Việc phân biệt giữa bên kiểm soát và bên xử lý dữ liệu cá nhân là bước đi nền tảng mang tính sống còn để doanh nghiệp tuân thủ Luật Bảo vệ dữ liệu cá nhân 2025 và tránh các mức phạt khổng lồ. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Công ty Luật TNHH DPO để thiết lập mô hình quản trị dữ liệu an toàn, minh bạch và chuẩn pháp lý.
Dịch vụ Uy tín & Tuân thủ
Giải Pháp Bảo Vệ Dữ Liệu Cá Nhân & Tuân Thủ Pháp Lý Toàn Diện
Luật DPO cung cấp giải pháp rà soát tuân thủ Luật Bảo vệ dữ liệu cá nhân 2025, phân định rõ vai trò kiểm soát/xử lý, xây dựng hồ sơ DPIA và đảm bảo an toàn pháp lý tối đa cho hoạt động kinh doanh của khách hàng.
Hotline Luật sư: 0976926655
Bên kiểm soát dữ liệu cá nhân là gì theo quy định pháp luật mới nhất?
Theo khoản 7 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Bên kiểm soát dữ liệu cá nhân là cơ quan, tổ chức, cá nhân có thẩm quyền tối cao trong việc quyết định “Mục đích” (Tại sao lại xử lý?) và “Phương tiện” (Xử lý như thế nào?) đối với dữ liệu cá nhân. Đây là chủ thể chịu trách nhiệm giải trình chính trước pháp luật và chủ thể dữ liệu.
Trong hoạt động bảo vệ dữ liệu cá nhân, việc xác định đúng vai trò của các chủ thể tham gia xử lý dữ liệu cá nhân là cơ sở để xác định quyền, nghĩa vụ và trách nhiệm pháp lý của từng bên. Bên kiểm soát dữ liệu cá nhân là chủ thể quyết định việc thu thập, sử dụng, lưu trữ, chia sẻ hoặc thực hiện các hoạt động xử lý khác đối với dữ liệu cá nhân. Chủ thể này có trách nhiệm xác định mục đích xử lý, lựa chọn phương thức xử lý phù hợp và bảo đảm toàn bộ hoạt động xử lý được thực hiện theo đúng quy định của pháp luật.
Trong thực tiễn kinh doanh, các doanh nghiệp thương mại điện tử, ngân hàng, tổ chức tín dụng, cơ sở y tế, trường học hoặc đơn vị cung cấp dịch vụ trực tiếp thu thập dữ liệu của khách hàng thường đóng vai trò là bên kiểm soát dữ liệu cá nhân. Ví dụ: Một ngân hàng thu thập thông tin định danh (KYC) của khách hàng để mở tài khoản. Ngân hàng này tự quyết định thu thập những thông tin gì (CMND/CCCD, sinh trắc học khuôn mặt) và thu thập để làm gì (đáp ứng quy định phòng chống rửa tiền, cung cấp dịch vụ tín dụng). Do đó, ngân hàng chính là Bên kiểm soát dữ liệu.
Việc xác định đúng vai trò này là cơ sở để thực hiện đầy đủ các nghĩa vụ pháp lý về bảo vệ dữ liệu cá nhân, đặc biệt là nghĩa vụ xin sự đồng ý, lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và chịu trách nhiệm bồi thường khi có sự cố rò rỉ xảy ra.
Bên xử lý dữ liệu cá nhân là gì theo quy định pháp luật?
Theo khoản 8 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025, Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân thay mặt và theo yêu cầu, chỉ dẫn của Bên kiểm soát dữ liệu thông qua một hợp đồng hoặc thỏa thuận pháp lý ràng buộc.
Khác với bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân không có quyền quyết định mục đích xử lý. Họ chỉ thực hiện các hoạt động xử lý (như lưu trữ, phân tích, mã hóa, truyền tải) theo đúng phạm vi, nội dung và chỉ dẫn hợp pháp của bên kiểm soát dữ liệu. Mọi hoạt động xử lý phải tuân thủ nghiêm ngặt hợp đồng, thỏa thuận giữa các bên và quy định của pháp luật.
Trong thực tế nền kinh tế số, các doanh nghiệp cung cấp dịch vụ công nghệ thông tin (IT Outsourcing), dịch vụ lưu trữ dữ liệu, nhà cung cấp dịch vụ điện toán đám mây (Cloud Computing như AWS, Google Cloud, Microsoft Azure), trung tâm chăm sóc khách hàng (Call Center) hoặc các dịch vụ tính lương thuê ngoài (Payroll Services) thường đóng vai trò là bên xử lý dữ liệu cá nhân.
