Chuyển giao dữ liệu cá nhân là gì? 6 trường hợp hợp pháp và thỏa thuận chuyển giao theo Luật 91/2025

Chuyển giao dữ liệu cá nhân là gì?

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 liệt kê chuyển giao là một trong các hoạt động xử lý dữ liệu cá nhân (khoản 6 Điều 2), nhưng không định nghĩa riêng thuật ngữ này. Từ cách Điều 17 Luật 91/2025/QH15 và Điều 7 Nghị định 356/2025/NĐ-CP mô tả các trường hợp chuyển giao, có thể hiểu chuyển giao dữ liệu cá nhân là việc đưa dữ liệu cá nhân từ tổ chức, cá nhân đang nắm giữ sang tổ chức, cá nhân khác, hoặc giữa các bộ phận trong cùng một tổ chức, để bên nhận tiếp tục xử lý.

Luật 91/2025 tiếp cận theo hướng danh sách đóng: chuyển giao dữ liệu cá nhân chỉ hợp pháp khi thuộc một trong 6 trường hợp tại khoản 1 Điều 17. Giao dịch nằm ngoài danh sách này, nhất là khi có trao đổi tiền hoặc lợi ích, có thể bị coi là mua bán dữ liệu cá nhân, một hành vi bị cấm (xem mua bán dữ liệu cá nhân).

Chuyển giao dữ liệu cá nhân khác gì cung cấp, công khai và chuyển ra nước ngoài?

Doanh nghiệp thường dùng chung từ "chia sẻ dữ liệu" cho nhiều hoạt động có nghĩa vụ khác nhau. Luật 91/2025 tách chúng thành các điều riêng:

Một giao dịch có thể phải đáp ứng nhiều điều cùng lúc. Ví dụ, gửi dữ liệu khách hàng cho công ty mẹ ở Singapore vừa là chuyển giao (phải có căn cứ tại Điều 17 và thỏa thuận), vừa là chuyển dữ liệu ra nước ngoài (phải lập hồ sơ theo Điều 20).

6 trường hợp được chuyển giao dữ liệu cá nhân theo Điều 17

Khoản 1 Điều 17 Luật 91/2025/QH15 cho phép chuyển giao dữ liệu cá nhân trong các trường hợp sau. Cột cuối cho biết trường hợp nào bắt buộc có thỏa thuận chuyển giao theo khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP:

Khoản 2 Điều 17 nói rõ: chuyển giao trong 6 trường hợp này, có thu phí hay không, không bị xác định là mua bán dữ liệu cá nhân. Nếu có thu phí theo điểm a hoặc d, doanh nghiệp phải đáp ứng thêm 6 điều kiện tại khoản 3 Điều 7 Nghị định 356, đã được phân tích trong cẩm nang mua bán dữ liệu cá nhân. Chi tiết điểm e xem tại xử lý dữ liệu không cần sự đồng ý.

Thỏa thuận chuyển giao dữ liệu cá nhân cần có những nội dung gì?

Khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu thỏa thuận chuyển giao với bên nhận nêu rõ 7 nội dung. Bảng dưới đây kèm gợi ý cách soạn từ kinh nghiệm rà soát hợp đồng của LexData:

Khi bên nhận là bên xử lý dữ liệu, các nội dung này thường được đưa vào hợp đồng xử lý dữ liệu (DPA). Với dữ liệu cá nhân nhạy cảm, bên chuyển giao còn phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ, truyền tải, và biện pháp mã hóa, ẩn danh trong quá trình chuyển giao (khoản 2 Điều 7 Nghị định 356).

Chia sẻ dữ liệu giữa các phòng ban có phải là chuyển giao dữ liệu cá nhân không?

Có. Điểm b khoản 1 Điều 17 coi chia sẻ giữa các bộ phận trong cùng một tổ chức là một trường hợp chuyển giao, với điều kiện việc chia sẻ phù hợp mục đích xử lý đã xác lập. Trường hợp này không cần thỏa thuận, nhưng khoản 4 Điều 7 Nghị định 356 yêu cầu doanh nghiệp:

• Xây dựng quy trình kiểm soát việc chia sẻ, sử dụng dữ liệu cá nhân giữa các bộ phận;
• Có biện pháp phòng, chống nhân sự nội bộ chia sẻ trái phép dữ liệu cá nhân với bên thứ ba.

