Doanh nghiệp đa quốc gia cần quy định gì trong thỏa thuận chuyển dữ liệu cá nhân trong nội bộ tập đoàn?

Các doanh nghiệp đa quốc gia (Multinational corporations - MNCs), đặc biệt là các doanh nghiệp vừa và nhỏ (micro-MNCs) tại Đông Nam Á (ASEAN), ngày càng phụ thuộc vào việc chuyển giao dữ liệu cá nhân giữa các văn phòng nội bộ để hỗ trợ các chức năng kinh doanh tập trung như tài chính, nhân sự, nghiên cứu và phát triển (R&D), hoặc dịch vụ khách hàng. Tuy nhiên, việc chuyển giao dữ liệu cá nhân xuyên biên giới phải tuân thủ các quy định nghiêm ngặt về bảo vệ dữ liệu tại các quốc gia liên quan, vốn có thể khác biệt đáng kể. Bài viết này sẽ phân tích các yếu tố cần thiết mà doanh nghiệp đa quốc gia nên đưa vào Thỏa thuận nội bộ Tập đoàn khi chuyển giao dữ liệu cá nhân giữa các văn phòng tại nhiều quốc gia, đồng thời làm rõ vai trò của thỏa thuận này trong bối cảnh ASEAN.

1. Bối cảnh và tầm quan trọng của Thỏa thuận nội bộ Tập đoàn

1.1. Xu hướng mở rộng trong ASEAN

Theo khảo sát năm 2022[1], 3/5 doanh nghiệp vừa và nhỏ (SMEs) tại Singapore có kế hoạch mở rộng sang các nước ASEAN trong vòng ba năm tới. Đến năm 2024, 66% các công ty Singapore lần đầu tiên mở rộng ra nước ngoài là các doanh nghiệp nhỏ. Đặc biệt, 7/10 doanh nghiệp Singapore đã có sự hiện diện ở nước ngoài, với Malaysia (63%) và Indonesia (49%) là hai thị trường hàng đầu. Điều này cho thấy nhu cầu ngày càng tăng về chuyển giao dữ liệu cá nhân giữa các văn phòng trong khu vực để hỗ trợ các hoạt động như logistics, sản xuất, hoặc dịch vụ khách hàng.

1.2. Vai trò của Thỏa thuận nội bộ Tập đoàn

Thỏa thuận Nội bộ Tập đoàn là một công cụ pháp lý được thiết kế để hỗ trợ các MNCs, đặc biệt là micro-MNCs, thực hiện chuyển giao dữ liệu cá nhân giữa các chi nhánh nội bộ một cách hợp pháp và hiệu quả. Được phát triển dựa trên Các điều khoản hợp đồng mẫu của ASEAN (ASEAN Model Contractual Clauses - MCCs)[2], đặc biệt là Mô-đun 1 (Controller-to-Processor), thỏa thuận này nhắm đến các doanh nghiệp sử dụng Quy tắc Ràng buộc Nội bộ (Binding Corporate Rules - BCRs) hoặc cần một giải pháp chuẩn hóa cho các hoạt động tập trung. Thỏa thuận giúp đảm bảo rằng dữ liệu cá nhân được bảo vệ theo các tiêu chuẩn pháp lý tại các quốc gia liên quan, đồng thời giảm thiểu chi phí pháp lý và rủi ro vận hành.

2. Các yếu tố cần thiết trong Thỏa thuận nội bộ Tập đoàn

Để đảm bảo tuân thủ pháp luật và vận hành hiệu quả, Thỏa thuận Nội bộ Tập đoàn cần bao gồm các quy định cụ thể sau:

2.1. Xác định vai trò và trách nhiệm của các bên

Bên kiểm soát dữ liệu (Controller) và Bên xử lý dữ liệu (Processor): Thỏa thuận cần làm rõ vai trò của các chi nhánh trong tập đoàn. Bên kiểm soát quyết định mục đích và phương thức xử lý dữ liệu, trong khi Bên xử lý thực hiện theo chỉ dẫn của Bên kiểm soát. Ví dụ như một MNC có trụ sở chính tại Singapore có thể là Bên kiểm soát dữ liệu, trong khi chi nhánh sản xuất tại Việt Nam là Bên xử lý dữ liệu.

