Quy định trách nhiệm bảo mật trong hợp đồng dịch vụ công nghệ

Nếu nhà cung cấp xử lý dữ liệu cá nhân theo yêu cầu của khách hàng, quan hệ này còn có thể thuộc mô hình bên kiểm soát dữ liệu và bên xử lý dữ liệu. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026, yêu cầu trách nhiệm, quyền và nghĩa vụ liên quan đến xử lý dữ liệu cá nhân phải được xác định trong thỏa thuận hoặc hợp đồng; bên xử lý chỉ được tiếp nhận và xử lý dữ liệu theo đúng thỏa thuận đã ký.

Xác định chính xác thông tin nào thuộc phạm vi bảo mật

Điều khoản bảo mật trước hết phải xác định đối tượng cần bảo vệ. Nếu chỉ dùng khái niệm “thông tin mật” mà không mô tả phạm vi, khi xảy ra tranh chấp sẽ khó xác định dữ liệu nào thực sự chịu nghĩa vụ bảo mật.

Trong hợp đồng dịch vụ công nghệ, phạm vi thường cần bao gồm:

·         Dữ liệu kinh doanh, tài chính, khách hàng và nhân sự

·         Dữ liệu cá nhân được nhà cung cấp tiếp cận hoặc xử lý

·         Tài khoản, mật khẩu, khóa truy cập, API key và thông tin xác thực

·         Mã nguồn, mã đối tượng, kiến trúc và tài liệu kỹ thuật

·         Cấu hình hệ thống, cơ sở dữ liệu, nhật ký và dữ liệu sao lưu

·         Quy trình nội bộ, thuật toán, mô hình và bí mật kinh doanh

·         Thông tin về lỗ hổng, sự cố hoặc điểm yếu an ninh của hệ thống

Hợp đồng cũng nên xác định những trường hợp không được xem là thông tin mật, chẳng hạn thông tin đã công khai hợp pháp, thông tin bên nhận đã có hợp pháp trước khi được cung cấp hoặc thông tin phải cung cấp theo yêu cầu hợp pháp của cơ quan có thẩm quyền.

Cách xác định này tạo ranh giới cho nghĩa vụ của nhà cung cấp: họ biết chính xác dữ liệu nào phải kiểm soát và doanh nghiệp cũng có căn cứ xác định hành vi vi phạm.

Giới hạn mục đích sử dụng và quyền truy cập của nhà cung cấp

Giữ bí mật không chỉ có nghĩa là không tiết lộ thông tin cho người ngoài. Một rủi ro phổ biến khác là nhà cung cấp sử dụng dữ liệu cho mục đích không nằm trong phạm vi dịch vụ.

Hợp đồng nên quy định nhà cung cấp chỉ được truy cập, sao chép, lưu trữ, truyền hoặc thực hiện hoạt động xử lý khác trong phạm vi cần thiết để cung cấp dịch vụ đã thỏa thuận. Không được tự ý sử dụng dữ liệu để phân tích thương mại, xây dựng tập dữ liệu, huấn luyện hệ thống, quảng cáo, nghiên cứu sản phẩm hoặc phục vụ khách hàng khác nếu chưa có cơ sở pháp lý và sự chấp thuận cần thiết.

Đối với dữ liệu cá nhân, yêu cầu này đặc biệt quan trọng. Khoản 2 Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025 quy định bên xử lý dữ liệu chỉ được tiếp nhận dữ liệu sau khi có hợp đồng hoặc thỏa thuận xử lý dữ liệu và phải xử lý đúng nội dung đã ký.

Quyền truy cập nội bộ của nhà cung cấp cũng cần được giới hạn theo nguyên tắc cần biết và cần dùng. Nhân viên kỹ thuật không nên mặc nhiên có quyền truy cập toàn bộ dữ liệu chỉ vì họ làm việc cho nhà cung cấp. Hợp đồng có thể yêu cầu phân quyền theo nhiệm vụ, xác thực mạnh đối với tài khoản nhạy cảm, kiểm soát tài khoản đặc quyền và thu hồi quyền truy cập ngay khi nhân sự không còn tham gia dự án.

