Dịch vụ soạn thảo thỏa thuận xử lý dữ liệu cá nhân (DPA) giúp doanh nghiệp xác lập quyền, nghĩa vụ và trách nhiệm pháp lý với đối tác, nhà cung cấp dịch vụ khi thực hiện hoạt động xử lý dữ liệu cá nhân. Theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP, các bên cần làm rõ phạm vi xử lý, mục đích sử dụng, biện pháp bảo vệ dữ liệu và trách nhiệm khi xảy ra vi phạm. Luật Việt An cung cấp dịch vụ tư vấn, soạn thảo, rà soát và đàm phán Data Processing Agreement (DPA), hợp đồng xử lý dữ liệu cá nhân và phụ lục bảo vệ dữ liệu cho doanh nghiệp Việt Nam, doanh nghiệp FDI và tập đoàn đa quốc gia, nhằm bảo đảm tính pháp lý và kiểm soát rủi ro trong quan hệ thương mại.
Thỏa thuận xử lý dữ liệu cá nhân (DPA) là gì?
Thỏa thuận xử lý dữ liệu cá nhân (Data Processing Agreement – DPA) là văn bản xác lập quyền, nghĩa vụ và trách nhiệm giữa các bên trong quan hệ xử lý dữ liệu cá nhân, đặc biệt khi một tổ chức thực hiện việc xử lý dữ liệu theo chỉ dẫn của tổ chức khác.
DPA có thể được thể hiện dưới các hình thức:
- Hợp đồng xử lý dữ liệu cá nhân độc lập;
- Phụ lục xử lý dữ liệu cá nhân của hợp đồng dịch vụ;
- Bộ điều khoản xử lý dữ liệu trong hợp đồng công nghệ, nhân sự hoặc thuê ngoài;
- Thỏa thuận xử lý dữ liệu giữa các công ty trong cùng tập đoàn, khi phù hợp với vai trò pháp lý của từng bên.
Nội dung cốt lõi của DPA là xác định bên quyết định mục đích và phương tiện xử lý, bên thực hiện hoạt động xử lý, phạm vi sử dụng dữ liệu, biện pháp bảo vệ và trách nhiệm trong quá trình hợp tác.
Khác với thỏa thuận bảo mật thông tin (Non-Disclosure Agreement – NDA), DPA không chỉ giới hạn việc tiết lộ thông tin mà còn điều chỉnh hoạt động xử lý dữ liệu cá nhân và trách nhiệm pháp lý giữa các bên.
Khi nào doanh nghiệp cần ký thỏa thuận xử lý dữ liệu cá nhân?
Theo điểm a và điểm b khoản 2 Điều 37 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, bên xử lý dữ liệu cá nhân chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận hoặc hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu; đồng thời phải xử lý dữ liệu theo đúng nội dung đã thỏa thuận.
Do đó, doanh nghiệp cần xác định vai trò pháp lý của các bên trước khi giao dữ liệu cho một tổ chức khác xử lý. Những trường hợp thường phát sinh nhu cầu soạn thảo DPA bao gồm:
Doanh nghiệp thuê nhà cung cấp phần mềm và dịch vụ đám mây
Nhà cung cấp phần mềm quản lý khách hàng (CRM), quản lý nhân sự (HRM), hoạch định nguồn lực doanh nghiệp (ERP), điện toán đám mây hoặc phần mềm dưới dạng dịch vụ (Software as a Service – SaaS) có thể tiếp cận và xử lý dữ liệu cá nhân của doanh nghiệp.
DPA cần xác định phạm vi truy cập, chỉ dẫn xử lý, trách nhiệm bảo mật, việc sử dụng nhà thầu phụ và cách xử lý dữ liệu khi hợp đồng kết thúc.
Tuy nhiên, không phải mọi nhà cung cấp công nghệ đều có cùng vai trò pháp lý. Doanh nghiệp phải đánh giá cách thức nhà cung cấp thực tế tiếp nhận, sử dụng và kiểm soát dữ liệu.
Doanh nghiệp thuê ngoài dịch vụ nhân sự, kế toán và tiền lương
Trong hoạt động thuê ngoài, doanh nghiệp có thể cung cấp thông tin người lao động, bảng lương, tài khoản ngân hàng, bảo hiểm hoặc hồ sơ nhân sự cho đối tác.
