Yêu cầu về hợp đồng chuyển giao dữ liệu cá nhân xuyên biên giới là một trong những nội dung quan trọng nhất mà doanh nghiệp cần tuân thủ khi thực hiện các hoạt động kinh doanh quốc tế theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. DPVN sẽ giúp bạn nắm rõ các điều khoản bắt buộc phải có trong hợp đồng, cách phân biệt chuyển giao với mua bán trái phép và xây dựng cơ chế bảo vệ an toàn tối đa cho dòng chảy dữ liệu của doanh nghiệp.
Nội dung chính: Hướng dẫn chi tiết cách soạn thảo hợp đồng chuyển giao dữ liệu quốc tế đáp ứng đầy đủ các tiêu chuẩn pháp lý mới nhất năm 2026, giúp doanh nghiệp tránh rủi ro bị xử phạt và đảm bảo hoạt động liên tục.
Tại sao hợp đồng chuyển giao dữ liệu lại quan trọng trong hồ sơ đánh giá tác động?
Hợp đồng chuyển giao là thành phần bắt buộc trong Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu 09) theo khoản 2 Điều 18 Nghị định 356/2025/NĐ-CP. Nó là bằng chứng pháp lý cao nhất cam kết trách nhiệm bảo vệ dữ liệu giữa Bên Chuyển (Việt Nam) và Bên Nhận (Nước ngoài), giúp doanh nghiệp chứng minh sự tuân thủ với Bộ Công an.
Trong quá trình tư vấn cho các doanh nghiệp đa quốc gia, DPVN nhận thấy nhiều đơn vị thường chủ quan, chỉ sử dụng các mẫu hợp đồng thương mại thông thường hoặc thỏa thuận nội bộ (NDA) sơ sài. Điều này là vô cùng rủi ro. Theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, khi dữ liệu ra khỏi biên giới, quyền kiểm soát của cơ quan chức năng Việt Nam sẽ gặp hạn chế. Do đó, Hợp đồng chuyển giao chính là “cánh tay nối dài” của luật pháp, buộc bên nhận ở nước ngoài phải tuân thủ các chuẩn mực bảo vệ dữ liệu của Việt Nam.
Hơn nữa, nếu xảy ra sự cố lộ lọt dữ liệu tại phía đối tác nước ngoài, hợp đồng chặt chẽ sẽ là “lá chắn” giúp doanh nghiệp Việt Nam giảm thiểu trách nhiệm liên đới, tránh các mức phạt vi phạm hành chính lên tới 5% doanh thu.
Những nội dung bắt buộc phải có trong hợp đồng chuyển giao dữ liệu là gì?
Theo khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP, hợp đồng phải bao gồm 6 nội dung cốt lõi: Mục đích chuyển giao; Loại dữ liệu và đối tượng chủ thể; Thời hạn xử lý và yêu cầu xóa hủy; Cơ sở pháp lý; Trách nhiệm bảo vệ dữ liệu; và Trách nhiệm phối hợp xử lý vi phạm.
Để hợp đồng của Quý doanh nghiệp được cơ quan chức năng chấp thuận ngay trong lần thẩm định đầu tiên, DPVN khuyến nghị chi tiết hóa các điều khoản sau:
1. Mục đích và Phạm vi chuyển giao
Phải ghi rõ dữ liệu được chuyển đi để làm gì (ví dụ: “để thực hiện dịch vụ tính lương”, “lưu trữ đám mây”). Tuyệt đối tránh các cụm từ chung chung như “phục vụ mục đích kinh doanh”. Đồng thời, liệt kê cụ thể các trường thông tin (Họ tên, SĐT, Email…) được phép chuyển. Điều này giúp tuân thủ nguyên tắc bảo vệ dữ liệu cá nhân về hạn chế mục đích và tối thiểu hóa dữ liệu.
2. Biện pháp bảo vệ và An ninh dữ liệu
Đây là phần quan trọng nhất về mặt kỹ thuật. Hợp đồng cần quy định rõ Bên Nhận phải áp dụng các biện pháp như mã hóa (Encryption), khử nhận dạng (De-identification) theo tiêu chuẩn quốc tế. Đặc biệt, nếu chuyển dữ liệu cá nhân nhạy cảm, khoản 2 Điều 7 Nghị định 356 yêu cầu bắt buộc phải có biện pháp bảo mật vật lý thiết bị lưu trữ và truyền tải.
