Phân biệt Bên kiểm soát và Bên xử lý dữ liệu theo Luật 91/2025/QH15

Bên kiểm soát và Bên xử lý dữ liệu là gì? Tiêu chí phân biệt chuẩn

Trong mọi dự án tuân thủ PDPD, bên kiểm soát và bên xử lý dữ liệu là hai vai trò pháp lý trọng yếu cần phân định rành mạch ngay từ đầu. Một doanh nghiệp có thể đóng vai trò là Bên kiểm soát (Data Controller) đối với dữ liệu khách hàng và nhân sự của chính mình, nhưng đồng thời là Bên xử lý (Data Processor) khi cung cấp dịch vụ phần mềm cho khách hàng doanh nghiệp khác.

Khi nhiều phòng ban và nhà cung cấp cùng tham gia xử lý, doanh nghiệp có thể sử dụng DPO thuê ngoài để hỗ trợ phối hợp và giám sát tuân thủ. Vai trò hỗ trợ này không tự chuyển trách nhiệm của bên kiểm soát hoặc bên xử lý sang đơn vị cung cấp dịch vụ.

So sánh trách nhiệm của bên kiểm soát và bên xử lý dữ liệu

Bốn vai trò pháp lý tại Điều 2 Luật 91/2025

Luật Bảo vệ dữ liệu cá nhân phân biệt bốn nhóm chủ thể tham gia xử lý dữ liệu tại Khoản 7 đến Khoản 10 Điều 2. Mỗi vai trò gắn với một nhóm nghĩa vụ khác nhau tại Điều 37, nên cách gọi tên đúng ngay từ đầu là rất quan trọng.

• Bên kiểm soát dữ liệu cá nhân (Khoản 7): cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• Bên xử lý dữ liệu cá nhân (Khoản 8): cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý thông qua hợp đồng. Hợp đồng là một phần của định nghĩa, không phải thủ tục tùy chọn.
• Bên kiểm soát và xử lý dữ liệu cá nhân (Khoản 9): cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân. Phần lớn doanh nghiệp tự quản lý dữ liệu khách hàng, nhân sự bằng hệ thống của mình thuộc nhóm này.
• Bên thứ ba (Khoản 10): tổ chức, cá nhân ngoài chủ thể dữ liệu, bên kiểm soát, bên kiểm soát và xử lý, bên xử lý, tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật.

Doanh nghiệp FDI cần lưu ý: GDPR của châu Âu không có vai trò "bên kiểm soát và xử lý" riêng, còn Luật 91 lại không có nhóm "đồng kiểm soát" (joint controllers). Khi hai công ty cùng quyết định mục đích xử lý, mỗi bên nên được xác định là bên kiểm soát hoặc bên kiểm soát và xử lý, và phân chia trách nhiệm cụ thể trong thỏa thuận giữa hai bên (điểm a Khoản 1 Điều 37).

Cách xác định bên kiểm soát và bên xử lý dữ liệu: 4 câu hỏi kiểm tra

Luật đưa ra định nghĩa nhưng không có quy trình xác định từng bước. Trong thực tế tư vấn, LexData dùng bốn câu hỏi bám theo câu chữ của Điều 2. Doanh nghiệp nên ghi lại câu trả lời cho từng nhà cung cấp để giải trình khi Cục A05 (Bộ Công an) yêu cầu.

1. Ai quyết định vì sao dữ liệu được xử lý? Bên đặt ra mục đích, như tính lương, chăm sóc khách hàng hay chấm điểm tín dụng, là bên kiểm soát hoặc bên kiểm soát và xử lý.
2. Ai quyết định những phương tiện cốt lõi? Gồm thu thập trường dữ liệu nào, của ai, lưu bao lâu và chia sẻ cho ai. Nhà cung cấp có thể tự chọn phần cứng, phần mềm mà vẫn là bên xử lý, nhưng không được tự quyết những yếu tố cốt lõi này.
3. Nhà cung cấp có dùng dữ liệu cho mục đích riêng không? Điều khoản cho phép "cải thiện dịch vụ", phân tích so sánh, quảng cáo hay huấn luyện AI trên dữ liệu của khách hàng thường biến nhà cung cấp thành bên kiểm soát đối với mục đích đó.
4. Có hợp đồng xử lý thay không? Theo Khoản 8 Điều 2, tư cách bên xử lý dựa trên hợp đồng. Chưa có DPA thì nhà cung cấp chưa được tiếp nhận dữ liệu (điểm a Khoản 2 Điều 37).

Ví dụ theo ngành có tại các trang bảo vệ dữ liệu cá nhân ngành ngân hàng, ngành bảo hiểm và ngành sản xuất.

Nghĩa vụ của bên kiểm soát và bên xử lý dữ liệu theo Điều 37

Bên kiểm soát (Khoản 1 Điều 37) phải:

• nêu rõ trách nhiệm, quyền và nghĩa vụ của các bên trong thỏa thuận, hợp đồng liên quan đến xử lý dữ liệu (điểm a);
• quyết định mục đích, phương tiện xử lý tại văn bản, thỏa thuận với chủ thể dữ liệu (điểm b);
• áp dụng biện pháp quản lý, kỹ thuật phù hợp, rà soát và cập nhật khi cần (điểm c);
• thông báo hành vi vi phạm theo Điều 23, gồm quy tắc 72 giờ khi thuộc diện áp dụng (điểm d);
• lựa chọn bên xử lý phù hợp (điểm đ);
• bảo đảm quyền của chủ thể dữ liệu theo Điều 4 (điểm e);
• chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý gây ra (điểm g);
• ngăn chặn thu thập dữ liệu trái phép từ hệ thống, thiết bị, dịch vụ của mình và phối hợp với Bộ Công an (điểm h, i).

