Hợp đồng xử lý dữ liệu (DPA) là gì? Các điều khoản bắt buộc theo luật

Hợp đồng xử lý dữ liệu DPA là gì và vì sao bắt buộc phải ký kết?

Hợp đồng xử lý dữ liệu DPA là công cụ pháp lý then chốt giúp doanh nghiệp kiểm soát rủi ro từ chuỗi cung ứng công nghệ. Trong nền kinh tế số hiện đại, hầu hết các doanh nghiệp đều không tự mình thực hiện toàn bộ các công đoạn xử lý thông tin mà phải dựa vào chuỗi cung ứng dịch vụ thuê ngoài: từ nền tảng điện toán đám mây (AWS, Microsoft Azure, Google Cloud), giải pháp phần mềm quản trị quan hệ khách hàng (Salesforce, HubSpot), phần mềm chấm công tính lương, đến các đối tác vận chuyển giao hàng (3PL) hay công ty quảng cáo trực tuyến. Trong tất cả các giao dịch này, một lượng khổng lồ thông tin của khách hàng và nhân viên được chuyển giao cho các nhà cung cấp dịch vụ bên ngoài.

Nhằm thiết lập hành lang pháp lý ngăn chặn tình trạng thất thoát và lạm dụng dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã chính thức luật hóa khái niệm và nghĩa vụ xác lập Hợp đồng xử lý dữ liệu (Data Processing Agreement - DPA) thông qua quy định tại Khoản 8 Điều 2 và Điều 37. Hợp đồng DPA là văn bản pháp lý mang tính nền tảng, ràng buộc trách nhiệm của các bên và là bằng chứng quan trọng nhất để chứng minh sự tuân thủ khi Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05 - Bộ Công an) thanh tra.

1. Phân định vai trò pháp lý giữa Bên Kiểm soát và Bên Xử lý dữ liệu

Để xây dựng một bản DPA chuẩn xác, trước hết các bên phải xác định đúng tư cách pháp lý của mình theo Điều 2 Luật 91/2025/QH15:

• Bên kiểm soát dữ liệu cá nhân (Data Controller - Khoản 7 Điều 2): Là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân. Ví dụ: Doanh nghiệp bán lẻ thu thập thông tin người mua hàng để giao dịch chính là Bên kiểm soát. Bên kiểm soát là người chịu trách nhiệm trước pháp luật về tính hợp pháp của việc thu thập Consent và bảo vệ quyền của chủ thể dữ liệu.
• Bên xử lý dữ liệu cá nhân (Data Processor - Khoản 8 Điều 2): Là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân thay mặt cho Bên kiểm soát dữ liệu cá nhân, thông qua hợp đồng hoặc thỏa thuận bằng văn bản. Ví dụ: Công ty cung cấp phần mềm SaaS lưu trữ cơ sở dữ liệu khách hàng, công ty dịch vụ tính lương hoặc đơn vị giao nhận hàng hóa.
• Mối quan hệ ủy quyền có điều kiện: Bên xử lý dữ liệu không có quyền sở hữu dữ liệu và không được tự ý khai thác dữ liệu cho bất kỳ mục đích nào ngoài phạm vi chỉ thị của Bên kiểm soát.

2. Tám nhóm điều khoản cốt lõi của Hợp đồng DPA

Căn cứ Điều 37 Luật 91/2025/QH15, thỏa thuận, hợp đồng xử lý dữ liệu bắt buộc phải nêu rõ trách nhiệm, quyền và nghĩa vụ của các bên trong xử lý dữ liệu cá nhân (Điểm a Khoản 1), và Bên xử lý chỉ được tiếp nhận, xử lý dữ liệu trong phạm vi thỏa thuận đó (Khoản 2). Để cụ thể hóa yêu cầu này và tham chiếu thông lệ quốc tế (Điều 28 GDPR), doanh nghiệp nên chuẩn hóa 8 nhóm điều khoản sau (các điều khoản đánh dấu * là yêu cầu trực tiếp từ Luật 91/2025):

1. Phạm vi, bản chất và mục đích xử lý dữ liệu*: Liệt kê chi tiết các hoạt động xử lý được phép thực hiện (thu thập, ghi âm, lưu trữ, trích xuất, phân tích), đối tượng chủ thể dữ liệu (khách hàng, người dùng ứng dụng, người lao động) và danh mục các trường dữ liệu (cơ bản hay nhạy cảm).
2. Nghĩa vụ tuân thủ chỉ thị bằng văn bản*: Bên xử lý dữ liệu cam kết chỉ xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với Bên kiểm soát, trừ trường hợp pháp luật có quy định bắt buộc khác.
3. Biện pháp an toàn kỹ thuật và tổ chức*: Cam kết thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo Luật 91 và pháp luật liên quan, bao gồm mã hóa dữ liệu đường truyền và dữ liệu lưu trữ (Encryption in transit & at rest), xác thực đa yếu tố (MFA), kiểm soát truy cập theo vai trò (RBAC) và lưu vết nhật ký hệ thống (Audit Logs).
4. Điều khoản về Bên xử lý phụ (Sub-processor) — khuyến nghị: Bên xử lý dữ liệu không được tự ý chuyển giao dữ liệu hoặc thuê nhà thầu phụ (ví dụ: thuê tiếp nhà cung cấp hạ tầng máy chủ khác) nếu không có sự chấp thuận trước bằng văn bản của Bên kiểm soát; Bên xử lý chính chịu trách nhiệm về hành vi của các nhà thầu phụ theo thỏa thuận.
5. Nghĩa vụ hỗ trợ thực hiện quyền của chủ thể dữ liệu: Khi cá nhân gửi yêu cầu tra cứu, chỉnh sửa, rút lại sự đồng ý hoặc xóa dữ liệu theo Điều 4 và các điều khoản tương ứng của Luật 91, Bên xử lý dữ liệu có trách nhiệm cung cấp công cụ kỹ thuật và phối hợp với Bên kiểm soát trong thời hạn luật định.
6. Quy trình phản ứng sự cố vi phạm dữ liệu (Data Breach): Bên kiểm soát có nghĩa vụ thông báo vi phạm theo Điều 23 Luật 91 (thời hạn 72 giờ). Hai bên nên thỏa thuận rõ thời hạn Bên xử lý phải thông báo sự cố cho Bên kiểm soát (thực hành phổ biến: 24–48 giờ) để kịp hoàn tất thủ tục với Cục A05.
7. Quyền kiểm tra, đánh giá (Audit Rights) — khuyến nghị: Bên kiểm soát có quyền định kỳ tự mình hoặc ủy quyền cho đơn vị kiểm toán độc lập tiến hành kiểm tra cơ sở hạ tầng CNTT và quy trình vận hành của Bên xử lý dữ liệu.
8. Xử lý dữ liệu khi chấm dứt hợp đồng — khuyến nghị: Khi thỏa thuận dịch vụ kết thúc, Bên xử lý dữ liệu hoàn trả toàn bộ dữ liệu cá nhân cho Bên kiểm soát hoặc tiêu hủy an toàn vĩnh viễn và cung cấp Biên bản xác nhận hủy dữ liệu theo thỏa thuận.