Trong bối cảnh các doanh nghiệp thường xuyên điều chỉnh chính sách bảo mật để đáp ứng yêu cầu pháp luật và nhu cầu vận hành, vấn đề chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật ngày càng trở nên nhạy cảm và phức tạp.
Trong bối cảnh các doanh nghiệp thường xuyên điều chỉnh chính sách bảo mật để đáp ứng yêu cầu pháp luật và nhu cầu vận hành, vấn đề chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật ngày càng trở nên nhạy cảm và phức tạp.
I. Thực trạng liên quan đến chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật
Trong thực tiễn hoạt động của doanh nghiệp, việc điều chỉnh, cập nhật chính sách bảo mật thường xuất phát từ yêu cầu tuân thủ quy định pháp luật mới, thay đổi mô hình kinh doanh hoặc mở rộng phạm vi khai thác dữ liệu. Tuy nhiên, quá trình thay đổi chính sách bảo mật lại kéo theo nhiều vấn đề pháp lý phát sinh liên quan đến việc tiếp tục sử dụng, chia sẻ hoặc chuyển giao dữ liệu cá nhân đã được thu thập trước đó.
Thứ nhất, nhiều doanh nghiệp chưa thực hiện đầy đủ nghĩa vụ thông báo và lấy lại sự đồng ý của chủ thể dữ liệu khi chính sách bảo mật được sửa đổi theo hướng mở rộng mục đích xử lý hoặc bổ sung bên nhận dữ liệu. Trên thực tế, không ít trường hợp doanh nghiệp chỉ đăng tải chính sách bảo mật mới trên website hoặc ứng dụng mà không có cơ chế thông báo trực tiếp, rõ ràng, dẫn đến việc chủ thể dữ liệu không nhận thức đầy đủ về sự thay đổi cũng như quyền lựa chọn của mình.
Thứ hai, việc chuyển giao dữ liệu cho bên thứ ba sau khi thay đổi chính sách bảo mật còn thiếu kiểm soát chặt chẽ. Một số doanh nghiệp tiến hành chia sẻ dữ liệu cho đối tác, công ty liên kết hoặc đơn vị cung cấp dịch vụ mà chưa đánh giá đầy đủ rủi ro an toàn thông tin, chưa ký kết thỏa thuận xử lý dữ liệu hoặc phân định rõ trách nhiệm pháp lý giữa các bên, làm gia tăng nguy cơ lộ, lọt hoặc bị lạm dụng dữ liệu cá nhân.
Thứ ba, nhận thức và năng lực tuân thủ pháp luật về bảo vệ dữ liệu của nhiều tổ chức vẫn còn hạn chế. Việc thay đổi chính sách bảo mật chủ yếu được xem là vấn đề nội bộ hoặc kỹ thuật, trong khi các yêu cầu pháp lý liên quan đến chuyển giao dữ liệu, đặc biệt là dữ liệu cá nhân nhạy cảm hoặc chuyển dữ liệu ra nước ngoài, chưa được quan tâm đúng mức, dẫn đến nguy cơ vi phạm quy định pháp luật hiện hành.
Từ những thực trạng trên có thể thấy, chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật đang là “điểm mờ” pháp lý trong hoạt động quản trị dữ liệu của nhiều doanh nghiệp, đòi hỏi phải có sự rà soát, hoàn thiện cả về khung pháp lý lẫn cơ chế thực thi trong thời gian tới.
II. Khái niệm về chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật
Việc làm rõ khái niệm chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật có ý nghĩa quan trọng trong việc xác định phạm vi điều chỉnh của pháp luật, trách nhiệm pháp lý của các chủ thể liên quan cũng như cơ sở đánh giá tính hợp pháp của hoạt động xử lý dữ liệu. Trên thực tế, không phải mọi sự thay đổi chính sách bảo mật đều dẫn đến chuyển giao dữ liệu, song những thay đổi nhất định có thể làm phát sinh hoặc làm thay đổi bản chất của hoạt động này.
1. Chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật là gì?
Chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật có thể được hiểu là việc bên kiểm soát hoặc xử lý dữ liệu tiếp tục sử dụng, chia sẻ, cung cấp hoặc chuyển dữ liệu đã thu thập cho bên thứ ba trên cơ sở chính sách bảo mật mới hoặc đã được sửa đổi, trong đó nội dung thay đổi có ảnh hưởng đến mục đích, phạm vi, phương thức hoặc chủ thể tiếp nhận dữ liệu.