3. Quyền và Nghĩa vụ của các bên
Cần làm rõ trách nhiệm của Bên Nhận trong việc hỗ trợ Bên Chuyển đáp ứng các yêu cầu của chủ thể dữ liệu (như quyền xem, chỉnh sửa, xóa dữ liệu). Ví dụ: “Bên Nhận cam kết thực hiện yêu cầu xóa dữ liệu của chủ thể trong vòng 24 giờ sau khi nhận được thông báo từ Bên Chuyển”.
4. Điều khoản về chuyển giao tiếp (Onward Transfer)
Quy định chặt chẽ việc Bên Nhận có được phép chuyển tiếp dữ liệu cho một bên thứ ba khác hay không. Nếu có, phải đảm bảo bên thứ ba đó cũng tuân thủ các nghĩa vụ bảo vệ tương đương và phải có sự đồng ý của Bên Chuyển (hoặc chủ thể dữ liệu).
Làm thế nào để phân biệt hợp đồng chuyển giao và mua bán dữ liệu?
Sự khác biệt nằm ở mục đích sử dụng và quyền sở hữu. Chuyển giao nhằm mục đích xử lý dữ liệu (hợp pháp), trong khi mua bán là chuyển nhượng quyền sở hữu để kiếm lời (bị cấm hoặc hạn chế). Hợp đồng chuyển giao có thu phí phải tuân thủ nghiêm ngặt khoản 3 Điều 7 Nghị định 356 để không bị coi là mua bán trá hình.
Hành vi mua bán dữ liệu cá nhân là hành vi bị nghiêm cấm theo Điều 7 Luật Bảo vệ dữ liệu cá nhân (trừ trường hợp luật định). Tuy nhiên, thực tế có nhiều hoạt động chuyển giao dữ liệu kèm theo phí dịch vụ (ví dụ: thuê dịch vụ phân tích dữ liệu, làm sạch dữ liệu). Để tránh rủi ro pháp lý, hợp đồng của bạn cần thể hiện rõ:
- Bên Nhận chỉ được xử lý dữ liệu theo chỉ đạo của Bên Chuyển, không được sử dụng cho mục đích riêng.
- Bên Nhận không có quyền sở hữu đối với tập dữ liệu đó.
- Phí thanh toán là phí dịch vụ xử lý, không phải giá trị của dữ liệu.
Nếu Quý doanh nghiệp đang băn khoăn về ranh giới này, hãy tham khảo bài viết Phân biệt chuyển giao và mua bán dữ liệu cá nhân xuyên biên giới để có cái nhìn chi tiết hơn.
Mẫu hợp đồng nào được chấp nhận khi nộp hồ sơ cho Bộ Công an?
Hiện tại chưa có mẫu hợp đồng cứng bắt buộc, nhưng hợp đồng nộp kèm hồ sơ phải là bản sao có xác thực và thể hiện đầy đủ các nội dung quy định tại Điều 7 Nghị định 356. Doanh nghiệp có thể sử dụng các mẫu Hợp đồng tiêu chuẩn (Standard Contractual Clauses – SCCs) của quốc tế nhưng phải điều chỉnh (localize) để phù hợp với luật Việt Nam.
Nhiều tập đoàn đa quốc gia thường sử dụng mẫu SCCs của EU (GDPR) cho toàn cầu. Tuy nhiên, DPVN lưu ý rằng Luật Việt Nam có những yêu cầu đặc thù (ví dụ: quy định về dữ liệu nhạy cảm rộng hơn, thời hạn báo cáo vi phạm 72h…). Do đó, việc chỉ đơn thuần dịch SCCs sang tiếng Việt là chưa đủ.
Doanh nghiệp cần xây dựng hoặc rà soát lại hợp đồng dựa trên Thỏa thuận bảo vệ dữ liệu cá nhân giữa bên kiểm soát và bên xử lý dữ liệu cá nhân, đảm bảo tích hợp đầy đủ các yêu cầu của Nghị định 356/2025/NĐ-CP.
