Bên kiểm soát và bên xử lý dữ liệu cá nhân khác nhau thế nào?

Bên kiểm soát và bên xử lý dữ liệu cá nhân khác nhau thế nào?

Bên kiểm soát quyết định mục đích và phương tiện xử lý dữ liệu cá nhân; bên xử lý thực hiện theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý thông qua hợp đồng. Nếu doanh nghiệp vừa quyết định vừa trực tiếp xử lý thì phải nhận diện thêm vai trò bên kiểm soát và xử lý. Cần xác định theo từng luồng dữ liệu, vì cùng một nhà cung cấp có thể xử lý cho khách hàng ở hoạt động này và tự quyết định xử lý ở hoạt động khác. Việc sở hữu phần mềm hoặc ghi “bên xử lý” trong phụ lục chưa đủ để quyết định vai trò pháp lý.

Ba vai trò phải được phân biệt ngay từ đầu

Khoản 7–9 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định ba vai trò liên quan. Bên kiểm soát có quyền quyết định mục đích và phương tiện. Bên xử lý thực hiện xử lý theo yêu cầu thông qua hợp đồng. Bên kiểm soát và xử lý có cả quyền quyết định và hoạt động xử lý trực tiếp.

Vì vậy, cửa hàng tự xác định cần lấy tên, số điện thoại để quản lý đơn hàng, sau đó nhân viên nhập và tra cứu trên CRM, không nên được mô tả đơn giản là “chỉ kiểm soát”. Khoản 6 Điều 2 liệt kê nhiều hoạt động xử lý, gồm thu thập, phân tích, tổng hợp, chỉnh sửa và chuyển giao. Việc nhập hoặc sử dụng dữ liệu trong hệ thống cần được xem xét trong phạm vi hoạt động thực tế của doanh nghiệp.

Ngược lại, nhà cung cấp tính lương chỉ nhận bảng chấm công và tính toán theo yêu cầu đã xác lập có thể là bên xử lý đối với công việc được thuê. Kết luận này dựa trên giả định họ không tự dùng thông tin để xây dựng sản phẩm, quảng cáo hoặc phục vụ khách hàng khác. Nếu thực tế có mục đích sử dụng riêng, phải tách hoạt động đó để đánh giá, không tiếp tục gắn một vai trò duy nhất cho mọi dữ liệu.

Phân loại vai trò trong ba hợp đồng

Ba tình huống sau là giả định. Doanh nghiệp có thể dùng các cột này để đối chiếu hợp đồng của mình, nhưng phải thay dữ kiện và xác nhận cách vận hành thực tế trước khi kết luận.

Hợp đồng và luồng dữ liệu	Ai quyết định?	Ai thực hiện?	Vai trò theo giả định	Điểm phải xác minh, ghi vào hợp đồng
Thuê tính lương: doanh nghiệp lập hồ sơ, bảng chấm công; đơn vị dịch vụ tính theo chỉ dẫn	Doanh nghiệp quyết định mục đích trả lương, dữ liệu và phương tiện đã thống nhất	Doanh nghiệp thu thập, nhập; đơn vị dịch vụ tính và xuất kết quả	Doanh nghiệp là bên kiểm soát và xử lý; đơn vị dịch vụ là bên xử lý trong phần tính lương	Không dùng hồ sơ cho mục đích riêng; giới hạn truy cập; thời hạn lưu; phối hợp yêu cầu và vi phạm
Thuê CRM: doanh nghiệp nhập, tra cứu dữ liệu; nhà cung cấp lưu, hỗ trợ theo yêu cầu	Doanh nghiệp quyết định quản lý khách và cấu hình nghiệp vụ; nhà cung cấp thực hiện phạm vi dịch vụ	Doanh nghiệp trực tiếp sử dụng; nhà cung cấp lưu trữ, sao lưu, hỗ trợ	Doanh nghiệp là bên kiểm soát và xử lý; nhà cung cấp là bên xử lý nếu hoạt động đúng giả định	Vị trí xử lý, quyền hỗ trợ, nhà cung cấp tiếp theo, luồng ra nước ngoài và việc dùng dữ liệu riêng
Thuê khảo sát thị trường: doanh nghiệp chỉ quyết định dự án, không trực tiếp xử lý hồ sơ người tham gia	Doanh nghiệp quyết định mục đích, nhóm khảo sát, câu hỏi và phương tiện đã thống nhất	Đơn vị khảo sát thu thập, tổng hợp theo yêu cầu; doanh nghiệp chỉ nhận báo cáo thực sự đã khử nhận dạng	Doanh nghiệp là bên kiểm soát theo giả định; đơn vị khảo sát là bên xử lý đối với dự án	Nếu doanh nghiệp cung cấp danh sách cá nhân hoặc xem hồ sơ thì phải đánh giá lại vai trò; không dùng hồ sơ cho mục đích riêng

