Trả lời nhanh: Khi dữ liệu rò rỉ từ hệ thống của nhà cung cấp, câu trả lời pháp lý không nằm ở nơi dữ liệu bị mất, mà ở vai trò của từng bên: doanh nghiệp thuê dịch vụ trong vai trò bên kiểm soát dữ liệu vẫn chịu trách nhiệm trước khách hàng và cơ quan quản lý, còn vendor trong vai trò bên xử lý chịu trách nhiệm theo luật và theo thỏa thuận xử lý dữ liệu (DPA) đã ký. Hợp đồng ký trước khi sự cố xảy ra quyết định gần như toàn bộ kết quả phân bổ thiệt hại.
Trách nhiệm trước bên ngoài và trách nhiệm nội bộ là hai việc khác nhau
Theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/ND-CP, bên kiểm soát quyết định mục đích và phương tiện xử lý nên mang trách nhiệm chính về tính hợp pháp của toàn bộ hoạt động xử lý, kể cả phần giao cho vendor; khi sự cố xảy ra tại vendor, doanh nghiệp vẫn là đầu mối thông báo cho cơ quan bảo vệ dữ liệu và ứng phó với yêu cầu của chủ thể dữ liệu. Bên xử lý — vendor — chịu trách nhiệm trong phạm vi nhiệm vụ được ủy thác: xử lý đúng chỉ đạo, áp dụng biện pháp bảo mật đã cam kết và thông báo sự cố cho bên kiểm soát. Sau khi hoàn thành trách nhiệm với bên ngoài, doanh nghiệp truy đòi vendor theo DPA và hợp đồng dịch vụ: bồi thường thiệt hại, chia sẻ chi phí ứng phó và khoản phạt phải gánh do lỗi của vendor, trong giới hạn trách nhiệm đã thỏa thuận — giới hạn quá thấp so với rủi ro dữ liệu là lỗi đàm phán phổ biến nhất.
DPA phải chứa gì và thông báo trong bao lâu
Một DPA đạt chuẩn cần: phạm vi và mục đích xử lý vendor được làm; chuẩn bảo mật tối thiểu và quyền kiểm toán của doanh nghiệp; nghĩa vụ thông báo sự cố của vendor trong thời hạn ngắn được ghi bằng con số cụ thể trong hợp đồng — cần nói rõ đây là thỏa thuận hợp đồng theo thông lệ quản trị tốt, doanh nghiệp không nên chờ một mốc luật định chung rồi mới hành động; quản lý nhà thầu phụ của vendor; và hoàn trả, xóa dữ liệu khi kết thúc. Đánh giá an ninh vendor trước khi ký nên gồm: chứng nhận và báo cáo đánh giá an ninh, lịch sử sự cố, kiến trúc mã hóa và phân quyền truy cập, cùng điều khoản diễn tập ứng phó chung. Sau sự cố, nhật ký truy cập và báo cáo pháp y của vendor là bằng chứng quyết định phân bổ trách nhiệm, nên DPA phải bảo đảm quyền tiếp cận các tài liệu này.
Checklist quản trị rủi ro vendor
- Phân loại vendor theo mức nhạy cảm của dữ liệu họ chạm tới; vendor dữ liệu nhạy cảm chịu đánh giá sâu nhất.
- DPA riêng cho từng vendor dữ liệu, không dùng điều khoản bảo mật chung chung trong hợp đồng mua bán.
- Giới hạn trách nhiệm trong hợp đồng phải cân xứng với rủi ro dữ liệu, có ngoại lệ cho vi phạm bảo mật.
- Đánh giá lại an ninh vendor định kỳ và sau mỗi sự cố, kể cả sự cố không gây rò rỉ.
Câu hỏi thường gặp
Trách nhiệm khi vendor làm rò rỉ dữ liệu khách hàng thuộc về ai?
Trước khách hàng và cơ quan quản lý, bên kiểm soát dữ liệu là doanh nghiệp thuê dịch vụ chịu trách nhiệm chính và thực hiện thông báo sự cố. Trong quan hệ nội bộ, vendor chịu trách nhiệm theo DPA và hợp đồng về phần lỗi của mình — bảo mật không đạt cam kết, xử lý vượt chỉ đạo — và phải bồi hoàn thiệt hại, chi phí ứng phó theo thỏa thuận. Hai lớp trách nhiệm này không thay thế nhau.
Điều khoản DPA trong hợp đồng thuê ngoài cần có gì?
Phạm vi và mục đích xử lý được phép; chuẩn bảo mật tối thiểu; quyền kiểm toán và tiếp cận nhật ký; nghĩa vụ thông báo sự cố trong thời hạn cụ thể; quản lý nhà thầu phụ; bảo mật sau chấm dứt và hoàn trả/xóa dữ liệu. DPA là văn bản quyết định phân bổ rủi ro khi sự cố xảy ra, cần được soạn như một phụ lục pháp lý độc lập chứ không phải vài dòng trong điều khoản chung.
Vendor phải thông báo sự cố trong bao lâu?
Theo thời hạn ghi trong DPA — thông lệ quản trị tốt là thông báo ngay khi phát hiện, trong vòng một đến hai ngày, kèm thông tin ban đầu về phạm vi. Doanh nghiệp không nên giả định một mốc luật định chung cho quan hệ vendor — bên kiểm soát mới là chủ thể có nghĩa vụ thông báo cho cơ quan quản lý theo Luật 91/2025, nên thời hạn vendor báo nội bộ phải đủ sớm để doanh nghiệp kịp thực hiện nghĩa vụ của mình.
Đánh giá an ninh vendor trước khi ký thế nào?
Theo mức nhạy cảm dữ liệu: yêu cầu chứng nhận an ninh và báo cáo đánh giá độc lập còn hiệu lực, tra cứu lịch sử sự cố công khai, đánh giá kiến trúc mã hóa và phân quyền, kiểm tra chính sách nhà thầu phụ và năng lực ứng phó sự cố. Kết quả đánh giá nên được ghi thành phụ lục cam kết để vendor chịu trách nhiệm với chính trạng thái an ninh đã trình bày khi chào thầu.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng