Trách nhiệm bảo vệ dữ liệu cá nhân của doanh nghiệp thương mại điện tử

Lấy ví dụ: Công ty Thương mại điện tử A là công ty có vốn đầu tư nước ngoài, hoạt động kinh doanh tại Việt Nam chuyên sản xuất lắp ráp các hàng hóa như xe đạp, đồ chơi trẻ em để bán tại thị trường Việt Nam với số lượng lao động khoảng 50 người, hỏi:

1. Công ty A có cần phải thực hiện thủ tục thông báo đánh giá xử lý dữ liệu cá nhân không? Nếu có thủ tục như thế nào?
2. Trong qua trình tuyển dụng, đối với các nhân sự cấp độ quản lý từ Trưởng phòng trở lên, Công ty A sẽ phải chuyển thông tin của nhân sự sang Công ty mẹ ở nước ngoài để phê duyệt và sắp xếp phỏng vấn trước khi ký hợp đồng chính thức. Công ty A có bị coi là chuyển dữ liệu cá nhân ra nước ngoài không? Nếu có thì phải làm gì?

Căn cứ pháp lý: 

• Điều 5 Nghị định 80/2021/NĐ-CP
• Điều 20, 38 Luật bảo vệ dữ liệu cá nhân năm 2025
• Điều 7, 11, 17, 18, 19 Nghị định 356/2025/NĐ/CP

1. Công ty A có cần thực hiện thủ tục thông báo đánh giá tác động xử lý dữ liệu cá nhân hay không?

Với lĩnh vực hoạt động là thương mại, dịch vụ (cụ thể là chuyên sản xuất, lắp ráp hàng hóa như xe đạp, đồ chơi trẻ em) và quy mô khoảng 50 lao động, Công ty A được phân loại là doanh nghiệp nhỏ (nếu tổng doanh thu của năm không quá 100 tỷ đồng hoặc tổng nguồn vốn của năm không quá 50 tỷ đồng).

– Các doanh nghiệp nhỏ được quyền lựa chọn thực hiện hoặc không thực hiện quy định về lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong thời gian 05 năm kể từ ngày Luật bảo vệ dữ liệu cá nhân năm 2025 có hiệu lực (01/01/2026).

– Trường hợp bắt buộc: Công ty vẫn phải thực hiện thủ tục này nếu thuộc một trong các trường hợp ngoại lệ sau:

• Kinh doanh dịch vụ xử lý dữ liệu cá nhân.
• Trực tiếp xử lý dữ liệu cá nhân nhạy cảm
• Xử lý dữ liệu của từ 100.000 chủ thể dữ liệu trở lên tính theo kết quả tích lũy.

– Như vậy, Công ty A được quyền lựa chọn thực hiện hoặc không thực hiện quy định về lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. 

– Do hiện tại quý khách hàng cung cấp chưa đầy đủ các thông tin trên của Công ty A nên chúng tôi chưa thể xác định Công ty A thuộc một trong các trường hợp bắt buộc nên trên hay không. 

Dữ liệu cá nhân nhạy cảm mà Công ty A có thể xử lý:

Dữ liệu về tình trạng sức khỏe, đặc điểm di truyền, hoặc vị trí cá nhân qua dịch vụ định vị… có thể thường xuất hiện trong hồ sơ nhân sự/tuyển dụng.

Dữ liệu sinh trắc học nếu công ty thực hiện chấm công qua hình thức vân tay, nhận diện khuôn mặt.

Nếu Công ty A thuộc một trong các trường hợp bắt buộc nêu trên thì cần làm thủ tục thông báo đánh giá tác động xử lý dữ liệu cá nhân như sau:

– Hồ sơ bao gồm:

• Báo cáo đánh giá đánh giá tác động xử lý dữ liệu cá nhân theo (Mẫu số 10 kèm theo NĐ 356/2025/NĐ-CP);
• Bản sao Hợp đồng/thỏa thuận xử lý dữ liệu;
• Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân.

– Phương thức nộp: Gửi 01 bản chính cho Bộ Công an kèm theo Mẫu số 02a/02b tại Phụ lục của Nghị định 356/2025/NĐ-CP trong vòng 60 ngày kể từ ngày đầu tiên xử lý dữ liệu. 

• Nộp trực tuyến
• Nộp trực tiếp
• Dịch vụ bưu chính

– Bộ Công an tiếp nhận, phân loại hồ sơ và chuyển Công an tỉnh, thành phố để xử lý theo địa bàn, quy mô, lĩnh vực. 

– Thời hạn bổ sung hồ sơ: 30 ngày

– Thời hạn giải quyết: 15 ngày

– Lưu ý: Công ty phải lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân ngay từ khi bắt đầu hoạt động xử lý (phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách).

