Trách nhiệm khi bên thứ ba gây sự cố bảo mật

Nếu vụ việc liên quan đến dữ liệu cá nhân tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ ngày 01/01/2026 và quy định riêng trách nhiệm của bên kiểm soát, bên xử lý và bên kiểm soát và xử lý dữ liệu cá nhân.

Nguyên tắc xác định trách nhiệm khi bên thứ ba gây sự cố

Trách nhiệm thường được xác định theo chuỗi:

Vai trò của từng bên → nghĩa vụ đã cam kết → hành vi hoặc thiếu sót → nguyên nhân gây sự cố → thiệt hại → nghĩa vụ khắc phục

Điểm quan trọng là bên thứ ba trực tiếp gây ra sự cố không đồng nghĩa với việc bên thuê dịch vụ hoàn toàn được miễn trách nhiệm.

Theo Luật Bảo vệ dữ liệu cá nhân 2025, bên kiểm soát dữ liệu phải nêu rõ quyền, nghĩa vụ và trách nhiệm của các bên trong thỏa thuận, lựa chọn bên xử lý phù hợp, áp dụng biện pháp quản lý và kỹ thuật để bảo vệ dữ liệu, đồng thời chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý dữ liệu gây ra.

Ở chiều ngược lại, bên xử lý phải có hợp đồng hoặc thỏa thuận hợp lệ, xử lý đúng phạm vi được giao, thực hiện biện pháp bảo vệ dữ liệu và chịu trách nhiệm trước bên kiểm soát về thiệt hại do quá trình xử lý dữ liệu gây ra.

Vì vậy, trách nhiệm có thể song song tồn tại ở nhiều bên, nhưng căn cứ và phạm vi trách nhiệm của từng bên không nhất thiết giống nhau.

Bên thứ ba phải chịu trách nhiệm trong những trường hợp nào?

Một bên thứ ba có cơ sở chịu trách nhiệm khi có thể xác định được hành vi vi phạm nghĩa vụ của chính bên đó.

Các trường hợp điển hình gồm:

·         Truy cập hoặc sử dụng dữ liệu vượt quá phạm vi được giao

·         Không áp dụng các biện pháp bảo mật đã cam kết

·         Để xảy ra truy cập trái phép do thiếu kiểm soát kỹ thuật hoặc tổ chức

·         Tiết lộ, làm mất hoặc sử dụng dữ liệu trái phép

·         Không tuân thủ yêu cầu xử lý dữ liệu trong hợp đồng

·         Không phối hợp hoặc không cung cấp thông tin cần thiết khi phát hiện sự cố

Đối với bên xử lý dữ liệu cá nhân, Luật 91/2025/QH15 quy định rõ nghĩa vụ xử lý theo hợp đồng, thực hiện đầy đủ biện pháp bảo vệ và chịu trách nhiệm về thiệt hại do quá trình xử lý dữ liệu gây ra.

Điều này có nghĩa là việc bên thứ ba trực tiếp vận hành hệ thống không làm mất đi nghĩa vụ độc lập của họ đối với hoạt động xử lý mà họ thực hiện.

Bên thuê dịch vụ có được miễn trách nhiệm vì lỗi thuộc về bên thứ ba?

Không mặc nhiên.

Đây là điểm dễ bị hiểu sai nhất khi phân chia trách nhiệm sau sự cố. Việc nhà cung cấp gây ra lỗi có thể tạo căn cứ để bên thuê yêu cầu nhà cung cấp bồi hoàn hoặc chịu trách nhiệm theo hợp đồng, nhưng không tự động xóa bỏ các nghĩa vụ pháp lý mà bên thuê vẫn phải thực hiện.

Ví dụ, nếu doanh nghiệp thuê một nhà cung cấp lưu trữ dữ liệu và nhà cung cấp để xảy ra truy cập trái phép, cần tách hai quan hệ:

Quan hệ với chủ thể dữ liệu: doanh nghiệp vẫn có thể phải thực hiện các nghĩa vụ pháp lý của bên kiểm soát dữ liệu

Quan hệ giữa doanh nghiệp và nhà cung cấp: doanh nghiệp có thể yêu cầu nhà cung cấp chịu trách nhiệm theo hợp đồng và theo mức độ thiệt hại do hành vi của nhà cung cấp gây ra

Luật hiện hành quy định bên kiểm soát dữ liệu phải lựa chọn bên xử lý phù hợp và chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý gây ra.

Vì vậy, trách nhiệm đối ngoại và trách nhiệm phân bổ nội bộ giữa các bên là hai vấn đề khác nhau.

Hợp đồng là căn cứ quan trọng để phân bổ trách nhiệm

Khi sự cố xảy ra, cần kiểm tra trước hết hợp đồng hoặc thỏa thuận xử lý dữ liệu giữa các bên.

Một thỏa thuận tốt nên xác định rõ:

·         Dữ liệu nào được phép xử lý

·         Mục đích và phạm vi xử lý

·         Bên nào quyết định mục đích và phương tiện xử lý

·         Biện pháp bảo mật tối thiểu phải áp dụng

·         Quyền kiểm tra hoặc đánh giá của bên thuê

·         Nghĩa vụ thông báo khi phát hiện sự cố

·         Thời hạn và phương thức phối hợp ứng phó

·         Nghĩa vụ lưu giữ bằng chứng và nhật ký

·         Trách nhiệm khắc phục và giảm thiểu thiệt hại

·         Cơ chế bồi hoàn hoặc phân bổ chi phí

·         Trách nhiệm khi sử dụng nhà thầu phụ

·         Nghĩa vụ xóa hoặc hoàn trả dữ liệu khi kết thúc dịch vụ

Nghị định 356/2025/NĐ-CP, có hiệu lực từ 01/01/2026, yêu cầu thỏa thuận chuyển giao dữ liệu phải thể hiện trách nhiệm bảo vệ dữ liệu và trách nhiệm phối hợp, tuân thủ của các bên khi phát hiện vi phạm.

