Trách nhiệm kiểm soát bên xử lý dữ liệu được thực hiện thế nào?

Sự phân loại này quyết định cách kiểm soát. Tổ chức giao việc xử lý không chỉ cần xác định bên nhận dữ liệu là ai mà còn phải xác định họ xử lý với vai trò nào, theo mục đích nào và dưới quyền quyết định của ai. Nếu bên được thuê xử lý theo yêu cầu của tổ chức, trách nhiệm kiểm soát phải được thiết kế theo quan hệ giữa bên kiểm soát và bên xử lý, thay vì coi đó đơn thuần là việc chuyển dữ liệu cho một đối tác bên ngoài.

Trách nhiệm không chấm dứt khi đã giao dữ liệu cho bên xử lý

Khoản 1 Điều 37 Luật Bảo vệ dữ liệu cá nhân đặt trách nhiệm trực tiếp lên bên kiểm soát dữ liệu cá nhân: phải quy định rõ quyền, nghĩa vụ và trách nhiệm của các bên trong hợp đồng; quyết định mục đích và phương tiện xử lý; áp dụng biện pháp quản lý, kỹ thuật phù hợp; lựa chọn bên xử lý phù hợp; bảo đảm quyền của chủ thể dữ liệu và chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý gây ra.

Vì vậy, thuê ngoài hoạt động xử lý không đồng nghĩa với thuê ngoài toàn bộ trách nhiệm. Tổ chức vẫn phải duy trì khả năng kiểm soát đối với ít nhất ba yếu tố: bên nào được phép xử lý, dữ liệu được xử lý đến đâu và các điều kiện bảo vệ nào phải được duy trì trong suốt quá trình xử lý.

Ở chiều ngược lại, bên xử lý cũng có trách nhiệm pháp lý riêng. Khoản 2 Điều 37 yêu cầu bên xử lý chỉ tiếp nhận dữ liệu sau khi có thỏa thuận hoặc hợp đồng, xử lý đúng thỏa thuận, thực hiện các biện pháp bảo vệ dữ liệu, ngăn chặn việc thu thập trái phép và chịu trách nhiệm trước bên kiểm soát về thiệt hại do quá trình xử lý gây ra.

Cơ chế trách nhiệm vì thế không phải là “giao dữ liệu rồi chuyển trách nhiệm”, mà là phân chia nghĩa vụ nhưng vẫn duy trì trách nhiệm kiểm soát của bên quyết định mục đích và phương tiện xử lý.

Kiểm soát phải bắt đầu từ việc lựa chọn bên xử lý phù hợp

Điểm đ khoản 1 Điều 37 yêu cầu bên kiểm soát lựa chọn bên xử lý dữ liệu cá nhân phù hợp. Thư Viện Pháp Luật Điều này có nghĩa việc kiểm soát phải bắt đầu trước khi dữ liệu được bàn giao.

Việc đánh giá không nên chỉ dựa trên giá dịch vụ hoặc cam kết chung về “bảo mật”. Tổ chức cần kiểm tra khả năng thực tế của nhà cung cấp đối với hoạt động sắp giao, chẳng hạn hệ thống nào sẽ tiếp nhận dữ liệu, nhóm nhân sự nào được truy cập, dữ liệu có được lưu trên hạ tầng của đơn vị khác hay không, biện pháp kiểm soát truy cập và bảo vệ dữ liệu đang áp dụng, quy trình phát hiện sự cố, chính sách lưu giữ và cách xóa hoặc hủy dữ liệu khi kết thúc dịch vụ.

Đối với doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, Nghị định 356/2025/NĐ-CP còn đặt ra các yêu cầu riêng như xây dựng khung quản trị rủi ro, đánh giá hiện trạng tuân thủ và mức độ tín nhiệm về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần, áp dụng tiêu chuẩn hoặc quy chuẩn liên quan đến an ninh dữ liệu, bảo vệ dữ liệu cá nhân và an ninh mạng.

Những thông tin này là căn cứ có giá trị khi bên kiểm soát đánh giá liệu nhà cung cấp có thực sự “phù hợp” với loại dữ liệu và mức rủi ro của hoạt động được thuê hay không.

Hợp đồng xử lý phải biến phạm vi được phép thành nghĩa vụ có thể kiểm soát

Hợp đồng không chỉ là căn cứ để giao dữ liệu. Đây là cơ chế xác định giới hạn mà bên xử lý phải tuân thủ.

Điều 37 yêu cầu trách nhiệm, quyền và nghĩa vụ của các bên phải được nêu rõ trong thỏa thuận hoặc hợp đồng, đồng thời bên xử lý chỉ được tiếp nhận dữ liệu khi quan hệ xử lý đã được thiết lập bằng thỏa thuận hoặc hợp đồng và phải xử lý đúng nội dung đã ký.

