Bên thứ ba nhận dữ liệu cá nhân: xác định vai trò và nghĩa vụ thế nào?

Bên thứ ba nhận dữ liệu cá nhân: xác định vai trò và nghĩa vụ thế nào?

Muốn xác định bên thứ ba nhận dữ liệu cá nhân, doanh nghiệp phải kiểm tra bên nhận có thuộc một trong các vai trò chủ thể dữ liệu, bên kiểm soát, bên kiểm soát và xử lý hoặc bên xử lý hay không. Tên gọi “đối tác”, “đại lý” hoặc “nhà cung cấp” trong hợp đồng chưa quyết định vai trò. Bên chỉ xử lý theo yêu cầu thông qua hợp đồng khác bên tự quyết định sử dụng dữ liệu cho mục đích của mình. Sau khi phân loại, hai bên vẫn phải xác định căn cứ chuyển giao và phạm vi được phép dùng; một cam kết bảo mật không tự tạo quyền nhận hoặc sử dụng mọi thông tin.

Bên thứ ba theo luật khác “người ngoài công ty” ở đâu?

Khoản 10 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 xác định bên thứ ba là tổ chức, cá nhân ngoài chủ thể dữ liệu cá nhân, bên kiểm soát, bên kiểm soát và xử lý, bên xử lý, tham gia vào việc xử lý theo quy định của pháp luật. Vì vậy, không nên dùng khái niệm này cho mọi tổ chức bên ngoài rồi áp cùng một bộ trách nhiệm.

Khoản 8 Điều 2 xác định bên xử lý thực hiện theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý thông qua hợp đồng. Đơn vị lưu trữ dữ liệu theo phạm vi dịch vụ đã xác lập có thể thuộc vai trò này. Nếu bên nhận tự quyết định mục đích, phương tiện và trực tiếp sử dụng thông tin, phải đối chiếu khoản 7, 9 Điều 2 đối với hoạt động riêng đó. Việc gọi họ là bên thứ ba không loại bỏ trách nhiệm gắn với quyền quyết định thực tế.

Cần phân loại theo từng luồng. Một nhà cung cấp có thể là bên xử lý khi lưu hồ sơ cho khách hàng, nhưng giữ vai trò khác đối với hồ sơ nhân viên của chính mình. Trong quan hệ đang rà soát, phải đọc cả hợp đồng, quyền truy cập, chỉ dẫn dịch vụ và cách dùng dữ liệu. Khi các tài liệu chưa rõ, nên ghi vấn đề cần xác minh trước khi kết luận, thay vì chọn nhãn thuận tiện cho mẫu hợp đồng.

 

 

Yêu cầu chỉnh sửaCtrl Shift X

Bảng phân loại bên nhận dữ liệu

Các tình huống sau là giả định để đối chiếu. Vai trò cuối cùng cần được xác nhận bằng thỏa thuận và hoạt động thực tế của từng bên.

Bên nhận và hoạt động	Dấu hiệu cần kiểm tra	Phân loại theo dữ kiện	Căn cứ, giới hạn cần làm rõ	Tài liệu nên lưu
Đơn vị lưu trữ nhận hồ sơ theo hợp đồng, không dùng riêng	Có xử lý theo yêu cầu; quyền hỗ trợ và sao lưu nằm trong phạm vi dịch vụ	Có thể là bên xử lý theo khoản 8 Điều 2	Chỉ nhận, dùng dữ liệu được giao hợp pháp; kiểm tra nơi xử lý và bên tiếp theo	Hợp đồng, mô tả luồng, quyền truy cập, xác nhận sử dụng
Nhà tài trợ nhận danh sách để tự tiếp thị sản phẩm	Tự quyết định khách được liên hệ, nội dung, thời gian và phương tiện	Cần đối chiếu bên kiểm soát hoặc bên kiểm soát và xử lý; không chỉ gọi chung là bên thứ ba	Căn cứ cho mục đích tiếp thị riêng và việc chuyển danh sách phải được kiểm tra	Nội dung thông báo, lựa chọn của cá nhân, thỏa thuận chuyển giao
Phòng chăm sóc trong cùng tổ chức nhận hồ sơ để xử lý yêu cầu	Cùng tổ chức, cùng mục đích đã xác lập; người được xem có nhiệm vụ phù hợp	Chia sẻ giữa bộ phận, không tự hình thành một đối tác xử lý độc lập	Kiểm soát sử dụng nội bộ theo Điều 17.1.b và Điều 7.4 Nghị định	Quy trình chia sẻ, phân quyền, tài liệu phân công
Một đối tác được dự thảo gọi là “bên thứ ba”, chưa rõ quyền sử dụng	Chưa xác nhận ai quyết định mục đích, phương tiện; chưa rõ có xử lý theo hợp đồng hay không	Chưa đủ dữ kiện; chỉ kết luận bên thứ ba khi đáp ứng khoản 10 Điều 2	Không bàn giao chỉ vì đã có tên trong danh sách đối tác	Yêu cầu xác minh vai trò, dự thảo đã hiệu chỉnh, căn cứ nhận dữ liệu
Người được dữ liệu phản ánh yêu cầu nhận thông tin của mình	Kiểm tra đúng người, phạm vi yêu cầu và thông tin của người khác trong hồ sơ	Là chủ thể dữ liệu trong yêu cầu này	Thực hiện quyền theo phạm vi, thủ tục và thời hạn tương ứng	Yêu cầu, kết quả xác minh, dữ liệu đã cung cấp, phản hồi

 

 

 

Xác định vai trò có đồng nghĩa được chuyển dữ liệu không?

Không. Vai trò trả lời ai làm gì và chịu trách nhiệm nào; căn cứ chuyển giao trả lời vì sao được chuyển bộ dữ liệu cụ thể. Hai việc phải được kiểm tra đồng thời. Một nhà cung cấp đúng là bên xử lý vẫn không được nhận một danh sách do bên thuê thu thập trái pháp luật hoặc dùng vượt phạm vi đã được phép.

Khoản 1 Điều 17 Luật 91/2025/QH15 quy định các trường hợp chuyển giao, gồm theo sự đồng ý; chia sẻ giữa bộ phận; một số trường hợp tổ chức lại; chuyển cho bên xử lý, bên thứ ba để xử lý theo quy định; yêu cầu của cơ quan có thẩm quyền và trường hợp tại khoản 1 Điều 19. Điểm d không phải quyền xuất toàn bộ kho dữ liệu cho bất kỳ đối tác nào. Hoạt động còn phải tuân thủ phạm vi, mục đích và pháp luật liên quan theo Điều 3.

Nếu dựa vào sự đồng ý, phải kiểm tra nội dung cá nhân đã biết và chấp thuận theo Điều 9, cùng bằng chứng theo Điều 6 Nghị định 356/2025/NĐ-CP. Nếu dựa vào thỏa thuận của chủ thể tại điểm d khoản 1 Điều 19, phải chỉ ra thỏa thuận và công việc đang được thực hiện. Hợp đồng giữa hai doanh nghiệp không tự chứng minh người được dữ liệu phản ánh đã có thỏa thuận cho mục đích mới.

Với thông tin người tiêu dùng, khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng đặt yêu cầu về sự đồng ý khi thuê, ủy quyền bên thứ ba thực hiện các hoạt động thông tin được quy định, cùng văn bản xác định phạm vi và trách nhiệm bảo vệ. Điều 18 còn điều chỉnh việc sử dụng, chia sẻ và thay đổi mục đích. Không áp tên gọi bên thứ ba của một luật để bỏ qua phạm vi riêng của luật khác.

Thỏa thuận với bên nhận phải nêu rõ những gì?

Đối với chuyển giao thuộc điểm a, c, d khoản 1 Điều 17 Luật, khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu xác lập thỏa thuận. Nội dung phải làm rõ mục đích; nhóm chủ thể và loại dữ liệu phù hợp; thời hạn xử lý, yêu cầu xóa, hủy; cơ sở pháp lý; trách nhiệm bảo vệ, thực hiện quyền và phối hợp khi phát hiện vi phạm.

