Cẩn thận phạt nặng khi chuyển giao dữ liệu khách hàng ra quốc tế

Trong kỷ nguyên số, việc hợp tác toàn cầu, sử dụng dịch vụ đám mây hay thuê đối tác marketing nước ngoài là hoạt động tất yếu của doanh nghiệp. Nhưng bạn có biết, mỗi click gửi email chứa data khách hàng cho đối tác nước ngoài, mỗi lần lưu trữ thông tin trên máy chủ quốc tế đều có thể tiềm ẩn rủi ro pháp lý khổng lồ? Nghị định 13/2023/NĐ-CP đã chính thức siết chặt quy định về chuyển giao dữ liệu khách hàng ra quốc tế. Bài viết này sẽ là cẩm nang pháp lý toàn diện, giúp doanh nghiệp bạn bước đi đúng luật trên sân chơi toàn cầu.

I. Thực trạng liên quan đến chuyển giao dữ liệu khách hàng ra quốc tế

Sự phát triển không ngừng của công nghệ và xu hướng toàn cầu hóa, việc chuyển giao dữ liệu khách hàng ra quốc tế đã trở thành một phần không thể thiếu trong hoạt động kinh doanh của nhiều doanh nghiệp. Từ các tập đoàn đa quốc gia đến các startup công nghệ nhỏ, tất cả đều ít nhiều thực hiện việc này, ví dụ như lưu trữ dữ liệu trên các dịch vụ điện toán đám mây (cloud computing) có máy chủ đặt tại nước ngoài, sử dụng các công cụ phân tích dữ liệu toàn cầu, hay hợp tác với đối tác nước ngoài để xử lý thông tin khách hàng.

Thực trạng này đặt ra cả cơ hội và thách thức. Cơ hội nằm ở việc tối ưu hóa vận hành, tiếp cận công nghệ tiên tiến và mở rộng thị trường. Tuy nhiên, thách thức lớn nhất lại đến từ việc tuân thủ pháp luật, đặc biệt là các quy định về bảo vệ dữ liệu cá nhân vốn rất chặt chẽ và khác biệt giữa các quốc gia. Nhiều doanh nghiệp còn mơ hồ về các điều kiện pháp lý, quy trình thủ tục, và rủi ro tiềm ẩn khi chuyển giao dữ liệu khách hàng ra quốc tế, dẫn đến nguy cơ bị phạt hành chính nặng nề, mất uy tín hoặc thậm chí là đối mặt với các vụ kiện tụng từ khách hàng. 

Điều này làm nổi bật tầm quan trọng của việc nắm vững các quy định pháp luật liên quan để đảm bảo hoạt động kinh doanh diễn ra suôn sẻ và bền vững.

II. Khái niệm về chuyển giao dữ liệu khách hàng ra quốc tế

Phần này, NPLaw sẽ giải mã các thuật ngữ cốt lõi liên quan đến chuyển giao dữ liệu khách hàng ra quốc tế.

1. Chuyển giao dữ liệu khách hàng ra quốc tế là gì?

Chuyển giao dữ liệu khách hàng ra quốc tế được hiểu là hoạt động chuyển đổi, sao chép, gửi, lưu trữ, cung cấp hoặc cho phép truy cập dữ liệu cá nhân của khách hàng từ lãnh thổ Việt Nam sang lãnh thổ của một quốc gia, vùng lãnh thổ khác, hoặc sử dụng hệ thống thông tin, điện toán đám mây có máy chủ đặt ở nước ngoài để xử lý dữ liệu.

Theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, đặc biệt tại Điều 25, hoạt động này được quy định chi tiết là việc chuyển dữ liệu cá nhân ra nước ngoài và áp dụng các điều kiện nghiêm ngặt để đảm bảo quyền lợi của chủ thể dữ liệu.

Hiểu rõ khái niệm này giúp doanh nghiệp nhận diện đúng các hoạt động của mình có thuộc phạm vi điều chỉnh của pháp luật về chuyển giao dữ liệu quốc tế hay không, từ đó có những bước đi pháp lý phù hợp.

2. Những loại dữ liệu nào bị hạn chế hoặc cấm chuyển giao ra quốc tế?

Pháp luật Việt Nam không trực tiếp cấm tuyệt đối việc chuyển giao dữ liệu khách hàng ra quốc tế, mà thay vào đó áp đặt các điều kiện nghiêm ngặt, đặc biệt đối với "dữ liệu cá nhân cơ bản" và "dữ liệu cá nhân nhạy cảm".