Các lưu ý “vàng” khi đàm phán hợp đồng với đối tác nước ngoài
Cần kiên quyết yêu cầu đối tác cam kết tuân thủ luật Việt Nam, chấp nhận quyền kiểm tra (Audit rights) của Bên Chuyển và chịu trách nhiệm bồi thường nếu để xảy ra sự cố. Đặc biệt, cần có điều khoản về việc hỗ trợ hoàn thiện Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (Mẫu 09).
Một thực tế là các đối tác lớn (Google, AWS, Microsoft…) thường áp dụng mẫu hợp đồng “chuẩn” và khó thay đổi. Trong trường hợp này, doanh nghiệp cần bổ sung các Phụ lục xử lý dữ liệu (Data Processing Addendum – DPA) để nội địa hóa các yêu cầu. Đối với các đối tác nhỏ hơn, doanh nghiệp nên chủ động soạn thảo hợp đồng để nắm quyền kiểm soát.
Bạn đang gặp khó khăn trong việc soạn thảo hợp đồng chuyển dữ liệu?
Đừng để những sơ suất nhỏ trong hợp đồng dẫn đến hậu quả pháp lý lớn. Đội ngũ chuyên gia của DPVN sẵn sàng hỗ trợ bạn rà soát và soạn thảo hợp đồng chuẩn xác nhất.
DPVN – Trung Tâm Tư Vấn Pháp Luật Về Bảo Vệ Dữ Liệu Cá Nhân
Hotline: 0982976486
Email: info@baovedlcn.vn
Địa chỉ: Tầng 6 Tòa Star Tower, Phố Trương Công Giai, Phường Yên Hòa, Thành Phố Hà Nội
Câu hỏi thường gặp (FAQ)
1. Có bắt buộc phải công chứng hợp đồng chuyển giao dữ liệu không?
Pháp luật hiện hành không bắt buộc công chứng hợp đồng chuyển giao dữ liệu. Tuy nhiên, khi nộp hồ sơ cho Bộ Công an, bản sao hợp đồng cần được xác thực (sao y bản chính) hoặc có chữ ký, đóng dấu xác nhận của doanh nghiệp.
2. Hợp đồng bằng tiếng Anh có được chấp nhận không?
Hồ sơ nộp cho cơ quan nhà nước Việt Nam phải bằng tiếng Việt. Nếu hợp đồng gốc bằng tiếng Anh, doanh nghiệp bắt buộc phải thực hiện dịch thuật và công chứng hoặc xác nhận bản dịch để nộp kèm.
3. Nếu đối tác nước ngoài vi phạm hợp đồng làm lộ dữ liệu, tôi có bị phạt không?
Bên Chuyển (Việt Nam) vẫn có thể chịu trách nhiệm liên đới nếu không chứng minh được đã thực hiện đầy đủ các biện pháp đánh giá và ràng buộc trách nhiệm trong hợp đồng. Tuy nhiên, một hợp đồng chặt chẽ sẽ là cơ sở quan trọng để bạn yêu cầu đối tác bồi hoàn thiệt hại.
4. Chuyển dữ liệu cho công ty mẹ (Intragroup transfer) có cần hợp đồng không?
Có. Dù là chuyển nội bộ tập đoàn, pháp nhân tại Việt Nam và pháp nhân nước ngoài là hai chủ thể độc lập. Cần có Thỏa thuận chuyển giao dữ liệu nội bộ (Intragroup Data Transfer Agreement) để tuân thủ luật.
5. Thời hạn lưu trữ hợp đồng là bao lâu?
Hợp đồng và hồ sơ đánh giá tác động phải luôn có sẵn để phục vụ công tác kiểm tra của cơ quan chức năng. Doanh nghiệp nên lưu trữ ít nhất trong suốt thời gian hoạt động chuyển dữ liệu và thêm một khoảng thời gian dự phòng sau khi chấm dứt.
Nguồn tham khảo:
- Thư viện Pháp luật: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.
- Cổng thông tin điện tử Chính phủ: Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều của Luật Bảo vệ dữ liệu cá nhân.
- Bộ Công an: Hướng dẫn về bảo vệ an ninh mạng và dữ liệu cá nhân.
- DPVN: Các bài viết chuyên sâu về hợp đồng và tuân thủ pháp luật dữ liệu.
- GDPR.eu: Standard Contractual Clauses (SCCs).