Thỏa thuận cần giới hạn mục đích sử dụng, người được phép truy cập, trách nhiệm bảo mật, thời hạn lưu trữ và nghĩa vụ hoàn trả hoặc xóa dữ liệu.
Đối với dữ liệu cá nhân nhạy cảm, cần đánh giá thêm các yêu cầu bảo vệ tương ứng theo pháp luật.
Doanh nghiệp FDI sử dụng hệ thống quản trị chung của tập đoàn
Doanh nghiệp có vốn đầu tư nước ngoài thường sử dụng hệ thống nhân sự, khách hàng hoặc công nghệ thông tin chung với công ty mẹ và công ty liên kết ở nước ngoài.
Trong trường hợp công ty mẹ xử lý dữ liệu theo chỉ dẫn của pháp nhân Việt Nam, các bên cần xem xét xây dựng DPA phù hợp.
Nếu mỗi bên độc lập quyết định mục đích và phương tiện xử lý, cần đánh giá cấu trúc thỏa thuận khác thay vì mặc nhiên sử dụng DPA giữa bên kiểm soát và bên xử lý.
Việc chia sẻ dữ liệu trong cùng tập đoàn cũng không đồng nghĩa với việc được miễn toàn bộ nghĩa vụ pháp lý về bảo vệ dữ liệu cá nhân.
Doanh nghiệp thuê đối tác marketing và chăm sóc khách hàng
Đơn vị cung cấp dịch vụ quảng cáo, tổng đài, chăm sóc khách hàng, tiếp thị hoặc phân tích dữ liệu có thể tiếp cận danh sách khách hàng và thông tin giao dịch của doanh nghiệp.
DPA cần xác định mục đích sử dụng dữ liệu, giới hạn quyền truy cập, việc chia sẻ cho bên khác và trách nhiệm khi hoàn thành dịch vụ.
Nếu đối tác dự kiến sử dụng dữ liệu cho mục đích thương mại riêng, doanh nghiệp cần đánh giá lại vai trò của các bên và điều kiện xử lý hợp pháp.
Phân biệt DPA, NDA và chính sách bảo vệ dữ liệu cá nhân
DPA thường bị nhầm lẫn với hợp đồng bảo mật, chính sách quyền riêng tư và các tài liệu bảo vệ dữ liệu khác.
| Tài liệu | Mục đích | Đối tượng áp dụng |
| Thỏa thuận xử lý dữ liệu cá nhân (DPA) | Phân định quyền, nghĩa vụ và trách nhiệm trong quan hệ xử lý dữ liệu | Các bên tham gia quan hệ xử lý dữ liệu |
| Thỏa thuận bảo mật thông tin (NDA) | Hạn chế tiết lộ, sử dụng trái phép thông tin bí mật | Các bên có nghĩa vụ bảo mật |
| Chính sách bảo vệ dữ liệu cá nhân | Thiết lập nguyên tắc và quy định quản trị dữ liệu | Doanh nghiệp, nhân sự và đối tượng liên quan |
| Thông báo xử lý dữ liệu cá nhân | Cung cấp thông tin về hoạt động xử lý | Chủ thể dữ liệu cá nhân |
| Văn bản đồng ý xử lý dữ liệu | Ghi nhận sự đồng ý hợp lệ khi pháp luật yêu cầu | Chủ thể dữ liệu và bên có liên quan |
Việc ký NDA không tự động thay thế DPA nếu quan hệ giữa các bên thuộc trường hợp pháp luật yêu cầu có thỏa thuận hoặc hợp đồng xử lý dữ liệu cá nhân.
Tương tự, DPA không thay thế chính sách bảo vệ dữ liệu cá nhân hoặc những nghĩa vụ về thông báo, lấy sự đồng ý và đánh giá tác động theo quy định.
Doanh nghiệp có thể tham khảo thêm dịch vụ soạn thảo chính sách bảo vệ dữ liệu cá nhân của Luật Việt An để xây dựng hệ thống tài liệu quản trị nội bộ phù hợp.
Các điều khoản quan trọng khi soạn thảo thỏa thuận xử lý dữ liệu cá nhân
DPA cần được xây dựng phù hợp với quan hệ hợp đồng, hoạt động xử lý dữ liệu và khả năng thực hiện nghĩa vụ của các bên. Luật Việt An tập trung tư vấn và đàm phán những nhóm điều khoản sau:
Xác định vai trò và trách nhiệm pháp lý của các bên
Cần phân biệt bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân hoặc bên thứ ba.
