Dữ liệu cá nhân chỉ được chuyển giao khi nào?

Trong kỷ nguyên kết nối toàn cầu, dữ liệu cá nhân không tồn tại biệt lập mà liên tục được lưu chuyển, chia sẻ và tích hợp giữa các hệ thống phức tạp để tạo ra giá trị kinh tế và hiệu quả quản trị. Tuy nhiên, mỗi hành vi chuyển giao dữ liệu từ Bên kiểm soát này sang Bên xử lý khác, hoặc chuyển dịch qua các biên giới quốc gia, đều tiềm ẩn những rủi ro hiện hữu về việc mất kiểm soát quyền riêng tư và xâm phạm an ninh thông tin. Trước thực trạng đó, pháp luật Việt Nam đã xác lập một nguyên tắc tối thượng: Dữ liệu cá nhân không phải là hàng hóa tự do lưu thông, mà là một thực thể quyền lợi gắn liền với con người, chỉ được phép chuyển giao khi hội đủ các điều kiện pháp lý nghiêm ngặt.

Việc xác định thời điểm và căn cứ cho phép chuyển giao dữ liệu cá nhân là "chốt chặn" quan trọng nhất để ngăn chặn tình trạng mua bán, trục lợi thông tin bất hợp pháp đang diễn biến phức tạp. Một quy trình chuyển giao đúng luật không chỉ đòi hỏi sự đồng ý tự nguyện, rõ ràng của chủ thể dữ liệu trên cơ sở được thông báo đầy đủ về mục đích, phạm vi và đối tượng tiếp nhận, mà còn phải đáp ứng các tiêu chuẩn bảo mật kỹ thuật tương xứng. 

1. Trường hợp chuyển giao dữ liệu cá nhân hợp pháp 

Luật Bảo vệ dữ liệu cá nhân 2025 quy định chuyển giao dữ liệu mà các tổ chức, cá nhân có thể thực hiện nhằm phục vụ hoạt động quản trị, kinh doanh và thực thi pháp luật một cách hợp hiến và hợp pháp.

1.1. Chuyển giao khi có sự đồng ý của chủ thể dữ liệu

Sự đồng ý là nền tảng quan trọng nhất trong việc xử lý dữ liệu. Tuy nhiên, theo quy định mới, sự đồng ý không còn là một khái niệm mang tính hình thức mà phải đáp ứng các tiêu chuẩn về tính "rõ ràng" và "có thể kiểm chứng".

Hình thức đồng ý: Nghị định 356/2025/NĐ-CP (Nghị định 356) mở rộng các hình thức hợp lệ bao gồm văn bản, cuộc gọi ghi âm, tin nhắn xác thực (SMS), hoặc các thiết lập kỹ thuật trên trang thông tin điện tử và ứng dụng. Pháp luật nghiêm cấm việc thiết lập mặc định sự đồng ý hoặc sử dụng các chỉ dẫn gây hiểu lầm để buộc chủ thể dữ liệu chấp thuận. Sự im lặng tuyệt đối không được coi là đồng ý.

Phạm vi và tính minh bạch: Chủ thể dữ liệu có quyền được biết rõ về loại dữ liệu chuyển giao, mục đích, đối tượng tiếp nhận và thời hạn xử lý. Nếu tổ chức thay đổi bất kỳ yếu tố nào trong số này, họ phải thực hiện lại quy trình xin sự đồng ý.

Rút lại sự đồng ý: Tổ chức phải thiết lập quy trình cho phép chủ thể rút lại sự đồng ý một cách thuận tiện và phải ngừng chuyển giao dữ liệu trong vòng 07 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ.

1.2. Khi xử lý dữ liệu trong cùng cơ quan, tổ chức

Việc chia sẻ dữ liệu giữa các bộ phận chuyên môn, chi nhánh hoặc đơn vị trực thuộc trong cùng một hệ thống tổ chức được phép thực hiện để bảo đảm hiệu quả vận hành. Tuy nhiên, hoạt động này phải tuân thủ các điều kiện quản trị nội bộ khắt khe:

• Xây dựng quy chế quản trị dữ liệu: Tổ chức phải ban hành các quy định nội bộ về phân quyền truy cập dựa trên chức năng, nhiệm vụ của từng cá nhân.
• Phòng chống chia sẻ trái phép: Cần áp dụng các biện pháp kỹ thuật như giám sát nhật ký truy cập và đánh giá an ninh nội bộ định kỳ để ngăn chặn việc dữ liệu bị phát tán ngoài phạm vi cho phép của tổ chức.