Hoạt động chuyển giao này không chỉ bao gồm việc chuyển dữ liệu phát sinh sau thời điểm chính sách bảo mật được thay đổi, mà còn có thể áp dụng đối với dữ liệu được thu thập trước đó, nếu chính sách bảo mật mới cho phép hoặc mở rộng việc chia sẻ, khai thác dữ liệu. Do đó, bản chất của chuyển giao dữ liệu trong trường hợp này gắn liền với vấn đề tính hợp pháp của sự đồng ý, mức độ minh bạch và quyền kiểm soát dữ liệu của chủ thể dữ liệu.
Như vậy, chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật không đơn thuần là hành vi kỹ thuật, mà là một hoạt động xử lý dữ liệu có hệ quả pháp lý rõ rệt, cần được xem xét dưới góc độ tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.
2. Những thay đổi nào trong chính sách bảo mật có thể ảnh hưởng trực tiếp đến việc chuyển giao dữ liệu?
Không phải mọi nội dung sửa đổi trong chính sách bảo mật đều làm phát sinh nghĩa vụ pháp lý mới liên quan đến chuyển giao dữ liệu. Tuy nhiên, trên thực tế, một số thay đổi có thể tác động trực tiếp và đáng kể đến hoạt động này, bao gồm:
- Thay đổi hoặc mở rộng mục đích xử lý dữ liệu, đặc biệt khi mục đích mới liên quan đến việc chia sẻ dữ liệu cho đối tác, công ty liên kết hoặc bên thứ ba;
- Bổ sung hoặc thay đổi đối tượng nhận dữ liệu, nhất là trong trường hợp dữ liệu được chuyển giao cho bên ngoài tổ chức hoặc ra nước ngoài;
- Điều chỉnh phạm vi dữ liệu được xử lý, dẫn đến việc sử dụng thêm các loại dữ liệu cá nhân hoặc dữ liệu cá nhân nhạy cảm;
- Thay đổi căn cứ pháp lý xử lý dữ liệu, từ đó ảnh hưởng đến hiệu lực của sự đồng ý đã được chủ thể dữ liệu cung cấp trước đó.
Những thay đổi nêu trên có thể làm phát sinh yêu cầu phải thông báo lại, lấy lại sự đồng ý hoặc áp dụng các biện pháp bảo vệ bổ sung, qua đó cho thấy mối liên hệ chặt chẽ giữa nội dung chính sách bảo mật và tính hợp pháp của việc chuyển giao dữ liệu.
3. Dữ liệu nào cần ưu tiên bảo vệ khi chuyển giao sau thay đổi chính sách bảo mật?
Trong bối cảnh chính sách bảo mật được điều chỉnh, không phải mọi loại dữ liệu đều chịu mức độ rủi ro pháp lý như nhau. Trên thực tế, dữ liệu cá nhân, đặc biệt là dữ liệu cá nhân nhạy cảm, luôn là nhóm dữ liệu cần được ưu tiên bảo vệ khi phát sinh hoạt động chuyển giao.
Các nhóm dữ liệu cần được chú trọng bao gồm: dữ liệu định danh cá nhân; dữ liệu tài chính, ngân hàng; dữ liệu sức khỏe; dữ liệu vị trí; dữ liệu liên quan đến trẻ em; cũng như các dữ liệu mà nếu bị lộ, bị lạm dụng có thể ảnh hưởng nghiêm trọng đến quyền, lợi ích hợp pháp của chủ thể dữ liệu. Việc chuyển giao các loại dữ liệu này sau khi thay đổi chính sách bảo mật đòi hỏi phải có cơ sở pháp lý rõ ràng, biện pháp bảo mật phù hợp và cơ chế kiểm soát chặt chẽ.
Do đó, việc xác định đúng loại dữ liệu cần ưu tiên bảo vệ không chỉ giúp giảm thiểu rủi ro vi phạm pháp luật, mà còn là thước đo mức độ tuân thủ và trách nhiệm của doanh nghiệp trong quản trị dữ liệu.
III. Quy định của pháp luật liên quan đến chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật
Trong bối cảnh dữ liệu ngày càng trở thành nguồn lực quan trọng của nền kinh tế số, pháp luật Việt Nam đã từng bước hình thành khung quy định nhằm kiểm soát hoạt động xử lý và chuyển giao dữ liệu, đặc biệt là dữ liệu cá nhân. Khi chính sách bảo mật được thay đổi, việc chuyển giao dữ liệu không còn là vấn đề thuần túy nội bộ của doanh nghiệp mà chịu sự điều chỉnh trực tiếp của các quy định pháp luật về bảo vệ dữ liệu, an ninh mạng và quyền riêng tư của cá nhân.