Chuyển yêu cầu “bảo mật” thành các biện pháp kỹ thuật và quản lý cụ thể

Một điều khoản chỉ yêu cầu nhà cung cấp “áp dụng biện pháp bảo mật phù hợp” vẫn còn khó kiểm chứng. Với hệ thống có dữ liệu quan trọng, hợp đồng nên mô tả nhóm kiểm soát tối thiểu mà nhà cung cấp phải duy trì.

Tùy tính chất dịch vụ, các yêu cầu có thể gồm phân quyền truy cập, xác thực đa yếu tố, mã hóa khi truyền hoặc lưu trữ dữ liệu phù hợp với mức độ nhạy cảm, ghi nhật ký truy cập, quản lý bản vá, sao lưu, kiểm soát thiết bị đầu cuối và quy trình quản lý lỗ hổng.

Nghị định 356/2025/NĐ-CP, có hiệu lực từ ngày 01/01/2026, quy định trong một số hoạt động xử lý dữ liệu phải áp dụng các biện pháp như bảo đảm an ninh mạng, kiểm soát truy cập, xác thực mạnh, mã hóa hoặc khử nhận dạng phù hợp với hoạt động xử lý. Nghị định cũng yêu cầu có thỏa thuận với đối tác và nhà cung cấp dịch vụ để bảo đảm tuân thủ quy định bảo vệ dữ liệu cá nhân.

Không phải hợp đồng nào cũng cần liệt kê cùng một bộ tiêu chuẩn. Mức bảo vệ phải tương xứng với loại dữ liệu, quyền truy cập của nhà cung cấp và hậu quả nếu xảy ra sự cố. Nhà cung cấp chỉ vận hành một website công khai sẽ có mức rủi ro khác với đơn vị quản trị hạ tầng chứa dữ liệu khách hàng hoặc nắm tài khoản quản trị hệ thống.

Quy định quy trình xử lý và thông báo khi xảy ra sự cố

Điều khoản bảo mật cần trả lời trước một câu hỏi rất thực tế: nếu nhà cung cấp phát hiện dữ liệu bị truy cập trái phép lúc 2 giờ sáng thì họ phải làm gì và phải báo cho ai?

Hợp đồng nên yêu cầu nhà cung cấp ngay khi phát hiện hoặc nghi ngờ có sự cố phải:

1.    Ngăn chặn và cô lập nguyên nhân trong phạm vi có thể

2.    Bảo toàn nhật ký, chứng cứ và dữ liệu cần thiết để điều tra

3.    Thông báo cho đầu mối của khách hàng trong thời hạn đã thỏa thuận

4.    Cung cấp loại dữ liệu bị ảnh hưởng, thời điểm, phạm vi và nguyên nhân sơ bộ

5.    Phối hợp điều tra, khắc phục và giảm thiểu thiệt hại

6.    Cập nhật thông tin khi có kết quả mới

Thời hạn thông báo nội bộ trong hợp đồng nên đủ ngắn để khách hàng còn thời gian thực hiện nghĩa vụ pháp lý của mình. Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân 2025, trong những trường hợp vi phạm thuộc diện phải thông báo, bên kiểm soát hoặc bên kiểm soát và xử lý phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện; bên xử lý dữ liệu khi phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý.

Vì vậy, hợp đồng không nên đơn giản sao chép mốc 72 giờ rồi cho phép nhà cung cấp chờ đến cuối thời hạn mới báo cho khách hàng. Nếu khách hàng là bên phải thực hiện nghĩa vụ thông báo pháp lý, thời gian phản ứng của nhà cung cấp phải sớm hơn đáng kể.

Kiểm soát nhà thầu phụ, dịch vụ đám mây và việc chuyển dữ liệu

Một nhà cung cấp công nghệ có thể tiếp tục thuê trung tâm dữ liệu, dịch vụ cloud, đơn vị hỗ trợ kỹ thuật hoặc nhà thầu phụ. Nếu hợp đồng chỉ ràng buộc nhà cung cấp trực tiếp nhưng không kiểm soát chuỗi cung ứng phía sau, dữ liệu có thể được chuyển sang một chủ thể mà khách hàng không biết.