1.3. Chuyển giao khi sáp nhập, chia tách doanh nghiệp

Trong các trường hợp chia, tách, hợp nhất, sáp nhập hoặc chuyển đổi sở hữu, dữ liệu cá nhân được phép chuyển giao cho đơn vị kế thừa như một phần của quá trình chuyển giao tài sản và nghĩa vụ.

Nguyên tắc tiếp tục mục đích: Đơn vị nhận dữ liệu chỉ được xử lý dữ liệu cho đúng mục đích ban đầu mà đơn vị cũ đã thông báo cho chủ thể. Nếu có sự thay đổi về mục đích hoặc phương thức xử lý làm ảnh hưởng đến quyền lợi của cá nhân, bên nhận phải thực hiện thông báo và xin lại sự đồng ý.

Trách nhiệm thông báo: Doanh nghiệp sau khi tái cơ cấu có nghĩa vụ thông báo công khai cho chủ thể dữ liệu về việc chuyển giao này để họ có thể thực hiện các quyền liên quan như chỉnh sửa hoặc xóa dữ liệu.

1.4. Chuyển giao cho bên xử lý hoặc bên thứ ba

Mối quan hệ giữa Bên kiểm soát dữ liệu (người quyết định mục đích) và Bên xử lý (người thực hiện thay mặt) là trọng tâm của chuỗi cung ứng dịch vụ số hiện đại.

Thỏa thuận bằng văn bản: Việc chuyển giao phải được xác lập bằng hợp đồng hoặc văn bản thỏa thuận có giá trị pháp lý, trong đó nêu rõ phạm vi dữ liệu, mục đích xử lý, các biện pháp bảo mật bắt buộc và trách nhiệm bồi thường khi xảy ra sự cố.

Kiểm soát bên thứ ba: Bên xử lý không được phép cung cấp dữ liệu cho bất kỳ bên nào khác (nhà thầu phụ) trừ khi có sự đồng ý bằng văn bản của Bên kiểm soát. Sau khi hoàn thành nhiệm vụ, bên xử lý phải xóa hoặc trả lại toàn bộ dữ liệu cho Bên kiểm soát theo thỏa thuận.

1.5. Chuyển giao theo yêu cầu của cơ quan nhà nước

Pháp luật cho phép chuyển giao dữ liệu cá nhân phục vụ công tác quản lý hành chính, điều tra, tố tụng hoặc bảo đảm an ninh quốc gia.

Thẩm quyền yêu cầu: Chỉ những cơ quan nhà nước được pháp luật quy định mới có quyền yêu cầu cung cấp dữ liệu. Yêu cầu phải được thực hiện bằng văn bản chính thức, nêu rõ căn cứ pháp lý, phạm vi và mục đích sử dụng dữ liệu.

Sử dụng đúng mục đích: Cơ quan nhà nước tiếp nhận dữ liệu có trách nhiệm bảo mật thông tin và chỉ được sử dụng cho đúng mục đích đã nêu, không được chia sẻ tùy tiện cho các bên khác ngoài quy định pháp luật.

1.6. Tình huống khẩn cấp, quốc phòng, an ninh

Điều 19 của Luật 2025 quy định về việc xử lý và chuyển giao dữ liệu trong các tình huống đặc biệt mà không cần sự đồng ý của chủ thể dữ liệu nhằm bảo vệ các lợi ích tối cao của xã hội :

Bảo vệ tính mạng và sức khỏe: Xử lý ngay dữ liệu trong các tình huống khẩn cấp để cứu người, ngăn chặn dịch bệnh hoặc thiên tai.

An ninh và Quốc phòng: Phục vụ hoạt động phòng, chống tội phạm, bảo vệ an ninh quốc gia và trật tự an toàn xã hội theo quy định của Luật An ninh mạng và các luật chuyên ngành khác.

