Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, bên kiểm soát dữ liệu có những trách nhiệm gì?

12/07/2026
6 lượt xem
0 bình luận

Mười nhóm trách nhiệm cho bên kiểm soát, trong đó có một điểm nặng: chịu trách nhiệm trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý gây ra.

Điều 37 Luật 91/2025/QH15 là điều tổng hợp trách nhiệm theo từng vai. Đây cũng là điều nên dùng làm danh sách kiểm tra cuối cùng khi rà soát mức độ tuân thủ.

Mười trách nhiệm của bên kiểm soát dữ liệu cá nhân

Khoản 1 Điều 37 quy định bên kiểm soát dữ liệu cá nhân có trách nhiệm:

Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân;
Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu, bảo đảm đúng nguyên tắc và nội dung theo quy định của Luật;
Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân, rà soát và cập nhật các biện pháp này khi cần thiết;
Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo Điều 23 của Luật;
Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân;
Bảo đảm các quyền của chủ thể dữ liệu cá nhân theo Điều 4 của Luật;
Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm;
Thực hiện các trách nhiệm khác theo quy định của Luật và quy định khác của pháp luật có liên quan.

Trách nhiệm về thiệt hại là điểm nặng nhất

Điểm g khoản 1 đặt trách nhiệm trước chủ thể dữ liệu lên bên kiểm soát, không phân biệt thiệt hại phát sinh ở khâu nào. Nếu sự cố xảy ra tại hệ thống của nhà cung cấp, người dùng vẫn có thể yêu cầu bên kiểm soát chịu trách nhiệm.

Điều này liên hệ trực tiếp với điểm đ về việc lựa chọn bên xử lý phù hợp: chọn nhầm đối tác không chỉ là rủi ro vận hành mà còn là rủi ro pháp lý thuộc về chính bên kiểm soát. Cơ chế bảo vệ duy nhất là thẩm định đối tác kỹ và ràng buộc trách nhiệm bằng hợp đồng.

Ngăn chặn thu thập trái phép từ hệ thống của mình

Điểm h là nghĩa vụ mang tính kỹ thuật. Trong thực tế, đây là việc kiểm soát các mã của bên thứ ba nhúng vào website và ứng dụng — thư viện quảng cáo, công cụ đo lường, tiện ích chat — vốn có thể tự thu thập dữ liệu người dùng cho mục đích riêng của nhà cung cấp.

Trách nhiệm của bên xử lý dữ liệu cá nhân

Khoản 2 Điều 37 quy định bên xử lý dữ liệu cá nhân:

Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng đã ký kết;
Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định của Luật.

Điểm a có ý nghĩa thực tế rõ: nhà cung cấp dịch vụ không được nhận dữ liệu trước rồi ký hợp đồng sau. Thứ tự này thường bị đảo ngược trong các dự án triển khai gấp.

Cách dùng Điều 37 làm bảng kiểm

Với mỗi trách nhiệm, hãy trả lời bằng một tài liệu cụ thể:

Hợp đồng và phụ lục có điều khoản về xử lý dữ liệu cá nhân;
Bản mô tả mục đích và phương tiện xử lý cho từng luồng dữ liệu;
Danh mục biện pháp kỹ thuật đang áp dụng và ngày rà soát gần nhất;
Quy trình thông báo vi phạm, có mẫu sẵn theo Điều 28 Nghị định 356/2025/NĐ-CP;
Hồ sơ thẩm định nhà cung cấp;
Quy trình và sổ theo dõi yêu cầu của chủ thể dữ liệu;
Danh sách mã của bên thứ ba đang chạy trên hệ thống và quyền của từng mã.

Bảy tài liệu này cũng chính là phần lớn nội dung của bộ hồ sơ đánh giá tác động, nên xây dựng chúng không phải công việc thừa.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 37
Luật 91/2025/QH15 Điều 2
Luật 91/2025/QH15 Điều 23

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.