Ví dụ: Doanh nghiệp A (Bên kiểm soát) thuê Công ty B (Bên xử lý) cung cấp phần mềm quản lý nhân sự (HRM) trên nền tảng đám mây. Công ty B chỉ cung cấp hạ tầng lưu trữ và phần mềm để Doanh nghiệp A quản lý nhân viên của mình. Công ty B không được phép tự ý lấy dữ liệu nhân viên của Doanh nghiệp A để chạy quảng cáo hay bán cho bên thứ ba. Việc xác định đúng vai trò giúp các bên xây dựng hợp đồng phù hợp (Data Processing Agreement – DPA) và thực hiện đầy đủ các nghĩa vụ bảo vệ dữ liệu cá nhân theo quy định tại Điều 39 Nghị định 356/2025/NĐ-CP.
Tiêu chí phân biệt bên kiểm soát và bên xử lý dữ liệu cá nhân trong thực tiễn
Việc xác định một chủ thể là bên kiểm soát hay bên xử lý không phụ thuộc vào tên gọi trong hợp đồng thương mại, mà căn cứ vào quyền lực thực tế: Ai là người quyết định “Mục đích” và “Phương tiện cốt lõi” của hoạt động xử lý dữ liệu.
Để hỗ trợ doanh nghiệp xác định đúng vai trò của mình, đội ngũ chuyên gia tại Luật DPO đã hệ thống hóa các tiêu chí cơ bản. Điều này giúp doanh nghiệp rà soát hoạt động xử lý dữ liệu cá nhân và phân định trách nhiệm của từng chủ thể theo đúng quy định của pháp luật.
| Tiêu chí phân định | Bên kiểm soát dữ liệu (Data Controller) | Bên xử lý dữ liệu (Data Processor) |
|---|---|---|
| Quyền quyết định mục đích (Tại sao xử lý?) | Có toàn quyền quyết định mục đích thu thập và sử dụng dữ liệu. | Không có quyền quyết định. Chỉ xử lý vì mục đích của Bên kiểm soát. |
| Quyền quyết định phương tiện (Xử lý cái gì, ai được xử lý?) | Quyết định loại dữ liệu nào được thu thập, thời gian lưu trữ, và ai được phép truy cập. | Chỉ quyết định các phương tiện kỹ thuật phụ trợ (ví dụ: dùng phần mềm gì, thuật toán mã hóa nào) để đạt được mục đích do Bên kiểm soát đề ra. |
| Mối quan hệ với chủ thể dữ liệu | Trực tiếp tương tác, thu thập và có nghĩa vụ xin sự đồng ý của chủ thể dữ liệu. | Gián tiếp tiếp cận dữ liệu thông qua đối tác (Bên kiểm soát). Thường không tương tác trực tiếp với chủ thể dữ liệu. |
| Quyền chia sẻ thông tin cho bên thứ 3 | Được phép chia sẻ nếu đã thông báo và được khách hàng đồng ý hợp pháp. | Bị cấm tuyệt đối việc tự ý chia sẻ, trừ khi có chỉ thị bằng văn bản từ Bên kiểm soát. |
| Trách nhiệm giải trình & Bồi thường | Chịu trách nhiệm chính trước pháp luật và chủ thể dữ liệu về mọi vi phạm. | Chịu trách nhiệm trước Bên kiểm soát theo hợp đồng DPA và chịu trách nhiệm liên đới nếu vi phạm chỉ dẫn. |
Bảng so sánh trên giúp làm rõ đặc điểm, quyền hạn và phạm vi trách nhiệm của từng chủ thể tham gia hoạt động xử lý dữ liệu cá nhân. Trên cơ sở đó, doanh nghiệp có thể xác định đúng vai trò của mình và xây dựng cơ chế quản lý, phân công trách nhiệm phù hợp với quy định của pháp luật.
Quản Trị Rủi Ro Pháp Lý
Tư Vấn Doanh Nghiệp & Soạn Thảo Hợp Đồng Xử Lý Dữ Liệu (DPA)
Đội ngũ Luật sư DPO hỗ trợ rà soát toàn bộ hợp đồng thương mại, thiết lập quy trình nội bộ, phân định rõ vai trò Kiểm soát/Xử lý và bảo vệ tối đa quyền lợi doanh nghiệp trước các đoàn thanh tra.
