Hợp đồng xử lý dữ liệu cá nhân DPA cần có những điều khoản nào?

Hợp đồng xử lý dữ liệu cá nhân DPA cần có những điều khoản nào?

Hợp đồng xử lý dữ liệu cá nhân cần xác định vai trò, mục đích, phạm vi dữ liệu, thời hạn xử lý và trách nhiệm của từng bên. Khi thuê phần mềm hoặc dịch vụ có tiếp cận dữ liệu, doanh nghiệp còn cần làm rõ việc sử dụng nhà cung cấp tiếp theo, phối hợp giải quyết yêu cầu, thông báo vi phạm và trả hoặc xóa dữ liệu. Nội dung phải phù hợp công việc thực tế của bên nhận.

DPA là gì và khi nào cần ký?

DPA là tên viết tắt thường dùng của thỏa thuận xử lý dữ liệu, xuất phát từ thuật ngữ tiếng Anh Data Processing Agreement. Doanh nghiệp có thể thể hiện nội dung này trong hợp đồng riêng hoặc phụ lục của hợp đồng dịch vụ; tên gọi không quyết định việc tài liệu đã đáp ứng pháp luật hay chưa.

Điểm a khoản 2 Điều 37 Luật 91/2025/QH15 yêu cầu bên xử lý chỉ tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng xử lý với bên kiểm soát hoặc bên kiểm soát và xử lý. Vì vậy, nên rà soát ngay cả giai đoạn thử nghiệm nếu nhà cung cấp được nhận dữ liệu thật.

Các tình huống thường gặp gồm thuê dịch vụ tính lương, phần mềm quản lý khách hàng hoặc đơn vị vận hành hệ thống. Tuy nhiên, cần xác định nhà cung cấp có thực sự xử lý theo yêu cầu hay tự quyết định mục đích sử dụng riêng. Không nên gắn nhãn “bên xử lý” cho mọi đối tác.

Đã ký cam kết bảo mật NDA thì có cần DPA không?

NDA là thỏa thuận bảo mật, thường tập trung vào thông tin phải giữ kín và giới hạn tiết lộ. DPA còn phải giải quyết việc bên nhận được làm gì với dữ liệu, trong thời gian nào và phối hợp với doanh nghiệp ra sao.

Hai nội dung có thể nằm trong cùng tài liệu. Nếu NDA đã quy định đầy đủ nghĩa vụ áp dụng, không cần tạo thêm một hợp đồng chỉ để đổi tên. Ngược lại, câu “không tiết lộ cho bên thứ ba” chưa xử lý được việc nhà cung cấp tự dùng dữ liệu để phát triển sản phẩm hoặc tiếp tục giữ bản sao sau khi hết hợp đồng.

Những nội dung nào được pháp luật yêu cầu?

Khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu thỏa thuận với bên nhận khi chuyển giao thuộc điểm a, c, d khoản 1 Điều 17 Luật. Bảy nhóm nội dung gồm mục đích; nhóm chủ thể và loại dữ liệu; thời hạn xử lý, xóa hoặc hủy; cơ sở pháp lý; trách nhiệm bảo vệ; thực hiện quyền; phối hợp khi phát hiện vi phạm.

Điểm a khoản 1 Điều 37 Luật đồng thời yêu cầu bên kiểm soát xác định trách nhiệm, quyền và nghĩa vụ của các bên trong hợp đồng liên quan. Khi có thông tin người tiêu dùng, còn phải đối chiếu khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng về đồng ý và văn bản thuê, ủy quyền cho bên thứ ba.

Các nội dung quản trị dưới đây giúp cụ thể hóa trách nhiệm theo dữ liệu, dịch vụ và khả năng thực hiện.

Rà soát hợp đồng theo công việc và bằng chứng thực hiện

Nên dùng bảng để trao đổi trước khi ký. Nếu nhà cung cấp dẫn chiếu chính sách riêng, cần kiểm tra phiên bản, quyền thay đổi và thứ tự ưu tiên giữa các tài liệu.

Viết giới hạn mục đích thế nào để tránh hiểu quá rộng?

