Trong quá trình vận hành, doanh nghiệp thường thuê các đơn vị bên ngoài cung cấp dịch vụ lưu trữ đám mây, quản lý khách hàng, tính lương, tiếp thị, chăm sóc khách hàng hoặc vận hành hệ thống công nghệ thông tin. Để thực hiện các dịch vụ này, nhà cung cấp có thể được tiếp cận và xử lý dữ liệu cá nhân của khách hàng, nhân viên hoặc các cá nhân có liên quan. Nếu hợp đồng chỉ quy định chung về bảo mật mà không xác định rõ phạm vi xử lý, quyền truy cập, trách nhiệm khi xảy ra sự cố và nghĩa vụ hoàn trả hoặc xóa dữ liệu, doanh nghiệp có thể gặp khó khăn trong việc kiểm soát rủi ro. Vì vậy, hợp đồng xử lý dữ liệu cá nhân với nhà cung cấp: Các điều khoản cần có là nội dung doanh nghiệp cần quan tâm để đáp ứng quy định pháp luật, phân định trách nhiệm và bảo vệ dữ liệu trong suốt quá trình hợp tác.
Hợp đồng xử lý dữ liệu cá nhân với nhà cung cấp là gì?
Hợp đồng xử lý dữ liệu cá nhân, thường được gọi là Data Processing Agreement (DPA), là thỏa thuận xác định quyền, nghĩa vụ và trách nhiệm của các bên khi một bên xử lý dữ liệu cá nhân theo phạm vi công việc được giao bởi bên còn lại.
Trong thực tế, doanh nghiệp có thể giao cho nhà cung cấp thực hiện một hoặc nhiều hoạt động như thu thập, lưu trữ, phân tích, chỉnh sửa, truy xuất, truyền đưa hoặc xóa dữ liệu cá nhân. Khi nhà cung cấp đóng vai trò bên xử lý dữ liệu cá nhân, quan hệ giữa các bên cần được thiết lập phù hợp với yêu cầu của pháp luật về bảo vệ dữ liệu cá nhân.
DPA có thể được lập thành hợp đồng độc lập hoặc phụ lục của hợp đồng dịch vụ, tùy theo mô hình giao dịch và cách tổ chức hồ sơ của doanh nghiệp. Điều quan trọng là thỏa thuận phải thể hiện rõ phạm vi xử lý, mục đích, trách nhiệm và các biện pháp bảo vệ dữ liệu cần áp dụng.
Trường hợp nào doanh nghiệp cần quan tâm đến DPA?
Doanh nghiệp nên rà soát nhu cầu ký kết thỏa thuận xử lý dữ liệu khi thuê nhà cung cấp có khả năng tiếp cận hoặc xử lý dữ liệu cá nhân, chẳng hạn:
- Nhà cung cấp dịch vụ lưu trữ dữ liệu trên nền tảng đám mây;
- Đơn vị cung cấp phần mềm quản lý khách hàng (CRM) hoặc quản lý nhân sự (HRM);
- Đơn vị tính lương, quản lý phúc lợi hoặc hỗ trợ tuyển dụng;
- Công ty cung cấp dịch vụ chăm sóc khách hàng, tổng đài hoặc tiếp thị;
- Nhà cung cấp dịch vụ phân tích dữ liệu, vận hành hệ thống hoặc hỗ trợ kỹ thuật;
- Đối tác quản lý dữ liệu phục vụ hoạt động giao hàng, thanh toán hoặc thực hiện hợp đồng với khách hàng.
Không phải mọi nhà cung cấp đều mặc nhiên là bên xử lý dữ liệu cá nhân. Nếu nhà cung cấp không tiếp cận hoặc xử lý dữ liệu cá nhân, hoặc tự xác định mục đích xử lý riêng, doanh nghiệp cần đánh giá bản chất quan hệ để lựa chọn hình thức thỏa thuận và xác định nghĩa vụ pháp lý phù hợp.
Hợp đồng xử lý dữ liệu cá nhân với nhà cung cấp: Các điều khoản cần có
Điều khoản xác định thông tin các bên
Hợp đồng cần xác định rõ tên, thông tin pháp lý của doanh nghiệp và nhà cung cấp; đồng thời làm rõ vai trò của từng bên trong hoạt động xử lý dữ liệu.