Do đó, hợp đồng không chỉ có giá trị để “đòi bồi thường” sau sự cố. Nó còn là căn cứ để xác định bên nào phải làm gì ngay khi sự cố xảy ra.

Cần phân biệt lỗi trực tiếp và lỗi trong quản lý bên thứ ba

Một sự cố có thể phát sinh từ lỗi kỹ thuật của nhà cung cấp nhưng vẫn cần xem xét liệu bên thuê có thực hiện đầy đủ nghĩa vụ quản lý hay không.

Chẳng hạn, nếu nhà cung cấp có nghĩa vụ mã hóa dữ liệu nhưng không thực hiện, đây là yếu tố trực tiếp có thể dẫn đến trách nhiệm của nhà cung cấp.

Nhưng nếu bên thuê:

·         Chọn nhà cung cấp không đáp ứng yêu cầu bảo mật

·         Không quy định tiêu chuẩn bảo mật trong hợp đồng

·         Không kiểm tra hoặc đánh giá rủi ro khi cần thiết

·         Cho phép nhà cung cấp truy cập dữ liệu vượt phạm vi cần thiết

·         Biết có rủi ro nhưng không xử lý

thì việc phân tích trách nhiệm không thể chỉ dừng ở lỗi của nhà cung cấp.

Nghị định 356/2025/NĐ-CP cũng đặt ra yêu cầu về việc xác định vai trò của bên kiểm soát, bên xử lý và bên thứ ba, đồng thời yêu cầu có thỏa thuận và cam kết trách nhiệm, nghĩa vụ trong hoạt động chuyển giao, xử lý dữ liệu.

Khi xảy ra sự cố, trách nhiệm thông báo được xác định thế nào?

Trách nhiệm ứng phó không nên chờ đến khi hoàn tất việc xác định lỗi mới bắt đầu.

Theo Nghị định 356/2025/NĐ-CP, nội dung thông báo vi phạm dữ liệu cá nhân bao gồm tính chất và phạm vi vi phạm, dữ liệu liên quan, hậu quả hoặc thiệt hại có thể xảy ra và các biện pháp xử lý, giảm thiểu tác hại. Nghị định cũng quy định bên kiểm soát, bên kiểm soát và xử lý, bên xử lý và bên thứ ba thuộc nhóm phải gửi thông báo vi phạm theo quy định.

Đối với sự cố liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, bên kiểm soát hoặc bên kiểm soát và xử lý phải thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ khi phát hiện vi phạm, đồng thời báo cáo theo quy định.

Vì vậy, khi nhà cung cấp phát hiện sự cố, điều cần xác định ngay là ai có nghĩa vụ thông báo, thông báo cho ai, trong thời hạn nào và ai chịu trách nhiệm cung cấp thông tin đầu vào.

Thiệt hại được phân chia dựa trên những yếu tố nào?

Không nên chỉ lấy tỷ lệ “ai gây lỗi” để chia thiệt hại. Việc phân bổ thường cần xem xét đồng thời:

Luật Bảo vệ dữ liệu cá nhân quy định hành vi vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự tùy tính chất, mức độ và hậu quả; nếu gây thiệt hại thì phải bồi thường theo quy định pháp luật.

Cách xác định trách nhiệm trong một vụ việc cụ thể

Một quy trình thực tế có thể đi theo sáu bước:

1.    Xác định dữ liệu và hệ thống bị ảnh hưởng

2.    Lập bản đồ vai trò của từng bên trong quá trình xử lý

3.    Đối chiếu hợp đồng với nghĩa vụ pháp lý

4.    Xác định nguyên nhân gốc và hành vi vi phạm của từng bên

5.    Đánh giá thiệt hại, quan hệ nhân quả và mức độ đóng góp của từng bên

6.    Phân tách nghĩa vụ khắc phục, thông báo, bồi thường và phân bổ chi phí

Điểm cần tránh là kết luận trách nhiệm ngay từ đầu chỉ dựa trên việc “sự cố xảy ra tại hệ thống của nhà cung cấp”. Vị trí xảy ra sự cố chỉ là một dữ kiện; trách nhiệm pháp lý còn phụ thuộc vào vai trò, nghĩa vụ, quyền kiểm soát và hành vi của từng bên.

Khi áp dụng tại Việt Nam, cần đối chiếu Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP cùng các quy định chuyên ngành có liên quan. Luật 91/2025/QH15 hiện có hiệu lực từ ngày 01/01/2026.

Trách nhiệm khi bên thứ ba gây sự cố bảo mật vì vậy không phải là cơ chế “đẩy lỗi” cho bên trực tiếp vận hành hệ thống. Cần đồng thời xem xét vai trò pháp lý, nghĩa vụ bảo mật, hợp đồng, nguyên nhân sự cố, quan hệ nhân quả, thiệt hại và nghĩa vụ ứng phó. Trong quan hệ dữ liệu cá nhân, bên thứ ba hoặc bên xử lý có thể phải chịu trách nhiệm đối với phần vi phạm của mình, trong khi bên kiểm soát vẫn có những nghĩa vụ độc lập trước chủ thể dữ liệu. Cách phân bổ cuối cùng phải dựa trên pháp luật áp dụng và thỏa thuận cụ thể giữa các bên.