Bên kiểm soát và xử lý dữ liệu cá nhân chịu trách nhiệm gì?

Bên kiểm soát và xử lý dữ liệu cá nhân chịu trách nhiệm gì?

Bên kiểm soát và xử lý dữ liệu cá nhân là bên quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu. Theo khoản 3 Điều 37 Luật Bảo vệ dữ liệu cá nhân, bên này phải thực hiện đầy đủ trách nhiệm của cả bên kiểm soát và bên xử lý. Khi doanh nghiệp tự thu thập, nhập, sử dụng thông tin khách hàng trong CRM theo mục đích do mình xác định, cần đối chiếu vai trò này. Việc thuê đơn vị lưu trữ hoặc ghi trong hợp đồng rằng nhà cung cấp chịu trách nhiệm bảo vệ không tự làm mất nghĩa vụ của doanh nghiệp.

Khi nào doanh nghiệp là bên kiểm soát và xử lý?

Khoản 9 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 đặt ra hai yếu tố cùng tồn tại: quyền quyết định mục đích, phương tiện và trực tiếp xử lý. Cần kiểm tra doanh nghiệp đang làm gì với từng nhóm dữ liệu, không chỉ ai sở hữu phần mềm. Khoản 6 cùng điều xác định xử lý bao gồm thu thập, phân tích, tổng hợp, chỉnh sửa, xóa, hủy, cung cấp và nhiều hoạt động tác động khác.

Doanh nghiệp tự chọn thông tin cần thu để quản lý đơn hàng, giao nhân viên nhập CRM, phân công chăm sóc và xuất báo cáo theo yêu cầu của mình có các dấu hiệu của vai trò này. Nếu một phần lưu trữ được thuê ngoài, cần xác định thêm vai trò của nhà cung cấp đối với phần công việc được giao. Hoạt động trực tiếp của doanh nghiệp không biến mất chỉ vì dữ liệu đặt trên máy chủ của đối tác.

Một đơn vị dịch vụ cũng có thể là bên xử lý khi thực hiện yêu cầu khách hàng, nhưng là bên kiểm soát và xử lý khi tự quản lý hồ sơ nhân viên của mình. Khi lập tài liệu, nên ghi hoạt động, loại dữ liệu, quyền quyết định và thao tác thực tế. Không dùng một nhãn “kiểm soát và xử lý” để bỏ qua việc phân biệt các luồng hợp đồng khác nhau.

Phải thực hiện đồng thời những nhóm trách nhiệm nào?

Khoản 3 Điều 37 Luật 91/2025/QH15 dẫn chiếu đầy đủ khoản 1 và khoản 2. Ở phần quyết định, doanh nghiệp phải xác lập trách nhiệm hợp đồng; thể hiện mục đích, phương tiện trong văn bản, thỏa thuận với chủ thể; áp dụng và cập nhật biện pháp bảo vệ; lựa chọn bên xử lý phù hợp và bảo đảm quyền của cá nhân. Doanh nghiệp còn chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý gây ra theo điểm g khoản 1.

Ở phần thực hiện, doanh nghiệp phải tuân thủ nghĩa vụ xử lý đúng thỏa thuận, áp dụng đầy đủ biện pháp bảo vệ, ngăn thu thập trái phép và phối hợp cơ quan có thẩm quyền theo khoản 2. Những nghĩa vụ gắn với việc tiếp nhận dữ liệu để xử lý cho một bên khác phải được áp dụng trong đúng quan hệ thực tế. Khi doanh nghiệp tự thu thập dữ liệu cho mục đích của mình, căn cứ với cá nhân vẫn phải được kiểm tra; không cần tạo một hợp đồng giả định giữa doanh nghiệp với chính mình.

Nên chuyển các nghĩa vụ này thành công việc có người thực hiện và tài liệu chứng minh. Pháp chế có thể rà soát căn cứ; bộ phận kinh doanh xác nhận mục đích và phạm vi; IT triển khai phân quyền; người có thẩm quyền phê duyệt nhà cung cấp và thay đổi quan trọng. Sự phân công nội bộ giúp thực hiện nghĩa vụ của tổ chức, không chuyển tư cách pháp lý của tổ chức sang riêng một nhân viên.

Ví dụ doanh nghiệp tự vận hành CRM

Tình huống giả định: Công ty A bán thiết bị văn phòng. Công ty quyết định dùng CRM để theo dõi yêu cầu báo giá, đơn hàng và chăm sóc sau bán. Nhân viên của A lấy thông tin từ biểu mẫu, nhập hồ sơ, ghi lịch sử liên hệ và cập nhật kết quả. Một nhà cung cấp trong nước lưu trữ, sao lưu và hỗ trợ theo hợp đồng; giả định họ không dùng hồ sơ khách cho mục đích riêng.

