Bên kiểm soát dữ liệu cá nhân là bên "cầm lái": quyết định thu dữ liệu nào, dùng vào việc gì, bằng phương tiện gì. Vì cầm lái nên cũng là bên đứng ra chịu trách nhiệm trước người có dữ liệu — kể cả khi việc xử lý thực tế được thuê một công ty khác làm.
Định nghĩa theo văn bản pháp luật
Bên kiểm soát dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
Khoản 7 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026); trách nhiệm tại khoản 1 Điều 37.
Giải nghĩa dễ hiểu
Bốn vai trong một chuỗi xử lý
- Bên kiểm soát — quyết định mục đích, phương tiện, nhưng không tự tay làm (khoản 7 Điều 2).
- Bên xử lý — làm theo yêu cầu của bên kiểm soát thông qua hợp đồng (khoản 8).
- Bên kiểm soát và xử lý — vừa quyết định vừa tự làm; gánh trách nhiệm của cả hai vai (khoản 9, khoản 3 Điều 37). Đa số doanh nghiệp tự quản lý dữ liệu khách hàng rơi vào vai này.
- Bên thứ ba — tổ chức, cá nhân khác tham gia xử lý theo quy định pháp luật (khoản 10).
Cách nhận diện nhanh: ai trả lời được câu "vì sao thu dữ liệu này?" thì đó là bên kiểm soát. Công ty phần mềm lưu trữ hộ không quyết định mục đích nên là bên xử lý; nhưng nếu họ tự ý dùng dữ liệu khách của khách hàng để huấn luyện sản phẩm riêng, họ đã tự biến mình thành bên kiểm soát với phần dữ liệu đó — và vi phạm hợp đồng.
Mười trách nhiệm ở khoản 1 Điều 37
- Ghi rõ quyền, nghĩa vụ các bên trong hợp đồng liên quan đến xử lý dữ liệu.
- Quyết định mục đích, phương tiện xử lý bằng văn bản, thỏa thuận với chủ thể.
- Áp dụng biện pháp quản lý, kỹ thuật phù hợp; rà soát, cập nhật khi cần.
- Thông báo vi phạm theo Điều 23.
- Chọn bên xử lý phù hợp.
- Bảo đảm các quyền của chủ thể theo Điều 4.
- Chịu trách nhiệm trước chủ thể về thiệt hại do xử lý gây ra.
- Ngăn chặn thu thập trái phép từ hệ thống của mình.
- Phối hợp với Bộ Công an, cơ quan có thẩm quyền.
- Trách nhiệm khác theo luật.
Nhân sự bảo vệ dữ liệu
Cơ quan, tổ chức phải chỉ định bộ phận, nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ (khoản 2 Điều 33 Luật 91). Nhân sự được chỉ định phải có trình độ từ cao đẳng, ít nhất 02 năm kinh nghiệm trong pháp chế, công nghệ thông tin, an ninh mạng, quản trị rủi ro, tuân thủ, nhân sự…, đã qua đào tạo về bảo vệ dữ liệu; việc chỉ định phải bằng văn bản (Điều 13 Nghị định 356/2025). Không ban hành văn bản chỉ định bị phạt 20–30 triệu đồng (Điều 57 Nghị định 330/2026).
Phân biệt bên kiểm soát với bên xử lý dữ liệu cá nhân
| Tiêu chí | Bên kiểm soát | Bên xử lý |
|---|---|---|
| Căn cứ | Khoản 7 Điều 2, khoản 1 Điều 37 Luật 91 | Khoản 8 Điều 2, khoản 2 Điều 37 Luật 91 |
| Quyết định mục đích | Có | Không — làm đúng hợp đồng |
| Tiếp nhận dữ liệu | Thu từ chủ thể hoặc nguồn hợp pháp | Chỉ sau khi có hợp đồng xử lý dữ liệu |
| Phát hiện vi phạm | Báo cơ quan chuyên trách chậm nhất 72 giờ | Báo kịp thời cho bên kiểm soát |
| Chịu trách nhiệm trước ai | Trước chủ thể dữ liệu | Trước bên kiểm soát |
| Hồ sơ đánh giá tác động | Lập và nộp trong 60 ngày | Lập, lưu theo thỏa thuận với bên kiểm soát |
Ví dụ tình huống
Một trường tiểu học tư thục ở phường Long Biên, Hà Nội dùng ứng dụng điểm danh bằng camera của Công ty phần mềm K, lưu ảnh và lịch sử ra vào của 900 học sinh. Ngày 14/9/2026 (thứ Hai), lúc 9 giờ, Công ty K phát hiện máy chủ bị truy cập trái phép, tệp ảnh học sinh bị rao bán trên một diễn đàn.
Phân tích: trường quyết định mục đích (điểm danh, báo phụ huynh) nên là bên kiểm soát; Công ty K là bên xử lý. Công ty K phải báo ngay cho trường. Nhà trường phải: lập biên bản xác nhận vi phạm; thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 9 giờ ngày 17/9/2026 (72 giờ), nội dung gồm thời gian, loại và số lượng dữ liệu, hậu quả có thể xảy ra, biện pháp khắc phục (Điều 23 Luật 91, Điều 28 NĐ 356); thông báo cho phụ huynh. Báo chậm quá 72 giờ, trường có thể bị phạt 40–60 triệu đồng (khoản 3 Điều 54 NĐ 330/2026). Trước phụ huynh, trường chịu trách nhiệm bồi thường (điểm g khoản 1 Điều 37); sau đó trường truy đòi Công ty K theo hợp đồng. Riêng Công ty K: ứng dụng giáo dục có điểm danh, ghi hình là dịch vụ xử lý dữ liệu cá nhân phải có Giấy chứng nhận đủ điều kiện (khoản 5 Điều 21 NĐ 356) — thiếu giấy là thêm một vi phạm.