Hợp đồng nên xác định:

·         Nhà cung cấp có được sử dụng nhà thầu phụ hay không

·         Trường hợp nào phải thông báo hoặc được khách hàng chấp thuận trước

·         Nhà thầu phụ phải chịu nghĩa vụ bảo mật ít nhất tương đương nghĩa vụ của nhà cung cấp chính

·         Nhà cung cấp chính vẫn chịu trách nhiệm đối với hành vi của nhà thầu phụ trong phạm vi đã cam kết

·         Vị trí lưu trữ và xử lý dữ liệu có bị giới hạn hay không

·         Điều kiện áp dụng khi dữ liệu được chuyển ra nước ngoài hoặc sử dụng hạ tầng đặt ngoài Việt Nam

Nghị định 356/2025/NĐ-CP coi một số trường hợp lưu trữ hoặc xử lý dữ liệu cá nhân trên máy chủ, dịch vụ điện toán đám mây ở nước ngoài là hoạt động chuyển dữ liệu cá nhân xuyên biên giới. Do đó, vị trí hạ tầng không chỉ là vấn đề kỹ thuật mà có thể kéo theo nghĩa vụ tuân thủ pháp luật về dữ liệu.

Thiết lập quyền giám sát và bằng chứng tuân thủ

Một cam kết bảo mật chỉ thực sự có giá trị khi khách hàng có cách kiểm tra việc thực hiện.

Tùy mức độ rủi ro, hợp đồng có thể yêu cầu nhà cung cấp cung cấp chính sách an toàn thông tin, kết quả đánh giá độc lập, chứng nhận phù hợp, báo cáo kiểm thử hoặc bằng chứng về việc khắc phục các điểm yếu quan trọng. Đối với dịch vụ có rủi ro cao, khách hàng có thể cần quyền đánh giá hoặc kiểm toán theo điều kiện, tần suất và phạm vi được xác định trước.

Quyền kiểm tra cần cân bằng với hoạt động của nhà cung cấp. Một quyền “kiểm toán bất cứ lúc nào, không giới hạn” thường khó thực hiện trong thực tế, đặc biệt với nhà cung cấp cloud phục vụ nhiều khách hàng. Cách khả thi hơn là xác định loại bằng chứng được chấp nhận, trường hợp phát sinh quyền kiểm tra chuyên sâu và nghĩa vụ khắc phục nếu phát hiện không phù hợp.

Cơ chế này biến trách nhiệm bảo mật từ một lời cam kết thành nghĩa vụ có thể chứng minh.

Quy định rõ việc hoàn trả, xóa và tiêu hủy dữ liệu khi dịch vụ kết thúc

Nghĩa vụ bảo mật không kết thúc ngay khi hợp đồng hết hạn. Dữ liệu có thể vẫn còn trong tài khoản quản trị, môi trường thử nghiệm, thiết bị hỗ trợ, hệ thống sao lưu hoặc tại nhà thầu phụ.

Hợp đồng nên quy định khi hết nhu cầu xử lý hoặc khi hợp đồng chấm dứt, nhà cung cấp phải hoàn trả hoặc xóa dữ liệu theo yêu cầu của khách hàng, trừ phần bắt buộc phải lưu theo pháp luật. Đồng thời cần xác định thời hạn thực hiện, cách xử lý bản sao và dữ liệu sao lưu, cũng như hình thức xác nhận việc xóa nếu cần.

Nghị định 356/2025/NĐ-CP cũng đặt ra yêu cầu xóa, hủy dữ liệu cá nhân được xử lý trong quá trình cung cấp một số dịch vụ bảo vệ dữ liệu cá nhân sau khi hoàn thành hợp đồng và theo quy định pháp luật.

Đối với bí mật kinh doanh, mã nguồn hoặc thông tin có giá trị lâu dài, nghĩa vụ không tiết lộ có thể cần tiếp tục sau khi hợp đồng chấm dứt. Thời hạn nên được xác định dựa trên bản chất thông tin thay vì mặc nhiên cho rằng mọi loại dữ liệu đều có cùng vòng đời bảo mật.