Thông thường, doanh nghiệp thuê dịch vụ quyết định mục đích và phương tiện xử lý có thể giữ vai trò bên kiểm soát dữ liệu cá nhân. Nhà cung cấp thực hiện xử lý theo chỉ dẫn của doanh nghiệp có thể giữ vai trò bên xử lý dữ liệu cá nhân. Trong một số trường hợp, một bên có thể đồng thời đảm nhiệm các vai trò khác nhau tùy hoạt động cụ thể.
Điều khoản này nên xác định:
- Chủ thể quyết định mục đích xử lý dữ liệu;
- Bên thực hiện xử lý dữ liệu theo chỉ dẫn;
- Đầu mối liên hệ của mỗi bên;
- Phạm vi trách nhiệm của từng bên;
- Cơ chế phối hợp khi phát sinh yêu cầu hoặc sự cố dữ liệu.
Điều khoản về loại dữ liệu và đối tượng dữ liệu
DPA cần xác định những nhóm dữ liệu mà nhà cung cấp được phép tiếp cận và xử lý. Phạm vi dữ liệu nên được mô tả đủ rõ để hai bên có thể kiểm tra việc tuân thủ.
Ví dụ, đối với dịch vụ quản lý khách hàng, dữ liệu có thể bao gồm họ tên, số điện thoại, địa chỉ thư điện tử và lịch sử giao dịch. Đối với dịch vụ tính lương, dữ liệu có thể bao gồm thông tin nhân sự, tiền lương, tài khoản nhận lương và thông tin liên quan đến nghĩa vụ bảo hiểm, thuế.
Hợp đồng nên xác định:
- Nhóm cá nhân có dữ liệu được xử lý;
- Danh mục hoặc nhóm dữ liệu được phép tiếp nhận;
- Những dữ liệu không được phép truy cập nếu không có phê duyệt;
- Cách xử lý dữ liệu nhạy cảm, nếu có;
- Quy trình phê duyệt khi cần mở rộng phạm vi dữ liệu.
Điều khoản về mục đích và phạm vi xử lý
Đây là một trong những điều khoản quan trọng nhất của DPA. Hợp đồng cần quy định cụ thể nhà cung cấp được xử lý dữ liệu để thực hiện công việc gì, bằng phương thức nào và trong thời gian bao lâu.
Chẳng hạn, nếu nhà cung cấp được thuê để gửi thông báo đơn hàng, hợp đồng không nên mặc nhiên cho phép họ sử dụng dữ liệu khách hàng để quảng cáo sản phẩm riêng hoặc xây dựng cơ sở dữ liệu khách hàng của mình.
Điều khoản cần làm rõ:
- Mục đích xử lý được phép;
- Các hoạt động xử lý được thực hiện;
- Phạm vi chỉ dẫn của doanh nghiệp;
- Những mục đích sử dụng bị cấm;
- Cách thức yêu cầu và phê duyệt thay đổi phạm vi xử lý.
Nhà cung cấp không nên tự ý mở rộng mục đích sử dụng dữ liệu. Nếu có thay đổi về dịch vụ hoặc nhu cầu xử lý, các bên cần đánh giá lại căn cứ pháp lý và sửa đổi thỏa thuận khi cần thiết.
Điều khoản về thời hạn xử lý và lưu trữ dữ liệu
Hợp đồng cần xác định thời điểm bắt đầu xử lý, thời hạn thực hiện dịch vụ và điều kiện chấm dứt việc xử lý dữ liệu.
Ngoài ra, cần quy định rõ thời điểm dữ liệu phải được hoàn trả, xóa hoặc hủy khi hợp đồng hết hạn, chấm dứt hoặc khi doanh nghiệp có yêu cầu hợp pháp.
Điều khoản này nên giải quyết những vấn đề như:
- Thời hạn lưu trữ dữ liệu trong hệ thống chính;
- Cách xử lý bản sao dữ liệu và dữ liệu sao lưu;
- Thời hạn hoàn trả hoặc xóa dữ liệu;
- Trường hợp phải tiếp tục lưu trữ theo yêu cầu pháp luật;
- Cơ chế xác nhận việc xóa hoặc hoàn trả dữ liệu.
