Những nghĩa vụ bảo vệ dữ liệu của chủ thể xử lý

Chủ thể xử lý phải có cơ sở hợp pháp trước khi tiếp nhận dữ liệu

Nghĩa vụ bảo vệ dữ liệu của bên xử lý bắt đầu ngay từ thời điểm tiếp nhận dữ liệu. Bên xử lý chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận hoặc hợp đồng về xử lý dữ liệu với bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu cá nhân.

Quy định này tạo ra một ranh giới quan trọng: bên xử lý không tự quyết định việc tiếp nhận và sử dụng dữ liệu theo ý mình. Phạm vi quyền hạn của bên xử lý phải được xác lập thông qua quan hệ với bên kiểm soát dữ liệu.

Vì vậy, thỏa thuận hoặc hợp đồng xử lý dữ liệu cần làm rõ ít nhất phạm vi xử lý, trách nhiệm của các bên và cách thức xử lý dữ liệu. Khi cơ sở này không tồn tại hoặc không phù hợp, việc tiếp nhận dữ liệu đã tiềm ẩn rủi ro vi phạm nghĩa vụ bảo vệ dữ liệu.

Phải xử lý dữ liệu đúng thỏa thuận và đúng phạm vi được giao

Sau khi tiếp nhận dữ liệu, bên xử lý phải xử lý dữ liệu cá nhân đúng với thỏa thuận hoặc hợp đồng đã ký với bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu cá nhân. Đây là nghĩa vụ cốt lõi để ngăn việc sử dụng dữ liệu vượt quá phạm vi được giao.

Điều này có nghĩa là bên xử lý không được tự ý mở rộng mục đích, phạm vi hoặc phương thức xử lý chỉ vì dữ liệu đang nằm trong hệ thống của mình. Quyền kiểm soát dữ liệu và quyền xử lý dữ liệu là hai vị trí pháp lý khác nhau.

Về thực tế, doanh nghiệp nên kiểm soát sự thống nhất giữa hợp đồng, quy trình nội bộ và hoạt động xử lý trên hệ thống. Nếu hợp đồng chỉ cho phép xử lý dữ liệu để cung cấp một dịch vụ nhưng hệ thống lại sử dụng dữ liệu cho một mục đích khác, rủi ro không nằm riêng ở khâu kỹ thuật mà còn nằm ở việc xử lý sai phạm vi được giao.

Phải thực hiện đầy đủ các biện pháp bảo vệ dữ liệu

Khoản 2 Điều 37 yêu cầu bên xử lý thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân và pháp luật có liên quan.

Biện pháp bảo vệ không nên được hiểu đơn thuần là cài đặt một phần mềm bảo mật. Nghị định 356/2025/NĐ-CP, có hiệu lực cùng ngày 01/01/2026, quy định nhiều yêu cầu về tổ chức và kỹ thuật tùy theo bối cảnh xử lý. Chẳng hạn, đối với một số hoạt động xử lý dữ liệu, các biện pháp được quy định có thể bao gồm phân quyền truy cập, xác thực mạnh, mã hóa, bảo mật dữ liệu, phòng chống thất thoát dữ liệu và đào tạo nhân sự. Đối với dữ liệu cá nhân nhạy cảm, Nghị định còn yêu cầu thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật.

Do đó, việc bảo vệ dữ liệu cần được triển khai đồng thời ở nhiều lớp:

·         Biện pháp tổ chức: Chính sách, quy trình, phân công trách nhiệm và đào tạo nhân sự

·         Biện pháp kiểm soát truy cập: Chỉ cho phép người có thẩm quyền tiếp cận dữ liệu phù hợp với nhiệm vụ

·         Biện pháp kỹ thuật: Áp dụng các biện pháp bảo mật phù hợp với loại dữ liệu, hệ thống và mức độ rủi ro

·         Biện pháp quản lý rủi ro: Theo dõi, đánh giá và xử lý nguy cơ lộ, mất hoặc truy cập trái phép dữ liệu

·         Biện pháp ứng phó: Có cơ chế tiếp nhận, xử lý và báo cáo khi xảy ra sự cố

Nghị định 356/2025/NĐ-CP cũng quy định nhiệm vụ của bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân, trong đó có việc xây dựng chính sách, đánh giá tuân thủ, đào tạo và triển khai biện pháp kỹ thuật bảo mật dữ liệu.