Theo khoản 3,4 Điều 2 Nghị định 13/2023/NĐ-CP:

• Dữ liệu cá nhân cơ bản bao gồm các thông tin nhận dạng cơ bản như họ tên, ngày sinh, giới tính, địa chỉ, số điện thoại, CCCD,...
• Dữ liệu cá nhân nhạy cảm là những dữ liệu khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của cá nhân, như quan điểm chính trị, tôn giáo, tình trạng sức khỏe, thông tin tài chính, vị trí địa lý, dữ liệu về tội phạm,...

Việc chuyển giao các loại dữ liệu này ra nước ngoài đều phải tuân thủ các điều kiện chặt chẽ được quy định tại Điều 25 Nghị định 13/2023/NĐ-CP. Mặc dù không có loại dữ liệu nào bị "cấm" hoàn toàn, nhưng các dữ liệu nhạy cảm sẽ phải chịu sự giám sát và yêu cầu bảo mật cao hơn.

Như vậy, doanh nghiệp cần xác định rõ loại dữ liệu đang xử lý để áp dụng đúng các biện pháp bảo vệ và thủ tục pháp lý tương ứng khi có ý định chuyển giao ra nước ngoài.

3. Việc chuyển giao dữ liệu khách hàng gồm những hình thức phổ biến nào?

Chuyển giao dữ liệu khách hàng ra quốc tế có thể diễn ra dưới nhiều hình thức khác nhau trong hoạt động kinh doanh hiện đại, cụ thể:

• Lưu trữ đám mây: Doanh nghiệp sử dụng các dịch vụ lưu trữ dữ liệu trên nền tảng điện toán đám mây (cloud computing) như Amazon Web Services (AWS), Microsoft Azure, Google Cloud Platform, với máy chủ đặt ở nước ngoài.
• Sử dụng phần mềm/ứng dụng nước ngoài: Doanh nghiệp sử dụng các phần mềm quản lý quan hệ khách hàng (CRM), hệ thống quản lý nhân sự (HRM), hoặc các công cụ phân tích marketing có trụ sở và máy chủ ở nước ngoài, yêu cầu dữ liệu khách hàng được chuyển đến để xử lý.
• Hợp tác với đối tác nước ngoài: Chia sẻ dữ liệu khách hàng với các công ty con, công ty mẹ, chi nhánh, hoặc đối tác kinh doanh (nhà cung cấp dịch vụ, nhà phân phối, đối tác quảng cáo) đặt tại nước ngoài để thực hiện các mục đích kinh doanh cụ thể.
• Hỗ trợ khách hàng quốc tế: Khi khách hàng Việt Nam sử dụng dịch vụ hoặc sản phẩm của doanh nghiệp khi đang ở nước ngoài, dữ liệu của họ có thể được chuyển giao để hỗ trợ hoặc cung cấp dịch vụ.

Các hình thức này đều tiềm ẩn rủi ro pháp lý nếu không tuân thủ quy định tại Nghị định 13/2023/NĐ-CP và các văn bản pháp luật liên quan.

Dù dưới hình thức nào, doanh nghiệp đều cần xem xét kỹ lưỡng các quy định pháp luật hiện hành trước khi thực hiện chuyển giao dữ liệu khách hàng ra quốc tế để tránh những vi phạm không đáng có.

III. Quy định của pháp luật liên quan đến chuyển giao dữ liệu khách hàng ra quốc tế

NPLaw nhận thấy, quy định pháp luật về chuyển giao dữ liệu quốc tế là nội dung cốt lõi mà mọi doanh nghiệp cần nắm rõ. Chúng tôi sẽ phân tích chi tiết các yêu cầu pháp lý liên quan.

1. Các điều kiện để được phép chuyển giao dữ liệu khách hàng ra quốc tế được pháp luật nêu cụ thể như thế nào?

Để được phép chuyển giao dữ liệu khách hàng ra quốc tế, doanh nghiệp (Bên Chuyển giao dữ liệu) phải đáp ứng đồng thời 04 điều kiện cốt lõi sau đây theo khoản 2 Điều 25 Nghị định 13/2023/NĐ-CP về chuyển dữ liệu cá nhân ra nước ngoài, cụ thể như:

• Lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài: Đây là một tài liệu pháp lý quan trọng, phân tích các rủi ro và biện pháp bảo vệ dữ liệu khi chuyển đi.
• Hoàn thiện các thủ tục sau khi chuyển dữ liệu thành công: Doanh nghiệp phải thông báo cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) - Bộ Công an về việc chuyển dữ liệu và thông tin liên lạc của bên chịu trách nhiệm.
• Có sự đồng ý của chủ thể dữ liệu (khách hàng): Khách hàng phải được thông báo rõ ràng và đồng ý về việc dữ liệu của họ sẽ được chuyển ra nước ngoài.
• Phải có văn bản thể hiện sự ràng buộc, trách nhiệm giữa bên chuyển và bên nhận dữ liệu: Thông thường là hợp đồng hoặc thỏa thuận, trong đó quy định rõ trách nhiệm bảo vệ dữ liệu của bên nhận.

