Sáu trường hợp được chuyển giao, và bảy nội dung bắt buộc phải có trong thỏa thuận chuyển giao. Có một câu rất quan trọng về ranh giới với hành vi mua bán dữ liệu.
Điều 7 Luật 91/2025/QH15 cấm mua bán dữ liệu cá nhân, nhưng dữ liệu vẫn phải luân chuyển giữa các tổ chức để công việc diễn ra. Điều 17 xác định ranh giới đó.
Sáu trường hợp được chuyển giao
Khoản 1 Điều 17 quy định việc chuyển giao dữ liệu cá nhân được thực hiện trong các trường hợp:
- Khi có sự đồng ý của chủ thể dữ liệu cá nhân;
- Chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý phù hợp với mục đích xử lý đã xác lập;
- Chuyển giao để tiếp tục xử lý trong trường hợp chia, tách, sáp nhập cơ quan, tổ chức, đơn vị hành chính và tổ chức lại, chuyển đổi hình thức sở hữu doanh nghiệp nhà nước; chia, tách, sáp nhập, hợp nhất, kết thúc hoạt động đơn vị, tổ chức; đơn vị, tổ chức được thành lập trên cơ sở kết thúc hoạt động của đơn vị, tổ chức khác;
- Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao cho bên xử lý dữ liệu cá nhân, bên thứ ba để xử lý theo quy định;
- Chuyển giao theo yêu cầu của cơ quan nhà nước có thẩm quyền;
- Chuyển giao trong các trường hợp quy định tại khoản 1 Điều 19 của Luật.
Ranh giới với mua bán dữ liệu
Khoản 2 Điều 17 quy định việc chuyển giao dữ liệu cá nhân trong các trường hợp tại khoản 1, có thu phí hoặc không thu phí, thì không được xác định là mua, bán dữ liệu cá nhân.
Đây là câu quan trọng. Yếu tố quyết định không phải có tiền hay không, mà là hoạt động đó có thuộc một trong sáu trường hợp tại khoản 1 hay không. Một giao dịch không thu phí nhưng nằm ngoài sáu trường hợp vẫn có thể rơi vào phạm vi hành vi bị nghiêm cấm tại khoản 6 Điều 7.
Bảy nội dung bắt buộc trong thỏa thuận
Điều 7 Nghị định 356/2025/NĐ-CP quy định tổ chức, cá nhân chuyển giao dữ liệu cá nhân theo điểm a, điểm c, điểm d khoản 1 Điều 17 của Luật phải xác lập thỏa thuận về việc chuyển giao với bên nhận, nêu rõ:
- Mục đích chuyển giao dữ liệu cá nhân;
- Đối tượng chủ thể dữ liệu cá nhân và loại dữ liệu cá nhân được chuyển giao phù hợp với mục đích chuyển giao;
- Thời hạn xử lý dữ liệu cá nhân, yêu cầu về xóa, hủy dữ liệu cá nhân sau khi hoàn thành mục đích chuyển giao;
- Cơ sở pháp lý của việc chuyển giao dữ liệu cá nhân;
- Trách nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý;
- Trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân;
- Trách nhiệm phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân.
Đây là danh sách nên dùng làm khung cho phụ lục hợp đồng với mọi đối tác nhận dữ liệu.
Chuyển giao dữ liệu nhạy cảm có yêu cầu thêm
Điều 7 Nghị định 356/2025/NĐ-CP quy định việc chuyển giao dữ liệu cá nhân nhạy cảm phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, biện pháp mã hóa, ẩn danh dữ liệu cá nhân và các biện pháp bảo mật khác trong quá trình chuyển giao.
Trường hợp chuyển giao có thu phí
Điều 7 Nghị định 356/2025/NĐ-CP đặt thêm điều kiện với trường hợp chuyển giao theo điểm a, điểm d khoản 1 Điều 17 của Luật mà có thu phí để cung cấp dịch vụ cho chủ thể dữ liệu hoặc để phục vụ lợi ích hợp pháp của chủ thể dữ liệu:
- Phải thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu đồng ý chính xác, rõ ràng theo từng lần chuyển giao, trên cơ sở được biết chính xác mục đích chuyển giao, tổ chức, cá nhân tiếp nhận và xử lý;
- Chỉ được xử lý dữ liệu cá nhân đúng cho mục đích chuyển giao được chủ thể dữ liệu đồng ý, phù hợp với ngành, nghề đăng ký kinh doanh;
- Loại dữ liệu cá nhân chuyển giao phải giới hạn trong phạm vi tương ứng.
Yêu cầu đồng ý theo từng lần chuyển giao là điều kiện nghiêm ngặt, khác hẳn một sự đồng ý chung cho mọi lần.
Việc nên làm
Lập danh sách mọi luồng dữ liệu đi ra khỏi tổ chức, đối chiếu từng luồng với sáu trường hợp tại khoản 1 Điều 17. Luồng nào không khớp trường hợp nào thì dừng lại. Luồng nào khớp thì bổ sung thỏa thuận chuyển giao đủ bảy nội dung theo Điều 7 Nghị định 356/2025/NĐ-CP.
Đọc thêm cùng chủ đề
- Cung cấp và chuyển giao dữ liệu khác nhau thế nào?
- Bên thứ ba trong xử lý dữ liệu cá nhân là ai?
- Những tổ chức, cá nhân nào phải tuân thủ?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 17
- Nghị định 356/2025/NĐ-CP Điều 7
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.