Chỉ dẫn xử lý dữ liệu: Thỏa thuận phải quy định rằng Bên xử lý chỉ được xử lý dữ liệu cá nhân theo hướng dẫn cụ thể từ Bên kiểm soát, trừ khi luật pháp địa Phương có yêu cầu khác.

2.2. Mục đích chuyển giao dữ liệu

Chức năng Kinh doanh Tập trung: Thỏa thuận cần xác định rõ mục đích của việc chuyển giao dữ liệu, ví dụ như chức năng hỗ trợ tài chính, nhân sự, R&D, hoặc dịch vụ khách hàng. Các bên có thể tự định nghĩa các chức năng này để phù hợp với nhu cầu kinh doanh.

Giới hạn mục đích: Dữ liệu chỉ được sử dụng cho các mục đích đã thỏa thuận, đảm bảo tuân thủ nguyên tắc giới hạn mục đích (purpose limitation) trong các luật bảo vệ dữ liệu như PDPA của Singapore hay một mục đích cụ thể khác.

2.3. Tuân thủ Chính sách Bảo vệ dữ liệu của Tập đoàn

Thỏa thuận yêu cầu tất cả các chi nhánh tuân thủ Chính sách Bảo vệ Dữ liệu của Tập đoàn, bao gồm các biện pháp bảo mật, quy trình xử lý vi phạm dữ liệu, và quyền của chủ thể dữ liệu.

Ngoài ra, chính sách này giúp chuẩn hóa các tiêu chuẩn bảo vệ dữ liệu trên toàn tập đoàn, đảm bảo rằng dữ liệu được bảo vệ ở mức độ tương đương tại mọi chi nhánh, bất kể tại quốc gia nào.

2.4. Quyền và nghĩa vụ liên quan đến chủ thể dữ liệu

Bên xử lý phải hợp tác với Bên kiểm soát để đáp ứng các quyền của chủ thể dữ liệu, bao gồm quyền truy cập, sửa đổi, xóa dữ liệu, hoặc phản đối việc xử lý dữ liệu. Thỏa thuận cần quy định các quy trình cụ thể để xử lý yêu cầu từ chủ thể dữ liệu, chẳng hạn như thời hạn phản hồi hoặc phương thức liên lạc giữa các chi nhánh.

2.5. Quản lý vi phạm dữ liệu

Thỏa thuận phải quy định rằng Bên xử lý phải thông báo ngay cho Bên kiểm soát khi xảy ra vi phạm dữ liệu ảnh hưởng đến dữ liệu được chuyển giao. Điều này bao gồm chi tiết về thời gian, phạm vi vi phạm, và các biện pháp khắc phục.

Thỏa thuận cũng cần làm rõ trách nhiệm của các bên trong việc xử lý hậu quả của vi phạm, bao gồm thông báo cho cơ quan quản lý và chủ thể dữ liệu nếu luật pháp yêu cầu.

2.6. Quyền kiểm tra và giám sát

Thỏa thuận cần trao cho Bên kiểm soát quyền kiểm tra hồ sơ và quy trình của Bên xử lý để đảm bảo tuân thủ các quy định bảo vệ dữ liệu. Đồngthời, Thỏa thuận có thể quy định các cuộc kiểm toán định kỳ hoặc kiểm tra đột xuất để đánh giá việc tuân thủ của các chi nhánh.

2.7. Quyền trả lại và xóa dữ liệu

Trả lại dữ liệu: Thỏa thuận cần quy định rằng Bên kiểm soát có quyền yêu cầu Bên xử lý trả lại dữ liệu cá nhân khi không còn cần thiết cho mục đích đã thỏa thuận.

Xóa dữ liệu: Sau khi hoàn thành mục đích xử lý, Bên xử lý phải xóa dữ liệu hoặc lưu trữ an toàn theo yêu cầu của Bên kiểm soát, trừ khi luật pháp địa phương yêu cầu lưu giữ.

2.8. Biện pháp bảo mật

Biện pháp kỹ thuật và tổ chức: Thỏa thuận cần liệt kê các biện pháp bảo mật cụ thể (ví dụ: mã hóa, kiểm soát truy cập, hoặc giám sát hệ thống) để bảo vệ dữ liệu cá nhân khỏi truy cập trái phép hoặc rò rỉ.