Điều khoản về bảo mật và an toàn dữ liệu
Hợp đồng cần yêu cầu nhà cung cấp áp dụng các biện pháp bảo vệ dữ liệu phù hợp với loại dữ liệu, quy mô xử lý và mức độ rủi ro.
Các biện pháp có thể bao gồm:
- Phân quyền truy cập theo chức năng;
- Xác thực người dùng và quản lý tài khoản;
- Mã hóa dữ liệu khi truyền hoặc lưu trữ khi phù hợp;
- Ghi nhật ký truy cập và hoạt động xử lý;
- Kiểm soát việc sao chép, tải xuống và chuyển dữ liệu;
- Đào tạo nhân sự có quyền tiếp cận dữ liệu;
- Kiểm tra, đánh giá và cập nhật biện pháp bảo vệ định kỳ.
Điều khoản về sự cố và vi phạm dữ liệu cá nhân
Hợp đồng cần quy định rõ quy trình xử lý khi dữ liệu bị truy cập trái phép, thất thoát, tiết lộ hoặc sử dụng sai mục đích.
Các nội dung nên có gồm:
- Nghĩa vụ thông báo khi phát hiện hoặc nghi ngờ xảy ra sự cố;
- Đầu mối liên hệ và phương thức thông báo;
- Thông tin tối thiểu phải cung cấp về sự cố;
- Trách nhiệm phối hợp điều tra và khắc phục;
- Nghĩa vụ bảo toàn nhật ký, chứng cứ và dữ liệu liên quan;
- Cơ chế cập nhật tình hình và báo cáo kết quả xử lý;
- Phân định trách nhiệm về chi phí và thiệt hại theo hợp đồng, phù hợp với pháp luật.
Điều khoản về nhà thầu phụ và bên thứ ba
Một nhà cung cấp có thể sử dụng đơn vị khác để lưu trữ dữ liệu, hỗ trợ kỹ thuật, phân tích hoặc vận hành hệ thống. Nếu không kiểm soát hoạt động này, dữ liệu có thể tiếp tục được chuyển giao cho những bên mà doanh nghiệp chưa đánh giá.
DPA nên quy định:
- Trường hợp được phép sử dụng nhà thầu phụ;
- Nghĩa vụ thông báo hoặc xin chấp thuận trước khi bổ sung nhà thầu phụ;
- Yêu cầu nhà thầu phụ tuân thủ nghĩa vụ bảo vệ dữ liệu tương ứng;
- Trách nhiệm của nhà cung cấp đối với hành vi của nhà thầu phụ theo hợp đồng và pháp luật;
- Cơ chế thông báo khi thay đổi nhà thầu phụ hoặc địa điểm xử lý.
Điều khoản về hỗ trợ thực hiện quyền của chủ thể dữ liệu
Theo Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025, chủ thể dữ liệu có các quyền như được biết về hoạt động xử lý, đồng ý hoặc không đồng ý, rút lại sự đồng ý, yêu cầu xem hoặc chỉnh sửa dữ liệu, yêu cầu cung cấp, xóa hoặc hạn chế xử lý dữ liệu và các quyền khác theo quy định.
Vì vậy, hợp đồng cần quy định cách nhà cung cấp phối hợp khi doanh nghiệp nhận được yêu cầu của khách hàng, nhân viên hoặc cá nhân có dữ liệu đang được xử lý.
Các nội dung nên bao gồm:
- Cách tiếp nhận yêu cầu hỗ trợ từ doanh nghiệp;
- Thời hạn phản hồi và cung cấp thông tin;
- Cách tìm kiếm, truy xuất, chỉnh sửa hoặc xóa dữ liệu;
- Trách nhiệm hỗ trợ xác minh và thực hiện yêu cầu;
- Cơ chế xử lý khi dữ liệu đã được chuyển cho nhà thầu phụ.
Điều khoản về chuyển dữ liệu và địa điểm xử lý
Đối với nhà cung cấp sử dụng máy chủ hoặc nhân sự tại nhiều quốc gia, hợp đồng cần làm rõ địa điểm lưu trữ, xử lý và khả năng truy cập dữ liệu từ nước ngoài.