Trong hợp đồng cụ thể, nên viết giới hạn sử dụng theo công việc có thể kiểm tra. Chẳng hạn, đơn vị vận hành biểu mẫu được thu, lưu và bàn giao hồ sơ đăng ký theo chỉ dẫn nào; có được mở quyền cho nhà cung cấp tiếp theo hay không; dữ liệu nào bị cấm dùng cho hoạt động riêng. Câu “được sử dụng để cung cấp dịch vụ và mục đích kinh doanh” quá rộng nếu không chỉ ra dịch vụ, mục đích và giới hạn đã được phép.

Ngay ở giai đoạn giao kết, khoản 2 Điều 387 Bộ luật Dân sự 2015 yêu cầu bên nhận thông tin bí mật phải giữ bí mật, không dùng cho mục đích riêng hoặc mục đích trái pháp luật. Quy định này không thay cho căn cứ xử lý dữ liệu cá nhân. Khi trao đổi dự thảo, nên dùng mô tả hoặc dữ liệu minh họa phù hợp, tránh gửi danh sách thật vượt nhu cầu đàm phán.

Với dữ liệu nhạy cảm, khoản 2 Điều 7 có yêu cầu bảo mật riêng khi chuyển giao. Đối với trường hợp có thu phí thuộc khoản 3 Điều 7, phải kiểm tra thêm điều kiện của khoản này, gồm cơ chế đồng ý rõ ràng theo từng lần chuyển giao và giới hạn sử dụng. Không suy ra việc trả phí dịch vụ làm hợp pháp mọi giao dịch dữ liệu.

Hai bên cũng nên thống nhất đầu mối, cách kiểm tra thay đổi, tài liệu chứng minh thực hiện và xử lý khi kết thúc. Điều khoản về trả lại hoặc xóa dữ liệu cần xét bản sao, dữ liệu trung gian và căn cứ lưu giữ còn tồn tại. Quyền kiểm tra và cách cung cấp bằng chứng là các nội dung thương lượng theo rủi ro; không phải một mẫu hợp đồng cố định áp cho mọi bên nhận.

Ví dụ: danh sách người đăng ký sự kiện được giao cho nhà tài trợ

Tình huống giả định: Công ty A tổ chức sự kiện và thuê B vận hành biểu mẫu đăng ký. B thu thông tin theo cấu hình, nội dung và chỉ dẫn đã thống nhất, rồi bàn giao cho A. Nhà tài trợ C đề nghị nhận danh sách để tự gọi giới thiệu sản phẩm sau sự kiện. Thông tin đăng ký ban đầu chỉ phục vụ tổ chức sự kiện, chưa có lựa chọn về tiếp thị của C.

Đối với biểu mẫu, cần xem B có đúng là bên xử lý theo hợp đồng hay còn quyền dùng riêng. Đối với yêu cầu của C, đây là một hoạt động sử dụng khác: C tự xác định mục đích và cách liên hệ, nên phải đánh giá vai trò kiểm soát tương ứng. Không thể đưa C vào phụ lục với tên “bên thứ ba” rồi coi nội dung đăng ký sự kiện đã bao phủ tiếp thị.

A cần dừng việc xuất danh sách cho mục đích chưa có căn cứ, xác minh yêu cầu của C và đối chiếu nội dung đã thông tin cho người đăng ký. Nếu dùng căn cứ đồng ý, phải có nội dung và bằng chứng phù hợp về việc chuyển và tiếp thị; không coi im lặng là đồng ý. Hợp đồng tài trợ giữa A và C không thay cho căn cứ đối với cá nhân.

Kết quả rà soát nên gồm ma trận vai trò theo từng luồng, giới hạn quyền của B, quyết định về yêu cầu của C và tài liệu cần bổ sung trước khi chuyển. Tệp dữ liệu thật chỉ được cung cấp trong phạm vi đã xác nhận. Có thể đối chiếu thêm bài chia sẻ dữ liệu khách hàng cho đối tác có cần xin đồng ý không khi kiểm tra căn cứ cụ thể.

Bên nhận phải phối hợp thực hiện quyền và xử lý vi phạm ra sao?

