Trách nhiệm pháp lý phân định giữa bên kiểm soát và bên xử lý dữ liệu cá nhân

Doanh nghiệp thuê ngoài dịch vụ xử lý dữ liệu cá nhân vẫn phải chịu trách nhiệm tuân thủ pháp luật. Vì vậy, việc xác định đúng vai trò và phân định trách nhiệm giữa các bên theo Luật Bảo vệ dữ liệu cá nhân 2025, đặc biệt thông qua Thỏa thuận xử lý dữ liệu cá nhân (DPA), là cần thiết để hạn chế rủi ro pháp lý. Cùng CBI tìm hiểu những nội dung doanh nghiệp cần lưu ý.

Ảnh minh họa

1. Căn cứ pháp lý về vai trò của các chủ thể trong hoạt động xử lý dữ liệu cá nhân

Các văn bản pháp luật hiện hành điều chỉnh trách nhiệm của các chủ thể tham gia hoạt động xử lý dữ liệu cá nhân bao gồm:

– Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026;

– Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/01/2026;

– Nghị định số 392/2026/NĐ-CP ngày 20/10/2026 của Chính phủ sửa đổi, bổ sung một số điều của Nghị định số 356/2025/NĐ-CP, có hiệu lực từ ngày 15/11/2026;

– Nghị định số 330/2026/NĐ-CP ngày 19/08/2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/08/2026.

Theo khoản 7, khoản 8 và khoản 9 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025, các chủ thể được phân biệt như sau:

(i) Bên Kiểm soát dữ liệu cá nhân (Data Controller): Là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.

(ii) Bên Xử lý dữ liệu cá nhân (Data Processor): Là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của Bên Kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát và Xử lý dữ liệu cá nhân thông qua hợp đồng.

(iii) Bên Kiểm soát và Xử lý dữ liệu cá nhân (Data Controller and Processor): Là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.

Như vậy, tiêu chí quan trọng để xác định vai trò pháp lý của một tổ chức không đơn thuần là việc tổ chức đó có trực tiếp tiếp cận hoặc lưu trữ dữ liệu cá nhân hay không, mà phải xem xét ai là chủ thể quyết định mục đích, phương tiện xử lý và ai thực hiện hoạt động xử lý theo yêu cầu của chủ thể khác.

Trong thực tiễn, một doanh nghiệp có thể đồng thời tham gia nhiều vai trò khác nhau trong các hoạt động xử lý dữ liệu khác nhau. Do đó, việc xác định vai trò cần được thực hiện trên cơ sở từng hoạt động và luồng dữ liệu cụ thể, thay vì chỉ căn cứ vào tên gọi của hợp đồng hoặc loại hình dịch vụ được cung cấp.

2. Phân định trách nhiệm pháp lý giữa Bên Kiểm soát và Bên Xử lý dữ liệu cá nhân

2.1. Trách nhiệm của Bên Kiểm soát dữ liệu cá nhân

Bên Kiểm soát dữ liệu cá nhân là chủ thể quyết định mục đích và phương tiện xử lý dữ liệu. Trong hoạt động kinh doanh thông thường, doanh nghiệp thu thập và quyết định sử dụng dữ liệu cá nhân của khách hàng, người lao động hoặc đối tác cho các mục đích kinh doanh của mình có thể được xác định là Bên Kiểm soát dữ liệu cá nhân.

Theo khoản 1 Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025, Bên Kiểm soát có các trách nhiệm chủ yếu sau:

– Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân theo quy định của Luật này và quy định khác của pháp luật có liên quan;

– Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung theo quy định của pháp luật về bảo vệ dữ liệu cá nhân;

– Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân theo quy định của pháp luật, rà soát và cập nhật các biện pháp này khi cần thiết;

– Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo quy định tại Điều 23 Luật Bảo vệ dữ liệu cá nhân;

– Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân;

– Bảo đảm các quyền của chủ thể dữ liệu cá nhân theo quy định tại Điều 4 của Luật Bảo vệ dữ liệu cá nhân;

– Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;

– Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;

– Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;

– Thực hiện các trách nhiệm khác theo quy định của pháp luật về bảo vệ dữ liệu cá nhân và quy định khác của pháp luật có liên quan.

Đáng chú ý, việc doanh nghiệp thuê một nhà cung cấp dịch vụ bên ngoài thực hiện hoạt động xử lý dữ liệu không mặc nhiên loại trừ trách nhiệm của doanh nghiệp đối với chủ thể dữ liệu. Bên Kiểm soát vẫn phải bảo đảm hoạt động xử lý được thực hiện đúng mục đích, có cơ sở pháp lý phù hợp và có biện pháp bảo vệ dữ liệu tương ứng.