Hotline Luật sư: 0976926655
Trách nhiệm pháp lý của mỗi bên được quy định như thế nào theo Luật 2025?
Tùy từng trường hợp, bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải thực hiện các nghĩa vụ riêng biệt về bảo mật, thông báo vi phạm và lập hồ sơ đánh giá tác động theo Điều 37, 38, 39 Nghị định 356/2025/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 2025.
Trách nhiệm của Bên kiểm soát dữ liệu cá nhân
Theo Điều 38 Nghị định 356/2025/NĐ-CP, Bên kiểm soát dữ liệu cá nhân gánh vác trách nhiệm nặng nề nhất, bao gồm:
- Bảo đảm quyền của chủ thể dữ liệu: Phải thiết lập cơ chế để khách hàng thực hiện quyền đồng ý, rút lại sự đồng ý, xem, xóa, và hạn chế xử lý dữ liệu.
- Lập Hồ sơ đánh giá tác động (DPIA): Phải lập và nộp Mẫu số 10 cho Cục A05 trong vòng 60 ngày kể từ ngày bắt đầu xử lý dữ liệu.
- Lựa chọn đối tác an toàn: Chỉ được phép lựa chọn Bên xử lý dữ liệu cá nhân phù hợp, có đủ năng lực bảo vệ dữ liệu và phải ký kết hợp đồng ràng buộc rõ ràng.
- Thông báo vi phạm: Phải thông báo cho Cục A05 chậm nhất 72 giờ kể từ khi phát hiện sự cố rò rỉ, mất mát dữ liệu (theo Điều 23 Nghị định 356).
- Chịu trách nhiệm bồi thường: Chịu trách nhiệm trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra, kể cả khi lỗi thuộc về Bên xử lý do mình thuê.
Trách nhiệm của Bên xử lý dữ liệu cá nhân
Theo Điều 39 Nghị định 356/2025/NĐ-CP, Bên xử lý dữ liệu cá nhân có các nghĩa vụ cốt lõi sau:
- Tuân thủ hợp đồng tuyệt đối: Chỉ được tiếp nhận và xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với Bên kiểm soát. Không được tự ý sử dụng dữ liệu cho mục đích riêng.
- Bảo mật hệ thống: Thực hiện đầy đủ các biện pháp kỹ thuật, quản lý để bảo vệ dữ liệu cá nhân, ngăn chặn hoạt động thu thập trái phép từ hệ thống của mình.
- Hỗ trợ Bên kiểm soát: Phải thông báo ngay lập tức cho Bên kiểm soát nếu phát hiện sự cố rò rỉ dữ liệu hoặc khi nhận được yêu cầu thực hiện quyền từ chủ thể dữ liệu.
- Xóa/Trả lại dữ liệu: Xóa hoặc trả lại toàn bộ dữ liệu cá nhân cho Bên kiểm soát sau khi kết thúc hợp đồng xử lý.
- Chịu trách nhiệm liên đới: Chịu trách nhiệm trước Bên kiểm soát về các thiệt hại do quá trình xử lý dữ liệu sai chỉ dẫn gây ra.
Mối quan hệ giữa hai bên được ràng buộc bằng thỏa thuận như thế nào?
Việc xử lý dữ liệu cá nhân giữa bên kiểm soát và bên xử lý bắt buộc phải được thực hiện trên cơ sở hợp đồng hoặc văn bản thỏa thuận (Data Processing Agreement – DPA) theo quy định của pháp luật. Hợp đồng này cần quy định rõ: Phạm vi xử lý, mục đích xử lý, quyền và nghĩa vụ của các bên, trách nhiệm bảo mật, thời hạn lưu trữ, biện pháp bảo vệ dữ liệu cá nhân cũng như cơ chế bồi thường khi phát sinh sự cố rò rỉ dữ liệu.
Rủi ro pháp lý và chế tài xử phạt khi xác định sai vai trò (Cập nhật Nghị định 330/2026/NĐ-CP)
Việc xác định không đúng vai trò của doanh nghiệp trong hoạt động xử lý dữ liệu cá nhân có thể dẫn đến việc thực hiện không đầy đủ các nghĩa vụ pháp lý, áp dụng sai thủ tục, sử dụng không đúng biểu mẫu, dẫn đến các mức phạt khổng lồ theo Nghị định 330/2026/NĐ-CP.