A có quyền quyết định và trực tiếp thực hiện nhiều hoạt động nên cần nhận diện là bên kiểm soát và xử lý đối với luồng CRM này. Nhà cung cấp có thể là bên xử lý trong phạm vi lưu trữ và hỗ trợ theo yêu cầu. Kết luận phải được kiểm tra lại nếu điều khoản dịch vụ cho phép nhà cung cấp sử dụng dữ liệu riêng hoặc luồng hỗ trợ thực tế khác mô tả.

Trước khi vận hành, A cần tách từng mục đích: phản hồi báo giá, quản lý đơn hàng, chăm sóc và gửi nội dung quảng cáo không được mặc nhiên coi là một mục đích duy nhất. Điều 9 yêu cầu đồng ý theo từng mục đích khi dùng căn cứ đồng ý; Điều 11 yêu cầu đồng ý trước thu thập, trừ trường hợp luật quy định khác. Nếu dựa vào Điều 19 để thực hiện một thỏa thuận của cá nhân, phải xác định đúng trường hợp và giới hạn cần thiết của hoạt động đó.

 

Yêu cầu chỉnh sửaCtrl Shift X

Bảng phân công trách nhiệm cho CRM của Công ty A

Đây là cách phân công đề xuất từ tình huống giả định. Doanh nghiệp cần điều chỉnh chức danh theo cơ cấu thực tế; bảng không thay thế toàn bộ nghĩa vụ được pháp luật quy định.

Công việc	Người hoặc bộ phận thực hiện	Tài liệu, kết quả cần có	Điều kiện cần kiểm tra	Căn cứ liên quan
Xác định mục đích và dữ liệu đầu vào	Kinh doanh cùng pháp chế; người có thẩm quyền phê duyệt	Danh mục mục đích, trường dữ liệu, căn cứ và thông tin cho cá nhân	Không gom mục đích mới vào thông báo cũ; nguồn dữ liệu phải hợp pháp	Điều 3, 9, 11, 19; điểm b khoản 1 Điều 37 Luật
Lựa chọn và giao việc cho nhà cung cấp	Phụ trách hợp đồng, pháp chế và IT	Mô tả luồng, đánh giá phạm vi dịch vụ, hợp đồng hoặc phụ lục	Quyền hỗ trợ, sao lưu, nơi xử lý, đơn vị tiếp theo, sử dụng riêng	Điểm a, đ khoản 1 Điều 37; Điều 7, 12 Nghị định
Phân quyền sử dụng CRM	IT phối hợp quản lý bộ phận	Danh sách quyền, cấu hình được phê duyệt, bằng chứng thu hồi quyền	Hạn chế tải toàn bộ danh sách; kiểm soát tài khoản nghỉ việc và tài khoản hỗ trợ	Điểm c, h khoản 1; điểm c, đ khoản 2 Điều 37
Tiếp nhận yêu cầu của cá nhân	Đầu mối bảo vệ dữ liệu cùng bộ phận quản lý hồ sơ	Phiếu tiếp nhận, xác minh, quyết định xử lý, phản hồi và xác nhận của nhà cung cấp	Phạm vi quyền, thời hạn, ngoại lệ lưu giữ và dữ liệu ở các bản sao	Điều 4, 10, 14 Luật; Điều 5 Nghị định
Đánh giá tác động và thay đổi	Người phụ trách dữ liệu, pháp chế, nghiệp vụ và IT	Hồ sơ theo diện áp dụng; danh mục thay đổi, tài liệu nhà cung cấp	Ngoại lệ có điều kiện; luồng xuyên biên giới phải kiểm tra riêng	Điều 20–22, 38 Luật; Điều 41 Nghị định
Phối hợp khi có vi phạm	IT xác minh; pháp chế đánh giá; người có thẩm quyền xử lý	Hồ sơ sự việc, biện pháp khắc phục, đánh giá và thông báo khi thuộc diện	Thời điểm phát hiện, dữ liệu ảnh hưởng, điều kiện tổn hại, nghĩa vụ từng bên	Điều 23 và điểm d khoản 1 Điều 37 Luật

 

 

 

Thuê nhà cung cấp CRM có thể giao toàn bộ trách nhiệm không?

Doanh nghiệp có thể thuê thực hiện một số công việc, nhưng vẫn phải thực hiện trách nhiệm của mình theo Điều 37. Ví dụ, nhà cung cấp có thể cấu hình quyền hoặc xóa một bản sao; doanh nghiệp cần xác định yêu cầu, kiểm tra kết quả và xử lý yêu cầu của khách hàng trong phạm vi nghĩa vụ của mình. Một câu “nhà cung cấp chịu toàn bộ trách nhiệm dữ liệu” không thay cho căn cứ thu thập và quyền của cá nhân.