Tùy chỉnh theo quốc gia: Các biện pháp này cần được điều chỉnh để đáp ứng các yêu cầu pháp lý tại từng quốc gia, chẳng hạn như Luật Bảo vệ dữ liệu cá nhân/Nghị định 13/2023/NĐ-CP của Việt Nam hoặc PDPA của Singapore.

2.9. Hạn chế chuyển giao cho bên thứ ba

Thỏa thuận cần quy định rằng dữ liệu cá nhân không được chuyển giao tiếp cho bên thứ ba ngoài tập đoàn mà không có sự cho phép của Bên kiểm soát, trừ khi luật pháp yêu cầu. Đây là quy định cần thiết để đảm bảo quyền của chủ dữ liệu dù dữ liệu được chuyển đến bất kỷ quốc gia nào có hoạt động kinh doanh của tập đoàn.

3. Case study Công ty Ilovewinterwear Pte. Ltd. Singapore

Ilovewinterwear Pte. Ltd., một công ty Singapore với các chi nhánh tại nhiều quốc gia ASEAN:. Trong đó, Singapore có vai trò là trụ sở chính, phụ trách tài chính, nhân sự, R&D, và quản lý chiến lược. Trong khi đó, Malaysia là Trung tâm logistics và phân phối khu vực. Còn Việt Nam và Philippines lần lượt là nhà máy sản xuất quần áo mùa đông và trung tâm dịch vụ khách hàng sau bán hàng.

Thỏa thuận Nội bộ Tập đoàn giúp Ilovewinterwear quản lý việc chuyển giao dữ liệu cá nhân như dữ liệu nhân viên, khách hàng, hoặc logistics giữa các chi nhánh này. Các quy định trong thỏa thuận đảm bảo rằng:

• Dữ liệu nhân sự từ Việt Nam được xử lý theo chỉ dẫn của trụ sở tại Singapore.
• Dữ liệu khách hàng từ Philippines được bảo vệ theo tiêu chuẩn của tập đoàn.
• Các vi phạm dữ liệu (nếu có) được thông báo kịp thời và xử lý đồng bộ trên toàn tập đoàn.

4. Lợi ích của Thỏa thuận nội bộ Tập đoàn

4.1. Hiệu quả chi phí và vận hành

Thỏa thuận được phát triển dựa trên ASEAN MCCs, cung cấp một mẫu chuẩn hóa, giúp các micro-MNCs tránh chi phí soạn thảo hợp đồng từ đầu hoặc thuê tư vấn bên ngoài. Thỏa thuận cũng được thiết kế để dễ sử dụng, phù hợp với các doanh nghiệp nhỏ thiếu nguồn lực pháp lý chuyên sâu. Bên cạnh đó, các chi nhánh tại các quốc gia có thể tùy chỉnh thỏa thuận để phù hợp với các chức năng kinh doanh cụ thể, như thêm các biện pháp bảo mật hoặc quy trình kiểm toán.

4.2. Tuân thủ pháp luật

Thỏa thuận phù hợp với các doanh nghiệp sử dụng Quy tắc Ràng buộc Nội bộ (BCRs) làm cơ chế chuyển giao dữ liệu ở các quốc gia chấp nhận, như Singapore hoặc Philippines. Bên cạnh đó, thỏa thuận giúp đảm bảo tuân thủ các quy định bảo vệ dữ liệu tại các quốc gia ASEAN, chẳng hạn như PDPA của Singapore hoặc luật bảo vệ dữ liệu của Thái Lan.

4.3. Chuẩn hóa quy trình

Thỏa thuận giúp đồng bộ các tiêu chuẩn bảo vệ dữ liệu trên toàn tập đoàn, giảm thiểu rủi ro do khác biệt về quy định giữa các quốc gia. Đồng thời, các thỏa thuận này không tập trung vào các giao dịch cụ thể, mà được thiết kế cho các mối quan hệ nội bộ lâu dài, phù hợp với các MNCs đang mở rộng.