Việc xác định một bên là bên thứ ba không đưa họ ra ngoài các nghĩa vụ bảo vệ dữ liệu. Khoản 1 Điều 18 Luật yêu cầu các vai trò liên quan, bao gồm bên thứ ba, có biện pháp bảo vệ khi lưu trữ. Khoản 3 Điều 14 quy định bên kiểm soát, bên kiểm soát và xử lý yêu cầu bên xử lý, bên thứ ba xóa, hủy khi thuộc trường hợp áp dụng. Thỏa thuận cần tạo điều kiện để công việc này được thực hiện và xác nhận.

Khoản 1 Điều 23 đặt nghĩa vụ thông báo cơ quan chuyên trách đối với bên thứ ba khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể; mốc là chậm nhất 72 giờ từ khi phát hiện. Bên xử lý có nghĩa vụ thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Không dùng một câu chung “báo bên giao khi có sự cố” để thay nghĩa vụ đúng với vai trò và điều kiện luật định.

Nếu bên nhận đặt hệ thống hoặc xử lý tại nước ngoài, cần xác minh luồng và đối chiếu Điều 20 về chuyển dữ liệu xuyên biên giới. Nghĩa vụ hồ sơ tại Điều 21 và các trường hợp áp dụng phải được đánh giá theo vai trò, hoạt động của từng chủ thể. Không mặc định mọi bên nhận đều phải gửi cùng một hồ sơ, cũng không mặc định gọi là bên thứ ba thì được miễn.

Cách rà soát trước khi mở quyền hoặc gửi tệp

Bộ phận nghiệp vụ cần ghi công việc, dữ liệu tối thiểu theo phạm vi hợp pháp, người nhận và đầu ra. Pháp chế đối chiếu căn cứ, vai trò và thỏa thuận. IT hoặc người quản lý hệ thống xác nhận quyền truy cập, nơi lưu, khả năng tải, sao lưu và thu hồi. Người có thẩm quyền chỉ chốt bàn giao khi các thông tin còn thiếu đã được làm rõ.

Sau khi bàn giao, nên lưu phiên bản thỏa thuận, phạm vi dữ liệu đã cấp và xác nhận của bên nhận; rà soát khi mục đích hoặc dịch vụ thay đổi. Các tài liệu này giúp kiểm tra việc thực hiện, nhưng không thay cho nghĩa vụ bảo vệ trong vận hành. Nếu phát hiện sử dụng vượt phạm vi, phải xác minh, hạn chế phần sử dụng có rủi ro và đánh giá nghĩa vụ xử lý vi phạm tương ứng.

Câu hỏi thường gặp

Có thể ghi mọi nhà cung cấp là bên thứ ba cho đơn giản không?

Không nên. Cần đối chiếu khoản 7–10 Điều 2 theo từng hoạt động. Nếu nhà cung cấp xử lý theo yêu cầu qua hợp đồng, phải xem vai trò bên xử lý và nghĩa vụ tương ứng; tên gọi chung có thể làm thiếu trách nhiệm.

Có cam kết không tiết lộ thì bên nhận được dùng dữ liệu riêng không?

Không tự động. Hạn chế tiết lộ khác giới hạn sử dụng. Cần kiểm tra mục đích, căn cứ và quyền sử dụng thực tế; việc dữ liệu không bị công khai chưa chứng minh hoạt động phân tích hoặc tiếp thị riêng là hợp pháp.

Đối tác chuyển tiếp cho một nhà cung cấp khác thì phải kiểm tra gì?

Cần xác minh bên tiếp theo, phạm vi công việc, dữ liệu, nơi xử lý và căn cứ chuyển tiếp; đối chiếu thỏa thuận và quy định áp dụng. Không coi việc đối tác thuê dịch vụ phụ là quyền tự do chuyển toàn bộ dữ liệu.

Justix hỗ trợ rà soát bên nhận và giới hạn hợp đồng

Doanh nghiệp có thể chuẩn bị danh sách bên nhận, mô tả từng luồng, quyền sử dụng, dự thảo hợp đồng và nội dung thông tin cho cá nhân để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ xác định vai trò, căn cứ và cơ chế phối hợp phù hợp giao dịch. Liên hệ 0372 717 888 hoặc info@justix.vn.