Theo kinh nghiệm của Luật DPO, một số rủi ro thường gặp bao gồm: Xác định không đúng chủ thể có trách nhiệm lập Hồ sơ đánh giá tác động (DPIA), quy định không đầy đủ trách nhiệm bồi thường trong hợp đồng, hoặc đùn đẩy trách nhiệm thông báo vi phạm khi xảy ra sự cố rò rỉ (Data Breach).
Căn cứ theo Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, các chế tài vô cùng nghiêm khắc:
- Vi phạm về thủ tục thực hiện quyền của chủ thể (Điều 44): Phạt tiền từ 10.000.000 VNĐ đến 40.000.000 VNĐ nếu Bên kiểm soát hoặc Bên xử lý đùn đẩy trách nhiệm, không phản hồi yêu cầu xóa/chỉnh sửa dữ liệu của khách hàng đúng hạn.
- Vi phạm về thông báo sự cố (Điều 54): Phạt tiền từ 40.000.000 VNĐ đến 60.000.000 VNĐ nếu Bên kiểm soát chậm thông báo cho Cục A05 quá 72 giờ kể từ khi phát hiện sự cố rò rỉ dữ liệu.
- Vi phạm về Hồ sơ DPIA (Điều 55): Phạt tiền từ 20.000.000 VNĐ đến 30.000.000 VNĐ nếu Bên kiểm soát không lập và nộp hồ sơ DPIA. Phạt từ 50.000.000 VNĐ đến 100.000.000 VNĐ nếu làm giả số liệu trong hồ sơ.
- Vi phạm về kinh doanh dịch vụ xử lý dữ liệu (Điều 59): Phạt tiền từ 50.000.000 VNĐ đến 80.000.000 VNĐ đối với tổ chức (Bên xử lý) hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân khi chưa được cấp Giấy chứng nhận đủ điều kiện.
Tại sao doanh nghiệp gặp khó khăn khi phân định vai trò và Giải pháp từ Luật DPO?
Sự phát triển của công nghệ điện toán đám mây (Cloud), phần mềm dạng dịch vụ (SaaS), dịch vụ thuê ngoài (BPO) và chuỗi cung ứng số khiến hoạt động xử lý dữ liệu cá nhân ngày càng có sự tham gia của nhiều chủ thể đan xen. Trong nhiều trường hợp, việc xác định đâu là bên quyết định mục đích, đâu là bên chỉ thực hiện xử lý theo chỉ dẫn không còn đơn giản như các mô hình truyền thống.
Một trong những nhầm lẫn phổ biến là đồng nhất chủ thể trực tiếp thu thập dữ liệu với chủ thể quyết định mục đích xử lý. Ví dụ: Một Agency Marketing chạy quảng cáo thu thập Lead (thông tin khách hàng) cho một Công ty Bất động sản. Agency là người trực tiếp thu thập, nhưng Công ty Bất động sản mới là người quyết định mục đích (để bán nhà). Do đó, Công ty Bất động sản là Bên kiểm soát, Agency là Bên xử lý. Nếu xác định sai, Agency có thể tự ý mang tệp data này đi bán cho bên khác, dẫn đến vi phạm hình sự về tội mua bán dữ liệu trái phép.
💡 Luật DPO chia sẻ giải pháp 4 bước chuẩn hóa: Để xác định đúng vai trò của doanh nghiệp, cần thực hiện các bước sau:
- Bước 1: Data Mapping: Rà soát toàn bộ quy trình thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân trong toàn bộ hệ sinh thái doanh nghiệp.
- Bước 2: Phân tích quyền lực: Xác định chủ thể nào thực sự quyết định “Mục đích” và “Phương tiện cốt lõi” của việc xử lý dữ liệu.
- Bước 3: Rà soát hợp đồng: Kiểm tra và ký kết lại các hợp đồng DPA với đơn vị cung cấp dịch vụ (Cloud, Marketing, HR) để phân định rõ trách nhiệm bồi thường.
- Bước 4: Lập hồ sơ DPIA: Đối chiếu với quy định của Luật Bảo vệ dữ liệu cá nhân 2025 để lập Mẫu số 10 nộp cho Bộ Công an đúng với vị thế pháp lý của mình.
