Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, bên thứ ba trong xử lý dữ liệu cá nhân là ai?

18/07/2026
5 lượt xem
0 bình luận

Định nghĩa theo phương pháp loại trừ: là bên nằm ngoài bốn vai còn lại nhưng vẫn tham gia vào việc xử lý dữ liệu theo quy định của pháp luật.

Trong bốn vai trò mà Luật định nghĩa, bên thứ ba là vai khó nắm nhất — nhưng lại xuất hiện ở nhiều nghĩa vụ quan trọng.

Định nghĩa

Khoản 10 Điều 2 Luật 91/2025/QH15 quy định: bên thứ ba là tổ chức, cá nhân ngoài chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật.

Đây là định nghĩa loại trừ

Bên thứ ba được xác định bằng cách loại bỏ bốn vai còn lại. Điều kiện còn lại là có tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật.

Phân biệt với bên xử lý dữ liệu cá nhân: khoản 8 Điều 2 định nghĩa bên xử lý là bên thực hiện việc xử lý theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý, thông qua hợp đồng. Bên thứ ba không nằm trong quan hệ hợp đồng ủy nhiệm đó.

Bên thứ ba xuất hiện ở đâu trong Luật

Rà qua toàn văn, bên thứ ba được nhắc tới ở nhiều nghĩa vụ:

Điều 17 — điểm d khoản 1 cho phép bên kiểm soát, bên kiểm soát và xử lý chuyển giao dữ liệu cho bên xử lý, bên thứ ba để xử lý theo quy định;
Điều 13 — khoản 2 yêu cầu bên kiểm soát yêu cầu bên xử lý, bên thứ ba chỉnh sửa dữ liệu cá nhân của chủ thể dữ liệu;
Điều 14 — khoản 3 tương tự với việc xóa, hủy;
Điều 19 — điểm a khoản 1 đặt nghĩa vụ chứng minh lên cả bên thứ ba;
Điều 23 — khoản 1 quy định bên thứ ba phát hiện vi phạm cũng phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ.

Nghĩa vụ thông báo là điểm đáng chú ý nhất

Khoản 1 Điều 23 đặt bên thứ ba ngang hàng với bên kiểm soát và bên kiểm soát và xử lý về nghĩa vụ thông báo vi phạm. Đây là nghĩa vụ trực tiếp, không qua trung gian.

Trong Nghị định

Điều 5 Nghị định 356/2025/NĐ-CP nhắc tới bên thứ ba trong mốc 20 ngày: trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba ngừng xử lý dữ liệu cá nhân của chủ thể dữ liệu thì thực hiện trong thời hạn 20 ngày.

Điều 9 Nghị định 356/2025/NĐ-CP, trong phần về dữ liệu lớn, yêu cầu có thỏa thuận với bên thứ ba, đối tác và nhà cung cấp dịch vụ bảo đảm tuân thủ đầy đủ các quy định về bảo vệ dữ liệu cá nhân.

Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu báo cáo đánh giá tác động có thông tin và chi tiết liên lạc của cả bên thứ ba.

Điều 20 Nghị định 356/2025/NĐ-CP nêu việc phát sinh hoặc thay đổi bên thứ ba là một trong các trường hợp phải cập nhật hồ sơ đánh giá tác động.

Ý nghĩa thực tiễn

Với doanh nghiệp, việc quan trọng không phải là tranh luận một đối tác cụ thể thuộc vai nào, mà là lập được danh sách đầy đủ mọi tổ chức, cá nhân có tiếp cận dữ liệu cá nhân của mình, kèm vai trò và cơ sở pháp lý cho từng bên.

Danh sách này phục vụ ít nhất năm việc: xác định nghĩa vụ chuyển giao theo Điều 17 và Điều 7 Nghị định; chuyển tiếp yêu cầu rút lại đồng ý, chỉnh sửa, xóa dữ liệu; lập báo cáo đánh giá tác động; xác định thời điểm phải cập nhật hồ sơ; và xác định phạm vi ảnh hưởng khi có sự cố.

Một lưu ý khi soạn hợp đồng

Vì bên thứ ba mang nghĩa vụ độc lập theo Điều 23, hợp đồng nên có điều khoản yêu cầu bên đó thông báo cho doanh nghiệp khi phát hiện vi phạm — song song với nghĩa vụ pháp lý của họ với cơ quan chuyên trách. Nếu không, doanh nghiệp có thể biết về sự cố muộn hơn cơ quan quản lý.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 2
Luật 91/2025/QH15 Điều 17
Luật 91/2025/QH15 Điều 23

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.