Việc xác định đúng tư cách pháp lý giúp xây dựng trách nhiệm phù hợp với quyền quyết định và khả năng kiểm soát dữ liệu thực tế.
Mục đích, phạm vi và chỉ dẫn xử lý dữ liệu
DPA phải làm rõ loại dữ liệu, nhóm chủ thể dữ liệu, mục đích, thời hạn và hoạt động xử lý được phép thực hiện.
Doanh nghiệp cần đặc biệt lưu ý các điều khoản cho phép nhà cung cấp sử dụng dữ liệu khách hàng nhằm phát triển sản phẩm, phân tích thương mại hoặc tiếp thị ngoài phạm vi dịch vụ.
Bảo mật, nhà thầu phụ và quyền kiểm tra
Hợp đồng cần xác định biện pháp bảo vệ dữ liệu, giới hạn truy cập, điều kiện sử dụng nhà thầu phụ và cơ chế cung cấp thông tin chứng minh việc tuân thủ.
Quyền kiểm tra, kiểm toán cần được thiết kế phù hợp với mức độ rủi ro và khả năng thực hiện của các bên.
Thông báo sự cố và phối hợp thực hiện nghĩa vụ pháp lý
Các bên cần thỏa thuận đầu mối liên hệ, thời hạn thông báo sự cố, trách nhiệm cung cấp tài liệu và phương thức phối hợp khắc phục.
Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân 2025, bên xử lý dữ liệu phát hiện hành vi vi phạm phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu. Vì vậy, thời hạn thông báo nội bộ trong DPA cần tạo điều kiện để bên có nghĩa vụ thực hiện đúng thời hạn thông báo cho cơ quan có thẩm quyền trong các trường hợp luật định.
Trách nhiệm bồi thường và xử lý dữ liệu khi kết thúc hợp đồng
DPA cần phân biệt thiệt hại do vi phạm hợp đồng, vi phạm nghĩa vụ bảo vệ dữ liệu và lỗi của từng bên.
Những điều khoản về giới hạn trách nhiệm, bồi thường hoặc miễn trừ không được làm mất hiệu lực các nghĩa vụ bắt buộc theo pháp luật.
Khi hợp đồng chấm dứt, các bên cần xác định cơ chế hoàn trả, xuất, xóa, hủy hoặc tiếp tục lưu trữ dữ liệu trên căn cứ hợp pháp, bao gồm dữ liệu sao lưu và thông tin thuộc diện phải lưu giữ.
Đối với phân tích chi tiết từng điều khoản, khách hàng có thể tham khảo bài Hợp đồng xử lý dữ liệu cá nhân với nhà cung cấp: Các điều khoản cần có của Luật Việt An.
Tình huống pháp lý: Đàm phán DPA giữa doanh nghiệp FDI và nhà cung cấp SaaS quốc tế
Ví dụ giả định nhằm minh họa phương án tư vấn pháp lý.
Một công ty FDI tại Hà Nội ký hợp đồng sử dụng phần mềm quản lý khách hàng với nhà cung cấp SaaS nước ngoài. Hợp đồng dịch vụ đã được thống nhất về giá, thời hạn và tính năng, nhưng nhà cung cấp yêu cầu doanh nghiệp ký DPA theo mẫu toàn cầu dựa trên Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (General Data Protection Regulation – GDPR).
Qua rà soát dự thảo, doanh nghiệp phát hiện một số vấn đề cần đàm phán:
- Nhà cung cấp được sử dụng dữ liệu khách hàng để cải tiến dịch vụ nhưng chưa xác định giới hạn phù hợp;
- Nhà cung cấp có quyền bổ sung nhà thầu phụ mà thiếu cơ chế thông báo hoặc phản đối rõ ràng;
- Quyền của doanh nghiệp yêu cầu nhà cung cấp chứng minh việc tuân thủ và thực hiện kiểm tra bị hạn chế;
- Quy định thông báo sự cố chưa bảo đảm doanh nghiệp nhận đủ thông tin cần thiết để thực hiện nghĩa vụ pháp luật Việt Nam;
- Điều khoản bồi thường chưa phân biệt rõ trách nhiệm của từng bên;
- Cơ chế xuất, hoàn trả hoặc xóa dữ liệu sau khi chấm dứt hợp đồng chưa được quy định đầy đủ.
Trong tình huống này, Luật Việt An có thể hỗ trợ doanh nghiệp rà soát DPA, lập bảng các điều khoản rủi ro và đề xuất phương án đàm phán.
