Bảo vệ dữ liệu cá nhân

Theo Nghị định 356/2025/NĐ-CP, tổ chức xử lý dữ liệu thuê ngoài có trách nhiệm gì?

26/06/2026
5 lượt xem
0 bình luận

Tám nhóm trách nhiệm, trong đó có nghĩa vụ đánh giá tuân thủ hằng năm và một quy định đáng chú ý về việc yêu cầu bên kiểm soát xin đồng ý trước khi cung cấp dịch vụ.

Điều 23 Nghị định 356/2025/NĐ-CP quy định trách nhiệm của tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân. Đây cũng là danh sách mà doanh nghiệp thuê dịch vụ nên dùng để thẩm định nhà cung cấp.

Tám nhóm trách nhiệm

Tuân thủ đầy đủ các quy định pháp luật về bảo vệ dữ liệu cá nhân; trách nhiệm, nghĩa vụ của bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân;
Xây dựng khung quản trị rủi ro về bảo vệ dữ liệu cá nhân phù hợp với dịch vụ cung cấp;
Thực hiện đánh giá hiện trạng tuân thủ và mức độ tín nhiệm về bảo vệ dữ liệu cá nhân định kỳ 01 năm một lần;
Áp dụng tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu, bảo vệ dữ liệu cá nhân, an ninh mạng;
Xây dựng quy định về trách nhiệm và quyền hạn của tổ chức trong xử lý dữ liệu cá nhân;
Bảo đảm xử lý dữ liệu cá nhân đúng mục đích, giới hạn việc thu thập, chuyển giao, lưu trữ phù hợp và theo quy định pháp luật; ngăn chặn truy cập, thu thập, sử dụng, tiết lộ trái phép hoặc các rủi ro tương tự;
Trường hợp là bên xử lý dữ liệu cá nhân, yêu cầu bên kiểm soát dữ liệu cá nhân xin sự đồng ý của chủ thể dữ liệu theo quy định trước khi cung cấp dịch vụ, bảo đảm chủ thể dữ liệu được biết về loại dữ liệu cá nhân xử lý, mục đích xử lý và tổ chức cung cấp dịch vụ xử lý dữ liệu cá nhân;
Thực hiện việc xác thực danh tính tổ chức theo quy định pháp luật về định danh và xác thực điện tử.

Nhóm thứ bảy là quy định đáng chú ý nhất

Bên cung cấp dịch vụ không chỉ làm theo yêu cầu của khách hàng mà còn có nghĩa vụ chủ động yêu cầu khách hàng — tức bên kiểm soát dữ liệu — xin sự đồng ý của chủ thể dữ liệu trước khi cung cấp dịch vụ.

Kèm theo là yêu cầu bảo đảm chủ thể dữ liệu được biết về ba nội dung: loại dữ liệu được xử lý, mục đích xử lý, và tổ chức cung cấp dịch vụ xử lý dữ liệu cá nhân. Vế thứ ba có nghĩa tên nhà cung cấp dịch vụ phải được nêu ra cho người dùng cuối, không thể ẩn danh phía sau khách hàng của mình.

Trên thực tế, điều này ảnh hưởng tới nội dung chính sách bảo mật của bên kiểm soát: cần nêu tên hoặc ít nhất là loại hình các bên xử lý dữ liệu đang được sử dụng.

Đánh giá định kỳ hằng năm

Nghĩa vụ đánh giá hiện trạng tuân thủ và mức độ tín nhiệm định kỳ 01 năm một lần là nghĩa vụ có tần suất cụ thể, dễ kiểm chứng. Kết quả đánh giá này cũng là một trong những nội dung được nêu trong Đề án khi xin cấp Giấy chứng nhận theo Điều 25 Nghị định 356/2025/NĐ-CP.

Dùng danh sách này để thẩm định nhà cung cấp

Với doanh nghiệp là bên kiểm soát dữ liệu đang chọn đối tác, tám nhóm trên là bộ câu hỏi thẩm định sẵn có. Nên yêu cầu nhà cung cấp cung cấp bằng chứng cho các mục:

Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân còn hiệu lực;
Bản tóm tắt khung quản trị rủi ro;
Kết quả đánh giá tuân thủ gần nhất;
Danh mục tiêu chuẩn, quy chuẩn đang áp dụng;
Cam kết về phạm vi xử lý, thời hạn lưu trữ và nghĩa vụ xóa dữ liệu khi kết thúc hợp đồng.

Vì sao việc thẩm định có ý nghĩa với chính bên kiểm soát

Điều 37 Luật 91/2025/QH15 quy định trách nhiệm của bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân. Việc chọn nhà cung cấp không đủ điều kiện không làm giảm trách nhiệm của bên kiểm soát đối với chủ thể dữ liệu.

Ngoài ra, Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu hồ sơ đánh giá tác động phải có bản sao hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân thể hiện sự ràng buộc, trách nhiệm giữa các bên. Hợp đồng với nhà cung cấp vì thế cần đủ chi tiết để dùng làm thành phần hồ sơ.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 23
Nghị định 356/2025/NĐ-CP Điều 22

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.