ĐẠI DIỆN TRANH CHẤP & TỐ TỤNG THƯƠNG MẠI
Bảo vệ tối đa quyền và lợi ích hợp pháp của khách hàng tại Trọng tài thương mại và Tòa án các cấp trong các tranh chấp hợp đồng xử lý dữ liệu, bồi thường thiệt hại do rò rỉ thông tin.
FAQ – 5 Câu hỏi thường gặp về phân định vai trò xử lý dữ liệu
Một doanh nghiệp có thể đồng thời là bên kiểm soát, vừa là bên xử lý dữ liệu hay không?
Có. Theo khoản 9 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025, một tổ chức có thể là “Bên kiểm soát và xử lý dữ liệu cá nhân”. Điều này xảy ra khi tổ chức vừa quyết định mục đích xử lý, vừa trực tiếp thực hiện hoạt động xử lý bằng hệ thống của chính mình (không thuê ngoài). Ngoài ra, một công ty IT có thể là Bên kiểm soát đối với dữ liệu của nhân viên nội bộ công ty mình, nhưng lại là Bên xử lý đối với dữ liệu của khách hàng do đối tác giao phó.
Nhà cung cấp dịch vụ điện toán đám mây (Cloud) thuộc nhóm chủ thể nào?
Trong đa số trường hợp, nhà cung cấp dịch vụ điện toán đám mây (như AWS, Azure, Google Cloud) chỉ thực hiện việc lưu trữ, quản lý hạ tầng theo yêu cầu của khách hàng mà không quyết định mục đích xử lý dữ liệu. Khi đó, họ được xác định là Bên xử lý dữ liệu cá nhân. Tuy nhiên, nếu họ tự ý dùng dữ liệu đó để huấn luyện AI của riêng họ, họ đã vi phạm hợp đồng và tự biến mình thành Bên kiểm soát trái phép.
Ai là người phải nộp hồ sơ đánh giá tác động (DPIA) lên Cục An ninh mạng?
Theo Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025, cả Bên kiểm soát, Bên xử lý, và Bên kiểm soát & xử lý đều phải lập và lưu giữ Hồ sơ DPIA. Tuy nhiên, trách nhiệm nộp 01 bản chính cho Cục A05 (Bộ Công an) chủ yếu thuộc về Bên kiểm soát và Bên kiểm soát & xử lý. Bên xử lý lập hồ sơ theo thỏa thuận với Bên kiểm soát và phải xuất trình khi có thanh tra.
Cơ quan nhà nước có phải tuân thủ việc phân định vai trò này không?
Có. Cơ quan nhà nước khi thực hiện hoạt động xử lý dữ liệu cá nhân của công dân (ví dụ: làm CCCD, quản lý thuế) vẫn phải xác định rõ vai trò của mình là Bên kiểm soát dữ liệu cá nhân để thực hiện đúng quyền và nghĩa vụ. Tuy nhiên, theo khoản 6 Điều 21 Luật 2025, cơ quan nhà nước có thẩm quyền được miễn thực hiện thủ tục nộp Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA).
Cá nhân có thể trở thành bên kiểm soát dữ liệu cá nhân không?
Có. Theo quy định của pháp luật, cá nhân (ví dụ: hộ kinh doanh cá thể, người bán hàng online, KOL/Influencer tự thu thập data fan hâm mộ để bán hàng) hoàn toàn có thể là Bên kiểm soát dữ liệu cá nhân nếu cá nhân đó quyết định mục đích và phương tiện xử lý dữ liệu. Việc xác định vai trò không phụ thuộc vào việc đó là tổ chức lớn hay cá nhân nhỏ lẻ, mà phụ thuộc vào quyền quyết định đối với dữ liệu.
Tuân Thủ & An Toàn
Đồng Hành Cùng Luật DPO Để Tối Ưu Hóa An Toàn Pháp Lý
Để xác định chính xác vai trò pháp lý, soạn thảo hợp đồng DPA chặt chẽ và hoàn thiện thủ tục đánh giá rủi ro DPIA an toàn nhất, tránh các mức phạt hàng tỷ đồng, hãy liên hệ ngay với chuyên gia của chúng tôi.
Hotline Luật sư: 0976926655
Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO dựa trên Luật Bảo vệ dữ liệu cá nhân 2025, Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP. Để nhận được giải pháp pháp lý chính xác nhất cho từng mô hình kinh doanh cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.