Giải pháp không nhất thiết là thay thế toàn bộ DPA quốc tế. Tùy kết quả rà soát, các bên có thể sửa đổi điều khoản trọng yếu, bổ sung phụ lục áp dụng tại Việt Nam (Vietnam Data Protection Addendum) hoặc thống nhất thứ tự ưu tiên giữa các văn bản hợp đồng.
Ngoài DPA, doanh nghiệp còn phải xác định nghĩa vụ liên quan đến chuyển dữ liệu cá nhân xuyên biên giới nếu hoạt động thực tế thuộc trường hợp pháp luật yêu cầu.
Lưu ý pháp lý khi đàm phán thỏa thuận xử lý dữ liệu cá nhân
Khi đàm phán DPA, doanh nghiệp không nên chỉ tập trung vào điều khoản bảo mật mà cần đánh giá sự tương thích giữa thỏa thuận xử lý dữ liệu và hợp đồng thương mại chính.
Đặc biệt, cần làm rõ thứ tự ưu tiên áp dụng giữa các tài liệu, quyền sử dụng dữ liệu của nhà cung cấp, trách nhiệm khi vi phạm, cơ chế giải quyết tranh chấp và những nghĩa vụ không thể loại trừ bằng thỏa thuận.
Đối với DPA do đối tác nước ngoài cung cấp, luật sư cần phân biệt các điều khoản có thể thương lượng với nghĩa vụ bắt buộc theo pháp luật Việt Nam. Việc ký DPA không tự động hợp pháp hóa mọi hoạt động xử lý hoặc chuyển dữ liệu cá nhân.
Luật Việt An hỗ trợ doanh nghiệp xác định các điều khoản cần ưu tiên đàm phán, đề xuất phương án sửa đổi và xây dựng cơ chế phân bổ trách nhiệm phù hợp với quyền kiểm soát thực tế của từng bên.
Dịch vụ soạn thảo, rà soát và đàm phán DPA của Luật Việt An
Luật Việt An cung cấp dịch vụ pháp lý chuyên biệt đối với hợp đồng và phụ lục xử lý dữ liệu cá nhân, tập trung vào quyền lợi và trách nhiệm của doanh nghiệp trong quan hệ thương mại.
Soạn thảo thỏa thuận xử lý dữ liệu cá nhân mới
Dịch vụ dành cho doanh nghiệp cần xây dựng DPA phù hợp với hợp đồng thương mại hoặc quan hệ xử lý dữ liệu cụ thể.
Phạm vi công việc có thể bao gồm:
- Xác định vai trò pháp lý và trách nhiệm của các bên;
- Lựa chọn cấu trúc hợp đồng hoặc phụ lục;
- Soạn thảo điều khoản về phạm vi, mục đích và chỉ dẫn xử lý;
- Xây dựng cơ chế bảo mật, nhà thầu phụ, sự cố dữ liệu và trách nhiệm;
- Soạn thảo phụ lục mô tả hoạt động xử lý dữ liệu;
- Hoàn thiện dự thảo để phục vụ đàm phán và ký kết.
Rà soát DPA do đối tác cung cấp
Luật Việt An hỗ trợ rà soát thỏa thuận do nhà cung cấp, đối tác hoặc công ty mẹ nước ngoài đề xuất.
Dịch vụ tập trung phát hiện các điều khoản bất lợi, nội dung chưa phù hợp với pháp luật Việt Nam và rủi ro phân bổ trách nhiệm.
Tùy phạm vi công việc, doanh nghiệp được cung cấp bản nhận xét pháp lý, bảng đề xuất sửa đổi hoặc phiên bản hợp đồng có đánh dấu chỉnh sửa.
Đàm phán điều khoản DPA với đối tác
Luật Việt An hỗ trợ xây dựng phương án đàm phán, đề xuất điều khoản thay thế, trao đổi pháp lý với đối tác và hoàn thiện thỏa thuận.
Dịch vụ phù hợp với giao dịch có nhiều bên tham gia, hợp đồng có giá trị lớn hoặc quan hệ xử lý dữ liệu xuyên biên giới.
Soạn thảo phụ lục DPA cho hợp đồng thương mại
Không phải mọi DPA đều cần được lập thành hợp đồng độc lập.