Trước khi giao dữ liệu, cần có thỏa thuận phù hợp quan hệ xử lý. Khoản 2 Điều 37 yêu cầu bên xử lý chỉ tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng. Đối với chuyển giao thuộc phạm vi khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP, các bên phải làm rõ mục đích, dữ liệu, thời hạn, cơ sở pháp lý và trách nhiệm bảo vệ, thực hiện quyền, phối hợp khi có vi phạm.

Khi CRM là dịch vụ điện toán đám mây, khoản 2 Điều 12 Nghị định yêu cầu nội dung về tuân thủ pháp luật Việt Nam, luồng xử lý, vai trò, biện pháp bảo mật và các trách nhiệm liên quan. Doanh nghiệp cần kiểm tra cả hỗ trợ từ xa, nơi sao lưu và đơn vị tiếp theo. “Nhà cung cấp trong nước” chưa chứng minh dữ liệu chỉ được xử lý tại Việt Nam; nếu có luồng thuộc khoản 1 Điều 20 Luật, phải đánh giá nghĩa vụ chuyển dữ liệu xuyên biên giới riêng.

Nếu khách mua, sử dụng hàng hóa thuộc phạm vi người tiêu dùng, A phải đối chiếu thêm khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng. Việc ủy quyền hoặc thuê bên thứ ba thực hiện các hoạt động thông tin được khoản này quy định cần sự đồng ý của người tiêu dùng và văn bản xác định phạm vi, trách nhiệm. Không chỉ dựa vào hợp đồng CRM để kết luận việc giao thông tin cho nhà cung cấp đã đủ căn cứ.

Khi khách hàng rút đồng ý hoặc yêu cầu xóa, ai xử lý?

Bên kiểm soát và xử lý phải bảo đảm quyền theo điểm e khoản 1 Điều 37 và Điều 4. Doanh nghiệp cần có đầu mối nhận yêu cầu, xác minh phù hợp, xác định mục đích bị ảnh hưởng và chuyển việc cho người quản lý dữ liệu cùng nhà cung cấp nếu cần. Điều 5 Nghị định 356/2025/NĐ-CP quy định thời hạn theo từng loại yêu cầu; không nên áp một mốc chung cho mọi quyền.

Trong tình huống A, khách rút đồng ý đối với một mục đích thì A phải xử lý yêu cầu theo Điều 10 và thông báo cho bên liên quan theo phạm vi cần thiết. Nếu khách còn một đơn hàng chưa hoàn thành, phải đánh giá riêng căn cứ và dữ liệu cần cho công việc đó. Không tiếp tục mọi hoạt động chỉ vì còn hợp đồng, cũng không tự xóa toàn bộ hồ sơ mà bỏ qua nghĩa vụ lưu giữ hợp pháp.

Nếu có yêu cầu xóa, khoản 1–3 Điều 14 quy định trường hợp thực hiện, trường hợp không thực hiện và trách nhiệm yêu cầu bên xử lý, bên thứ ba xóa, hủy. A cần ghi dữ liệu nào đã được xử lý, dữ liệu nào phải giữ và lý do cụ thể, đồng thời xác nhận công việc của nhà cung cấp. Có thể đối chiếu thêm bài khách hàng yêu cầu xóa dữ liệu cá nhân, doanh nghiệp phải làm gì khi thiết kế quy trình.

Hồ sơ đánh giá tác động và nhân sự phụ trách được kiểm tra ra sao?

Khoản 1 Điều 21 Luật 91/2025/QH15 yêu cầu bên kiểm soát và xử lý lập, lưu và gửi một bản chính hồ sơ đánh giá tác động cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý, trừ trường hợp khoản 6. Hồ sơ được thực hiện một lần cho suốt thời gian hoạt động và cập nhật theo khoản 2 Điều 21, Điều 22; không có nghĩa chỉ làm một lần rồi bỏ qua thay đổi về dịch vụ, hoạt động hoặc thông tin hồ sơ.

Nghĩa vụ hồ sơ chuyển dữ liệu tại Điều 20 khác hồ sơ xử lý tại Điều 21. Ngoại lệ của một loại hồ sơ không tự miễn loại còn lại. Việc chỉ định bộ phận, nhân sự hoặc thuê dịch vụ bảo vệ dữ liệu cần đối chiếu khoản 2 Điều 33 và quy định hướng dẫn tương ứng. Khi rà soát điều kiện miễn hoặc lựa chọn thực hiện đối với doanh nghiệp nhỏ, khởi nghiệp, siêu nhỏ, hộ kinh doanh, phải kiểm tra khoản 2–3 Điều 38 cùng Điều 41 Nghị định, gồm các trường hợp loại trừ; không kết luận từ số nhân viên của A.

