Doanh nghiệp có thể giao dữ liệu khách hàng cho hàng chục nhà cung cấp: CRM, payroll, hạ tầng cloud, marketing agency hay đơn vị vận chuyển. Khi một vendor làm lộ dữ liệu hoặc xử lý sai mục đích, trách nhiệm pháp lý trước pháp luật và khách hàng vẫn gắn liền với doanh nghiệp kiểm soát dữ liệu. Vì vậy, trước khi ký hợp đồng dịch vụ, doanh nghiệp cần xác định chính xác vendor xử lý dữ liệu gì, lưu trữ ở đâu, có chuyển dữ liệu ra nước ngoài hay không và ràng buộc trách nhiệm bồi thường thông qua Phụ lục DPA chuyên biệt.
1. Vì sao Vendor là mắt xích yếu nhất gây rò rỉ dữ liệu?#
Trong kỷ nguyên chuyển đổi số, các doanh nghiệp thường xuyên chia sẻ dữ liệu cá nhân cho các nhà cung cấp bên thứ ba (Vendor) như: Agency quảng cáo, dịch vụ Cloud Hosting, công ty tính lương, nhà phát triển phần mềm CRM/HRM, đơn vị vận chuyển logistics hay trung tâm dữ liệu.
Tuy nhiên, khảo sát an toàn thông tin toàn cầu cho thấy hơn 60% các vụ rò rỉ dữ liệu cá nhân nghiêm trọng bắt nguồn từ lỗ hổng bảo mật của các Vendor thuê ngoài.
Theo Luật PDPD 91/2025/QH15, Bên Kiểm soát dữ liệu (doanh nghiệp) phải chịu trách nhiệm pháp lý chính trước pháp luật và khách hàng nếu Vendor bên thứ ba làm lộ rò rỉ dữ liệu. Do đó, Quản lý Rủi ro Bên thứ ba (Third-Party Risk Management - TPRM) là quy trình an ninh mạng bắt buộc.
2. Bước 1: Kiểm kê và phân loại cấp độ rủi ro Vendor#
Bước 1 trong quy trình TPRM là Phân loại cấp độ rủi ro của toàn bộ danh mục Vendor. Doanh nghiệp cần lập danh sách đầy đủ tất cả các đối tác bên thứ ba có tiếp xúc với dữ liệu cá nhân và xếp vào 3 nhóm:
Nhóm Rủi ro Cao: Các Vendor trực tiếp xử lý dữ liệu nhạy cảm hoặc lưu trữ khối lượng lớn dữ liệu (>10.000 bản ghi), ví dụ: Nhà cung cấp Cloud AWS/Azure, Phần mềm quản trị nhân sự HRM, Công ty tính lương, Ngân hàng trung gian thanh toán.
Nhóm Rủi ro Trung bình: Các Vendor tiếp xúc dữ liệu cơ bản không thường xuyên, ví dụ: Agency tổ chức sự kiện, nhà in ấn tài liệu, đơn vị bảo trì phần cứng.
Nhóm Rủi ro Thấp: Các nhà cung cấp văn phòng phẩm, thiết bị văn phòng không tiếp xúc dữ liệu cá nhân.
3. Bước 2: Phát hành Bảng khảo sát an toàn thông tin (TPRM Questionnaire)#
Bước 2 là Phát hành Bảng hỏi khảo sát an toàn thông tin (TPRM Questionnaire) cho các Vendor thuộc nhóm rủi ro cao và trung bình. Bảng hỏi tập trung rà soát các tiêu chí kỹ thuật và pháp lý:
- Vendor có sở hữu các chứng chỉ an toàn thông tin uy tín như ISO/IEC 27001, SOC 2 Type II không?
- Vị trí máy chủ lưu trữ dữ liệu đặt tại quốc gia nào? Có phát sinh hoạt động chuyển dữ liệu ra nước ngoài không?
- Quy trình mã hóa dữ liệu tại chỗ (at rest) và trên đường truyền (in transit) được thiết lập như thế nào?
