Trong hệ sinh thái quản trị dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 2025 (PDPL), việc xác định đúng vai trò pháp trị là bước đi sống còn của doanh nghiệp. Tùy thuộc vào việc doanh nghiệp là người “quyết định” hay người “làm thuê” cho các dòng dữ liệu mà nghĩa vụ tuân thủ sẽ có những khác biệt trọng yếu.
1. Định danh vai trò: Doanh nghiệp/cá nhân là Bên Kiểm soát hay Bên Xử lý Dữ liệu
- Bên Kiểm soát (Controller): là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
- Bên Xử lý (Processor): là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.
- Bên Kiểm soát và xử lý dữ liệu: là cơ quan, tổ chức, cá nhân đồng thời thực hiện cả hai vai trò trên.
- Bên thứ ba: là tổ chức, cá nhân ngoài chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật.
2. Nghĩa vụ trọng yếu của Bên Kiểm soát dữ liệu
Với tư cách là thực thể nắm quyền quyết định cao nhất, Bên Kiểm soát chịu trách nhiệm chính về tính hợp pháp của toàn bộ quá trình xử lý:
- Xác lập căn cứ pháp lý: Phải thu thập và chứng minh được sự đồng ý tự nguyện, rõ ràng của chủ thể dữ liệu trước khi xử lý (trừ các trường hợp miễn trừ luật định).
- Quản trị rủi ro hành chính: Thiết lập và lưu trữ Hồ sơ đánh giá tác động xử lý dữ liệu (DPIA) và nộp cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong vòng 60 ngày kể từ khi bắt đầu hoạt động.
- Đảm bảo quyền của chủ thể dữ liệu: Tiếp nhận và giải quyết các yêu cầu truy cập, chỉnh sửa, xóa dữ liệu của cá nhân trong thời hạn luật định.
- Trách nhiệm lựa chọn đối tác: Phải tiến hành rà soát (due diligence) năng lực bảo mật của Bên Xử lý và ký kết Thỏa thuận xử lý dữ liệu (DPA) bằng văn bản.
- Bồi thường thiệt hại: Có nghĩa vụ bồi thường cho chủ thể dữ liệu nếu để xảy ra sai phạm gây thiệt hại, ngay cả khi sai phạm đó phát sinh từ hệ thống của Bên Xử lý (trừ khi có thỏa thuận khác).
3. Nghĩa vụ của Bên Xử lý dữ liệu
Bên Xử lý hoạt động dưới sự chỉ đạo của Bên Kiểm soát nhưng vẫn phải tuân thủ các nghĩa vụ độc lập:
- Tuân thủ chỉ thị: Chỉ được xử lý dữ liệu theo đúng mục đích và phạm vi đã thỏa thuận trong hợp đồng với Bên Kiểm soát.
- Thông báo sự cố tức thì: Phải thông báo ngay lập tức cho Bên Kiểm soát khi phát hiện các hành vi vi phạm hoặc sự cố rò rỉ dữ liệu để kịp thời ứng phó.
- Giới hạn thuê thầu phụ: Không được ủy quyền xử lý dữ liệu cho một Bên thứ ba khác (Sub-processor) nếu không có sự đồng ý bằng văn bản của Bên Kiểm soát.
- Bảo mật kỹ thuật: Áp dụng các biện pháp mã hóa, phân quyền và giám sát hệ thống để bảo vệ dữ liệu trong suốt quá trình xử lý thay mặt đối tác.
4. Trách nhiệm chung về An ninh và Báo cáo
Cả hai thực thể đều phải phối hợp chặt chẽ trong các hoạt động:
- Thông báo vi phạm: Phối hợp gửi báo cáo vi phạm cho cơ quan chuyên trách theo Mẫu số 08 trong vòng 72 giờ khi phát hiện sự cố xâm phạm dữ liệu nhạy cảm (như sinh trắc học hoặc vị trí).
- Hợp tác thanh tra: Cung cấp hồ sơ, tài liệu và giải trình về quy trình xử lý khi có yêu cầu kiểm tra đột xuất từ cơ quan chức năng.
Việc nhầm lẫn vai trò giữa “Kiểm soát” và “Xử lý” có thể dẫn đến những lỗ hổng cực kỳ nghiêm trọng trong hợp đồng và đẩy doanh nghiệp vào nguy cơ gánh chịu các mức phạt lên tới 5% doanh thu cả năm.
Việc tuân thủ không chỉ là trách nhiệm pháp lý mà còn là nền tảng để doanh nghiệp khẳng định uy tín với khách hàng. Thấu hiểu những khó khăn về quy trình kỹ thuật và thủ tục hành chính, chúng tôi cung cấp gói giải pháp tuân thủ toàn diện bao gồm:
- Rà soát và Kiểm toán dữ liệu (Data Audit): Xác định các luồng dữ liệu, phân loại dữ liệu cơ bản và nhạy cảm để xây dựng bản đồ dữ liệu chính xác cho doanh nghiệp.
- Xây dựng Hệ thống tài liệu nội bộ: Soạn thảo Chính sách bảo vệ dữ liệu (Privacy Policy), Quy chế xử lý dữ liệu, mẫu văn bản đồng ý cho khách hàng và nhân sự, cùng các thỏa thuận xử lý dữ liệu (DPA) với bên thứ ba.
- Thực hiện Hồ sơ báo cáo hành chính: Thay mặt doanh nghiệp lập và nộp Hồ sơ đánh giá tác động xử lý dữ liệu (DPIA) và chuyển dữ liệu xuyên biên giới (TIA) lên cơ quan chức năng trong thời hạn 60 ngày theo quy định.
- Đào tạo và Hỗ trợ nhân sự DPO: Tư vấn tiêu chuẩn và đào tạo chuyên môn cho nhân sự bảo vệ dữ liệu (DPO) hoặc cung cấp dịch vụ DPO thuê ngoài đáp ứng đủ điều kiện về bằng cấp và kinh nghiệm.
- Ứng phó sự cố rò rỉ dữ liệu: Tư vấn quy trình xử lý khủng hoảng và thực hiện thông báo vi phạm cho cơ quan chức năng trong vòng 72 giờ để giảm thiểu rủi ro pháp lý.
Liên hệ ngay với Luật LT VINA để được tư vấn lộ trình tuân thủ an toàn.
Lưu ý: Nội dung bài viết được xây dựng trên ý kiến tư vấn chuyên môn của Luật sư/Chuyên gia pháp lý thuộc Luật LT VINA, thông tin trong bài viết chỉ mang tính chất tham khảo và không thay thế cho ý kiến tư vấn pháp lý chính thức của Luật sư do mỗi vụ việc cụ thể có đặc thù riêng hoặc các quy định pháp luật được viện dẫn có thể đã được sửa đổi, bổ sung hoặc hết hiệu lực tại thời điểm Quý Khách hàng tiếp cận bài viết. Quý Khách hàng không nên tự ý áp dụng nội dung bài viết khi chưa có sự tư vấn chính thức của Luật sư.
Mọi thắc mắc và nhu cầu tư vấn, Quý Khách hàng vui lòng liên hệ trực tiếp với Luật sư qua số điện thoại: 0982.333.565 – 0373.424.646 hoặc Email: luatltvina@gmail.com để được tư vấn, hỗ trợ kịp thời.