Ví dụ minh họa: doanh nghiệp thuê phần mềm quản lý khách hàng; nhà cung cấp xử lý theo yêu cầu, không được tự tiếp thị từ danh sách. Điều khoản “được sử dụng dữ liệu để cung cấp và cải thiện mọi dịch vụ” cần làm rõ hoạt động cải thiện nào thực sự được phép.

Có thể diễn đạt phần giới hạn mục đích như sau: “Bên cung cấp chỉ xử lý các nhóm dữ liệu tại Phụ lục ........................ để thực hiện các công việc được mô tả tại phụ lục đó và theo chỉ dẫn hợp pháp của bên thuê. Mọi mục đích sử dụng bổ sung phải được các bên thống nhất trước bằng văn bản và đáp ứng căn cứ xử lý theo pháp luật.”

Đây chỉ là một phần điều khoản. Cần điền danh mục, công việc, thẩm quyền ra chỉ dẫn và cách xử lý yêu cầu trái pháp luật. Việc hai doanh nghiệp đồng ý bổ sung mục đích cũng không tự thay thế sự đồng ý của cá nhân khi pháp luật yêu cầu.

Thời hạn báo sự cố trong hợp đồng có phải luôn là 72 giờ?

Khoản 1 Điều 23 Luật 91/2025/QH15 yêu cầu bên kiểm soát, bên kiểm soát và xử lý, bên thứ ba thông báo cho cơ quan chuyên trách chậm nhất 72 giờ từ khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu. Không nên sao chép mốc này thành thời hạn chung cho mọi thông báo giữa các bên.

Với bên xử lý, Luật yêu cầu thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Vì vậy, hợp đồng nên có mốc phối hợp đủ sớm, đầu mối luôn tiếp nhận và cơ chế bổ sung thông tin. Không nên chờ điều tra xong nguyên nhân mới báo cho doanh nghiệp.

Có thể chuyển toàn bộ trách nhiệm cho nhà cung cấp không?

Các bên có thể thỏa thuận trách nhiệm hợp đồng, phân bổ chi phí và bồi thường trong giới hạn pháp luật. Tuy nhiên, Điều 37 gắn nghĩa vụ với từng vai trò: bên kiểm soát vẫn phải lựa chọn bên xử lý phù hợp, bảo đảm quyền của cá nhân và thực hiện trách nhiệm của mình.

Khi rà soát giới hạn bồi thường, cần xem cả trường hợp sử dụng sai mục đích, tự chuyển dữ liệu và không phối hợp xử lý vi phạm. Điều khoản miễn trách nhiệm quá rộng có thể khiến doanh nghiệp thiếu cơ chế yêu cầu đối tác khắc phục hoặc hoàn trả chi phí phát sinh.

DPA cần được kiểm tra lại khi nào?

Nên rà soát khi thêm nhóm dữ liệu, đổi mục đích, dùng nhà cung cấp khác, thay nơi xử lý hoặc kết thúc dịch vụ. Nếu chuyển dữ liệu xuyên biên giới, cần đối chiếu Điều 20 Luật và Điều 17 Nghị định 356/2025/NĐ-CP, bao gồm ngoại lệ đánh giá tác động nếu đáp ứng điều kiện.

DPA cũng không thay thế thông báo cho cá nhân, bằng chứng đồng ý hoặc hồ sơ đánh giá tác động khi thuộc diện áp dụng. Trước khi ký, bộ phận sử dụng dịch vụ cần xác nhận phạm vi; kỹ thuật xác nhận khả năng thực hiện; pháp chế kiểm tra căn cứ và tính thống nhất của tài liệu.

Cần rà soát DPA trước khi ký với nhà cung cấp?

Justix hỗ trợ xác định vai trò và hoàn thiện trách nhiệm trong dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Doanh nghiệp nên chuẩn bị hợp đồng dịch vụ, DPA, chính sách được dẫn chiếu và danh mục dữ liệu dự kiến bàn giao. Liên hệ 0372717888 / 0878853686 để trao đổi phạm vi rà soát.