1. Những loại dữ liệu nào không được phép chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật?
Theo quy định tại khoản 3 Điều 42 Luật Dữ liệu 2024 quy định về dữ liệu không được giao dịch bao gồm các loại sau:
- Dữ liệu gây nguy hại đến quốc phòng, an ninh, đối ngoại, cơ yếu.
- Dữ liệu không được chủ thể dữ liệu đồng ý, trừ trường hợp pháp luật có quy định khác.
- Dữ liệu khác bị cấm giao dịch theo quy định của pháp luật.
Có thể thấy, pháp luật đặt ra giới hạn rõ ràng đối với các loại dữ liệu không được hoặc bị hạn chế chuyển giao, nhằm bảo vệ lợi ích công cộng và quyền, lợi ích hợp pháp của chủ thể dữ liệu.
2. Cơ chế giám sát nào đối với hoạt động chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật
Điều 17 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định việc chuyển giao dữ liệu cá nhân được thực hiện trong các trường hợp sau đây:
- Chuyển giao dữ liệu cá nhân khi có sự đồng ý của chủ thể dữ liệu cá nhân;
- Chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý dữ liệu cá nhân phù hợp với mục đích xử lý đã xác lập;
- Chuyển giao dữ liệu cá nhân để tiếp tục xử lý dữ liệu cá nhân trong trường hợp chia, tách, sáp nhập cơ quan, tổ chức, đơn vị hành chính và tổ chức lại, chuyển đổi hình thức sở hữu doanh nghiệp nhà nước; chia, tách, sáp nhập, hợp nhất, kết thúc hoạt động đơn vị, tổ chức; đơn vị, tổ chức được thành lập trên cơ sở kết thúc hoạt động của đơn vị, tổ chức khác;
- Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao dữ liệu cá nhân cho bên xử lý dữ liệu cá nhân, bên thứ ba để xử lý dữ liệu cá nhân theo quy định;
- Chuyển giao dữ liệu cá nhân theo yêu cầu của cơ quan nhà nước có thẩm quyền;
- Chuyển giao dữ liệu cá nhân trong các trường hợp quy định tại khoản 1 Điều 19 của Luật này.
Từ các quy định trên có thể thấy, cơ chế giám sát hoạt động chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật không chỉ được thực hiện thông qua hậu kiểm, mà trước hết được thiết lập ngay từ việc giới hạn các trường hợp được phép chuyển giao dữ liệu cá nhân, qua đó tạo hành lang pháp lý nhằm bảo đảm tính minh bạch, hợp pháp và trách nhiệm giải trình của các chủ thể xử lý dữ liệu.
3. Chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật cần được thực hiện ra sao để tuân thủ pháp luật?
Chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật cần lưu ý một số quy định sau tại Luật Bảo vệ dữ liệu cá nhân năm 2025 để tuân thủ pháp luật:
- Sự đồng ý của chủ thể dữ liệu cá nhân (Điều 9): Sự đồng ý của chủ thể dữ liệu cá nhân là việc chủ thể dữ liệu cá nhân cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác.
- Đánh giá tác động xử lý dữ liệu cá nhân (Điều 21): Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 6 Điều này.
- Các trường hợp chuyển giao dữ liệu cá nhân (Điều 17) như: Chuyển giao dữ liệu cá nhân khi có sự đồng ý của chủ thể dữ liệu cá nhân; Chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý dữ liệu cá nhân phù hợp với mục đích xử lý đã xác lập; Chuyển giao dữ liệu cá nhân để tiếp tục xử lý dữ liệu cá nhân trong trường hợp chia, tách, sáp nhập cơ quan, tổ chức, đơn vị hành chính và tổ chức lại, chuyển đổi hình thức sở hữu doanh nghiệp nhà nước; chia, tách, sáp nhập, hợp nhất, kết thúc hoạt động đơn vị, tổ chức; đơn vị, tổ chức được thành lập trên cơ sở kết thúc hoạt động của đơn vị, tổ chức khác; Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao dữ liệu cá nhân cho bên xử lý dữ liệu cá nhân, bên thứ ba để xử lý dữ liệu cá nhân theo quy định; Chuyển giao dữ liệu cá nhân theo yêu cầu của cơ quan nhà nước có thẩm quyền;...