2.2. Trách nhiệm của Bên Xử lý dữ liệu cá nhân

Khác với Bên Kiểm soát, Bên Xử lý dữ liệu cá nhân thực hiện hoạt động xử lý theo yêu cầu của Bên Kiểm soát hoặc Bên Kiểm soát và Xử lý thông qua hợp đồng.

Một số trường hợp thường gặp có thể bao gồm:

– Nhà cung cấp phần mềm quản trị nhân sự (HRM), quản lý quan hệ khách hàng (CRM) thực hiện xử lý dữ liệu theo yêu cầu của doanh nghiệp;

– Nhà cung cấp dịch vụ lưu trữ dữ liệu trên nền tảng điện toán đám mây;

– Đơn vị cung cấp dịch vụ tính lương hoặc quản lý dữ liệu nhân sự thuê ngoài;

– Nhà cung cấp dịch vụ công nghệ thông tin có quyền truy cập và xử lý dữ liệu cá nhân theo phạm vi được doanh nghiệp giao.

Lưu ý, các ví dụ trên không có nghĩa rằng mọi nhà cung cấp thuộc những nhóm dịch vụ này đều mặc nhiên là Bên Xử lý. Vai trò pháp lý cần được xác định dựa trên hoạt động xử lý thực tế. Trường hợp nhà cung cấp tự quyết định mục đích xử lý dữ liệu cho hoạt động riêng của mình, nhà cung cấp có thể phải chịu trách nhiệm với tư cách chủ thể xử lý độc lập theo quy định pháp luật.

Theo khoản 2 Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025, Bên Xử lý có các trách nhiệm chủ yếu sau:

– Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;

– Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;

– Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định của Luật này và các quy định khác của pháp luật có liên quan;

– Chịu trách nhiệm trước bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân về thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;

– Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;

– Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;

– Thực hiện các trách nhiệm khác theo quy định của pháp luật về bảo vệ dữ liệu cá nhân và quy định khác của pháp luật có liên quan.

Như vậy, Bên Xử lý không chỉ có nghĩa vụ thực hiện đúng chỉ thị của Bên Kiểm soát mà còn phải chủ động bảo đảm an toàn dữ liệu trong phạm vi hệ thống và hoạt động xử lý do mình thực hiện. Việc tuân thủ hợp đồng không thay thế nghĩa vụ tuân thủ trực tiếp các quy định pháp luật về bảo vệ dữ liệu cá nhân.

2.3. Trường hợp doanh nghiệp đồng thời là Bên Kiểm soát và Xử lý dữ liệu cá nhân

Ngoài hai vai trò nêu trên, Luật Bảo vệ dữ liệu cá nhân 2025 còn ghi nhận vai trò Bên Kiểm soát và Xử lý dữ liệu cá nhân – chủ thể vừa quyết định mục đích, phương tiện, vừa trực tiếp thực hiện hoạt động xử lý dữ liệu.

Theo khoản 3 Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể này có trách nhiệm thực hiện đầy đủ cả trách nhiệm của Bên Kiểm soát và Bên Xử lý dữ liệu cá nhân.

Ví dụ, một doanh nghiệp trực tiếp thu thập thông tin khách hàng, quyết định mục đích sử dụng dữ liệu để cung cấp dịch vụ và tự vận hành hệ thống lưu trữ, quản lý dữ liệu có thể được xác định là Bên Kiểm soát và Xử lý dữ liệu cá nhân đối với hoạt động tương ứng.

Việc nhận diện đúng vai trò này có ý nghĩa quan trọng trong việc xác định nghĩa vụ tuân thủ, đặc biệt đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và quy trình bảo đảm quyền của chủ thể dữ liệu.

3. Rủi ro pháp lý khi không phân định rõ trách nhiệm trong hợp đồng xử lý dữ liệu cá nhân

Trên thực tế, nhiều doanh nghiệp sử dụng các hợp đồng dịch vụ công nghệ thông tin, hợp đồng cung cấp phần mềm hoặc hợp đồng thuê ngoài có điều khoản bảo mật chung nhưng chưa quy định đầy đủ trách nhiệm của các bên đối với dữ liệu cá nhân.

Việc thiếu cơ chế phân định trách nhiệm có thể dẫn đến một số rủi ro pháp lý đáng chú ý:

Thứ nhất, rủi ro xử lý dữ liệu vượt quá phạm vi được phép.