Đối với CRM đã vận hành trước 01/01/2026, Điều 39 Luật có quy định chuyển tiếp về sự đồng ý, thỏa thuận và hồ sơ đã được tiếp nhận. Cần kiểm tra hồ sơ thật cùng điều kiện chuyển tiếp, rồi cập nhật theo quy định hiện hành. Không coi việc có một bản dự thảo cũ hoặc đã gửi email chưa rõ tiếp nhận là chứng cứ đủ cho mọi trường hợp.

Khi có vi phạm dữ liệu, doanh nghiệp phối hợp thế nào?

Giả định nhà cung cấp phát hiện tài khoản hỗ trợ đã xuất danh sách khách ngoài phạm vi được phép. Họ phải thông báo kịp thời cho A theo khoản 1 Điều 23 Luật. A cần yêu cầu bảo toàn nhật ký, xác minh thời điểm phát hiện, phạm vi dữ liệu và người bị ảnh hưởng; đồng thời hạn chế truy cập có rủi ro, phối hợp khắc phục và đánh giá nghĩa vụ thông báo.

Khoản 1 Điều 23 quy định mốc thông báo cơ quan chuyên trách không quá 72 giờ từ khi phát hiện hành vi có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể. Khoản 2 yêu cầu bên kiểm soát và xử lý lập biên bản, phối hợp xử lý. Cần đánh giá đúng điều kiện và quy định riêng của dữ liệu liên quan; không lấy thời gian chờ nhà cung cấp trả lời làm mốc phát hiện mới.

Hợp đồng nên quy định đầu mối, thông tin phải cung cấp và thời hạn phối hợp để A thực hiện nghĩa vụ. Đây là nội dung cần chốt trước khi vận hành. Thỏa thuận bồi hoàn giữa A và nhà cung cấp được xem xét trong quan hệ hợp đồng, nhưng không thay thế trách nhiệm đối với chủ thể dữ liệu và cơ quan có thẩm quyền.

Câu hỏi thường gặp

Tự vận hành CRM chỉ để lưu thông tin có phải xử lý dữ liệu không?

Cần xét các thao tác thực tế. Thu thập, nhập, cập nhật, tra cứu, tổng hợp hoặc tác động khác đến dữ liệu nằm trong phạm vi xử lý theo khoản 6 Điều 2. Nếu doanh nghiệp quyết định mục đích, phương tiện và trực tiếp xử lý, phải đối chiếu vai trò tại khoản 9.

Ký phụ lục gọi doanh nghiệp là “bên kiểm soát” có đủ không?

Không. Nếu doanh nghiệp đồng thời trực tiếp xử lý, tài liệu phải phản ánh yếu tố này. Cần đối chiếu quyền quyết định, công việc và luồng dữ liệu rồi hiệu chỉnh vai trò, nghĩa vụ tương ứng.

Có phải bộ phận pháp chế chịu toàn bộ trách nhiệm CRM?

Phân công pháp chế phụ trách rà soát không thay nghĩa vụ của doanh nghiệp. Nghiệp vụ, IT, người phụ trách dữ liệu và người có thẩm quyền phải thực hiện phần việc phù hợp; pháp chế không thể tự xác nhận một cấu hình kỹ thuật chưa được kiểm tra.

Nhà cung cấp đã lập hồ sơ đánh giá tác động thì doanh nghiệp được miễn không?

Không tự động. Cần xác định nghĩa vụ riêng của doanh nghiệp theo Điều 21 và điều kiện ngoại lệ áp dụng. Hồ sơ của nhà cung cấp có thể cung cấp thông tin cần thiết, nhưng không chỉ vì họ đã làm hồ sơ mà doanh nghiệp được bỏ qua phần việc của mình.

Justix hỗ trợ hoàn thiện trách nhiệm trong hợp đồng CRM

Doanh nghiệp có thể gửi mô tả luồng CRM, dự thảo hợp đồng, chính sách hiện có, quyền hỗ trợ và danh sách đơn vị tiếp theo để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ xác định vai trò, phạm vi xử lý và cơ chế phối hợp thực hiện quyền, xử lý vi phạm, bàn giao dữ liệu. Liên hệ 0372 717 888 hoặc info@justix.vn để xác định tài liệu và phạm vi rà soát.