Nghĩa vụ bảo mật của bên cung cấp dịch vụ kỹ thuật

Khi dịch vụ kỹ thuật liên quan đến dữ liệu cá nhân, bí mật kinh doanh hoặc thông tin người tiêu dùng, các nghĩa vụ bảo vệ thông tin còn có thể phát sinh trực tiếp từ pháp luật, không chỉ từ điều khoản bảo mật trong hợp đồng. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ ngày 01/01/2026 và quy định riêng trách nhiệm của bên xử lý dữ liệu cá nhân.

Nghĩa vụ bảo mật trước hết phát sinh từ hợp đồng dịch vụ

Điểm quan trọng nhất là phải xác định thỏa thuận giữa khách hàng và bên cung cấp dịch vụ kỹ thuật quy định gì về thông tin mật. Điều 78 Luật Thương mại 2005 quy định bên cung ứng dịch vụ phải giữ bí mật về thông tin mình biết được trong quá trình cung ứng dịch vụ nếu có thỏa thuận hoặc pháp luật có quy định.

Vì vậy, một điều khoản bảo mật có thể làm phát sinh nghĩa vụ cụ thể đối với nhà cung cấp, chẳng hạn:

·         Chỉ sử dụng thông tin của khách hàng để thực hiện dịch vụ

·         Không tiết lộ thông tin cho bên thứ ba khi chưa được phép

·         Giới hạn người được tiếp cận tài liệu, dữ liệu và hệ thống

·         Áp dụng biện pháp bảo vệ thông tin trong quá trình cung cấp dịch vụ

·         Hoàn trả hoặc xử lý dữ liệu, tài liệu sau khi hoàn thành công việc nếu hợp đồng yêu cầu

·         Tiếp tục bảo mật sau khi hợp đồng chấm dứt nếu các bên đã thỏa thuận về thời hạn này

Ngoài nghĩa vụ cụ thể trong hợp đồng, Bộ luật Dân sự ghi nhận nguyên tắc các bên tự do, tự nguyện cam kết, thỏa thuận và phải thực hiện quyền, nghĩa vụ dân sự một cách thiện chí, trung thực. Khi nghĩa vụ đã được xác lập mà không được thực hiện đúng, bên có nghĩa vụ có thể phải chịu trách nhiệm dân sự do vi phạm nghĩa vụ.

Nhà cung cấp phải kiểm soát việc tiếp cận và sử dụng thông tin trong quá trình cung ứng

Nghĩa vụ bảo mật không chỉ có nghĩa là “không nói cho người khác biết”. Với dịch vụ kỹ thuật, rủi ro thường nằm ở việc nhân sự của nhà cung cấp có quyền truy cập vào hệ thống, hồ sơ kỹ thuật, cấu hình, dữ liệu vận hành hoặc tài liệu của khách hàng.

Do đó, nếu hợp đồng hoặc pháp luật yêu cầu bảo mật, việc thực hiện nghĩa vụ phải hướng đến ngăn việc tiếp cận, sử dụng hoặc tiết lộ thông tin trái phép. Điều này đặc biệt quan trọng khi nhà cung cấp sử dụng nhân viên, nhà thầu phụ hoặc bên thứ ba để thực hiện một phần dịch vụ.

Luật Thương mại cũng quy định riêng rằng bên cung ứng dịch vụ phải bảo quản và giao lại cho khách hàng tài liệu, phương tiện được giao để thực hiện dịch vụ sau khi hoàn thành công việc. Đây là cơ sở quan trọng khi xác định trách nhiệm đối với tài liệu và phương tiện chứa thông tin mà nhà cung cấp đã tiếp nhận.

Về mặt hợp đồng, doanh nghiệp nên xác định rõ ai được tiếp cận, được sử dụng thông tin nào, cho mục đích gì, trong thời gian bao lâu và xử lý thông tin thế nào khi dịch vụ kết thúc. Những nội dung này giúp biến nghĩa vụ “giữ bí mật” thành nghĩa vụ có thể kiểm soát và chứng minh khi xảy ra tranh chấp.

