DPA Và SCCs: Quản Lý Data Transfer Ra Ngoài EU

DPA và SCCs giải quyết hai câu hỏi khác nhau. DPA (Data Processing Agreement) theo Điều 28 GDPR quy định processor được xử lý dữ liệu thay controller như thế nào. SCCs (Standard Contractual Clauses) theo Điều 46 là cơ sở để dữ liệu được chuyển hợp lệ sang nước chưa có adequacy decision, như Việt Nam. Công ty Việt Nam xử lý dữ liệu cho khách hàng EU thường cần cả hai.

DPA và SCCs khác nhau thế nào?

DPA là hợp đồng giữa controller và processor, bắt buộc bất kể dữ liệu nằm ở đâu: một processor đặt tại Đức cũng phải có DPA. SCCs chỉ cần khi có "transfer" ra ngoài EEA theo Chương V GDPR. Hai văn bản có thể nằm chung một bộ hợp đồng, nhưng mỗi phần phải đáp ứng đúng điều khoản của nó.

Tiêu chí	DPA	SCCs
Căn cứ GDPR	Điều 28(3)–(4)	Điều 46(2)(c), Quyết định (EU) 2021/914
Câu hỏi trả lời	Processor được làm gì với dữ liệu, theo chỉ thị nào	Dữ liệu ra khỏi EEA có được bảo vệ tương đương không
Khi nào cần	Mọi quan hệ controller → processor	Khi có transfer sang nước chưa có adequacy decision
Bên ký	Controller và processor (processor với sub-processor theo Điều 28(4))	Exporter (bên chịu GDPR) và importer ở nước thứ ba
Nội dung chính	Phạm vi, mục đích, loại dữ liệu, bảo mật (Điều 32), sub-processor, hỗ trợ quyền chủ thể, xóa hoặc trả lại, audit	Module phù hợp quan hệ các bên, nghĩa vụ của importer, đánh giá luật nước nhận

DPA theo Điều 28 phải có những gì?

Điều 28(3) yêu cầu hợp đồng nêu đối tượng, thời hạn, tính chất, mục đích xử lý, loại dữ liệu, nhóm chủ thể và quyền của controller. Processor phải cam kết tám điểm: chỉ xử lý theo chỉ thị bằng văn bản (kể cả việc chuyển ra nước thứ ba), ràng buộc bảo mật với nhân sự, áp dụng biện pháp theo Điều 32, tuân thủ điều kiện dùng sub-processor, hỗ trợ controller đáp ứng quyền chủ thể dữ liệu, hỗ trợ nghĩa vụ ở Điều 32–36, xóa hoặc trả lại dữ liệu khi kết thúc, và cung cấp thông tin, cho phép audit.

Về sub-processor, Điều 28(2) cho hai lựa chọn: chấp thuận cụ thể từng bên, hoặc chấp thuận chung kèm nghĩa vụ báo trước mọi thay đổi để controller có cơ hội phản đối. Theo Điều 28(4), processor ban đầu vẫn chịu trách nhiệm đầy đủ trước controller nếu sub-processor vi phạm.

Khi nào việc gửi dữ liệu sang Việt Nam là "transfer" cần SCCs?

Theo Hướng dẫn 05/2021 của EDPB (bản 2.0, 24/02/2023), một hoạt động là transfer khi đủ ba điều kiện: bên gửi (exporter) chịu GDPR cho hoạt động đó; exporter gửi hoặc cho phép một controller hay processor khác truy cập dữ liệu; và bên nhận (importer) ở nước thứ ba, kể cả khi importer cũng chịu GDPR theo Điều 3(2).

Hai hệ quả quan trọng với công ty Việt Nam:

Kỹ sư Việt Nam truy cập từ xa vào hệ thống của khách hàng EU, kể cả chỉ để xem dữ liệu khi hỗ trợ hoặc debug, cũng được EDPB coi là transfer.
Người dùng EU tự nhập dữ liệu vào ứng dụng của một công ty Việt Nam không phải là transfer, vì chủ thể dữ liệu không phải exporter. GDPR vẫn có thể áp dụng trực tiếp cho công ty đó theo Điều 3(2), nhưng không cần SCCs cho bước thu thập này.

Chọn module SCCs nào?

