Doanh nghiệp cần làm gì khi chuyển dữ liệu cá nhân ra nước ngoài?

I. Các trường hợp chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

a) Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam;

b) Cơ quan, tổ chức, cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài;

c) Cơ quan, tổ chức, cá nhân tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân được thu thập tại Việt Nam.

Như vậy, căn cứ theo quy định này, việc chuyển dữ liệu cá nhân xuyên biên giới xảy ra khi một tổ chức tại Việt Nam chủ động gửi thông tin cho đối tác ở nước ngoài. Hình thức này cũng bao gồm cả việc di chuyển dữ liệu đang lưu trữ trong nước sang các hệ thống máy chủ đặt tại quốc gia khác. Đáng chú ý, hành vi sử dụng các nền tảng công nghệ nước ngoài để xử lý dữ liệu thu thập tại Việt Nam cũng được xem là một trường hợp chuyển dữ liệu. Cả ba hoạt động này đều chịu sự điều chỉnh của pháp luật và đòi hỏi tuân thủ các nghĩa vụ báo cáo nghiêm ngặt.

Theo đó, Cơ quan, tổ chức, cá nhân chuyển dữ liệu cá nhân xuyên biên giới thực hiện các hoạt động quy định tại khoản 1 Điều này phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới, trừ trường hợp quy định tại khoản 6 Điều 20 Luật Bảo Vệ Dữ Liệu Cá nhân. Đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được thực hiện 01 lần cho suốt thời gian hoạt động của cơ quan, tổ chức, cá nhân đó và được cập nhật theo quy định tại Điều 22 của Luật Bảo Vệ Dữ Liệu Cá nhân.

Cơ quan chuyên trách bảo vệ dữ liệu cá nhân quyết định việc kiểm tra chuyển dữ liệu cá nhân xuyên biên giới định kỳ không quá 01 lần trong năm hoặc kiểm tra đột xuất khi phát hiện hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân hoặc khi xảy ra sự cố lộ, mất dữ liệu cá nhân. Cơ quan chuyên trách bảo vệ dữ liệu cá nhân quyết định yêu cầu ngừng chuyển dữ liệu cá nhân xuyên biên giới của cơ quan, tổ chức, cá nhân khi phát hiện dữ liệu cá nhân được chuyển để sử dụng vào hoạt động có thể gây tổn hại đến quốc phòng, an ninh quốc gia.

II. Các trường hợp không phải thực hiện quy định về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới bao gồm:

a) Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền;

b) Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây;

c) Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới;

d) Các trường hợp khác theo quy định của Chính phủ.

Như vậy, Pháp luật hiện hành quy định một số trường hợp ngoại lệ không yêu cầu lập Hồ sơ đánh giá tác động, điển hình là khi việc chuyển dữ liệu được thực hiện bởi cơ quan nhà nước có thẩm quyền. Tương tự, các cá nhân cũng được tự do chuyển dữ liệu của chính mình ra nước ngoài mà không cần thực hiện thủ tục này. Đối với khối doanh nghiệp, một miễn trừ quan trọng là việc lưu trữ thông tin của người lao động trên các dịch vụ điện toán đám mây quốc tế. Ngoài ra, Chính phủ được trao quyền quy định thêm các trường hợp miễn trừ khác để phù hợp với thực tiễn.

Thông tin có trong bài viết này mang tính chất chung và chỉ nhằm mục đích cung cấp thông tin về quy định pháp luật. DB Legal sẽ không chịu trách nhiệm cho bất kỳ việc sử dụng hoặc áp dụng thông tin cho bất kỳ mục đích kinh doanh nào. Để có tư vấn pháp lý chuyên sâu, xin vui lòng liên hệ với chúng tôi.

📞: +84 357 466 579

📧: contact@dblegal.vn

🌐Facebook:  DB Legal Vietnamese Fanpage or DB Legal English Fanpage 

🐦X(Twitter)

💼Linkedin

🎬Youtube