Nghĩa vụ chứng minh: Bên thực hiện xử lý dữ liệu trong các trường hợp này phải có khả năng chứng minh tính cấp thiết và phù hợp của hành vi khi có yêu cầu kiểm tra từ cơ quan chuyên trách.

2. Phân biệt chuyển giao dữ liệu có thu phí và hành vi mua bán dữ liệu

Việc phân định giữa các giao dịch dữ liệu hợp pháp và hành vi mua bán trái phép là mấu chốt để doanh nghiệp hoạt động minh bạch và tránh các rủi ro hình sự hoặc hành chính nghiêm trọng. Điều 17.2 của Luật (hướng dẫn tại Điều 7.3 Nghị định 356/2025/NĐ-CP) xác lập một ngoại lệ quan trọng: việc chuyển giao dữ liệu cá nhân có thu phí để cung cấp dịch vụ cho chính chủ thể dữ liệu đó không được xem là hành vi mua bán trái phép.

Bản chất kinh tế: Khoản phí được thu trong trường hợp này là chi phí cho "dịch vụ xử lý" hoặc "phí hạ tầng công nghệ" nhằm mang lại lợi ích trực tiếp cho chủ thể dữ liệu. Ví dụ: Một tổ chức tín dụng trả phí cho nhà cung cấp dịch vụ định danh điện tử (eKYC) để xác thực thông tin khách hàng; đây là một phần của quy trình dịch vụ mà khách hàng đã đồng ý tham gia.

Sự khác biệt về đối tượng dữ liệu: Trong chuyển giao có thu phí phục vụ dịch vụ, dữ liệu có thể là "dữ liệu định danh thô" (tên, số định danh, địa chỉ) để bảo đảm tính chính xác của dịch vụ. Ngược lại, đối với các giao dịch thương mại trên sàn dữ liệu, đối tượng bắt buộc phải là dữ liệu đã được "khử nhận dạng" hoàn toàn.

Hành vi mua bán dữ liệu cá nhân trái phép thường mang các đặc điểm nhận dạng rõ rệt nhằm mục đích kiếm lợi nhuận trực tiếp từ thông tin riêng tư :

• Mua bán dữ liệu thô: Giao dịch các tập dữ liệu chứa thông tin định danh chưa qua xử lý kỹ thuật nhằm mục đích khai thác thương mại mà không có sự đồng ý của chủ thể là hành vi bị nghiêm cấm.
• Khai thác trái phép: Thu thập dữ liệu từ các nguồn bất hợp pháp (hack, nghe lén, mua lại từ các nguồn rò rỉ) sau đó bán cho bên thứ ba để thực hiện quảng cáo rác hoặc lừa đảo.
• Né tránh quy định về sàn giao dịch: Việc mua bán dữ liệu cá nhân chỉ được coi là hợp pháp nếu thực hiện thông qua Sàn giao dịch dữ liệu chính thức và dữ liệu đã được khử nhận dạng 100%.

3. Trách nhiệm của các bên khi thực hiện chuyển giao dữ liệu

Tính tuân thủ trong bảo vệ dữ liệu đòi hỏi các bên phải thực thi đồng bộ các biện pháp an ninh mạng và nghĩa vụ báo cáo trước cơ quan chuyên trách. Tất cả các thực thể tham gia vào chuỗi chuyển giao dữ liệu (Bên kiểm soát, Bên xử lý, Bên thứ ba) đều phải áp dụng các biện pháp quản lý và kỹ thuật tương xứng với mức độ rủi ro.

Bảo mật dữ liệu nhạy cảm: Đối với các loại dữ liệu như thông tin tài chính, sức khỏe, định vị, việc chuyển giao bắt buộc phải sử dụng các giao thức mã hóa mạnh (AES, RSA) cả ở trạng thái lưu trữ và trạng thái truyền dẫn. Cần thiết lập sơ đồ luồng dữ liệu (Data Flow) để kiểm soát mọi điểm truy cập.