5. Thách thức khi xây dựng thỏa thuận

Trong quá trình xây dựng thỏa thuận nội bộ tập đoàn, doanh nghiệp sẽ gặp không ít thách thức và thách thức lớn nhất là khung pháp lý khác biệt của các quốc gia Asean về bảo vệ dữ liệu cá nhân. Cụ thể của thách thức có thể kể ra là:

Khác biệt pháp lý giữa các quốc gia: Mỗi quốc gia ASEAN có khung pháp lý riêng về bảo vệ dữ liệu cá nhân như Singapore có PDPA, Việt Nam có Luật Bảo vệ dữ liệu cá nhân (PDPL) và Luật bảo vệ dữ liệu cá nhân (PDPA) của Thái Lan,…. Thỏa thuận cần được điều chỉnh để đáp ứng các yêu cầu cụ thể tại từng quốc gia.

Hiểu biết pháp lý nội bộ: Các micro-MNCs có thể thiếu chuyên môn để tùy chỉnh thỏa thuận phù hợp với các quy định địa phương, đòi hỏi sự tham vấn từ luật sư hoặc chuyên gia.

Quản lý tuân thủ liên tục: Việc giám sát và kiểm tra tuân thủ trên toàn tập đoàn có thể phức tạp, đặc biệt khi các chi nhánh hoạt động ở nhiều quốc gia với quy mô khác nhau.

Trong quá trình soạn thảo Thỏa thuận nội bộ tập đoàn, doanh nghiệp cần lưu ý một số vấn đề như doanh nghiệp cần xác định rõ các chức năng kinh doanh tập trung và điều chỉnh thỏa thuận để phản ánh các nhu cầu cụ thể. Ngoài ra, mặc dù thỏa thuận là một giải pháp đã được chuẩn hóa, nhưng việc tham vấn luật sư có thể cần thiết để đảm bảo tuân thủ các quy định phức tạp, đặc biệt khi chuyển giao dữ liệu đến các quốc gia ngoài ASEAN. Bên cạnh đó, các chi nhánh tại các quốc gia khác nhau cần được đào tạo về chính sách bảo vệ dữ liệu và quy trình xử lý vi phạm để đảm bảo thực hiện thống nhất trong toàn tập đoàn.

6. Các bước xây dựng Thỏa thuận nội bộ Tập đoàn

Để triển khai Thỏa thuận Nội bộ Tập đoàn, doanh nghiệp nên thực hiện các bước sau:

• Xác định cấu trúc tập đoàn: Làm rõ vai trò của từng chi nhánh (Controller hay Processor) và các chức năng kinh doanh tập trung.
• Nghiên cứu luật pháp địa phương: Đảm bảo thỏa thuận đáp ứng các quy định bảo vệ dữ liệu tại các quốc gia liên quan, PDPA của Singapore, luật bảo vệ dữ liệu cá nhân của Malaysia hay Việt Nam.
• Sử dụng mẫu chuẩn: Dựa trên Thỏa thuận Nội bộ Tập đoàn (hoặc ASEAN MCCs) để xây dựng bản thảo, sau đó tùy chỉnh theo nhu cầu cụ thể.
• Tham vấn pháp lý: Làm việc với luật sư để đảm bảo thỏa thuận tuân thủ các quy định quốc gia và quốc tế.
• Triển khai và giám sát: Đào tạo các chi nhánh về thỏa thuận và thiết lập quy trình giám sát, kiểm toán để đảm bảo tuân thủ liên tục.

Thỏa thuận Nội bộ Tập đoàn là một công cụ pháp lý quan trọng giúp các doanh nghiệp đa quốc gia, đặc biệt là micro-MNCs, quản lý việc chuyển giao dữ liệu cá nhân giữa các chi nhánh trong khu vực ASEAN và hơn thế nữa. Thỏa thuận cần bao gồm các quy định về vai trò và trách nhiệm, mục đích chuyển giao, tuân thủ chính sách bảo vệ dữ liệu, quản lý vi phạm, và quyền kiểm tra, đồng thời đảm bảo các biện pháp bảo mật và hỗ trợ quyền của chủ thể dữ liệu. Với tính linh hoạt, hiệu quả chi phí, và khả năng chuẩn hóa, thỏa thuận này giúp các doanh nghiệp đa quốc gia trong khu vực Đông Nam Á vận hành hiệu quả và tuân thủ pháp luật trong bối cảnh mở rộng đa quốc gia. Tuy nhiên, doanh nghiệp cần chú ý điều chỉnh thỏa thuận để phù hợp với các quy định địa phương và duy trì giám sát liên tục để đảm bảo tuân thủ.