Trách nhiệm của người sử dụng lao động khi chuyển dữ liệu người lao động xuyên biên giới

Trong xu thế hội nhập kinh tế toàn cầu, việc các doanh nghiệp ứng dụng các hệ thống quản trị nhân sự tập trung, nền tảng điện toán đám mây quốc tế hay lưu trữ thông tin nhân viên tại máy chủ nước ngoài đã trở nên phổ biến. Tuy nhiên, đi kèm với sự tiện lợi về mặt công nghệ là những rào cản pháp lý nghiêm ngặt nhằm bảo vệ tối đa quyền riêng tư của nhân sự nội bộ.

Bài viết dưới đây VDPC sẽ phân tích chi tiết các trường hợp chuyển dữ liệu xuyên biên giới, trách nhiệm của bên kiểm soát/xử lý và cảnh báo mức phạt nghiêm khắc đối với các hành vi vi phạm.

Căn cứ pháp lý:

• Điều 360 Bộ luật Dân sự 2015
• Điều 3, 4, 20, 25, 37 Luật Bảo vệ dữ liệu cá nhân 2025
• Điều 16 Bộ luật lao động 2019

1. Những dữ liệu của người lao động cần thu thập, xử lý

Người lao động phải cung cấp thông tin trung thực cho người sử dụng lao động về họ tên, ngày tháng năm sinh, giới tính, nơi cư trú, trình độ học vấn, trình độ kỹ năng nghề, xác nhận tình trạng sức khỏe và vấn đề khác liên quan trực tiếp đến việc giao kết hợp đồng lao động mà người sử dụng lao động yêu cầu.

2. Các trường hợp chuyển dữ liệu cá nhân của người lao động xuyên biên giới

• Chuyển dữ liệu cá nhân đang lưu trữ tại Việt Nam đến hệ thống lưu trữ dữ liệu đặt ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam;
• Người sử dụng lao động tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài;
• Người sử dụng lao động tại Việt Nam hoặc ở nước ngoài sử dụng nền tảng ở ngoài lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam để xử lý dữ liệu cá nhân của người lao động được thu thập tại Việt Nam.
• Người sử dụng lao động chuyển dữ liệu cá nhân xuyên biên giới  phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới.

3. Trách nhiệm của người sử dụng lao động trong xử lý dữ liệu người lao động

Người sử dụng lao động có thể ở vai trò là Bên kiểm soát dữ liệu cá nhân (là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân) hoặc Bên kiểm soát và xử lý dữ liệu cá nhân (là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân). Tương ứng với đó, người sử dụng lao động có thể có các trách nhiệm như sau:

3.1. Trách nhiệm của bên kiểm soát dữ liệu cá nhân như sau:

• Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân theo quy định của Luật này và quy định khác của pháp luật có liên quan
• Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung
• Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân theo quy định, rà soát và cập nhật các biện pháp này khi cần thiết
• Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân
• Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân
• Bảo đảm các quyền của chủ thể dữ liệu cá nhân
• Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra
• Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình
• Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân
• Thực hiện các trách nhiệm khác theo quy định

3.2. Trách nhiệm của bên kiểm soát và xử lý dữ liệu cá nhân:

• Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân
• Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân
• Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung
• Thực hiện biện pháp quản lý, kỹ thuật phù hợp bảo vệ dữ liệu cá nhân; rà soát, cập nhật các biện pháp này khi cần thiết
• Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với bên kiểm soát dữ liệu cá nhân
• Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân
• Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân
• Bảo đảm các quyền của chủ thể dữ liệu cá nhân
• Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định
• Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra
• Chịu trách nhiệm trước bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra
• Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình
• Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân
• Thực hiện các trách nhiệm khác theo quy định

4. Trách nhiệm của người sử dụng lao động khi chuyển dữ liệu của người lao động xuyên biên giới

4.1. Thông báo cho người lao động biết về hoạt động xử lý dữ liệu cá nhân

• Thông báo cho người lao động được biết về hoạt động xử lý dữ liệu cá nhân liên quan tới mình, sự đồng ý của người lao động chỉ có hiệu lực khi người lao động tự nguyện và biết rõ các nội dung sau:

• • Loại dữ liệu cá nhân được xử lý;
  • Mục đích xử lý dữ liệu cá nhân;
  • Tổ chức, cá nhân được xử lý dữ liệu cá nhân;
  • Các quyền, nghĩa vụ của người lao động.

