Khi doanh nghiệp thuê đối tác làm marketing, IT, kế toán hay chăm sóc khách hàng, các đối tác đó thường được tiếp cận dữ liệu cá nhân khách hàng của bạn. Theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, mối quan hệ này cần được ràng buộc bằng thỏa thuận xử lý dữ liệu bằng văn bản.
Bên kiểm soát và bên xử lý dữ liệu
Luật phân biệt bên kiểm soát dữ liệu (bên quyết định mục đích và phương tiện xử lý — ví dụ doanh nghiệp thu thập thông tin khách hàng) và bên xử lý dữ liệu (bên xử lý dữ liệu thay mặt bên kiểm soát — ví dụ đối tác IT, agency). Trách nhiệm pháp lý gắn với từng vai trò.
Điều khoản cốt lõi của thỏa thuận
Nghị định 356/2025 yêu cầu lập thỏa thuận chuyển/xử lý dữ liệu bằng văn bản với nội dung tối thiểu gồm: mục đích; loại dữ liệu; thời hạn; căn cứ pháp lý; trách nhiệm bảo vệ dữ liệu; việc thực hiện quyền của chủ thể dữ liệu; và cơ chế phối hợp khi xảy ra vi phạm.
Với dữ liệu nhạy cảm, cần thêm biện pháp bảo mật vật lý, mã hóa hoặc ẩn danh dữ liệu.
Rủi ro khi thiếu thỏa thuận
Khi đối tác làm lộ dữ liệu mà hợp đồng không ràng buộc trách nhiệm, doanh nghiệp (với vai trò bên kiểm soát) vẫn có thể chịu trách nhiệm. Vì vậy điều khoản bảo vệ dữ liệu trong hợp đồng với đối tác là tuyến phòng thủ quan trọng.
Câu hỏi thường gặp
Thuê dịch vụ marketing/IT có cần ký thỏa thuận xử lý dữ liệu không?
Có. Khi đối tác được tiếp cận dữ liệu cá nhân khách hàng, cần thỏa thuận bằng văn bản với các nội dung tối thiểu theo Nghị định 356/2025.
DPA khác hợp đồng dịch vụ thông thường thế nào?
DPA tập trung ràng buộc trách nhiệm bảo vệ dữ liệu, quyền chủ thể dữ liệu và xử lý sự cố — những nội dung hợp đồng dịch vụ thông thường thường thiếu.
Soft Space Việt Nam rà soát hợp đồng và soạn điều khoản bảo vệ dữ liệu (DPA) với đối tác. Liên hệ tư vấn.
Đây là thông tin tham khảo. Nếu phát hiện sai sót, vui lòng liên hệ để chúng tôi cập nhật.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.