Chia sẻ dữ liệu khách hàng cho đối tác: cần thoả thuận gì?

Đối tác nào đang nhận dữ liệu khách của bạn

Lấy một shop gốm nhỏ (ví dụ giả định), bán qua website và Zalo. Chủ shop tưởng mình "không đưa dữ liệu cho ai". Liệt kê ra mới thấy:

Vai trò nào đúng cho từng đối tác phụ thuộc vào ai quyết định mục đích và cách xử lý; cột cuối chỉ là cách hiểu thường gặp, chưa có hướng dẫn chi tiết cho từng loại dịch vụ. Shop là bên kiểm soát dữ liệu: shop quyết định thu gì và để làm gì.

Luật 91/2025/QH15, Điều 2 khoản 10 định nghĩa bên thứ ba là tổ chức, cá nhân ngoài chủ thể dữ liệu, bên kiểm soát, bên kiểm soát và xử lý, bên xử lý, tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật.

Thoả thuận nên có những gì

Nghị định 356/2025/NĐ-CP, Điều 7 quy định về thoả thuận chuyển giao dữ liệu cá nhân; bài này chưa trích chi tiết các nội dung bắt buộc của điều đó. Danh sách dưới là những điều nên có, theo thực hành tốt:

1. Dữ liệu nào được chuyển, của nhóm khách nào.
2. Dùng vào mục đích gì; không dùng cho mục đích khác, không chuyển tiếp cho bên khác nếu chưa được đồng ý.
3. Biện pháp bảo vệ: ai được xem, lưu ở đâu, có chuyển ra nước ngoài không.
4. Báo sự cố: bên xử lý phát hiện vi phạm phải báo kịp thời cho bên kiểm soát (Luật 91/2025/QH15, Điều 23 khoản 1); nên ghi một mốc giờ cụ thể để bên kiểm soát kịp báo cơ quan chuyên trách trong 72 giờ.
5. Hỗ trợ trả lời yêu cầu của khách: khi khách đòi xoá, đối tác cũng xoá. Nghị định 356/2025/NĐ-CP, Điều 5 cho thời hạn dài hơn khi cần bên xử lý, bên thứ ba cùng làm (ví dụ xoá: 30 ngày thay vì 20).
6. Xoá hoặc trả lại dữ liệu khi hợp đồng kết thúc.

Với các nền tảng lớn, bạn không tự soạn được thoả thuận; điều khoản dịch vụ của họ là thoả thuận. Hãy đọc phần về dữ liệu, giữ lại bản đã đồng ý, và kiểm tra họ lưu dữ liệu ở đâu.

Khi nào chia sẻ thành "mua bán"

Nghị định 330/2026/NĐ-CP, Điều 53 khoản 1 phạt mua, bán trái phép dữ liệu cá nhân, gồm cả:

• cung cấp, chia sẻ, trao đổi dữ liệu nhằm thu tài sản hoặc lợi ích khác;
• chuyển giao dữ liệu có thu phí hay lợi ích vật chất mà không có thoả thuận chuyển giao.

Mức phạt từ 02 đến 10 lần khoản thu; không có khoản thu thì từ 70 triệu đồng, cao hơn tuỳ số người bị ảnh hưởng; với tổ chức, cá nhân một nửa. Hai shop "đổi tệp khách cho nhau để quảng bá chéo" là ví dụ dễ rơi vào dòng đầu. Xem mua bán dữ liệu cá nhân bị phạt thế nào.

Đối tác ở nước ngoài

Nếu đối tác hay phần mềm đặt máy chủ ở nước ngoài, việc đó có thể là chuyển dữ liệu cá nhân xuyên biên giới (Luật 91/2025/QH15, Điều 20), kèm hồ sơ đánh giá tác động gửi trong 60 ngày kể từ ngày đầu tiên chuyển. Áp vào từng dịch vụ cụ thể là cách hiểu, chưa có hướng dẫn chi tiết. Xem dùng Facebook, Google có phải chuyển dữ liệu ra nước ngoài.

Cho khách biết, và giữ hồ sơ cập nhật

• Chính sách bảo vệ dữ liệu: liệt kê nhóm đối tác nhận dữ liệu và để làm gì. Đây là thực hành tốt, không phải nghĩa vụ đã được xác minh. Xem chính sách bảo vệ dữ liệu cá nhân cho website.
• Hồ sơ đánh giá tác động: nếu doanh nghiệp phải lập hồ sơ, hồ sơ được cập nhật định kỳ 6 tháng khi phát sinh hoặc thay đổi bên kiểm soát, bên xử lý, bên thứ ba (Nghị định 356/2025/NĐ-CP, Điều 20 khoản 1). Đổi hãng giao hàng, đổi phần mềm có thể là những thay đổi như vậy. Xem hồ sơ đánh giá tác động: ai phải lập.

Bạn cần làm gì

• Liệt kê mọi đối tác đang nhận dữ liệu khách: giao hàng, phần mềm, kế toán, agency, bảo hành.
• Với mỗi đối tác: nhận gì, để làm gì, máy chủ ở đâu, đã có thoả thuận chưa.
• Ký thoả thuận về dữ liệu với đối tác nhỏ; đọc và lưu điều khoản dữ liệu của nền tảng lớn.
• Chỉ chuyển phần dữ liệu đối tác cần.
• Không đổi, không bán tệp khách với bên khác.
• Ghi nhóm đối tác vào chính sách; cập nhật hồ sơ khi đổi đối tác.

Chưa có chính sách để liệt kê đối tác? Dùng công cụ tạo chính sách.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 2 khoản 10 (bên thứ ba), Điều 20, 23.
• Nghị định 356/2025/NĐ-CP: Điều 5 (thời hạn khi cần bên xử lý, bên thứ ba), Điều 7 (thoả thuận chuyển giao), Điều 20 khoản 1.
• Nghị định 330/2026/NĐ-CP: Điều 7, Điều 53: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.