Từ những phân tích trên có thể thấy, chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật chỉ được coi là tuân thủ pháp luật khi đồng thời đáp ứng đầy đủ các điều kiện về sự đồng ý, đánh giá tác động và phạm vi chuyển giao hợp pháp theo quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025. Đây không chỉ là yêu cầu pháp lý bắt buộc mà còn là cơ sở quan trọng để bảo vệ quyền, lợi ích hợp pháp của chủ thể dữ liệu và nâng cao trách nhiệm quản trị dữ liệu của các cơ quan, tổ chức trong bối cảnh chuyển đổi số hiện nay.
4. Những biện pháp nào cần áp dụng để đảm bảo dữ liệu không bị truy cập trái phép sau khi chính sách bảo mật thay đổi?
Bên cạnh yêu cầu về căn cứ pháp lý, pháp luật còn đặt ra nghĩa vụ áp dụng biện pháp kỹ thuật và tổ chức phù hợp nhằm bảo đảm an toàn dữ liệu sau khi chính sách bảo mật được thay đổi theo điểm c Khoản 1 Điều 37 Luật Bảo vệ dữ liệu cá nhân năm 2025. Các biện pháp này bao gồm kiểm soát quyền truy cập, mã hóa dữ liệu, phân quyền xử lý, cũng như thường xuyên rà soát, đánh giá lỗ hổng an ninh hệ thống.
Ngoài ra, doanh nghiệp cần ban hành quy trình nội bộ về quản lý sự cố an toàn thông tin, đào tạo nhân sự có liên quan và thiết lập cơ chế phối hợp với bên nhận dữ liệu để ngăn ngừa nguy cơ truy cập trái phép hoặc sử dụng dữ liệu sai mục đích. Việc áp dụng đồng bộ các biện pháp này không chỉ nhằm đáp ứng yêu cầu pháp luật mà còn góp phần bảo vệ uy tín và trách nhiệm xã hội của doanh nghiệp.
Từ đó có thể thấy, bảo đảm an toàn dữ liệu là nghĩa vụ xuyên suốt, đặc biệt quan trọng trong giai đoạn chuyển tiếp sau khi chính sách bảo mật được điều chỉnh.
IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật
Trong quá trình thay đổi chính sách bảo mật và triển khai việc chuyển giao dữ liệu trên thực tế, doanh nghiệp thường phát sinh nhiều vướng mắc liên quan đến kỹ thuật, pháp lý và trách nhiệm quản trị dữ liệu. Việc làm rõ các câu hỏi thường gặp dưới đây sẽ giúp doanh nghiệp chủ động phòng ngừa rủi ro và bảo đảm tuân thủ đúng quy định của pháp luật về bảo vệ dữ liệu cá nhân.
1. Trường hợp dữ liệu bị mất hoặc bị xóa nhầm trong quá trình chuyển giao theo chính sách mới, doanh nghiệp xử lý thế nào?
Khi xảy ra tình trạng dữ liệu bị mất, bị xóa nhầm hoặc không thể truy cập trong quá trình chuyển giao, doanh nghiệp cần ngay lập tức kích hoạt quy trình xử lý sự cố dữ liệu theo quy định nội bộ và pháp luật. Trước hết, cần xác định phạm vi, nguyên nhân và mức độ ảnh hưởng của sự cố; đồng thời áp dụng các biện pháp khắc phục kỹ thuật nhằm khôi phục dữ liệu nếu có thể.
Bên cạnh đó, nếu sự cố có nguy cơ ảnh hưởng đến quyền và lợi ích hợp pháp của chủ thể dữ liệu, doanh nghiệp có thể phải thực hiện nghĩa vụ thông báo và phối hợp với cơ quan có thẩm quyền theo quy định của Điều 23 Luật Bảo vệ dữ liệu cá nhân năm 2025, đồng thời rà soát lại toàn bộ quy trình chuyển giao để tránh tái diễn rủi ro tương tự.
2. Việc chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật có yêu cầu doanh nghiệp phải cập nhật lại hệ thống lưu trữ hay không?
Pháp luật không bắt buộc doanh nghiệp phải thay đổi toàn bộ hệ thống lưu trữ dữ liệu khi chính sách bảo mật được điều chỉnh. Tuy nhiên, trong trường hợp nội dung chính sách mới làm thay đổi phạm vi xử lý, đối tượng tiếp cận hoặc mức độ bảo vệ dữ liệu, doanh nghiệp cần rà soát và cập nhật hệ thống lưu trữ để bảo đảm phù hợp với các yêu cầu mới.
Việc cập nhật có thể bao gồm phân quyền truy cập, điều chỉnh thời hạn lưu trữ, tăng cường biện pháp bảo mật hoặc thay đổi cách thức sao lưu dữ liệu. Đây là yêu cầu mang tính thực tiễn nhằm bảo đảm chính sách bảo mật không chỉ tồn tại trên văn bản mà được triển khai hiệu quả trong hệ thống kỹ thuật.