Cơ chế thông báo vi phạm: Trong trường hợp xảy ra sự cố rò rỉ trong quá trình chuyển giao, Bên kiểm soát phải thông báo cho Cục An ninh mạng (A05) chậm nhất là 72 giờ. Chủ thể dữ liệu cũng phải được thông báo kịp thời để có biện pháp tự bảo vệ tài khoản và tài sản cá nhân. Việc lập và duy trì hồ sơ đánh giá tác động là nghĩa vụ pháp lý "bắt buộc" đối với hầu hết các doanh nghiệp xử lý dữ liệu hiện nay.

Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Mẫu số 10): Áp dụng cho mọi hoạt động thu thập, phân tích và chia sẻ dữ liệu trong nước. Hồ sơ phải được gửi về Bộ Công an trong vòng 60 ngày kể từ ngày bắt đầu hoạt động xử lý. Nội dung hồ sơ cần mô tả chi tiết hoạt động xử lý, loại dữ liệu, biện pháp bảo mật và đánh giá các rủi ro có thể xảy ra đối với quyền cá nhân.

Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài (Mẫu số 09): Đây là yêu cầu cực kỳ quan trọng đối với các doanh nghiệp sử dụng hệ thống máy chủ quốc tế (Cloud như AWS, Google Drive) hoặc gửi dữ liệu cho công ty mẹ ở nước ngoài. Hồ sơ này bao gồm thông tin chi tiết về bên chuyển, bên nhận, luồng dữ liệu xuyên biên giới và cam kết bảo vệ dữ liệu của bên nhận nước ngoài. Hồ sơ phải luôn có sẵn tại doanh nghiệp và cập nhật định kỳ 06 tháng một lần.

Kết luận

Việc chuyển giao dữ liệu cá nhân là một tất yếu khách quan của nền kinh tế số, nhưng sự tất yếu này phải luôn vận hành trong "lồng kính" của pháp luật và đạo đức dữ liệu. Những quy định khắt khe về điều kiện chuyển giao — từ việc bảo đảm sự đồng ý của chủ thể đến việc thẩm định năng lực bảo mật của bên tiếp nhận — chính là cách thức để chúng ta duy trì niềm tin trong các giao dịch số. Khi dữ liệu được chuyển giao một cách minh bạch và có trách nhiệm, nó không còn là gánh nặng về rủi ro pháp lý mà trở thành động lực thúc đẩy sự đổi mới sáng tạo và hợp tác phát triển.

Trong tương lai, khi các mô hình điện toán đám mây và trí tuệ nhân tạo xóa nhòa ranh giới giữa các thực thể xử lý, trách nhiệm bảo vệ dữ liệu trong quá trình chuyển giao sẽ ngày càng được thắt chặt. Các tổ chức không nên nhìn nhận việc tuân thủ các điều kiện chuyển giao như một rào cản hành chính, mà cần coi đó là tiêu chuẩn vàng để thiết lập uy tín thương hiệu và bảo vệ tài sản số của khách hàng. Một lộ trình chuyển giao dữ liệu an toàn, nơi mà quyền lợi của cá nhân luôn được đặt ở vị trí trung tâm, sẽ là nền móng vững chắc cho một xã hội số văn minh, minh bạch và phát triển bền vững. Cuối cùng, dữ liệu có thể được chuyển đi xa, nhưng trách nhiệm bảo vệ nó phải luôn song hành và không bao giờ bị cắt đứt.

Để giúp quý khách giải quyết mọi thách thức này, chúng tôi đã thiết lập Tổng đài tư vấn pháp luật trực tuyến với số hotline 1900.6162. Đội ngũ chuyên gia luật sư tận tâm và có kinh nghiệm sẽ sẵn sàng lắng nghe và cung cấp giải pháp pháp lý chính xác. Ngoài ra, quý khách hàng cũng có thể gửi yêu cầu chi tiết của mình qua địa chỉ email: lienhe@luatminhkhue.vn. Chúng tôi cam kết sẽ xử lý và phản hồi một cách nhanh chóng, đồng thời cung cấp thông tin chi tiết và đầy đủ nhất để giải đáp mọi thắc mắc của quý khách. Chân thành cảm ơn sự tin tưởng và hợp tác của quý khách hàng.