Tùy cấu trúc giao dịch, Luật Việt An có thể soạn thảo phụ lục bảo vệ và xử lý dữ liệu cho hợp đồng phần mềm, dịch vụ nhân sự, kế toán, marketing, chăm sóc khách hàng hoặc các dịch vụ thuê ngoài.
Rà soát DPA quốc tế và xây dựng phụ lục áp dụng tại Việt Nam
Đối với doanh nghiệp FDI và tập đoàn đa quốc gia, Luật Việt An hỗ trợ đối chiếu DPA toàn cầu với pháp luật Việt Nam, xây dựng phụ lục áp dụng riêng và điều chỉnh những nội dung chưa phù hợp.
Việc rà soát cũng có thể bao gồm ngôn ngữ hợp đồng, luật áp dụng, trách nhiệm của pháp nhân Việt Nam và mối quan hệ giữa DPA với hợp đồng chính.
Sản phẩm bàn giao của dịch vụ soạn thảo DPA của Luật Việt An
Tùy phạm vi dịch vụ được thống nhất, doanh nghiệp có thể nhận được các tài liệu sau:
| Sản phẩm bàn giao | Nội dung và giá trị sử dụng |
| DPA hoàn chỉnh | Thỏa thuận phục vụ đàm phán hoặc ký kết |
| Phụ lục xử lý dữ liệu | Văn bản bổ sung cho hợp đồng thương mại |
| Bảng rà soát rủi ro | Nhận diện điều khoản bất lợi hoặc chưa phù hợp |
| Hợp đồng có đánh dấu chỉnh sửa | Thể hiện các đề xuất điều chỉnh DPA của đối tác |
| Phụ lục mô tả hoạt động xử lý | Xác định loại dữ liệu, mục đích, thời hạn, hoạt động và bên liên quan |
| Phiên bản song ngữ Việt – Anh | Phục vụ giao dịch với đối tác nước ngoài |
| Bảng vấn đề đàm phán | Xác định các nội dung cần ưu tiên thương lượng |
| Hướng dẫn thực hiện | Làm rõ đầu mối phối hợp và nghĩa vụ quan trọng sau ký kết |
Các tài liệu bổ sung về chính sách bảo vệ dữ liệu, hồ sơ đánh giá tác động và thủ tục chuyển dữ liệu xuyên biên giới chỉ được thực hiện khi nằm trong phạm vi dịch vụ đã thỏa thuận.
Hồ sơ doanh nghiệp cần cung cấp khi yêu cầu soạn thảo DPA
Để thực hiện dịch vụ, doanh nghiệp nên chuẩn bị:
- Thông tin pháp lý của các bên ký kết;
- Hợp đồng chính hoặc dự thảo hợp đồng thương mại;
- DPA hiện có hoặc mẫu DPA do đối tác cung cấp, nếu có;
- Mô tả phạm vi dịch vụ và hoạt động xử lý dữ liệu;
- Danh mục loại dữ liệu và nhóm chủ thể dữ liệu liên quan;
- Thông tin về hệ thống lưu trữ, bên được truy cập và nhà thầu phụ;
- Yêu cầu về ngôn ngữ, luật áp dụng và phạm vi đàm phán;
- Thời hạn dự kiến ký kết hợp đồng.
Doanh nghiệp có thể cung cấp tài liệu mô tả hoặc tài liệu đã ẩn danh phù hợp. Việc soạn thảo DPA thông thường không đòi hỏi phải cung cấp toàn bộ dữ liệu cá nhân thực tế của khách hàng hoặc người lao động.
Quy trình tư vấn, soạn thảo thỏa thuận xử lý dữ liệu cá nhân
Bước 1. Tiếp nhận hồ sơ và phân tích quan hệ bảo vệ, xử lý dữ liệu
Luật Việt An rà soát hợp đồng chính, xác định vai trò pháp lý của các bên, phạm vi xử lý dữ liệu và những vấn đề cần điều chỉnh trong DPA.
Bước 2. Soạn thảo hoặc rà soát thỏa thuận DPA
Luật sư xây dựng dự thảo DPA mới hoặc rà soát hợp đồng do đối tác cung cấp, đề xuất sửa đổi các điều khoản chưa phù hợp pháp luật hoặc có nguy cơ phát sinh tranh chấp.
Bước 3. Hỗ trợ đàm phán và hoàn thiện hợp đồng
Tùy phạm vi dịch vụ, Luật Việt An hỗ trợ trao đổi với đối tác, điều chỉnh các điều khoản quan trọng và hoàn thiện phiên bản DPA để các bên xem xét ký kết.