Quyết định (EU) 2021/914 ngày 4/6/2021 của Ủy ban châu Âu thay thế ba bộ SCCs cũ và chia thành bốn module theo quan hệ giữa exporter và importer:

Module 1: Controller → Controller
Module 2: Controller → Processor
Module 3: Processor → Processor
Module 4: Processor → Controller

Công ty outsourcing Việt Nam nhận dữ liệu từ khách hàng EU (controller) thường dùng Module 2. Nếu khách hàng của bạn lại là processor cho một controller khác ở EU, quan hệ đó thường là Module 3. Việc chọn module phụ thuộc vào vai trò thực tế của từng bên, nên cần xác định controller và processor trước khi ký.

Ngoài SCCs, Điều 46(2) còn cho phép Binding Corporate Rules, bộ quy tắc ứng xử hoặc cơ chế chứng nhận được phê duyệt kèm cam kết ràng buộc. Với doanh nghiệp vừa và nhỏ, SCCs thường là lựa chọn thực tế nhất. Nguồn: trang SCCs của Ủy ban châu Âu.

Transfer Impact Assessment cần làm gì?

Sau phán quyết Schrems II của Tòa án Công lý EU (C-311/18, ngày 16/7/2020), bên dùng SCCs phải đánh giá xem luật và thực tiễn ở nước nhận có làm giảm mức bảo vệ mà SCCs hứa hay không, và bổ sung biện pháp nếu cần. SCCs 2021 đưa yêu cầu này vào hợp đồng; EDPB hướng dẫn cách làm trong Khuyến nghị 01/2020.

Một Transfer Impact Assessment (TIA) thực tế trả lời ba câu: dữ liệu nào đi đâu và ai truy cập; luật nước nhận có cho cơ quan nhà nước quyền yêu cầu truy cập dữ liệu không và trong điều kiện nào; biện pháp bổ sung nào (mã hóa với khóa giữ ở EU, pseudonymisation, giới hạn truy cập) làm giảm rủi ro. TIA là hồ sơ accountability nội bộ, không nộp cho cơ quan nào, nhưng phải xuất trình được khi bị yêu cầu.

pTrackly hỗ trợ phần nào?

Trong pTrackly, mỗi vendor có trạng thái DPA (Chưa ghi nhận, Không cần, Bản nháp, Đã ký, Hết hạn) kèm ngày ký và ngày hết hạn, có nhắc trước 60 và 30 ngày, và một bộ lọc "dữ liệu cá nhân chưa có DPA đã ký". Mỗi hoạt động xử lý trong RoPA ghi việc chuyển dữ liệu ra nước ngoài và safeguard đi kèm (adequacy decision, SCCs…). Soạn và đàm phán DPA, chọn module SCCs và đánh giá pháp lý cho TIA vẫn là việc của đội ngũ và luật sư của bạn.

Xem thêm: vendor management theo GDPR, ROPA là gì, DPA GDPR cho công ty outsourcing và trang GDPR của pTrackly.

Câu hỏi thường gặp

DPA và SCCs có thể gộp vào một hợp đồng không?

Có. Nhiều bên đưa SCCs vào DPA dưới dạng phụ lục. Điều đó hợp lệ khi phần DPA đáp ứng Điều 28(3) và phần SCCs giữ nguyên văn các điều khoản do Ủy ban châu Âu ban hành, chỉ điền phụ lục và chọn module.

Khách hàng EU là doanh nghiệp nhỏ thì có cần SCCs không?

Có, nếu có transfer. Nghĩa vụ ở Chương V không phụ thuộc quy mô controller mà phụ thuộc việc dữ liệu có được gửi hoặc cho truy cập từ nước thứ ba hay không.

Kỹ sư ở Việt Nam chỉ truy cập từ xa, không tải dữ liệu về, có phải transfer không?

Có. EDPB coi truy cập từ xa từ nước thứ ba, kể cả chỉ hiển thị dữ liệu trên màn hình để hỗ trợ hoặc xử lý sự cố, là transfer khi đủ ba điều kiện của Hướng dẫn 05/2021.

Việt Nam đã có adequacy decision chưa?

Chưa. Danh sách adequacy decision của Ủy ban châu Âu không có Việt Nam, nên dữ liệu từ EU sang Việt Nam cần một safeguard theo Điều 46 như SCCs, hoặc một ngoại lệ hẹp theo Điều 49.