Nếu dịch vụ có xử lý dữ liệu cá nhân, nghĩa vụ bảo vệ dữ liệu được áp dụng riêng

Đây là trường hợp cần phân biệt với bảo mật thông tin theo hợp đồng. Luật Bảo vệ dữ liệu cá nhân 2025 định nghĩa bên xử lý dữ liệu cá nhân là tổ chức, cá nhân xử lý dữ liệu theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu thông qua hợp đồng. Vì vậy, một nhà cung cấp dịch vụ kỹ thuật có thể đồng thời trở thành bên xử lý dữ liệu cá nhân nếu dịch vụ của họ bao gồm việc xử lý dữ liệu theo yêu cầu của khách hàng.

Theo Điều 37 Luật này, bên xử lý dữ liệu cá nhân có các trách nhiệm đáng chú ý:

·         Chỉ tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận hoặc hợp đồng về xử lý dữ liệu

·         Xử lý dữ liệu đúng thỏa thuận, hợp đồng đã ký

·         Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo luật và pháp luật liên quan

·         Chịu trách nhiệm trước bên kiểm soát dữ liệu về thiệt hại do quá trình xử lý dữ liệu gây ra

·         Ngăn chặn việc thu thập dữ liệu cá nhân trái phép từ hệ thống, thiết bị hoặc dịch vụ của mình

·         Phối hợp với Bộ Công an và cơ quan nhà nước có thẩm quyền khi thực hiện trách nhiệm bảo vệ dữ liệu cá nhân

Nghị định 356/2025/NĐ-CP là văn bản quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân và cũng có hiệu lực từ ngày 01/01/2026.

Như vậy, nếu một nhà cung cấp dịch vụ kỹ thuật được giao quyền truy cập cơ sở dữ liệu khách hàng để bảo trì hệ thống, hỗ trợ phần mềm hoặc vận hành hạ tầng, nghĩa vụ của họ có thể không dừng ở điều khoản NDA mà còn phải đáp ứng các yêu cầu pháp luật về xử lý và bảo vệ dữ liệu cá nhân.

Nếu thông tin là bí mật kinh doanh, việc tiết lộ hoặc vi phạm cam kết bảo mật có thể bị xem là hành vi xâm phạm

Bí mật kinh doanh được pháp luật sở hữu trí tuệ bảo hộ khi đáp ứng các điều kiện như không phải hiểu biết thông thường, tạo lợi thế trong kinh doanh và được chủ sở hữu áp dụng các biện pháp cần thiết để giữ bí mật.

Đối với nhà cung cấp dịch vụ kỹ thuật, các thông tin như quy trình kỹ thuật, thông số, thiết kế, phương pháp vận hành hoặc dữ liệu kinh doanh có thể trở thành bí mật kinh doanh nếu đáp ứng điều kiện bảo hộ, chứ không phải mọi thông tin được khách hàng gọi là “bí mật” đều tự động là bí mật kinh doanh theo luật.

Điều 127 Luật Sở hữu trí tuệ xác định nhiều hành vi xâm phạm quyền đối với bí mật kinh doanh, trong đó có bộc lộ hoặc sử dụng thông tin không được phép, cũng như vi phạm hợp đồng bảo mật hoặc lợi dụng lòng tin của người có nghĩa vụ bảo mật để tiếp cận, thu thập hoặc làm bộc lộ bí mật kinh doanh.

Điều này tạo ra một ranh giới quan trọng: nghĩa vụ bảo mật của nhà cung cấp có thể đồng thời là nghĩa vụ hợp đồng và, trong trường hợp thông tin đáp ứng điều kiện pháp luật về bí mật kinh doanh, việc vi phạm còn có thể dẫn đến trách nhiệm liên quan đến quyền sở hữu công nghiệp.