Do đó, phạm vi kiểm soát trong hợp đồng cần phản ánh được hoạt động xử lý thực tế. Tùy từng dịch vụ, tổ chức nên xác định rõ:

·         Loại dữ liệu và nhóm chủ thể dữ liệu được giao xử lý

·         Mục đích và các hoạt động xử lý được phép thực hiện

·         Hệ thống, địa điểm hoặc môi trường được phép lưu trữ và xử lý

·         Nhóm người hoặc bộ phận được phép truy cập

·         Biện pháp quản lý và kỹ thuật phải duy trì

·         Thời hạn lưu giữ và điều kiện xóa, hủy hoặc hoàn trả dữ liệu

·         Cơ chế tiếp nhận và phối hợp thực hiện quyền của chủ thể dữ liệu

·         Nghĩa vụ thông báo, cung cấp thông tin và phối hợp khi xảy ra vi phạm

·         Trách nhiệm khi xử lý sai phạm vi, sai mục đích hoặc gây thiệt hại

Các nội dung này không nên được tách khỏi thực tế vận hành. Nghị định 356/2025/NĐ-CP yêu cầu hồ sơ đánh giá tác động xử lý dữ liệu cá nhân có bản sao hợp đồng hoặc thỏa thuận thể hiện sự ràng buộc và trách nhiệm giữa các tổ chức, cá nhân trong hoạt động xử lý.

Nói cách khác, một hợp đồng ghi chung rằng nhà cung cấp “có trách nhiệm bảo mật dữ liệu” chưa phản ánh đầy đủ cơ chế kiểm soát nếu không thể xác định họ được làm gì với dữ liệu và trách nhiệm phát sinh tại từng công đoạn.

Kiểm soát trong quá trình thực hiện phải dựa trên bằng chứng, không chỉ dựa trên cam kết

Sau khi ký hợp đồng, tổ chức vẫn phải duy trì các biện pháp quản lý và kỹ thuật phù hợp, đồng thời rà soát, cập nhật chúng khi cần thiết theo Điều 37. Thư Viện Pháp Luật Vì vậy, cơ chế kiểm soát hiệu quả phải cho phép tổ chức biết bên xử lý có tiếp tục tuân thủ các điều kiện đã thỏa thuận hay không.

Pháp luật không biến một mô hình kiểm toán nhà cung cấp duy nhất thành yêu cầu áp dụng giống nhau cho mọi trường hợp. Mức giám sát cần tương xứng với dữ liệu, hoạt động xử lý và rủi ro. Trên thực tế, tổ chức có thể yêu cầu báo cáo tuân thủ, tài liệu về biện pháp bảo vệ, nhật ký xử lý cần thiết, kết quả đánh giá an toàn hoặc bằng chứng khắc phục khi phát hiện điểm không phù hợp. Đây là biện pháp quản trị để chứng minh việc kiểm soát đang được thực hiện, chứ không phải một thủ tục hình thức thay thế cho các nghĩa vụ pháp luật.

Mức kiểm soát cũng nên tăng khi điều kiện xử lý thay đổi. Ví dụ, thay đổi hệ thống lưu trữ, bổ sung loại dữ liệu nhạy cảm, thay đổi luồng dữ liệu hoặc đưa dữ liệu lên hạ tầng ở nước ngoài có thể làm thay đổi rủi ro và nghĩa vụ liên quan. Khi đó, tổ chức cần đánh giá lại phạm vi hợp đồng, biện pháp bảo vệ và hồ sơ tuân thủ tương ứng.

Hồ sơ đánh giá tác động phải phản ánh cả quan hệ với bên xử lý

Theo Luật Bảo vệ dữ liệu cá nhân, bên kiểm soát, bên kiểm soát và xử lý và bên xử lý có trách nhiệm đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; khi nội dung hồ sơ đã gửi có thay đổi thì phải cập nhật, bổ sung theo quy định.

Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu hồ sơ được lập và lưu giữ kể từ thời điểm bắt đầu xử lý. Hồ sơ bao gồm báo cáo đánh giá tác động, bản sao hợp đồng hoặc thỏa thuận về xử lý dữ liệu cá nhân và các chính sách, quy trình, quy định, biểu mẫu cùng tài liệu liên quan đến bảo vệ dữ liệu cá nhân. Báo cáo còn phải thể hiện mục đích, loại dữ liệu, hoạt động và luồng xử lý, biện pháp bảo đảm an toàn cũng như đánh giá rủi ro và giải pháp giảm thiểu.

Do đó, kiểm soát nhà cung cấp không nên vận hành tách rời hồ sơ đánh giá tác động. Nếu bên xử lý, hệ thống, luồng dữ liệu hoặc điều kiện xử lý thay đổi mà hồ sơ nội bộ vẫn mô tả mô hình cũ, tổ chức có thể mất khả năng chứng minh rằng rủi ro hiện tại đã được nhận diện và quản lý.