Bước 4. Bàn giao và hướng dẫn thực hiện
Bàn giao hợp đồng, phụ lục và tài liệu liên quan theo thỏa thuận; tư vấn những nghĩa vụ cần lưu ý trong quá trình thực hiện và khi chấm dứt hợp đồng.
Chi phí dịch vụ soạn thảo thỏa thuận bảo vệ và xử lý dữ liệu cá nhân
Chi phí dịch vụ phụ thuộc vào phạm vi giao dịch, mức độ phức tạp và yêu cầu của khách hàng.
Các yếu tố ảnh hưởng đến báo phí bao gồm:
- Soạn thảo DPA mới hay rà soát hợp đồng có sẵn;
- Số lượng bên tham gia và vai trò pháp lý của từng bên;
- Loại dữ liệu và phạm vi xử lý;
- Hợp đồng trong nước hay giao dịch quốc tế;
- Yêu cầu soạn thảo song ngữ;
- Số lượng vòng sửa đổi và mức độ hỗ trợ đàm phán;
- Nhu cầu xây dựng phụ lục chuyên biệt hoặc điều chỉnh DPA toàn cầu.
Đối với doanh nghiệp sử dụng nhiều nhà cung cấp, Luật Việt An có thể tư vấn xây dựng mẫu DPA chuẩn và các phụ lục riêng theo từng loại dịch vụ nhằm tạo sự thống nhất trong quản lý hợp đồng.
Khách hàng có thể gửi dự thảo DPA hoặc mô tả giao dịch để Luật Việt An đánh giá yêu cầu và cung cấp báo giá phù hợp.
Vì sao nên lựa chọn Luật Việt An để soạn thảo DPA?
Soạn thảo DPA đòi hỏi sự kết hợp giữa pháp luật bảo vệ dữ liệu cá nhân, pháp luật hợp đồng và thực tiễn giao dịch thương mại.
Luật Việt An tập trung vào những giá trị pháp lý sau:
- Bảo vệ lợi ích hợp đồng: Rà soát các quyền, nghĩa vụ và điều khoản có thể tạo rủi ro bất lợi cho khách hàng.
- Phù hợp pháp luật Việt Nam: Đối chiếu nghĩa vụ hợp đồng với các quy định đang áp dụng.
- Phù hợp giao dịch thực tế: Thiết kế DPA theo mô hình dịch vụ, hệ thống xử lý và quyền kiểm soát của các bên.
- Hỗ trợ giao dịch quốc tế: Rà soát DPA nước ngoài và xây dựng phụ lục phù hợp với hoạt động tại Việt Nam.
- Chú trọng khả năng thực hiện: Đề xuất cơ chế phối hợp, thông báo, xử lý vi phạm và trách nhiệm hợp đồng rõ ràng.
Mục tiêu của dịch vụ là giúp doanh nghiệp ký kết và thực hiện thỏa thuận xử lý dữ liệu cá nhân với cơ chế pháp lý rõ ràng, khả thi và phù hợp với lợi ích thương mại hợp pháp.
Căn cứ pháp lý về thỏa thuận bảo vệ và xử lý dữ liệu cá nhân năm 2026
Các căn cứ pháp lý chính gồm:
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026. Đặc biệt, Điều 37 quy định trách nhiệm của bên kiểm soát, bên xử lý và bên kiểm soát và xử lý dữ liệu cá nhân; Điều 23 quy định về thông báo vi phạm; Điều 39 quy định chuyển tiếp.
- Nghị định 356/2025/NĐ-CP, có hiệu lực từ ngày 01/01/2026, quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
- Bộ luật Dân sự năm 2015, về giao kết, thực hiện, sửa đổi, chấm dứt hợp đồng và trách nhiệm dân sự.
- Luật Thương mại năm 2005, trong phạm vi áp dụng đối với các quan hệ thương mại.
- Luật Giao dịch điện tử năm 2023, đối với việc ký kết và thực hiện hợp đồng bằng phương tiện điện tử.
- Các quy định pháp luật chuyên ngành về bảo mật, an ninh mạng và xử lý dữ liệu trong từng lĩnh vực.
Lưu ý về các hợp đồng ký trước năm 2026: Theo khoản 1 Điều 39 Luật Bảo vệ dữ liệu cá nhân 2025, hoạt động xử lý dữ liệu cá nhân đang thực hiện mà đã được chủ thể dữ liệu đồng ý hoặc được thực hiện theo thỏa thuận phù hợp với Nghị định 13/2023/NĐ-CP trước thời điểm Luật có hiệu lực có thể tiếp tục thực hiện mà không phải tự động xin đồng ý hoặc thỏa thuận lại.