Các nội dung nên được xem xét gồm:
- Quốc gia hoặc khu vực nơi dữ liệu được lưu trữ;
- Các địa điểm có thể truy cập hoặc xử lý dữ liệu;
- Điều kiện chuyển dữ liệu sang bên khác hoặc sang quốc gia khác;
- Nghĩa vụ thông báo khi thay đổi hạ tầng hoặc địa điểm xử lý;
- Trách nhiệm phối hợp thực hiện yêu cầu pháp luật về chuyển dữ liệu cá nhân xuyên biên giới.
Điều khoản về kiểm tra, cung cấp bằng chứng tuân thủ
Doanh nghiệp cần có cơ chế kiểm tra việc nhà cung cấp thực hiện nghĩa vụ bảo vệ dữ liệu. Hợp đồng nên quy định quyền yêu cầu cung cấp tài liệu, báo cáo, kết quả đánh giá hoặc bằng chứng phù hợp để chứng minh việc tuân thủ.
Các nội dung có thể gồm:
- Cung cấp thông tin về biện pháp bảo vệ dữ liệu;
- Báo cáo kết quả kiểm tra hoặc đánh giá bảo mật;
- Phối hợp khi doanh nghiệp hoặc cơ quan có thẩm quyền yêu cầu;
- Kiểm tra theo kế hoạch hoặc khi có dấu hiệu rủi ro;
- Bảo vệ thông tin mật của nhà cung cấp trong quá trình kiểm tra.
Điều khoản về trách nhiệm, bồi thường và giải quyết tranh chấp
DPA nên xác định cách xử lý khi một bên vi phạm nghĩa vụ, gây thiệt hại hoặc không thực hiện đúng thỏa thuận.
Các nội dung nên xem xét gồm:
- Trách nhiệm khắc phục vi phạm;
- Nghĩa vụ phối hợp giảm thiểu thiệt hại;
- Nguyên tắc phân bổ chi phí xử lý sự cố;
- Trách nhiệm bồi thường theo căn cứ và phạm vi pháp luật cho phép;
- Cơ chế thông báo, thương lượng và giải quyết tranh chấp;
- Mối quan hệ giữa DPA và hợp đồng dịch vụ chính.
Điều khoản về hoàn trả, xóa và hủy dữ liệu khi kết thúc hợp đồng
Khi dịch vụ chấm dứt, nhà cung cấp cần thực hiện việc hoàn trả hoặc xóa dữ liệu theo thỏa thuận và quy định pháp luật. Đây là điều khoản đặc biệt quan trọng đối với các dịch vụ lưu trữ đám mây, quản lý nhân sự và xử lý dữ liệu khách hàng.
Hợp đồng nên quy định:
- Phương thức hoàn trả dữ liệu và định dạng bàn giao;
- Thời hạn xóa dữ liệu khỏi hệ thống đang hoạt động;
- Cách xử lý bản sao, bản sao lưu và dữ liệu tại nhà thầu phụ;
- Trường hợp cần tiếp tục lưu trữ theo pháp luật;
- Cách xác nhận việc hoàn trả hoặc xóa dữ liệu.