 

 

Yêu cầu chỉnh sửaCtrl Shift X

Nếu trong hợp đồng khảo sát, đơn vị dịch vụ tự thu thập thêm để phát triển sản phẩm của họ, cần xem riêng hoạt động đó theo khoản 7–10 Điều 2. Việc nhận vai trò bên kiểm soát hoặc bên kiểm soát và xử lý cho mục đích riêng không làm mục đích ấy tự hợp pháp. Bên sử dụng vẫn cần căn cứ xử lý phù hợp và không được vượt phạm vi dữ liệu đã được phép nhận.

Kiểm tra ai quyết định mục đích và phương tiện bằng cách nào?

Nên bắt đầu từ một công việc cụ thể: trả lương tháng, lưu đơn hàng hoặc khảo sát dịch vụ. Làm rõ ai quyết định vì sao cần xử lý, chọn nhóm thông tin nào, sử dụng cho ai và trong phạm vi nào. Sau đó xem ai lựa chọn hoặc phê duyệt phương tiện xử lý và ai thực hiện các thao tác trên dữ liệu.

Chứng cứ có thể nằm trong mô tả nghiệp vụ, cấu hình phần mềm, chỉ dẫn dịch vụ, quyền truy cập và hợp đồng. Ví dụ, hợp đồng nói nhà cung cấp chỉ lưu dữ liệu nhưng cấu hình mặc định cho phép họ dùng lịch sử khách hàng để phát triển mô hình riêng thì tài liệu và hoạt động đang có điểm cần xác minh. Không nên giải quyết sự khác nhau đó chỉ bằng cách sửa một câu định nghĩa trong phụ lục.

Bên xử lý có thể được giao lựa chọn chi tiết kỹ thuật trong phạm vi yêu cầu. Việc họ chọn lịch chạy tác vụ hoặc tổ chức nhân sự không tự chứng minh họ quyết định mục đích sử dụng dữ liệu. Tuy nhiên, cần đối chiếu mức tự chủ thực tế về phương tiện, phạm vi chỉ dẫn và các quyền sử dụng; không có một dấu hiệu đơn lẻ áp dụng cho mọi hợp đồng.

Nghĩa vụ của bên kiểm soát và bên xử lý khác nhau ở đâu?

Khoản 1 Điều 37 Luật 91/2025/QH15 yêu cầu bên kiểm soát xác lập trách nhiệm trong hợp đồng, quyết định mục đích và phương tiện tại các văn bản, thỏa thuận với chủ thể; thực hiện biện pháp bảo vệ, lựa chọn bên xử lý phù hợp, bảo đảm quyền và chịu trách nhiệm trước chủ thể về thiệt hại do quá trình xử lý gây ra. Vai trò quyết định đi kèm trách nhiệm lựa chọn và tổ chức việc xử lý.

Khoản 2 Điều 37 đặt nghĩa vụ riêng cho bên xử lý. Bên này chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng với bên kiểm soát hoặc bên kiểm soát và xử lý; phải xử lý đúng hợp đồng, thực hiện đầy đủ biện pháp bảo vệ, ngăn thu thập trái phép và phối hợp cơ quan có thẩm quyền. Bên xử lý chịu trách nhiệm trước bên thuê thuộc hai vai trò nêu trên về thiệt hại do quá trình xử lý gây ra. Vì vậy, nghĩa vụ của họ không chỉ là giữ bí mật hoặc làm theo bất kỳ yêu cầu nào được gửi đến.