3. Doanh nghiệp có được phép sử dụng công nghệ AI để hỗ trợ việc chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật không?
Doanh nghiệp có thể sử dụng công nghệ AI để hỗ trợ việc phân loại, quản lý hoặc chuyển giao dữ liệu, với điều kiện việc sử dụng AI không làm thay đổi mục đích xử lý dữ liệu, không xâm phạm quyền của chủ thể dữ liệu và vẫn tuân thủ đầy đủ các quy định của pháp luật về bảo vệ dữ liệu cá nhân.
Đặc biệt, khi AI tham gia vào quá trình xử lý hoặc chuyển giao dữ liệu cá nhân, doanh nghiệp cần đánh giá kỹ rủi ro, kiểm soát quyền truy cập của hệ thống AI và bảo đảm rằng dữ liệu không bị sử dụng vượt quá phạm vi đã được chủ thể dữ liệu đồng ý. AI chỉ nên được xem là công cụ hỗ trợ, không thay thế trách nhiệm pháp lý của doanh nghiệp.
4. Việc thay đổi chính sách bảo mật có ảnh hưởng đến toàn bộ dữ liệu hiện có trong công ty không?
Việc thay đổi chính sách bảo mật không đương nhiên áp dụng cho toàn bộ dữ liệu hiện có, mà phạm vi ảnh hưởng phụ thuộc vào nội dung cụ thể của chính sách được sửa đổi. Trong nhiều trường hợp, chính sách mới chỉ điều chỉnh đối với dữ liệu được thu thập hoặc xử lý sau thời điểm có hiệu lực.
Tuy nhiên, nếu chính sách bảo mật mới mở rộng mục đích xử lý hoặc phạm vi chuyển giao đối với dữ liệu đã thu thập trước đó, doanh nghiệp cần xem xét lại căn cứ pháp lý, đặc biệt là hiệu lực của sự đồng ý từ chủ thể dữ liệu, để tránh vi phạm pháp luật.
5. Làm thế nào để kiểm tra các quyền truy cập dữ liệu đã được cập nhật đúng theo chính sách mới?
Doanh nghiệp nên thực hiện kiểm tra định kỳ và kiểm tra đột xuất đối với hệ thống phân quyền truy cập dữ liệu sau khi chính sách bảo mật được thay đổi. Việc kiểm tra này có thể bao gồm rà soát danh sách người dùng, bộ phận được phép truy cập dữ liệu; kiểm tra nhật ký truy cập; và đối chiếu với nội dung chính sách bảo mật mới.
Ngoài ra, việc thiết lập cơ chế kiểm soát nội bộ, phân công rõ trách nhiệm quản lý dữ liệu và kết hợp đánh giá độc lập (nội bộ hoặc bên ngoài) sẽ giúp doanh nghiệp bảo đảm rằng các quyền truy cập dữ liệu đã được cập nhật đúng và đầy đủ theo chính sách mới.
V. Tại sao nên tìm luật sư tư vấn ở NPLAW khi có vấn đề về chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật
Chuyển giao dữ liệu sau khi thay đổi chính sách bảo mật là vấn đề giao thoa giữa pháp lý, công nghệ và quản trị doanh nghiệp, tiềm ẩn nhiều rủi ro nếu không được đánh giá và triển khai đúng cách. Việc tìm đến luật sư tư vấn chuyên sâu là giải pháp hiệu quả giúp doanh nghiệp phòng ngừa vi phạm và bảo vệ lợi ích lâu dài.
NPLAW với đội ngũ luật sư giàu kinh nghiệm trong lĩnh vực bảo vệ dữ liệu cá nhân, an ninh mạng và tuân thủ pháp luật doanh nghiệp, có thể hỗ trợ doanh nghiệp rà soát chính sách bảo mật, đánh giá tính hợp pháp của việc chuyển giao dữ liệu, xây dựng quy trình nội bộ phù hợp và tư vấn phương án xử lý rủi ro phát sinh trên thực tế. Thông qua sự đồng hành của luật sư NPLAW, doanh nghiệp không chỉ bảo đảm tuân thủ Luật Bảo vệ dữ liệu cá nhân năm 2025 mà còn nâng cao năng lực quản trị dữ liệu, củng cố uy tín và niềm tin của khách hàng, đối tác trong bối cảnh yêu cầu bảo vệ dữ liệu ngày càng khắt khe.
Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLAW để được tư vấn ngay.