Phải ngăn chặn việc thu thập dữ liệu trái phép từ hệ thống của mình

Bên xử lý còn có nghĩa vụ ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị và dịch vụ của mình.

Điểm này cho thấy nghĩa vụ bảo vệ dữ liệu không chỉ là bảo vệ dữ liệu khỏi việc bị đánh cắp sau khi đã lưu trữ. Chủ thể xử lý còn phải kiểm soát chính môi trường kỹ thuật mà mình vận hành để hạn chế việc dữ liệu bị thu thập trái phép.

Vì vậy, cơ chế bảo vệ cần quan tâm cả:

·         Ai có quyền truy cập dữ liệu

·         Hệ thống nào có thể truy cập dữ liệu

·         Dữ liệu được truyền qua những kênh nào

·         Có hoạt động thu thập bất thường hay không

·         Khi phát hiện truy cập hoặc thu thập trái phép thì xử lý thế nào

Trong các hệ thống xử lý dữ liệu lớn, Nghị định 356/2025/NĐ-CP còn nêu các biện pháp như bảo đảm an ninh mạng, bảo mật dữ liệu, phòng chống thất thoát dữ liệu, xác thực mạnh, phân quyền truy cập và mã hóa hoặc ẩn danh trong những trường hợp phù hợp.

Phải chịu trách nhiệm về thiệt hại và phối hợp khi có vi phạm

Bên xử lý phải chịu trách nhiệm trước bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu cá nhân về thiệt hại do quá trình xử lý dữ liệu gây ra. Đồng thời, bên xử lý phải phối hợp với Bộ Công an và cơ quan nhà nước có thẩm quyền trong hoạt động bảo vệ dữ liệu, cung cấp thông tin phục vụ điều tra và xử lý hành vi vi phạm pháp luật.

Điều này tạo ra hai yêu cầu song song.

Thứ nhất, bảo vệ dữ liệu phải được thực hiện chủ động, thay vì chỉ xử lý hậu quả sau khi xảy ra sự cố. Thứ hai, khi có vấn đề phát sinh, bên xử lý không thể xem đó chỉ là vấn đề nội bộ giữa nhà cung cấp dịch vụ và khách hàng mà phải thực hiện trách nhiệm phối hợp theo quy định.

Đối với hoạt động xử lý dữ liệu trong các môi trường đặc thù, Nghị định 356/2025/NĐ-CP còn đặt ra các yêu cầu cụ thể hơn về bảo mật, nhân sự, đánh giá tuân thủ và ứng phó sự cố. Vì vậy, biện pháp cần áp dụng trên thực tế phải được xác định dựa trên loại dữ liệu, quy mô và phương thức xử lý, cũng như quy định chuyên ngành tương ứng.

Nhìn tổng thể, nghĩa vụ bảo vệ dữ liệu của chủ thể xử lý không chỉ là áp dụng một biện pháp kỹ thuật riêng lẻ. Theo khoản 2 Điều 37 Luật Bảo vệ dữ liệu cá nhân, bên xử lý phải bảo đảm đúng cơ sở tiếp nhận dữ liệu, xử lý đúng thỏa thuận, thực hiện đầy đủ biện pháp bảo vệ, ngăn chặn thu thập trái phép, chịu trách nhiệm về thiệt hại và phối hợp với cơ quan có thẩm quyền khi cần thiết.

Vì vậy, một cơ chế bảo vệ dữ liệu phù hợp cần kết hợp hợp đồng và quy trình, kiểm soát truy cập, biện pháp kỹ thuật, quản trị rủi ro và cơ chế ứng phó sự cố thay vì chỉ tập trung vào bảo mật hệ thống. Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hiện là các văn bản pháp lý quan trọng cần được đối chiếu khi xác định nghĩa vụ cụ thể trong từng hoạt động xử lý dữ liệu tại Việt Nam.