2. Việc chuyển thông tin ứng viên nhân sự sang Công ty mẹ ở nước ngoài

– Việc Công ty A chuyển thông tin người ứng tuyển các vị trí nhân sự cấp độ quản lý sang Công ty mẹ ở nước ngoài để phê duyệt và sắp xếp phỏng vấn trước khi ký hợp đồng chính thức được coi là chuyển dữ liệu cá nhân xuyên biên giới. Vì đây là hành vi tổ chức tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức ở nước ngoài.

– Pháp luật Việt Nam có quy định trường hợp miễn trừ: Hoạt động chuyển dữ liệu cá nhân xuyên biên giới để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo quy định của pháp luật thì không phải thực hiện đánh giá tác động. 

– Tuy nhiên, vì đây là người ứng tuyển (chưa ký hợp đồng chính thức), Công ty nên thực hiện đầy đủ thủ tục đánh giá tác động để đảm bảo an toàn pháp lý.

– Công ty cần thực hiện các việc sau:

1. Trong quá trình tuyển dụng, Công ty phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi xử lý đối với thông tin cá nhân mà người ứng tuyển cung cấp. Đồng thời thông báo cho người ứng tuyển mục đích của việc chuyển dữ liệu cá nhân cho Công ty mẹ ở nước ngoài để phê duyệt và sắp xếp phỏng vấn.
2. Công ty A phải lập văn bản thỏa thuận về việc xử lý dữ liệu cá nhân, thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân trong hoạt động xử lý dữ liệu cá nhân với Công ty mẹ ở nước ngoài, văn bản cần nêu rõ: mục đích chuyển giao, loại dữ liệu, trách nhiệm bảo vệ dữ liệu và cam kết tuân thủ các quyền của chủ thể dữ liệu,..
3. Lập hồ sơ đánh giá bảo vệ dữ liệu cá nhân

Hồ sơ bao gồm:

• Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo (Mẫu số 09 kèm theo NĐ 356/2025/NĐ-CP);
• Bản sao Hợp đồng/thỏa thuận chuyển giao dữ liệu;
• Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân.

 Phương thức nộp: Gửi 01 bản chính Bộ Công an kèm theo Mẫu số 01a/01b tại Phụ lục của Nghị định 356/2025/NĐ-CP trong vòng 60 ngày kể từ ngày đầu tiên tiến hành chuyển dữ liệu cá nhân xuyên biên giới.

• Nộp trực tuyến
• Nộp trực tiếp
• Dịch vụ bưu chính

Bộ Công an tiếp nhận, phân loại hồ sơ và chuyển Công an tỉnh, thành phố để xử lý theo địa bàn, quy mô, lĩnh vực. 

• Thời hạn bổ sung hồ sơ: 30 ngày
• Thời hạn giải quyết: 15 ngày

– Lưu ý: Công ty phải lập và lưu giữ Hồ sơ chuyển dữ liệu cá nhân xuyên biên giới (phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của cơ quan chuyên trách).

KẾT LUẬN

Việc tuân thủ các quy định về đánh giá tác động xử lý dữ liệu cá nhân và thực hiện đúng thủ tục chuyển dữ liệu cá nhân xuyên biên giới là “tấm lá chắn” pháp lý quan trọng giúp doanh nghiệp. Dù huộc nhóm đối tượng được miễn trừ hay bắt buộc, việc chuẩn hóa hồ sơ bảo mật ngay từ đầu luôn là ưu tiên hàng đầu để bảo vệ uy tín trong hoạt động kinh doanh quốc tế.

Trên đây là Trách nhiệm bảo vệ dữ liệu cá nhân của doanh nghiệp thương mại điện tử. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm:

• Trường hợp phải thực hiện đánh giá tác động xử lý dữ liệu cá nhân
• Quy định, nghĩa vụ của bên xử lý dữ liệu cá nhân, điều kiện và chứng chỉ đáp ứng các điều kiện của GDPR
• Trách nhiệm của Trường Trung học cơ sở về bảo vệ dữ liệu cá nhân của khách hàng
• Biểu mẫu thực hiện thông báo hồ sơ đánh giá tác động xử lý dữ liệu cá nhân
• Dữ liệu cá nhân cơ bản theo Nghị định 356/2025/NĐ-CP
• Quyền và nghĩa vụ của Bên thứ ba đối với xử lý dữ liệu cá nhân
• Thủ tục, yêu cầu hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới
• Trách nhiệm của Trường mầm non tư thục về bảo vệ dữ liệu cá nhân của khách hàng