Khoản 3 Điều 37 yêu cầu bên kiểm soát và xử lý thực hiện đầy đủ cả khoản 1 và khoản 2. Hợp đồng có thể phân công thao tác, đầu mối và cơ chế bồi hoàn phù hợp, nhưng không thể chỉ bằng một điều khoản xóa trách nhiệm pháp luật gắn với vai trò thực tế của doanh nghiệp.

Ai phải lập và lưu hồ sơ đánh giá tác động?

Khoản 1 Điều 21 Luật 91/2025/QH15 quy định bên kiểm soát, bên kiểm soát và xử lý lập, lưu hồ sơ và gửi một bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý, trừ trường hợp khoản 6. Khoản 3 quy định bên xử lý lập và lưu hồ sơ theo thỏa thuận với bên kiểm soát hoặc bên kiểm soát và xử lý, cũng trừ trường hợp khoản 6. Không nên viết thành một nghĩa vụ gửi hồ sơ giống nhau cho mọi bên chỉ vì cùng nhận dữ liệu.

Việc áp dụng còn phải đối chiếu khoản 2–3 Điều 38 và Điều 41 Nghị định 356/2025/NĐ-CP đối với trường hợp được lựa chọn hoặc không phải thực hiện một số nghĩa vụ. Điều kiện ngoại lệ không chỉ là doanh nghiệp ít nhân viên. Hợp đồng nên xác định dữ liệu, tài liệu và đầu mối mà nhà cung cấp phải cung cấp để doanh nghiệp thực hiện phần nghĩa vụ của mình.

Nếu cần kiểm tra diện áp dụng, doanh nghiệp có thể đối chiếu bài doanh nghiệp nào phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Việc nộp, cập nhật hồ sơ phải dùng thủ tục hiện hành; một biểu mẫu hoặc địa chỉ tiếp nhận trong hợp đồng cũ không tự còn phù hợp.

Hợp đồng cần phản ánh vai trò bằng những nội dung nào?

Trước khi bàn giao dữ liệu, hai bên cần mô tả công việc được thuê, loại dữ liệu, nhóm người liên quan, mục đích và giới hạn xử lý. Ghi rõ chỉ dẫn nào được phép thay đổi, ai xác nhận thay đổi và khi nào nhà cung cấp phải báo lại. Cần tách dữ liệu khách hàng được xử lý theo yêu cầu khỏi dữ liệu mà nhà cung cấp tự thu thập để quản lý nhân viên hoặc thực hiện công việc riêng.

Với chuyển giao thuộc điểm a, c, d khoản 1 Điều 17 Luật, khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu thỏa thuận nêu mục đích, đối tượng chủ thể và loại dữ liệu, thời hạn xử lý và xóa, hủy; cơ sở pháp lý; trách nhiệm bảo vệ, thực hiện quyền và phối hợp khi phát hiện vi phạm. Phải đối chiếu đúng trường hợp chuyển giao thay vì coi một cam kết bảo mật chung đã đủ.

Đối với dịch vụ đám mây, khoản 2 Điều 12 Nghị định còn yêu cầu xác định luồng xử lý, vai trò và trách nhiệm tương ứng, biện pháp bảo mật, kỹ thuật, tổ chức cùng các nội dung liên quan. Hợp đồng cần làm rõ quyền của nhà cung cấp tiếp theo và việc xử lý khi kết thúc dịch vụ. Các điều khoản về quyền kiểm tra, tài liệu chứng minh và cách phê duyệt thay đổi có thể được bổ sung theo rủi ro và khả năng thương lượng.

Nếu dữ liệu thuộc thông tin của người tiêu dùng, phải đối chiếu thêm khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng. Khi ủy quyền hoặc thuê bên thứ ba thực hiện các hoạt động thông tin được khoản này quy định, doanh nghiệp phải có sự đồng ý của người tiêu dùng; việc thuê, ủy quyền phải bằng văn bản, xác định phạm vi và trách nhiệm bảo vệ. Phân loại đối tác là bên xử lý theo Luật Bảo vệ dữ liệu cá nhân không tự bỏ yêu cầu chuyên ngành này.