Áp dụng trong thực tế và ngoại lệ
- Hợp đồng xử lý dữ liệu với nhà cung cấp phải nêu mục đích, loại dữ liệu, thời hạn, nghĩa vụ xóa khi kết thúc, trách nhiệm khi xảy ra sự cố (Điều 7 NĐ 356). Bên xử lý không xóa hoặc trả lại dữ liệu khi hết hợp đồng bị phạt 30–50 triệu đồng (Điều 51 NĐ 330).
- Cá nhân cũng có thể là bên kiểm soát: người bán hàng online tự lập danh sách khách để chăm sóc. Mức phạt với cá nhân bằng một nửa mức của tổ chức (Điều 7 NĐ 330).
- Miễn chỉ định nhân sự bảo vệ dữ liệu cho hộ kinh doanh, doanh nghiệp siêu nhỏ; doanh nghiệp nhỏ, khởi nghiệp chọn miễn 05 năm — trừ diện xử lý dữ liệu nhạy cảm, từ 100.000 chủ thể, hoặc kinh doanh dịch vụ xử lý dữ liệu (Điều 41 NĐ 356).
- Lĩnh vực tài chính, ngân hàng: ngoài nghĩa vụ chung còn phải đánh giá tuân thủ 01 năm/lần, ghi nhật ký toàn bộ hoạt động xử lý (Điều 8 NĐ 356).
Những chỗ hay hiểu sai
- Sai: "Thuê dịch vụ đám mây là đẩy được trách nhiệm cho nhà cung cấp." — Đúng: bên kiểm soát vẫn chịu trách nhiệm trước chủ thể; chỉ có thể đòi lại nhà cung cấp theo hợp đồng.
- Sai: "Chỉ công ty lớn mới là bên kiểm soát." — Đúng: phòng khám, cửa hàng, cả cá nhân bán hàng online đều có thể là bên kiểm soát.
- Sai: "72 giờ tính từ khi điều tra xong." — Đúng: tính từ khi phát hiện hành vi vi phạm.
- Sai: "Ai trong công ty cũng làm nhân sự bảo vệ dữ liệu được." — Đúng: phải đáp ứng trình độ, kinh nghiệm, đào tạo theo Điều 13 NĐ 356 và có văn bản chỉ định.
Thuật ngữ tiếng Anh tương đương
Bên kiểm soát là data controller, bên xử lý là data processor — cặp thuật ngữ của GDPR. "Bên kiểm soát và xử lý" không có tên riêng trong GDPR; có thể dịch controller-processor kèm chú thích. Nhân sự bảo vệ dữ liệu gần với data protection officer (DPO), nhưng điều kiện năng lực theo Nghị định 356 cụ thể hơn GDPR. Không dịch "bên kiểm soát" là data supervisor — dễ nhầm với cơ quan giám sát nhà nước.
Thuật ngữ liên quan
- Bên xử lý dữ liệu cá nhân — bên làm theo hợp đồng với bên kiểm soát
- Xử lý dữ liệu cá nhân — hoạt động bên kiểm soát quyết định
- Quyền của chủ thể dữ liệu — các yêu cầu bên kiểm soát phải đáp ứng đúng hạn
- Bảo vệ dữ liệu cá nhân — khung nghĩa vụ chung
- Chuyển dữ liệu cá nhân ra nước ngoài — nghĩa vụ riêng khi dùng máy chủ nước ngoài
- Hệ thống thông tin — nơi bên kiểm soát phải chặn thu thập trái phép
Căn cứ pháp lý
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Điều 2, 21, 23, 33, 37, 38; hiệu lực từ 01/01/2026.
- Nghị định 356/2025/NĐ-CP — Điều 7, 8, 13, 21, 28, 41; hiệu lực từ 01/01/2026.
- Nghị định 330/2026/NĐ-CP — Điều 7, 51, 54, 57; hiệu lực từ 19/8/2026.
Hỏi đáp nhanh
Doanh nghiệp có phải thông báo cho khách khi bị lộ dữ liệu không?
Luật 91 buộc báo cơ quan chuyên trách trong 72 giờ. Với dữ liệu nhạy cảm trong tài chính, ngân hàng và với dữ liệu vị trí, sinh trắc học, Nghị định 356/2025 còn buộc báo cho chính khách hàng bị ảnh hưởng trong 72 giờ (Điều 8, Điều 29). Các trường hợp khác, báo cho khách là cách giảm thiệt hại và giảm trách nhiệm bồi thường.
Công ty mẹ ở nước ngoài quyết định cách dùng dữ liệu khách Việt Nam thì ai là bên kiểm soát?
Bên nào thực sự quyết định mục đích và phương tiện là bên kiểm soát, dù ở nước ngoài — Luật 91 áp dụng cả với tổ chức nước ngoài xử lý dữ liệu của công dân Việt Nam. Nếu dữ liệu được chuyển ra máy chủ nước ngoài, còn phải lập hồ sơ chuyển dữ liệu cá nhân xuyên biên giới.
Thuê luật sư ngoài làm nhân sự bảo vệ dữ liệu có được không?
Được. Khoản 2 Điều 33 Luật 91 cho phép thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân thay cho việc chỉ định nhân sự nội bộ; người cung cấp dịch vụ phải đáp ứng điều kiện tại Điều 15, 16 Nghị định 356/2025.
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.