Nếu hợp đồng không xác định rõ mục đích, loại dữ liệu, phạm vi truy cập và hoạt động xử lý được phép, Bên Xử lý có thể sử dụng dữ liệu vượt quá yêu cầu ban đầu hoặc thực hiện các hoạt động xử lý không được Bên Kiểm soát cho phép. Điều này có thể dẫn đến vi phạm nguyên tắc xử lý dữ liệu cá nhân và phát sinh trách nhiệm pháp lý cho các bên liên quan.

Thứ hai, rủi ro khi xảy ra sự cố lộ, mất dữ liệu cá nhân.

Nếu hợp đồng không quy định rõ quy trình thông báo sự cố, thời hạn thông báo nội bộ, trách nhiệm phối hợp điều tra và nghĩa vụ khắc phục, Bên Kiểm soát có thể không kịp thời thực hiện các nghĩa vụ thông báo theo quy định pháp luật.

Đặc biệt, Điều 23 Luật Bảo vệ dữ liệu cá nhân 2025 quy định Bên Xử lý khi phát hiện hành vi vi phạm phải thông báo kịp thời cho Bên Kiểm soát hoặc Bên Kiểm soát và Xử lý. Trong khi đó, đối với trường hợp vi phạm thuộc phạm vi phải thông báo theo luật, chủ thể có trách nhiệm phải thực hiện nghĩa vụ thông báo đến cơ quan chuyên trách trong thời hạn luật định.

Thứ ba, rủi ro không đáp ứng yêu cầu thực hiện quyền của chủ thể dữ liệu.

Các yêu cầu của chủ thể dữ liệu như rút lại sự đồng ý, hạn chế xử lý, chỉnh sửa hoặc xóa dữ liệu có thể cần sự phối hợp trực tiếp từ nhà cung cấp đang lưu trữ hoặc vận hành hệ thống dữ liệu. Nếu hợp đồng không quy định nghĩa vụ hỗ trợ và thời hạn phản hồi của Bên Xử lý, doanh nghiệp có thể gặp khó khăn trong việc đáp ứng thời hạn thực hiện quyền của chủ thể dữ liệu theo Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP.

Thứ tư, rủi ro thiếu căn cứ phân bổ trách nhiệm và yêu cầu bồi thường.

Trong trường hợp Bên Xử lý làm lộ, mất hoặc xử lý dữ liệu trái với thỏa thuận, việc hợp đồng không quy định cụ thể trách nhiệm, nghĩa vụ khắc phục và cơ chế bồi thường có thể khiến các bên phát sinh tranh chấp về nguyên nhân, mức độ lỗi và phạm vi thiệt hại.

Đáng lưu ý, Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025 đã quy định trách nhiệm của Bên Kiểm soát đối với thiệt hại phát sinh từ quá trình xử lý dữ liệu trước chủ thể dữ liệu, đồng thời quy định trách nhiệm của Bên Xử lý đối với thiệt hại trước Bên Kiểm soát hoặc Bên Kiểm soát và Xử lý. Vì vậy, doanh nghiệp không nên cho rằng chỉ cần quy định Bên Xử lý chịu trách nhiệm trong hợp đồng là có thể loại trừ toàn bộ trách nhiệm pháp lý của mình.

Bên cạnh trách nhiệm dân sự và nghĩa vụ khắc phục, hành vi vi phạm còn có thể bị xử phạt hành chính theo Nghị định 330/2026/NĐ-CP. Tùy tính chất và mức độ vi phạm, doanh nghiệp có thể đối mặt với các hình thức xử phạt tiền, biện pháp khắc phục hậu quả và các chế tài bổ sung được quy định đối với từng hành vi cụ thể.

4. Khuyến nghị của CBI: Hoàn thiện DPA và tăng cường tuân thủ bảo vệ dữ liệu cá nhân

Để kiểm soát rủi ro pháp lý, doanh nghiệp cần xây dựng hoặc rà soát Thỏa thuận xử lý dữ liệu cá nhân (Data Processing Agreement – DPA) với các nhà cung cấp có tham gia xử lý dữ liệu cá nhân. Theo Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025, Bên Xử lý chỉ được tiếp nhận dữ liệu sau khi có hợp đồng hoặc thỏa thuận xử lý dữ liệu cá nhân với Bên Kiểm soát hoặc Bên Kiểm soát và Xử lý. Đồng thời, Điều 19 Nghị định 356/2025/NĐ-CP quy định bản sao thỏa thuận này là một thành phần của hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.

CBI khuyến nghị doanh nghiệp lưu ý các nội dung sau khi xây dựng DPA và triển khai cơ chế tuân thủ:

– Xác định vai trò và phạm vi xử lý: Làm rõ vai trò của từng bên, loại dữ liệu, mục đích, phương thức và thời hạn xử lý.