Nếu nhà cung cấp báo vi phạm, bên thuê phải có đủ thông tin để đánh giá nghĩa vụ của mình. Khoản 1 Điều 23 Luật yêu cầu bên xử lý thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Mốc 72 giờ của các bên có nghĩa vụ báo cơ quan chuyên trách tính từ khi phát hiện hành vi có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể. Không mặc định mọi lỗi phần mềm đều thuộc điều kiện này. Thời hạn phối hợp trong hợp đồng phải hỗ trợ việc đánh giá và thông báo đúng luật.

Bốn bước rà soát vai trò trước khi ký

Một, bộ phận nghiệp vụ lập luồng thực tế. Ghi dữ liệu từ đâu đến, ai thao tác, được gửi cho ai và đầu ra dùng làm gì. Sản phẩm cần có là sơ đồ hoặc bảng luồng, gồm cả thao tác của nhân viên doanh nghiệp.

Hai, pháp chế đối chiếu quyền quyết định. Kiểm tra hợp đồng, thông báo cho cá nhân và cấu hình được phê duyệt. Ghi vai trò theo từng hoạt động, kèm giả định chưa xác nhận; không chỉ điền tên nhà cung cấp vào một mẫu DPA chung.

Ba, IT và nhà cung cấp xác nhận quyền truy cập, nơi xử lý. Đối chiếu nhân sự hỗ trợ, sao lưu, đơn vị tiếp theo và quyền sử dụng dữ liệu. Bằng chứng nên gồm mô tả dịch vụ, cấu hình hoặc xác nhận có thể lưu lại.

Bốn, người phụ trách hợp đồng chốt điều khoản phù hợp. Hoàn thiện giới hạn xử lý, phối hợp thực hiện quyền, vi phạm, bàn giao và xóa dữ liệu. Sau khi ký, bộ phận vận hành phải được biết các giới hạn này. Nếu dịch vụ hoặc mục đích thay đổi, rà soát lại vai trò trước khi mở thêm quyền truy cập.

Câu hỏi thường gặp

Một công ty có thể vừa là bên xử lý vừa là bên kiểm soát không?

Có thể có vai trò khác nhau trong các hoạt động khác nhau. Ví dụ, công ty xử lý bảng lương cho khách theo hợp đồng nhưng tự quyết định và trực tiếp xử lý hồ sơ nhân viên của mình. Cần ghi riêng từng luồng, không suy ra mọi dữ liệu đều có cùng vai trò.

Nhân viên IT nội bộ có phải một bên xử lý độc lập không?

Không nên tự xem phòng IT hoặc nhân viên là một đối tác độc lập chỉ vì họ thao tác trên hệ thống. Cần xét chủ thể tổ chức, quan hệ và công việc thực tế. Chia sẻ giữa các bộ phận trong cùng tổ chức còn phải được kiểm soát theo khoản 4 Điều 7 Nghị định 356/2025/NĐ-CP.

Ký hợp đồng xử lý có thay cho sự đồng ý của cá nhân không?

Không tự động. Hợp đồng giữa doanh nghiệp và nhà cung cấp phân định việc xử lý, nhưng căn cứ đối với cá nhân phải đối chiếu Điều 9, Điều 11 và trường hợp Điều 19 áp dụng. Không dùng hợp đồng dịch vụ làm lý do sử dụng dữ liệu cho mọi mục đích mới.

Đối tác tự sử dụng dữ liệu ngoài chỉ dẫn thì xử lý thế nào?

Cần dừng hoặc giới hạn phần sử dụng chưa có căn cứ, xác minh phạm vi, bảo toàn tài liệu và đối chiếu nghĩa vụ thông báo nếu có vi phạm. Phải đánh giá lại vai trò đối với mục đích riêng và trách nhiệm theo hợp đồng; việc đổi tên vai trò không hợp pháp hóa hành vi đã xảy ra.

Justix hỗ trợ xác định vai trò và hoàn thiện hợp đồng

Doanh nghiệp có thể gửi dự thảo hợp đồng, mô tả công việc, danh mục dữ liệu, quyền truy cập và danh sách nhà cung cấp liên quan để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ đối chiếu vai trò với công việc thực tế, rà soát phạm vi sử dụng và trách nhiệm phối hợp. Liên hệ 0372 717 888 hoặc info@justix.vn.