Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, cung cấp và chuyển giao dữ liệu khác nhau thế nào?

23/07/2026
4 lượt xem
0 bình luận

Ba hoạt động dễ nhầm — cung cấp, công khai, chuyển giao — được quy định ở ba điều liền nhau với điều kiện khác nhau.

Điều 15, Điều 16 và Điều 17 Luật 91/2025/QH15 nằm liền nhau và cùng nói về việc dữ liệu đi ra khỏi nơi lưu giữ ban đầu. Nhưng ba điều này điều chỉnh ba tình huống khác nhau.

Cung cấp — Điều 15

Khoản 2 Điều 15 quy định bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân cung cấp dữ liệu cá nhân trong hai trường hợp:

Cung cấp cho chính chủ thể dữ liệu theo yêu cầu của họ, phù hợp quy định pháp luật và thỏa thuận, trừ trường hợp việc cung cấp có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, tài sản của người khác;
Cung cấp cho cơ quan, tổ chức, cá nhân khác khi được chủ thể dữ liệu đồng ý, trừ trường hợp pháp luật có quy định khác.

Khoản 1 Điều 15 nói về chiều ngược lại: chủ thể dữ liệu cung cấp dữ liệu cho tổ chức theo quy định của pháp luật hoặc theo thỏa thuận.

Đặc điểm của "cung cấp"

Đây là hoạt động hướng tới một người nhận xác định, thường xuất phát từ yêu cầu — hoặc của chính chủ thể dữ liệu, hoặc có sự đồng ý của họ.

Công khai — Điều 16

Khoản 1 Điều 16 quy định dữ liệu cá nhân chỉ được công khai với mục đích cụ thể; phạm vi và loại dữ liệu công khai phải phù hợp với mục đích; không được xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

Khoản 2 Điều 16 nêu bốn trường hợp được công khai: khi có sự đồng ý; thực hiện theo quy định của pháp luật; trường hợp tại điểm b khoản 1 Điều 19; thực hiện nghĩa vụ theo hợp đồng.

Đặc điểm của "công khai"

Người nhận không xác định — bất kỳ ai cũng có thể tiếp cận. Khoản 4 Điều 16 nêu hình thức gồm đăng tải trên trang thông tin điện tử, cổng thông tin điện tử, phương tiện thông tin đại chúng và các hình thức khác theo quy định của pháp luật.

Chính vì người nhận không xác định, khoản 5 Điều 16 đặt thêm nghĩa vụ kiểm soát và giám sát chặt chẽ sau khi công khai.

Chuyển giao — Điều 17

Khoản 1 Điều 17 liệt kê sáu trường hợp được chuyển giao, gồm: khi có sự đồng ý của chủ thể dữ liệu; chia sẻ giữa các bộ phận trong cùng một cơ quan, tổ chức phù hợp với mục đích đã xác lập; chuyển giao khi chia, tách, sáp nhập tổ chức; chuyển giao cho bên xử lý, bên thứ ba để xử lý theo quy định; chuyển giao theo yêu cầu của cơ quan nhà nước có thẩm quyền; và các trường hợp tại khoản 1 Điều 19.

Đặc điểm của "chuyển giao"

Đây là hoạt động giữa các tổ chức, thường mang tính hệ thống và lặp lại, phục vụ việc tiếp tục xử lý dữ liệu ở bên nhận. Vì vậy Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu xác lập thỏa thuận chuyển giao với bảy nội dung bắt buộc — mức độ ràng buộc cao hơn hẳn so với việc cung cấp một lần.

Ranh giới với mua bán dữ liệu

Khoản 2 Điều 17 quy định việc chuyển giao trong các trường hợp tại khoản 1, có thu phí hoặc không thu phí, thì không được xác định là mua, bán dữ liệu cá nhân.

Đây là câu quan trọng để phân biệt với hành vi bị nghiêm cấm tại khoản 6 Điều 7. Yếu tố quyết định là hoạt động có thuộc một trong sáu trường hợp tại khoản 1 Điều 17 hay không, chứ không phải có tiền hay không.

Cách xác định nhanh

Với mỗi luồng dữ liệu đi ra, hỏi ba câu:

Người nhận có xác định không? Không xác định thì là công khai — tra Điều 16;
Người nhận là chính chủ thể dữ liệu, hoặc là một bên cụ thể theo yêu cầu có sự đồng ý? Đó là cung cấp — tra Điều 15;
Người nhận là một tổ chức sẽ tiếp tục xử lý dữ liệu theo quan hệ có tính hệ thống? Đó là chuyển giao — tra Điều 17 và Điều 7 Nghị định 356/2025/NĐ-CP.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 15
Luật 91/2025/QH15 Điều 17
Luật 91/2025/QH15 Điều 16

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.