Tuy nhiên, quy định chuyển tiếp không đồng nghĩa với việc mọi DPA được ký trước năm 2026 đều đương nhiên phù hợp pháp luật. Doanh nghiệp vẫn cần rà soát khi thay đổi mục đích, phạm vi xử lý, chủ thể tham gia hoặc phát sinh nghĩa vụ pháp lý mới.
Câu hỏi thường gặp về soạn thảo thỏa thuận xử lý dữ liệu cá nhân
Doanh nghiệp có bắt buộc phải ký DPA không?
Theo khoản 2 Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025, bên xử lý dữ liệu cá nhân phải có thỏa thuận hoặc hợp đồng với bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu trước khi tiếp nhận dữ liệu. Đối với các quan hệ chia sẻ dữ liệu khác, cần xác định đúng vai trò pháp lý của từng bên để lựa chọn tài liệu phù hợp.
DPA có bắt buộc lập thành hợp đồng độc lập không?
Không có yêu cầu chung buộc mọi DPA phải được lập thành hợp đồng độc lập. Tùy giao dịch, DPA có thể là hợp đồng riêng hoặc phụ lục của hợp đồng dịch vụ, với điều kiện nội dung và hình thức đáp ứng các yêu cầu pháp luật áp dụng.
Thỏa thuận xử lý dữ liệu cá nhân có cần công chứng không?
Thông thường, DPA không thuộc nhóm hợp đồng có yêu cầu công chứng chung. Tuy nhiên, các bên cần xem xét quy định chuyên ngành, hình thức giao dịch và các điều kiện có hiệu lực của hợp đồng.
Doanh nghiệp FDI có thể sử dụng DPA của công ty mẹ không?
Có thể sử dụng làm cơ sở sau khi rà soát tính phù hợp với pháp luật Việt Nam, vai trò pháp lý của từng bên và phạm vi xử lý dữ liệu. Trường hợp cần thiết, doanh nghiệp có thể xây dựng phụ lục áp dụng riêng tại Việt Nam.
DPA có thay thế hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không?
Không. DPA điều chỉnh quan hệ hợp đồng giữa các bên xử lý dữ liệu, còn hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là tài liệu có chức năng và nghĩa vụ pháp lý riêng. Doanh nghiệp phải xác định nghĩa vụ lập hồ sơ theo quy định tương ứng.
Kết luận
Dịch vụ soạn thảo thỏa thuận bảo vệ và xử lý dữ liệu cá nhân (DPA) giúp doanh nghiệp xác lập quyền và nghĩa vụ với các bên tham gia xử lý dữ liệu, phân định trách nhiệm hợp đồng và hạn chế rủi ro pháp lý trong quá trình hợp tác.
Đối với doanh nghiệp FDI, tập đoàn đa quốc gia và doanh nghiệp thuê nhà cung cấp công nghệ, dịch vụ nhân sự, kế toán hoặc marketing, việc soạn thảo và rà soát DPA cần gắn với pháp luật Việt Nam, hợp đồng thương mại và hoạt động xử lý dữ liệu thực tế.
Luật Việt An cung cấp dịch vụ soạn thảo, rà soát và đàm phán DPA, hợp đồng xử lý dữ liệu cá nhân và phụ lục bảo vệ dữ liệu. Quý khách hàng có nhu cầu tư vấn hoặc báo phí có thể liên hệ Luật Việt An để được hỗ trợ.
Người biên soạn: Luật sư Đỗ Thị Hồng Hạnh
Luật sư phụ trách chuyên môn và kiểm duyệt nội dung: Luật sư Trung Thị Liệu
Cập nhật pháp lý: 30/10/2026
Hotline | Zalo | WhatsApp: (+84) 961 571 818
Email: info@vietanlaw.com
Văn phòng Hà Nội: Tầng 3, Tòa nhà Hoàng Ngân Plaza, số 125 Hoàng Ngân, phường Yên Hòa, TP. Hà Nội.
Văn phòng TP. Hồ Chí Minh: Phòng 2.26–2.27, Tòa nhà Charmington La Pointe, số 181 Cao Thắng, phường Hòa Hưng, TP. Hồ Chí Minh.