Việc tuân thủ không chỉ là một thủ tục hành chính mà là một quy trình pháp lý hoàn chỉnh đòi hỏi sự chuẩn bị kỹ lưỡng về mặt hồ sơ và tài liệu.

2. Pháp luật hiện hành quy định như thế nào về việc chuyển giao dữ liệu khách hàng ra quốc tế?

Pháp luật hiện hành của Việt Nam, đặc biệt là Nghị định 13/2023/NĐ-CP, quy định rất chi tiết về việc chuyển giao dữ liệu khách hàng ra quốc tế. Cụ thể:

• Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài (khoản 2, 3 Điều 25 Nghị định 13/2023/NĐ-CP): Bên chuyển dữ liệu phải lập và lưu trữ hồ sơ này, bao gồm các thông tin về mục đích, loại dữ liệu, bên nhận chuyển giao, các biện pháp bảo vệ và rủi ro. Hồ sơ này phải được cập nhật thường xuyên.
• Thông báo cho Bộ Công an (khoản 4, 5 Điều 25 Nghị định 13/2023/NĐ-CP): Trước khi thực hiện việc chuyển dữ liệu ra nước ngoài, bên chuyển dữ liệu phải thông báo cho Bộ Công an về việc chuyển giao, kèm theo hồ sơ đánh giá tác động.
• Đảm bảo tương đương về bảo vệ dữ liệu (khoản 7 Điều 25 Nghị định 13/2023/NĐ-CP): Căn cứ tình hình cụ thể, Bộ Công an quyết định việc kiểm tra chuyển dữ liệu cá nhân ra nước ngoài 01 lần/năm, trừ trường hợp phát hiện hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân tại Nghị định này hoặc để xảy ra sự cố lộ, mất dữ liệu cá nhân của công dân Việt Nam.

Ngoài ra, Luật An ninh mạng 2018 cũng có những quy định liên quan đến việc lưu trữ, xử lý dữ liệu người dùng tại Việt Nam đối với các doanh nghiệp cung cấp dịch vụ trên không gian mạng và thu thập dữ liệu cá nhân của người dùng tại Việt Nam như Điều 19 về phòng, chống tấn công mạng, Điều 21 về phòng ngừa, xử lý tình huống nguy hiểm về an ninh mạng, Điều 26 về bảo đảm an ninh thông tin trên không gian mạng,...

Như vậy, pháp luật đã quy định rất rõ, doanh nghiệp không chỉ cần có sự đồng ý của khách hàng mà còn phải thực hiện các thủ tục hành chính và đảm bảo năng lực bảo mật của bên nhận chuyển giao ở nước ngoài.

3. Doanh nghiệp muốn chuyển dữ liệu khách hàng ra nước ngoài có bắt buộc phải xin phép cơ quan nhà nước không?

Doanh nghiệp muốn chuyển dữ liệu khách hàng ra nước ngoài bắt buộc phải xin phép cơ quan nhà nước. Cụ thể, theo khoản 1, 2 Điều 25 Nghị định 13/2023/NĐ-CP, trước khi tiến hành chuyển giao dữ liệu khách hàng ra quốc tế, bên chuyển dữ liệu lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện các thủ tục như nghĩa vụ "thông báo cho Bộ Công an" về hoạt động này. Mặc dù văn bản không dùng từ "xin phép" nhưng việc thông báo và nộp hồ sơ đánh giá tác động cho Bộ Công an là một thủ tục bắt buộc để cơ quan quản lý có thể giám sát và kiểm tra việc tuân thủ các quy định bảo vệ dữ liệu.

Việc không thực hiện thủ tục thông báo này sẽ bị coi là vi phạm pháp luật về bảo vệ dữ liệu cá nhân và có thể dẫn đến các chế tài hành chính nghiêm khắc.

Tóm lại, doanh nghiệp bắt buộc phải thực hiện thủ tục thông báo và nộp hồ sơ cho Bộ Công an, coi đây là một bước pháp lý quan trọng để đảm bảo tính hợp pháp của việc chuyển giao dữ liệu khách hàng ra quốc tế.