Đây là nghĩa vụ hay bị bỏ sót. Trong các đợt rà soát LexData thực hiện, lỗi phổ biến là phòng marketing tự lấy dữ liệu khách hàng của phòng chăm sóc khách hàng để chạy chiến dịch mới, trong khi mục đích ban đầu chỉ là hỗ trợ sau bán hàng. Chia sẻ nội bộ chỉ hợp pháp khi mục đích mới vẫn nằm trong mục đích đã thông báo cho chủ thể dữ liệu. Lưu ý thêm: công ty mẹ, công ty con và các công ty trong cùng tập đoàn là các pháp nhân riêng, nên chia sẻ giữa họ không phải chia sẻ nội bộ.

Chuyển giao dữ liệu cá nhân khi sáp nhập, mua bán doanh nghiệp

Điểm c khoản 1 Điều 17 cho phép chuyển giao để tiếp tục xử lý khi chia, tách, sáp nhập, hợp nhất, tổ chức lại hoặc kết thúc hoạt động của tổ chức. Trường hợp này vẫn cần thỏa thuận chuyển giao đủ 7 nội dung. Bên nhận chỉ được tiếp tục xử lý trong phạm vi mục đích mà chủ thể dữ liệu đã đồng ý với bên chuyển; muốn dùng cho mục đích mới thì cần căn cứ mới.

Nếu giao dịch chỉ là mua cổ phần, pháp nhân nắm giữ dữ liệu không đổi nên không phát sinh chuyển giao. Nếu chỉ bán riêng một tệp khách hàng hoặc một mảng tài sản, giao dịch có thể không thuộc điểm c và cần xem xét kỹ. Doanh nghiệp tổ chức lại cũng phải cập nhật ngay hồ sơ đánh giá tác động (điểm a khoản 2 Điều 22 Luật 91/2025). Quy trình rà soát chi tiết xem bài due diligence bảo vệ dữ liệu cá nhân trong M&A.

Mức phạt vi phạm quy định về chuyển giao dữ liệu cá nhân

Điều 52 Nghị định 330/2026/NĐ-CP quy định mức phạt với tổ chức (cá nhân chịu một nửa):

• 20–30 triệu đồng: thỏa thuận chuyển giao không xác định trách nhiệm bảo vệ dữ liệu, trách nhiệm thực hiện quyền của chủ thể dữ liệu, trách nhiệm phối hợp khi có vi phạm; hoặc không có quy trình kiểm soát chia sẻ nội bộ và biện pháp chống nhân sự chia sẻ trái phép (khoản 1).
• 30–50 triệu đồng: chuyển giao có thu phí theo điểm a, d khoản 1 Điều 17 nhưng không xác định rõ vai trò các bên, không giới hạn loại dữ liệu, không xác định thời hạn lưu trữ hoặc không xóa khi hoàn thành mục đích (khoản 2); có thể bị tịch thu tang vật, phương tiện vi phạm.
• 50–80 triệu đồng: chuyển giao dữ liệu cá nhân nhạy cảm không có biện pháp bảo mật vật lý, mã hóa, ẩn danh (khoản 3).

Biện pháp khắc phục gồm buộc hoàn thiện thỏa thuận chuyển giao và buộc xóa dữ liệu nhạy cảm đã chuyển nếu không thể bảo đảm bảo mật. Chuyển giao không thuộc trường hợp nào của Điều 17 để thu lợi thì bị xử lý theo Điều 53 về mua bán dữ liệu cá nhân, với mức phạt cao hơn nhiều. Tổng hợp khác xem tại cẩm nang mức phạt vi phạm dữ liệu cá nhân.

Checklist chuyển giao dữ liệu cá nhân

1. Lập danh sách mọi luồng dữ liệu ra khỏi từng bộ phận và ra khỏi doanh nghiệp.
2. Gắn mỗi luồng với một điểm của khoản 1 Điều 17 Luật 91/2025. Luồng nào không gắn được thì dừng lại.
3. Với điểm a, c, d: ký thỏa thuận chuyển giao hoặc DPA đủ 7 nội dung tại khoản 1 Điều 7 Nghị định 356.
4. Với chia sẻ nội bộ: ban hành quy trình kiểm soát và phân quyền truy cập theo mục đích.
5. Mã hóa và ẩn danh khi chuyển giao dữ liệu cá nhân nhạy cảm.
6. Nếu bên nhận ở nước ngoài: lập thêm hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới.
7. Nêu các nhóm bên nhận và mục đích chuyển giao trong thông báo xử lý dữ liệu cá nhân.