Xác định sai vai trò là sai từ gốc: nghĩa vụ lập hồ sơ, nghĩa vụ thông báo vi phạm và trách nhiệm bồi thường đều gắn với vai trò chứ không gắn với quy mô doanh nghiệp.
Đây là câu hỏi tưởng dễ nhưng trả lời sai thì mọi việc phía sau đều lệch. Nghĩa vụ trong Luật Bảo vệ dữ liệu cá nhân không phân theo doanh nghiệp lớn hay nhỏ, mà phân theo vai trò trong từng hoạt động xử lý dữ liệu.
Bốn vai trò được định nghĩa
Điều 2 Luật 91/2025/QH15 định nghĩa rõ:
- Bên kiểm soát dữ liệu cá nhân là bên quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
- Bên xử lý dữ liệu cá nhân là bên thực hiện việc xử lý theo yêu cầu của bên kiểm soát, hoặc của bên kiểm soát và xử lý, thông qua hợp đồng.
- Bên kiểm soát và xử lý dữ liệu cá nhân là bên vừa quyết định mục đích, phương tiện, vừa trực tiếp xử lý dữ liệu.
- Bên thứ ba là tổ chức, cá nhân ngoài ba nhóm trên và ngoài chủ thể dữ liệu, có tham gia vào việc xử lý theo quy định của pháp luật.
Câu hỏi để tự xác định
Chỉ cần hỏi: ai quyết định vì sao thu thập dữ liệu này và thu bằng cách nào? Bên trả lời được câu đó là bên kiểm soát. Bên chỉ làm theo yêu cầu, không tự quyết mục đích, là bên xử lý.
Ví dụ thường gặp
Một công ty bán lẻ thu thập thông tin khách hàng để giao hàng và chăm sóc sau bán. Công ty quyết định thu gì, dùng vào việc gì, lưu ở đâu — nên là bên kiểm soát. Nếu công ty tự vận hành hệ thống và trực tiếp thao tác trên dữ liệu thì trên thực tế rơi vào nhóm bên kiểm soát và xử lý.
Đơn vị vận chuyển nhận danh sách địa chỉ để giao hàng thì làm theo yêu cầu, không tự đặt ra mục đích mới — là bên xử lý. Nhưng nếu đơn vị đó lấy chính danh sách ấy để gửi quảng cáo dịch vụ của họ, họ đã tự quyết định một mục đích mới, và với hoạt động đó họ trở thành bên kiểm soát, kèm theo toàn bộ nghĩa vụ tương ứng.
Nhà cung cấp phần mềm quản lý bán hàng lưu dữ liệu khách của bạn trên hệ thống của họ cũng là bên xử lý, chừng nào họ chỉ chạy theo cấu hình bạn đặt ra.
Vì sao vai trò quyết định nghĩa vụ
Điều 37 Luật 91/2025/QH15 quy định trách nhiệm của bên kiểm soát, bên xử lý, bên kiểm soát và xử lý dữ liệu cá nhân. Sự phân vai này chạy xuyên suốt cả đạo luật: khi nói đến việc lập và gửi hồ sơ đánh giá tác động, đến việc tiếp nhận yêu cầu rút lại đồng ý của chủ thể dữ liệu, đến việc thông báo khi có vi phạm — mỗi nghĩa vụ đều gắn với một vai trò cụ thể.
Một doanh nghiệp có thể mang nhiều vai
Đây là điểm hay bị bỏ qua. Vai trò gắn với từng hoạt động xử lý, không gắn với pháp nhân. Cùng một công ty có thể là bên kiểm soát với dữ liệu khách hàng của mình, đồng thời là bên xử lý với dữ liệu mà đối tác thuê mình gia công. Vì vậy khi rà soát, hãy liệt kê theo luồng dữ liệu chứ đừng liệt kê theo công ty.
Việc nên làm
Lập một bảng ba cột: luồng dữ liệu, ai quyết định mục đích, vai trò của công ty mình trong luồng đó. Làm xong bảng này, bạn sẽ biết chính xác nghĩa vụ nào thuộc về mình và nghĩa vụ nào cần ràng buộc vào hợp đồng với đối tác. Với những luồng mà bên kia là bên xử lý, hợp đồng cần ghi rõ phạm vi xử lý, thời hạn lưu trữ và nghĩa vụ xóa dữ liệu khi kết thúc — vì Điều 2 xác định quan hệ đó được thiết lập thông qua hợp đồng.
Đọc thêm cùng chủ đề
- Bên kiểm soát dữ liệu có những trách nhiệm gì?
- Xử lý dữ liệu cá nhân gồm những hoạt động nào?
- Dữ liệu cá nhân cơ bản gồm những thông tin nào?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 2
- Luật 91/2025/QH15 Điều 37
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.