4. Nghĩa vụ của doanh nghiệp khi xảy ra vi phạm dữ liệu trong quá trình chuyển giao quốc tế được quy định ra sao?

Khi xảy ra vi phạm dữ liệu cá nhân trong quá trình chuyển giao dữ liệu khách hàng ra quốc tế, doanh nghiệp chuyển giao dữ liệu có các nghĩa vụ sau theo Điều 23 Nghị định 13/2023/NĐ-CP, cụ thể như sau:

• Thông báo cho Cục A05 - Bộ Công an: Ngay lập tức thông báo cho Bộ Công an về vụ vi phạm, bao gồm thông tin về loại dữ liệu bị vi phạm, nguyên nhân, thời điểm, đối tượng ảnh hưởng và các biện pháp khắc phục đã hoặc sẽ được thực hiện. Phải thông báo chậm nhất là 72 giờ sau khi xảy ra vi phạm.
• Thông báo cho chủ thể dữ liệu: Phải thông báo cho khách hàng càng sớm càng tốt nếu vi phạm có khả năng ảnh hưởng đến quyền và lợi ích của họ.
• Hợp tác với cơ quan chức năng: Phối hợp với Bộ Công an và các cơ quan liên quan để điều tra, xử lý vụ việc và thực hiện các biện pháp ngăn chặn, khắc phục hậu quả.
• Chịu trách nhiệm bồi thường thiệt hại: Nếu vi phạm gây thiệt hại cho chủ thể dữ liệu, doanh nghiệp có thể phải chịu trách nhiệm bồi thường theo quy định của pháp luật.

Như vậy, trách nhiệm của doanh nghiệp không chỉ dừng lại ở việc tuân thủ điều kiện chuyển giao mà còn phải chủ động ứng phó, thông báo và chịu trách nhiệm khi có sự cố xảy ra, đặc biệt khi chuyển giao dữ liệu khách hàng ra quốc tế.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến chuyển giao dữ liệu khách hàng ra quốc tế

NPLaw thường xuyên nhận được nhiều câu hỏi thực tế từ khách hàng. Mục này sẽ giải đáp các thắc mắc phổ biến nhất về việc chuyển giao dữ liệu khách hàng ra quốc tế.

1. Khách hàng có quyền từ chối cho phép doanh nghiệp chuyển dữ liệu của họ ra nước ngoài hay không?

Khách hàng hoàn toàn có quyền từ chối cho phép doanh nghiệp chuyển giao dữ liệu khách hàng ra quốc tế.

Theo điểm g, h khoản 2 Điều 25 Nghị định 13/2023/NĐ-CP, một trong những điều kiện tiên quyết để được chuyển dữ liệu ra nước ngoài là có sự đồng ý của chủ thể dữ liệu. Sự đồng ý này phải được thu thập một cách tự nguyện, rõ ràng và có thể rút lại bất cứ lúc nào theo khoản 4 Điều 9 Nghị định này về quyền của chủ thể dữ liệu. Nếu khách hàng từ chối hoặc rút lại sự đồng ý, doanh nghiệp không được phép thực hiện việc chuyển giao.

Do đó, quyền đồng ý là cốt lõi trong bảo vệ dữ liệu cá nhân. Doanh nghiệp phải tôn trọng quyết định của khách hàng và cung cấp cơ chế rõ ràng để họ thực hiện quyền này, đặc biệt khi chuyển giao dữ liệu khách hàng ra quốc tế.

2. Nếu doanh nghiệp chỉ lưu trữ dữ liệu trên máy chủ đặt ở nước ngoài mà không chia sẻ cho bên thứ ba thì có bị xem là chuyển dữ liệu quốc tế không?

Việc chỉ lưu trữ dữ liệu trên máy chủ đặt ở nước ngoài, ngay cả khi không chia sẻ cho bên thứ ba, vẫn được xem là chuyển giao dữ liệu khách hàng ra quốc tế và phải tuân thủ các quy định tại Điều 25 Nghị định 13/2023/NĐ-CP.

Lý do là hoạt động lưu trữ dữ liệu trên máy chủ nước ngoài vẫn thuộc phạm vi "chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài" theo Điều 25 Nghị định này, vì dữ liệu đã rời khỏi lãnh thổ Việt Nam và nằm dưới sự quản lý của một thực thể (nhà cung cấp dịch vụ lưu trữ) ở nước ngoài, tiềm ẩn các rủi ro về quyền riêng tư và an ninh mạng.

Theo đó, doanh nghiệp cần hiểu rộng định nghĩa về chuyển giao dữ liệu khách hàng ra quốc tế để đảm bảo tuân thủ, ngay cả với các hoạt động tưởng chừng như đơn giản như lưu trữ đám mây.