Trường hợp nhà cung cấp làm phát sinh việc lưu trữ hoặc xử lý dữ liệu ở nước ngoài còn phải kiểm tra riêng các quy định về chuyển dữ liệu cá nhân xuyên biên giới. Nghị định 356/2025/NĐ-CP coi việc chuyển dữ liệu thu thập, lưu trữ tại Việt Nam đến máy chủ ở nước ngoài hoặc dịch vụ điện toán đám mây của nhà cung cấp nước ngoài là một trong các trường hợp chuyển dữ liệu xuyên biên giới.

Quy trình sự cố phải buộc bên xử lý báo cho tổ chức đủ sớm để tổ chức thực hiện nghĩa vụ của mình

Kiểm soát bên xử lý đặc biệt quan trọng khi xảy ra vi phạm dữ liệu. Khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân quy định bên xử lý khi phát hiện hành vi vi phạm phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Với các vi phạm thuộc trường hợp luật định có khả năng gây tổn hại, bên kiểm soát, bên kiểm soát và xử lý hoặc bên thứ ba phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện.

Hai mốc trách nhiệm này cho thấy hợp đồng với bên xử lý không nên đơn giản ghi “thông báo khi có sự cố”. Tổ chức cần có cơ chế để bên xử lý chuyển thông tin đủ nhanh và đủ chi tiết, bởi sự chậm trễ của nhà cung cấp có thể trực tiếp làm giảm thời gian mà bên kiểm soát còn lại để đánh giá và thực hiện nghĩa vụ thông báo.

Quy trình nên xác định đầu mối liên hệ, loại sự kiện phải báo ngay, thông tin ban đầu cần cung cấp, cách cập nhật khi điều tra chưa hoàn tất và nghĩa vụ hỗ trợ cô lập, khắc phục, bảo toàn bằng chứng. Khi có nhiều nhà cung cấp trong chuỗi xử lý, luồng thông báo càng cần được xác định trước để tránh tình trạng mỗi bên chờ bên khác xác nhận.

Tổ chức nên kiểm soát bên xử lý theo toàn bộ vòng đời thuê ngoài

Trách nhiệm kiểm soát không nằm ở một bước duy nhất. Một cơ chế phù hợp thường vận hành theo vòng đời: đánh giá nhà cung cấp trước khi giao dữ liệu, xác lập giới hạn trong hợp đồng, bàn giao theo đúng phạm vi, giám sát trong thời gian xử lý, kiểm soát thay đổi, xử lý sự cố và xác nhận việc hoàn trả hoặc xóa, hủy dữ liệu khi quan hệ xử lý kết thúc.

Điểm quan trọng là mỗi bước phải nối với rủi ro thực tế. Với hoạt động xử lý ít dữ liệu và phạm vi hẹp, biện pháp kiểm soát có thể đơn giản hơn. Với dữ liệu nhạy cảm, dữ liệu của số lượng lớn chủ thể, quyền truy cập rộng, xử lý trên hạ tầng đám mây hoặc có luồng dữ liệu xuyên biên giới, việc chỉ dựa vào điều khoản bảo mật tiêu chuẩn khó phản ánh đầy đủ mức rủi ro.

Tổ chức cũng cần phân biệt nghĩa vụ bắt buộc của pháp luật với biện pháp quản trị dùng để chứng minh và duy trì sự tuân thủ. Luật trực tiếp yêu cầu lựa chọn bên xử lý phù hợp, ràng buộc trách nhiệm bằng hợp đồng, áp dụng biện pháp bảo vệ, bảo đảm quyền chủ thể dữ liệu và thực hiện trách nhiệm khi xảy ra vi phạm. Các biện pháp như đánh giá định kỳ nhà cung cấp, yêu cầu chứng cứ kỹ thuật hoặc quyền kiểm tra là cách thực tế để tổ chức duy trì khả năng kiểm soát tương xứng với rủi ro; phạm vi áp dụng nên được thiết kế theo từng quan hệ xử lý cụ thể.

Việc thuê một đơn vị khác xử lý dữ liệu cá nhân không làm bên kiểm soát mất trách nhiệm đối với hoạt động xử lý mà mình quyết định. Tổ chức cần xác định đúng vai trò của nhà cung cấp, lựa chọn bên xử lý phù hợp, giới hạn hoạt động bằng hợp đồng, duy trì biện pháp quản lý và kỹ thuật, giám sát các thay đổi, quản lý hồ sơ đánh giá tác động và thiết lập cơ chế báo cáo sự cố đủ nhanh. Trọng tâm của trách nhiệm kiểm soát bên xử lý dữ liệu không phải là giám sát nhà cung cấp ở mọi thao tác, mà là bảo đảm toàn bộ hoạt động được thuê vẫn nằm trong mục đích, phạm vi, điều kiện bảo vệ và trách nhiệm mà pháp luật cho phép.