Bên xử lý (Khoản 2 Điều 37) phải:

• chỉ tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng xử lý dữ liệu (điểm a);
• xử lý đúng thỏa thuận, hợp đồng đã ký (điểm b);
• thực hiện đầy đủ biện pháp bảo vệ dữ liệu theo quy định (điểm c);
• chịu trách nhiệm trước bên kiểm soát về thiệt hại do quá trình xử lý gây ra (điểm d);
• ngăn chặn thu thập trái phép và phối hợp với cơ quan có thẩm quyền (điểm đ, e).

Ngoài ra, bên xử lý phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát (Khoản 1 Điều 23) và lập, lưu trữ hồ sơ DPIA theo thỏa thuận (Khoản 3 Điều 21). Bên kiểm soát và xử lý phải thực hiện đầy đủ cả Khoản 1 và Khoản 2 Điều 37 (Khoản 3 Điều 37). Nếu nhà cung cấp kinh doanh một trong 9 loại dịch vụ xử lý dữ liệu cá nhân tại Điều 21 Nghị định 356/2025/NĐ-CP, họ còn phải có Giấy chứng nhận đủ điều kiện kinh doanh do Bộ Công an cấp.

Trách nhiệm bồi thường và mức phạt khi xác định sai vai trò

Về dân sự, bên kiểm soát chịu trách nhiệm trước chủ thể dữ liệu, còn bên xử lý chịu trách nhiệm trước bên kiểm soát (điểm g Khoản 1 và điểm d Khoản 2 Điều 37). Không có hợp đồng xử lý dữ liệu (DPA) rõ ràng, bên kiểm soát sẽ khó đòi lại khoản đã bồi thường từ nhà cung cấp có lỗi.

Về hành chính, Nghị định 330/2026/NĐ-CP có các chế tài gắn với từng vai trò, ví dụ mức phạt đối với tổ chức:

• Bên xử lý, bên thứ ba không thực hiện đúng thời hạn bên kiểm soát yêu cầu để đáp ứng quyền của chủ thể dữ liệu: 20–30 triệu đồng (Khoản 2 Điều 44).
• Bên xử lý phát hiện vi phạm nhưng không thông báo kịp thời cho bên kiểm soát: 10–20 triệu đồng (Khoản 1 Điều 54).
• Chuyển giao dữ liệu có thu phí mà không xác định rõ vai trò bên kiểm soát, bên xử lý, bên thứ ba: 30–50 triệu đồng (Khoản 2 Điều 52).
• Bên xử lý không xóa hoặc trả lại toàn bộ dữ liệu cho bên kiểm soát sau khi kết thúc hợp đồng, thỏa thuận xử lý: 30–50 triệu đồng (điểm c Khoản 2 Điều 51).

Xem toàn bộ khung phạt tại cẩm nang mức phạt vi phạm dữ liệu cá nhân.

Checklist phân định bên kiểm soát và bên xử lý dữ liệu

1. Ghi vai trò cho từng hoạt động trong sổ ghi hoạt động xử lý (RoPA), vì một công ty có thể giữ nhiều vai trò với các nhóm dữ liệu khác nhau.
2. Áp dụng 4 câu hỏi cho từng nhà cung cấp, đơn vị trong tập đoàn và lưu lại lý do ngắn gọn.
3. Ký DPA trước khi bàn giao dữ liệu, giới hạn rõ mục đích, biện pháp bảo mật, bên xử lý phụ và việc xóa dữ liệu khi kết thúc hợp đồng. Tham khảo phụ lục DPA với nhà cung cấp SaaS quốc tế.
4. Loại bỏ hoặc giới hạn điều khoản "sử dụng cho mục đích riêng" trong hợp đồng mẫu của nhà cung cấp.
5. Kiểm tra nơi bên xử lý hoạt động. Bên xử lý lưu trữ hoặc truy cập dữ liệu từ nước ngoài làm phát sinh nghĩa vụ theo Điều 20.
6. Thống nhất thời hạn báo sự cố để thông báo của bên xử lý đến đủ sớm, bảo đảm hạn 72 giờ.
7. Rà soát lại vai trò khi dịch vụ thay đổi, chẳng hạn nhà cung cấp bổ sung tính năng AI hoặc bên xử lý phụ mới.

Ba lỗ hổng LexData thường gặp trong hợp đồng với nhà cung cấp: điều khoản mẫu cho phép dùng dữ liệu khách hàng "để cải thiện dịch vụ", luồng dữ liệu nội bộ tập đoàn không có thỏa thuận nào, và giả định rằng nhà cung cấp sẽ lo luôn việc nộp hồ sơ DPIA thay cho khách hàng. Theo Luật 91, cả ba đều khiến bên kiểm soát gánh rủi ro.