3. Việc chuyển dữ liệu cá nhân ra nước ngoài có bị hạn chế đối với một số quốc gia hay không?

Hiện tại, pháp luật Việt Nam không đưa ra một "danh sách đen" hay "danh sách trắng" các quốc gia như quy định GDPR của châu Âu. Thay vào đó, luật Việt Nam tập trung vào sự cam kết và trách nhiệm của Bên nhận dữ liệu, không phân biệt quốc gia.

Trọng tâm là doanh nghiệp phải đảm bảo rằng đối tác nhận dữ liệu (dù ở bất kỳ quốc gia nào) cũng phải có các biện pháp bảo vệ dữ liệu tương đương hoặc cao hơn tiêu chuẩn của Việt Nam, và điều này phải được thể hiện qua văn bản ràng buộc.

4. Dữ liệu khách hàng được chuyển ra quốc tế có thể bị thu hồi hoặc xóa theo yêu cầu của khách hàng hay không?

Dữ liệu khách hàng được chuyển giao dữ liệu khách hàng ra quốc tế vẫn có thể bị thu hồi hoặc xóa theo yêu cầu của khách hàng.

Theo khoản 5 Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu có quyền được  xóa hoặc yêu cầu xóa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. Doanh nghiệp, với tư cách là Bên kiểm soát dữ liệu cá nhân hoặc Bên xử lý dữ liệu cá nhân, có nghĩa vụ thực hiện các yêu cầu này. Khi dữ liệu đã được chuyển ra nước ngoài, doanh nghiệp vẫn phải có cơ chế để đảm bảo quyền này của khách hàng được thực thi, bao gồm việc yêu cầu bên nhận chuyển giao thực hiện việc thu hồi hoặc xóa dữ liệu.

Như vậy, doanh nghiệp phải thiết lập các quy trình nội bộ và có các điều khoản ràng buộc với bên nhận chuyển giao ở nước ngoài để đảm bảo quyền của chủ thể dữ liệu luôn được tôn trọng, ngay cả khi chuyển giao dữ liệu khách hàng ra quốc tế.

5. Chuyển giao dữ liệu khách hàng ra quốc tế có ảnh hưởng đến quyền truy cập dữ liệu của khách hàng trong tương lai không?

Về nguyên tắc, việc chuyển giao dữ liệu khách hàng ra quốc tế không được phép làm ảnh hưởng đến quyền truy cập dữ liệu của khách hàng trong tương lai.

Theo khoản 3 Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu có quyền  được truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. Doanh nghiệp vẫn có nghĩa vụ đảm bảo rằng khách hàng có thể thực hiện quyền này, bất kể dữ liệu đang được lưu trữ hay xử lý ở đâu trên thế giới. Các hợp đồng với bên nhận chuyển giao ở nước ngoài cần có điều khoản rõ ràng về việc hỗ trợ thực hiện quyền truy cập dữ liệu của khách hàng.

Do đó, doanh nghiệp phải đảm bảo rằng mọi hoạt động chuyển giao dữ liệu khách hàng ra quốc tế đều không làm suy giảm các quyền cơ bản của chủ thể dữ liệu, đặc biệt là quyền truy cập và chỉnh sửa thông tin cá nhân.

V. Tại sao nên tìm luật sư tư vấn ở NP Law khi có vấn đề về chuyển giao dữ liệu khách hàng ra quốc tế

Việc tuân thủ đúng các quy định về chuyển giao dữ liệu khách hàng ra quốc tế theo Nghị định 13/2023/NĐ-CP không chỉ giúp doanh nghiệp tránh được các khoản phạt không đáng có mà còn là yếu tố sống còn để xây dựng lòng tin với khách hàng và đối tác. Tuy nhiên, với những quy định phức tạp và mang tính kỹ thuật cao, việc tự mình tìm hiểu và thực hiện có thể gặp nhiều khó khăn và rủi ro.

Nếu bạn đang gặp vướng mắc trong việc xây dựng Hồ sơ đánh giá tác động, soạn thảo hợp đồng chuyển giao dữ liệu, hay thực hiện thủ tục thông báo với cơ quan nhà nước, hãy liên hệ với NPLaw ngay hôm nay. Với đội ngũ luật sư am hiểu sâu sắc về Luật An ninh mạng và Bảo vệ dữ liệu cá nhân, chúng tôi cam kết mang đến giải pháp pháp lý toàn diện, hiệu quả và phù hợp nhất với mô hình kinh doanh của bạn.

Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.