- Cam kết thời gian thông báo sự cố rò rỉ dữ liệu cho doanh nghiệp trong vòng 24 đến 48 giờ để kịp thời báo cáo Cục A05 trong hạn 72 giờ theo quy định.
4. Bước 3: Đàm phán và ký Phụ lục hợp đồng Bảo vệ Dữ liệu (DPA)#
Bước 3 là Đàm phán và ký Phụ lục hợp đồng Bảo vệ Dữ liệu (Data Processing Agreement - DPA). Đây là văn bản pháp lý bắt buộc ràng buộc trách nhiệm của Vendor:
- Vendor chỉ được phép xử lý dữ liệu theo đúng chỉ thị bằng văn bản của doanh nghiệp, không được khai thác dữ liệu cho mục đích riêng.
- Tuyệt đối cấm Vendor chia sẻ dữ liệu cho bên thứ tư (Sub-processor) nếu chưa có sự đồng ý trước bằng văn bản của doanh nghiệp.
- Vendor có nghĩa vụ hỗ trợ doanh nghiệp đáp ứng các yêu cầu tra cứu, chỉnh sửa hoặc xóa dữ liệu từ phía chủ thể dữ liệu.
- Ràng buộc điều khoản bồi thường toàn bộ chi phí xử phạt hành chính, chi phí khắc phục sự cố và thiệt hại nếu rò rỉ dữ liệu xuất phát từ phía lỗi của Vendor.
5. Bước 4: Giám sát liên tục và Thanh lý dữ liệu an toàn#
Bước 4 là Giám sát liên tục và Thanh lý dữ liệu an toàn.
Doanh nghiệp phải duy trì hoạt động đánh giá tuân thủ an toàn thông tin của Vendor định kỳ hàng năm hoặc khi Vendor có sự thay đổi lớn về kiến trúc hạ tầng IT.
Đặc biệt, khi chấm dứt hoặc thanh lý hợp đồng dịch vụ, doanh nghiệp bắt buộc phải yêu cầu Vendor phát hành Biên bản xác nhận đã tiêu hủy vĩnh viễn hoặc hoàn trả toàn bộ tệp dữ liệu cá nhân, không giữ lại bất kỳ bản sao lưu nào trên hệ thống máy chủ của Vendor.
6. Căn cứ pháp lý áp dụng và Trách nhiệm chứng minh tuân thủ#
Cơ sở pháp lý điều chỉnh trực tiếp đối với Đánh Giá Rủi Ro Bảo Vệ Dữ Liệu Cá Nhân Của Vendor bao gồm các quy định tại Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, Nghị định số 356/2025/NĐ-CP và các quy định xử phạt vi phạm hành chính có liên quan. trong hầu hết các trường hợp xử lý xảy ra khiếu nại hoặc thanh tra đột xuất, doanh nghiệp (Bên Kiểm soát dữ liệu hoặc Bên Kiểm soát và Xử lý dữ liệu) luôn có **nghĩa vụ chứng minh (Burden of proof)** rằng mình đã thực hiện đầy đủ các biện pháp kỹ thuật và tổ chức cần thiết.
Việc không lưu giữ nhật ký bản ghi sự đồng ý (Consent Log), không có hồ sơ Đánh giá tác động (DPIA) hoặc không ký Phụ lục hợp đồng DPA với các bên thứ ba sẽ tự động bị xem là hành vi không tuân thủ và chịu chế tài xử phạt theo quy định.
7. Tổng kết và Khuyến nghị cho Ban Lãnh Đạo Doanh Nghiệp#
Quản trị rủi ro Vendor là một quá trình giám sát liên tục trong suốt vòng đời hợp tác chứ không chỉ dừng lại ở thời điểm ký kết. Doanh nghiệp cần chủ động rà soát định kỳ danh mục nhà thầu phụ, thiết lập các chỉ số SLA về an toàn thông tin và sẵn sàng kích hoạt quy trình thu hồi/tiêu hủy dữ liệu ngay khi chấm dứt hợp đồng dịch vụ.