Bảng so sánh hợp đồng dịch vụ thông thường và hợp đồng xử lý dữ liệu cá nhân
| Tiêu chí | Hợp đồng dịch vụ thông thường | Hợp đồng xử lý dữ liệu cá nhân (DPA) |
| Mục đích chính | Quy định dịch vụ, giá, tiến độ và nghiệm thu | Quy định phạm vi, điều kiện và trách nhiệm xử lý dữ liệu cá nhân |
| Phạm vi dữ liệu | Có thể chỉ đề cập chung đến thông tin bảo mật | Xác định nhóm dữ liệu, đối tượng dữ liệu và mục đích xử lý |
| Vai trò các bên | Xác định bên cung cấp và bên sử dụng dịch vụ | Làm rõ vai trò pháp lý trong hoạt động xử lý dữ liệu |
| Bảo mật | Thường quy định nghĩa vụ bảo mật chung | Có thể quy định cụ thể biện pháp bảo vệ, phân quyền và kiểm soát truy cập |
| Sự cố dữ liệu | Có thể chưa có quy trình riêng | Xác định cơ chế thông báo, phối hợp và khắc phục sự cố |
| Nhà thầu phụ | Điều chỉnh theo điều khoản thuê ngoài chung | Kiểm soát việc nhà thầu phụ tiếp cận và xử lý dữ liệu |
| Quyền của chủ thể dữ liệu | Thường không quy định đầy đủ | Xác định nghĩa vụ hỗ trợ thực hiện quyền theo pháp luật |
| Kết thúc hợp đồng | Bàn giao hoặc chấm dứt dịch vụ | Quy định hoàn trả, xóa, hủy và xử lý bản sao dữ liệu |
| Căn cứ pháp lý | Phụ thuộc loại hợp đồng và lĩnh vực | Đối chiếu nghĩa vụ về xử lý dữ liệu cá nhân, đặc biệt Điều 37 Luật BVDLCN năm 2025. |
Những sai sót doanh nghiệp cần tránh khi soạn thảo DPA
Chỉ sử dụng điều khoản bảo mật chung
Cam kết giữ bí mật không thay thế được các quy định về mục đích, phạm vi xử lý, quyền truy cập, nhà thầu phụ, xử lý sự cố và xóa dữ liệu. Doanh nghiệp nên rà soát toàn bộ vòng đời dữ liệu thay vì chỉ bổ sung một điều khoản bảo mật ngắn.
Không xác định rõ vai trò của nhà cung cấp
Nếu nhà cung cấp tự quyết định mục đích sử dụng dữ liệu, họ có thể không chỉ đóng vai trò bên xử lý theo chỉ dẫn của doanh nghiệp. Việc xác định sai vai trò có thể dẫn đến thiết kế hợp đồng không phù hợp và bỏ sót nghĩa vụ pháp lý.
Cho phép sử dụng dữ liệu ngoài phạm vi dịch vụ
Các điều khoản cho phép nhà cung cấp sử dụng dữ liệu để phân tích, quảng cáo hoặc cải thiện sản phẩm cần được xem xét kỹ. Doanh nghiệp cần xác định mục đích, căn cứ pháp lý và giới hạn sử dụng tương ứng, thay vì chấp nhận quyền sử dụng dữ liệu quá rộng.
Không quy định cơ chế xử lý sự cố
Nếu hợp đồng không có đầu mối liên hệ, thời hạn thông báo và nghĩa vụ phối hợp, doanh nghiệp có thể không nhận được thông tin kịp thời khi xảy ra sự cố. Đây là điểm cần ưu tiên khi đàm phán DPA.
Không rà soát dữ liệu sau khi kết thúc hợp tác
Việc chấm dứt hợp đồng dịch vụ không tự động bảo đảm dữ liệu đã được xóa khỏi hệ thống của nhà cung cấp. Doanh nghiệp cần có quy trình thu hồi quyền truy cập, hoàn trả hoặc xóa dữ liệu và lưu bằng chứng về việc hoàn thành.
Quy trình rà soát và ký kết hợp đồng xử lý dữ liệu cá nhân
Để hạn chế rủi ro, doanh nghiệp có thể triển khai quy trình gồm các bước sau:
- Bước 1: Xác định hoạt động xử lý dữ liệu. Kiểm kê dữ liệu mà nhà cung cấp cần tiếp cận, mục đích xử lý và thời hạn sử dụng.
- Bước 2: Phân định vai trò và trách nhiệm của các bên. Làm rõ doanh nghiệp và nhà cung cấp là bên kiểm soát dữ liệu, bên xử lý dữ liệu hay đảm nhiệm vai trò khác theo hoạt động thực tế.
- Bước 3: Đánh giá nhà cung cấp. Kiểm tra biện pháp bảo mật, năng lực xử lý, nhà thầu phụ, địa điểm lưu trữ và khả năng đáp ứng nghĩa vụ hợp đồng.
- Bước 4: Soạn thảo hoặc rà soát DPA. Xác định phạm vi dữ liệu, mục đích xử lý, quyền truy cập, bảo mật, sự cố, chuyển dữ liệu và nghĩa vụ khi chấm dứt hợp đồng.