Gắn trách nhiệm bảo mật với hậu quả pháp lý khi vi phạm

Điều khoản bảo mật sẽ thiếu hiệu lực thực tế nếu hợp đồng mô tả rất kỹ nghĩa vụ nhưng không xác định hậu quả khi nhà cung cấp vi phạm.

Hợp đồng cần làm rõ các nhóm trách nhiệm như chi phí điều tra và khắc phục sự cố, phục hồi dữ liệu, xử lý yêu cầu của khách hàng hoặc chủ thể dữ liệu, chi phí thông báo bắt buộc, thiệt hại trực tiếp và các khoản trách nhiệm khác trong phạm vi pháp luật cho phép.

Nếu hợp đồng có giới hạn trách nhiệm chung, cần xem riêng trường hợp vi phạm bảo mật. Việc áp dụng cùng một mức trần rất thấp cho cả lỗi dịch vụ thông thường và sự cố làm lộ lượng lớn dữ liệu có thể khiến phân bổ rủi ro không tương xứng với hậu quả thực tế.

Cũng cần phân biệt giữa vi phạm nghĩa vụ bảo mật và mọi sự cố an ninh. Một hệ thống vẫn có thể bị tấn công dù nhà cung cấp đã thực hiện đúng toàn bộ nghĩa vụ hợp đồng. Trách nhiệm nên dựa trên nghĩa vụ đã cam kết, mức độ kiểm soát, nguyên nhân, lỗi và hậu quả thay vì mặc nhiên coi mọi sự cố đều là vi phạm của nhà cung cấp.

Một điều khoản bảo mật tốt phải liên kết được toàn bộ vòng đời dữ liệu

Trách nhiệm bảo mật trong hợp đồng dịch vụ công nghệ nên được thiết kế như một chuỗi nghĩa vụ liên tục: nhà cung cấp được nhận dữ liệu nào, được dùng để làm gì, ai được truy cập, phải bảo vệ bằng cách nào, có được chuyển cho bên khác hay không, phải làm gì khi xảy ra sự cố và phải xử lý dữ liệu thế nào khi dịch vụ kết thúc.

Nếu dịch vụ có xử lý dữ liệu cá nhân, các điều khoản này còn phải phù hợp với Luật Bảo vệ dữ liệu cá nhân 2025 và các quy định hướng dẫn hiện hành. Luật xác định bên xử lý dữ liệu là chủ thể xử lý dữ liệu theo yêu cầu của bên kiểm soát thông qua hợp đồng và đặt ra trực tiếp các trách nhiệm về xử lý đúng thỏa thuận, áp dụng biện pháp bảo vệ, ngăn chặn thu thập trái phép và chịu trách nhiệm về thiệt hại phát sinh trong quá trình xử lý.

Bên cạnh bảo vệ dữ liệu cá nhân, môi trường dịch vụ công nghệ hiện nay còn chịu sự điều chỉnh của Luật An ninh mạng số 116/2025/QH15, có hiệu lực từ ngày 01/07/2026, cùng hệ thống văn bản hướng dẫn mới được ban hành trong tháng 8/2026. Vì vậy, các hợp đồng liên quan đến hệ thống hoặc dữ liệu có yêu cầu an ninh cao cần được rà soát theo đúng loại dịch vụ và nghĩa vụ pháp lý áp dụng thay vì sử dụng một mẫu điều khoản bảo mật chung cho mọi trường hợp.

Một hợp đồng dịch vụ công nghệ nên coi bảo mật là cơ chế phân bổ trách nhiệm chứ không chỉ là cam kết “không tiết lộ”. Điều khoản hiệu quả phải xác định rõ phạm vi thông tin, mục đích xử lý, quyền truy cập, tiêu chuẩn bảo vệ, thời hạn báo sự cố, kiểm soát nhà thầu phụ, quyền giám sát, nghĩa vụ xóa dữ liệu và hậu quả khi vi phạm. Khi các yếu tố này được liên kết với nhau, doanh nghiệp mới có cơ sở vừa phòng ngừa rủi ro, vừa xác định được trách nhiệm của nhà cung cấp nếu dữ liệu hoặc hệ thống bị xâm phạm.