyết và khả năng thực hiện ở nơi có bên nhận. Không nên dùng một điều khoản chọn luật để thay cho việc kiểm tra những nghĩa vụ này.

Justix hỗ trợ rà soát hợp đồng với bên nhận nước ngoài

Doanh nghiệp nên chuẩn bị hợp đồng dịch vụ, phụ lục dữ liệu, các chính sách dẫn chiếu, sơ đồ bên nhận và nơi xử lý, danh mục dữ liệu cùng hạn ký dự kiến để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ xác định vai trò, rà soát hoặc soạn điều khoản về phạm vi, chuyển tiếp, quyền, vi phạm và kết thúc trong phạm vi đã thống nhất. Việc tham gia thương lượng và lập hồ sơ đánh giá tác động cần được làm rõ thành hạng mục phù hợp; có thể gửi mô tả giao dịch qua trang liên hệ Justix để xác định tài liệu cần kiểm tra.