Khi dịch vụ liên quan đến thông tin người tiêu dùng, nhà cung cấp cũng phải chú ý nghĩa vụ bảo đảm an toàn thông tin

Trong hoạt động kinh doanh có thu thập, lưu trữ hoặc sử dụng thông tin người tiêu dùng, Luật Bảo vệ quyền lợi người tiêu dùng 2023 quy định tổ chức, cá nhân kinh doanh phải bảo đảm an toàn, an ninh thông tin của người tiêu dùng. Trường hợp thuê hoặc ủy quyền cho bên thứ ba thực hiện việc thu thập, lưu trữ, sử dụng hoặc xử lý thông tin, pháp luật cũng đặt ra yêu cầu bảo đảm an toàn thông tin đối với hoạt động này.

Đáng chú ý, khi thông tin người tiêu dùng được chuyển cho bên thứ ba để lưu trữ hoặc phân tích phục vụ hoạt động kinh doanh, luật yêu cầu hai bên có thỏa thuận bằng văn bản về trách nhiệm bảo vệ thông tin người tiêu dùng.

Vì vậy, nếu nhà cung cấp dịch vụ kỹ thuật vận hành hệ thống có chứa thông tin khách hàng, việc phân định trách nhiệm giữa bên thuê dịch vụ và nhà cung cấp cần được thể hiện rõ trong hợp đồng, thay vì chỉ ghi chung chung rằng “các bên có trách nhiệm bảo mật”.

Vi phạm nghĩa vụ bảo mật có thể dẫn đến trách nhiệm dân sự và các trách nhiệm pháp lý khác

Hậu quả pháp lý phụ thuộc vào nguồn của nghĩa vụ bị vi phạm, loại thông tin và hành vi cụ thể. Nếu nghĩa vụ bảo mật là nghĩa vụ hợp đồng, việc không thực hiện hoặc thực hiện không đúng nghĩa vụ có thể làm phát sinh trách nhiệm dân sự theo Bộ luật Dân sự. Điều 351 quy định bên có nghĩa vụ vi phạm phải chịu trách nhiệm dân sự đối với bên có quyền.

Nếu thông tin liên quan đến dữ liệu cá nhân, bên xử lý dữ liệu còn chịu trách nhiệm trước bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu về thiệt hại do quá trình xử lý dữ liệu gây ra theo Luật Bảo vệ dữ liệu cá nhân.

Nếu hành vi liên quan đến bí mật kinh doanh, việc bộc lộ, sử dụng trái phép hoặc vi phạm hợp đồng bảo mật có thể thuộc nhóm hành vi xâm phạm quyền đối với bí mật kinh doanh theo Luật Sở hữu trí tuệ.

Do đó, khi giao kết hợp đồng dịch vụ kỹ thuật, bên thuê dịch vụ nên quy định tối thiểu:

·         Phạm vi thông tin được coi là bảo mật

·         Mục đích và phạm vi được phép sử dụng

·         Người và bên thứ ba được quyền tiếp cận

·         Biện pháp bảo vệ thông tin

·         Điều kiện chuyển giao hoặc tiết lộ thông tin

·         Nghĩa vụ khi xảy ra sự cố hoặc truy cập trái phép

·         Cách hoàn trả, xóa hoặc xử lý thông tin khi dịch vụ kết thúc

·         Thời hạn duy trì nghĩa vụ bảo mật

·         Trách nhiệm và biện pháp xử lý khi vi phạm

Tóm lại, nghĩa vụ bảo mật của bên cung cấp dịch vụ kỹ thuật không chỉ là một cam kết mang tính thương mại. Theo từng trường hợp, nghĩa vụ này có thể dựa trên Điều 78 Luật Thương mại, điều khoản hợp đồng, pháp luật về bảo vệ dữ liệu cá nhân, pháp luật về bí mật kinh doanh hoặc quy định chuyên ngành khác. Phạm vi trách nhiệm cần được xác định dựa trên loại thông tin mà nhà cung cấp được tiếp cận và vai trò pháp lý thực tế của họ trong quá trình cung ứng dịch vụ.