– Kiểm soát hoạt động xử lý: Quy định Bên Xử lý chỉ được xử lý dữ liệu theo mục đích, chỉ thị hợp pháp đã thỏa thuận; đồng thời kiểm soát việc sử dụng nhà thầu phụ và chuyển giao dữ liệu cho bên thứ ba.

– Bảo đảm an toàn dữ liệu: Xác định các biện pháp bảo mật phù hợp như mã hóa, kiểm soát quyền truy cập và cơ chế kiểm tra việc tuân thủ.

– Phối hợp xử lý yêu cầu và sự cố: Quy định trách nhiệm, đầu mối và thời hạn phối hợp khi phát sinh yêu cầu của chủ thể dữ liệu hoặc sự cố vi phạm dữ liệu cá nhân.

– Phân định trách nhiệm và xử lý vi phạm: Thỏa thuận rõ nghĩa vụ khắc phục, bồi thường thiệt hại và cơ chế giải quyết tranh chấp giữa các bên.

– Xử lý dữ liệu khi chấm dứt hợp đồng: Quy định việc hoàn trả, xóa hoặc hủy dữ liệu, cũng như các trường hợp tiếp tục lưu trữ theo quy định pháp luật.

Bên cạnh đó, doanh nghiệp cần rà soát toàn bộ hợp đồng dịch vụ, hợp đồng thuê ngoài và thỏa thuận bảo mật hiện có; kiểm kê luồng dữ liệu, hoàn thiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, thiết lập quy trình ứng phó sự cố và định kỳ giám sát việc tuân thủ của nhà cung cấp.

Việc kết hợp giữa thỏa thuận pháp lý chặt chẽ và cơ chế quản trị nội bộ phù hợp sẽ giúp doanh nghiệp xác định rõ trách nhiệm của từng bên, kiểm soát hoạt động xử lý dữ liệu và hạn chế các rủi ro pháp lý phát sinh trong thực tiễn.

5. Dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân của CBI

Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân 2025 và các văn bản hướng dẫn đặt ra những yêu cầu cụ thể đối với từng chủ thể tham gia hoạt động xử lý dữ liệu, doanh nghiệp cần có phương án quản trị phù hợp để vừa bảo đảm tuân thủ pháp luật, vừa hạn chế rủi ro phát sinh từ quan hệ với nhà cung cấp và đối tác.

Với kinh nghiệm tư vấn pháp lý cho doanh nghiệp trong lĩnh vực bảo vệ dữ liệu cá nhân, CBI cung cấp các dịch vụ hỗ trợ doanh nghiệp, bao gồm:

– Rà soát và đánh giá hoạt động xử lý dữ liệu cá nhân, xác định vai trò và trách nhiệm pháp lý của từng chủ thể;

– Tư vấn xây dựng, hoàn thiện hệ thống chính sách, quy trình và hồ sơ tuân thủ bảo vệ dữ liệu cá nhân;

– Soạn thảo, rà soát và đàm phán Thỏa thuận xử lý dữ liệu cá nhân (DPA), điều khoản bảo mật và điều khoản bảo vệ dữ liệu trong hợp đồng với đối tác, nhà cung cấp;

– Tư vấn lập và hoàn thiện hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (CTIA);

– Tư vấn quy trình xử lý yêu cầu của chủ thể dữ liệu, ứng phó sự cố và phối hợp với cơ quan nhà nước có thẩm quyền.

CBI hướng đến việc hỗ trợ doanh nghiệp xây dựng cơ chế tuân thủ có tính hệ thống, gắn kết giữa yêu cầu pháp lý, hoạt động quản trị nội bộ và quy trình vận hành thực tế.

Bài viết này được thực hiện bởi Chuyên viên pháp lý Nguyễn Trúc Vy và được tham vấn ý kiến của Luật sư Vũ Phạm Thu Hương.

Bài viết này được thực hiện nhằm mục đích cung cấp thông tin pháp lý chung và không được xem là ý kiến tư vấn pháp lý cho bất kỳ trường hợp cụ thể nào. Các quy định pháp luật được dẫn chiếu trong bài viết có hiệu lực tại thời điểm đăng tải, nhưng có thể đã được sửa đổi, bổ sung, thay thế hoặc hết hiệu lực tại thời điểm Bạn đọc quan tâm. Do đó, Chúng tôi khuyến nghị Bạn đọc nên tham khảo ý kiến của luật sư trước khi áp dụng.