- Bước 5: Phê duyệt và ký kết. Bảo đảm thỏa thuận được ký bởi người có thẩm quyền và phù hợp với hợp đồng dịch vụ chính.
- Bước 6: Giám sát quá trình thực hiện. Theo dõi việc tuân thủ, kiểm tra khi cần thiết và cập nhật thỏa thuận nếu có thay đổi đáng kể về dịch vụ hoặc luồng dữ liệu.
- Bước 7: Kết thúc xử lý. Thu hồi quyền truy cập, nhận lại hoặc yêu cầu xóa dữ liệu theo thỏa thuận và lưu hồ sơ xác nhận.
Dịch vụ tư vấn hợp đồng xử lý dữ liệu cá nhân của Luật Việt An
Việc soạn thảo DPA đòi hỏi doanh nghiệp vừa bảo đảm tuân thủ pháp luật, vừa thiết kế điều khoản có thể triển khai trong thực tế. Một hợp đồng quá chung chung có thể không kiểm soát được rủi ro, trong khi các nghĩa vụ không rõ ràng hoặc khó thực hiện có thể gây tranh chấp giữa doanh nghiệp và nhà cung cấp.
Doanh nghiệp có thể tham khảo dịch vụ tư vấn pháp lý xử lý dữ liệu cá nhân cho doanh nghiệp của Luật Việt An để được hỗ trợ rà soát nghĩa vụ pháp lý, đánh giá hoạt động xử lý dữ liệu, hoàn thiện hợp đồng và xây dựng giải pháp quản trị rủi ro phù hợp. Chi tiết tại đường link: https://luatvietan.vn/tu-van-phap-ly-xu-ly-du-lieu-ca-nhan.html
Câu hỏi thường gặp về hợp đồng xử lý dữ liệu cá nhân với nhà cung cấp
Doanh nghiệp có bắt buộc phải ký hợp đồng xử lý dữ liệu cá nhân với nhà cung cấp không?
Theo khoản 2 Điều 37 Luật Bảo vệ dữ liệu cá nhân năm 2025, bên xử lý dữ liệu cá nhân chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận hoặc hợp đồng xử lý dữ liệu với bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu cá nhân. Doanh nghiệp cần xác định đúng vai trò của nhà cung cấp và hoạt động xử lý cụ thể để áp dụng quy định này.
DPA có bắt buộc phải là hợp đồng riêng biệt không?
Không nhất thiết. Doanh nghiệp có thể lập DPA thành hợp đồng riêng hoặc phụ lục của hợp đồng dịch vụ, miễn là thỏa thuận đáp ứng yêu cầu pháp luật áp dụng và xác định rõ trách nhiệm của các bên trong việc xử lý dữ liệu cá nhân.
Hợp đồng xử lý dữ liệu có cần quy định thời hạn thông báo sự cố không?
Doanh nghiệp nên quy định cụ thể thời hạn và phương thức thông báo để bảo đảm khả năng ứng phó kịp thời. Thời hạn hợp đồng cần được thiết kế phù hợp với nghĩa vụ pháp luật áp dụng, không làm chậm việc thực hiện nghĩa vụ bắt buộc của các bên.
Nhà cung cấp có được sử dụng dữ liệu khách hàng cho mục đích riêng không?
Không thể mặc nhiên cho phép. Nhà cung cấp phải tuân thủ phạm vi và mục đích xử lý đã thỏa thuận. Nếu muốn sử dụng dữ liệu cho mục đích riêng, các bên cần đánh giá lại vai trò, căn cứ pháp lý và các điều kiện áp dụng trước khi triển khai.
Hợp đồng xử lý dữ liệu cá nhân với nhà cung cấp: Các điều khoản cần có là nội dung doanh nghiệp nên rà soát để bảo đảm tuân thủ và kiểm soát rủi ro. Nếu doanh nghiệp cần tư vấn, xây dựng hoặc rà soát hợp đồng xử lý dữ liệu cá nhân với nhà cung cấp, Luật Việt An sẵn sàng đồng hành, hỗ trợ doanh nghiệp tuân thủ quy định pháp luật, bảo vệ dữ liệu cá nhân và hạn chế tối đa các rủi ro pháp lý phát sinh.