• Sự đồng ý của người lao động phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được sự đồng ý.
• Sự đồng ý phải được tiến hành cho cùng một mục đích. Khi có nhiều mục đích, doanh nghiệp sử dụng lao động liệt kê các mục đích để chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích nêu ra.
• Về hình thức thông báo: Việc thông báo cho người lao động phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.

4.2. Trách nhiệm bảo vệ dữ liệu cá nhân của người sử dụng lao động

• Tuân thủ quy định của Luật Bảo vệ dữ liệu cá nhân, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác của pháp luật có liên quan;
• Dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;

• Chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật.
• Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận.
• Việc xử lý dữ liệu cá nhân của người lao động được thu thập bằng biện pháp công nghệ, kỹ thuật trong quản lý người lao động được quy định như sau:

• Chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó;
• Không được xử lý, sử dụng dữ liệu cá nhân thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.

4.3. Trách nhiệm của người sử dụng lao động khi chuyển dữ liệu người lao động xuyên biên giới

• Khi người sử dụng lao động thực hiện chuyển dữ liệu cá nhân ra nước ngoài, cần tuân thủ quy định sau:
• Cập nhật và bổ sung Hồ sơ đánh giá tác động của việc chuyển dữ liệu cá nhân ra nước ngoài khi có thay đổi về nội dung đã gửi Bộ Công an (Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao).
• Hoàn thiện hồ sơ trong thời hạn 10 ngày kể từ ngày có yêu cầu từ Bộ Công an.

4.4. Yêu cầu, điều kiện thực hiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

• Tổ chức, cá nhân gửi trong thời gian 60 ngày kể từ ngày chuyển dữ liệu cá nhân ra nước ngoài.

4.5. Các trường hợp không phải thực hiện quy định về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

• Việc chuyển dữ liệu cá nhân xuyên biên giới của cơ quan nhà nước có thẩm quyền
• Cơ quan, tổ chức lưu trữ dữ liệu cá nhân của người lao động thuộc cơ quan, tổ chức đó trên dịch vụ điện toán đám mây
• Chủ thể dữ liệu cá nhân tự chuyển dữ liệu cá nhân của mình xuyên biên giới

5. Hậu quả pháp lý khi doanh nghiệp vi phạm trách nhiệm bảo vệ dữ liệu cá nhân người lao động

• Về trách nhiệm bồi thường thiệt hại trong hợp đồng (bồi thường thiệt hại do vi phạm hợp đồng), trường hợp có thiệt hại do vi phạm nghĩa vụ gây ra thì bên có nghĩa vụ phải bồi thường toàn bộ thiệt hại, trừ trường hợp có thỏa thuận khác. Trách nhiệm bồi thường thiệt hại do người sử dụng lao động phát sinh đối với người lao động khi có các yếu tố: có hành vi vi phạm nghĩa vụ trong hợp đồng về bảo vệ dữ liệu cá nhân người lao động, có thiệt hại xảy ra đối với người lao động, thiệt hại xảy ra đối với người lao động.
• Nếu người sử dụng lao động không thực hiện nghĩa vụ làm hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, không lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và thực hiện các thủ tục theo quy định tại khoản 3, 4 và 5 Điều 25 Nghị định 13/2023/NĐ-CP, không thông báo cho Bộ Công an về việc chuyển dữ liệu, thông tin liên hệ của đơn vị phụ trách có thể sẽ tùy theo mức độ có thể bị xử lý kỷ luật, xử phạt vi phạm hành chính và xử lý hình sự.
• Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; mức tiền phạt tối đa là 03 tỷ đồng

Kết luận

Hoạt động chuyển dữ liệu cá nhân của người lao động xuyên biên giới là một nghiệp vụ quản trị nhân sự chứa đựng hàm lượng rủi ro pháp lý kỳ cao trong kỷ nguyên số. Doanh nghiệp cần đặc biệt lưu ý các quy định của pháp luật cũng như các hình phạt, chế tài đối với hành vi vi phạn nếu để xảy ra sai phạm trong quá trình lưu chuyển thông tin ra nước ngoài.

Trên đây là Trách nhiệm của người sử dụng lao động khi chuyển dữ liệu người lao động xuyên biên giới. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: