Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân làm thay việc xử lý dữ liệu cá nhân cho người khác — theo yêu cầu của bên kiểm soát và thông qua hợp đồng. Bên xử lý không tự quyết định thu dữ liệu để làm gì, bằng cách nào; quyết định đó thuộc bên kiểm soát.
Định nghĩa theo văn bản pháp luật
8. Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.
Khoản 8 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026)
Giải nghĩa dễ hiểu
Ba dấu hiệu nhận biết
- Làm theo yêu cầu: mục đích và phương tiện xử lý do bên kiểm soát quyết định (khoản 7 Điều 2).
- Có hợp đồng: luật buộc bên xử lý chỉ tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng (điểm a khoản 2 Điều 37).
- Không dùng cho việc riêng: dùng dữ liệu nhận được cho mục đích của chính mình thì không còn là bên xử lý mà trở thành bên tự quyết mục đích, với đầy đủ nghĩa vụ — và thường là vi phạm.
Ví dụ thường gặp: nhà cung cấp phần mềm quản lý khách hàng, điện toán đám mây, tổng đài thuê ngoài, công ty giao hàng, kế toán dịch vụ. Cùng một doanh nghiệp có thể là bên xử lý với dữ liệu của khách hàng giao và là bên kiểm soát với dữ liệu nhân viên của chính mình.
Trách nhiệm của bên xử lý (khoản 2 Điều 37)
- Chỉ nhận dữ liệu khi đã có thỏa thuận, hợp đồng; xử lý đúng thỏa thuận đó.
- Thực hiện đầy đủ biện pháp bảo vệ dữ liệu; ngăn thu thập trái phép từ hệ thống của mình.
- Chịu trách nhiệm trước bên kiểm soát về thiệt hại do quá trình xử lý gây ra.
- Phối hợp với Bộ Công an, cung cấp thông tin phục vụ điều tra vi phạm.
- Phát hiện vi phạm thì thông báo kịp thời cho bên kiểm soát (khoản 1 Điều 23).
Hợp đồng phải có gì
Khi bên kiểm soát chuyển giao dữ liệu cho bên xử lý, thỏa thuận phải nêu: mục đích chuyển giao; đối tượng chủ thể và loại dữ liệu; thời hạn xử lý và yêu cầu xóa, hủy khi xong việc; cơ sở pháp lý; trách nhiệm bảo vệ dữ liệu; trách nhiệm thực hiện quyền của chủ thể; trách nhiệm phối hợp khi có vi phạm (khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP). Thiếu ba nội dung về trách nhiệm, tổ chức bị phạt 20–30 triệu đồng (khoản 1 Điều 52 Nghị định 330/2026/NĐ-CP). Dữ liệu nhạy cảm chuyển giao phải có bảo mật vật lý thiết bị, mã hóa, ẩn danh; thiếu thì phạt 50–80 triệu đồng (khoản 3 Điều 52).
Phân biệt bên xử lý với bên kiểm soát dữ liệu cá nhân
| Tiêu chí | Bên xử lý | Bên kiểm soát |
|---|---|---|
| Quyết định mục đích, phương tiện | Không, làm theo yêu cầu | Có |
| Chịu trách nhiệm trước ai về thiệt hại | Trước bên kiểm soát (điểm d khoản 2 Điều 37) | Trước chủ thể dữ liệu (điểm g khoản 1 Điều 37) |
| Xin sự đồng ý của chủ thể | Không trực tiếp, trừ khi được giao | Có, và phải lưu bằng chứng |
| Hồ sơ đánh giá tác động | Lập, lưu theo thỏa thuận | Lập, lưu và gửi bản chính trong 60 ngày từ ngày đầu xử lý |
| Khi phát hiện vi phạm | Báo bên kiểm soát kịp thời | Báo cơ quan chuyên trách chậm nhất 72 giờ |
Tổ chức vừa tự quyết mục đích vừa tự xử lý là bên kiểm soát và xử lý dữ liệu cá nhân, gánh cả hai nhóm trách nhiệm (khoản 3 Điều 37).
Ví dụ tình huống
Chuỗi spa Mộc An (phường Bến Thành, TP. Hồ Chí Minh) thuê Công ty phần mềm Sao Mai cung cấp hệ thống quản lý khách hàng dạng dịch vụ, chứa hồ sơ khoảng 42.000 khách gồm họ tên, số điện thoại và ghi chú tình trạng da, liệu trình. Hợp đồng chỉ có điều khoản kỹ thuật và giá. Ngày 03/9/2026, Sao Mai phát hiện máy chủ bị truy cập trái phép nhưng 6 ngày sau mới báo Mộc An; danh sách khách đã bị rao bán trên mạng.
Kết luận: Sao Mai là bên xử lý. Ghi chú tình trạng da là thông tin sức khỏe, thuộc dữ liệu nhạy cảm. Mộc An là bên kiểm soát nên chịu trách nhiệm bồi thường trước khách hàng (điểm g khoản 1 Điều 37), rồi có quyền đòi Sao Mai bồi hoàn theo điểm d khoản 2 Điều 37 và hợp đồng. Mộc An phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 giờ kể từ khi phát hiện (Điều 23); việc Sao Mai báo chậm 6 ngày là vi phạm nghĩa vụ "thông báo kịp thời" của bên xử lý. Cả hai còn đối mặt chế tài hành chính: hợp đồng thiếu nội dung trách nhiệm, không mã hóa dữ liệu nhạy cảm. Sao Mai còn bị xem xét điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.
Áp dụng trong thực tế và ngoại lệ
- Kinh doanh dịch vụ xử lý dữ liệu cá nhân là hoạt động có điều kiện. Nghị định 356/2025/NĐ-CP liệt kê 9 loại dịch vụ (Điều 21), như vận hành phần mềm tự động xử lý thay bên kiểm soát, chấm điểm tín nhiệm, thu thập dữ liệu trực tuyến, ứng dụng y tế, giáo dục có giám sát, phân tích dữ liệu, mã hóa, xử lý bằng trí tuệ nhân tạo, cung cấp dữ liệu vị trí. Tổ chức làm các dịch vụ này cần Giấy chứng nhận đủ điều kiện do Bộ Công an cấp, có người phụ trách chuyên môn là công dân Việt Nam thường trú tại Việt Nam và tối thiểu 03 nhân sự đủ điều kiện (Điều 22, 24). Kinh doanh khi chưa có giấy chứng nhận bị phạt 50–80 triệu đồng (khoản 3 Điều 59 Nghị định 330/2026/NĐ-CP).
- Điện toán đám mây: nhà cung cấp phải đánh giá tuân thủ 01 năm/lần, buộc nhà thầu phụ tuân thủ; dữ liệu cá nhân trên đám mây phải mã hóa khi lưu và khi truyền (Điều 12 Nghị định 356).
Những chỗ hay hiểu sai
- Sai: chỉ là bên làm thuê nên không chịu trách nhiệm gì. — Đúng: bên xử lý có nghĩa vụ riêng, bị xử phạt riêng và phải bồi hoàn cho bên kiểm soát.
- Sai: giao dữ liệu cho bên xử lý là "mua bán dữ liệu". — Đúng: chuyển giao cho bên xử lý theo quy định, có thu phí hay không, không bị coi là mua bán (khoản 2 Điều 17 Luật).
- Sai: đã thuê ngoài thì trách nhiệm với khách hàng chuyển sang bên thuê ngoài. — Đúng: bên kiểm soát vẫn chịu trách nhiệm trước chủ thể dữ liệu.
- Sai: bên xử lý được giữ dữ liệu sau khi hết hợp đồng "để phòng". — Đúng: thỏa thuận phải nêu yêu cầu xóa, hủy khi hoàn thành mục đích; giữ lại để dùng là xử lý trái phép.
Thuật ngữ tiếng Anh tương đương
Tương đương personal data processor hoặc gọn là processor trong Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR); bên kiểm soát là controller. Hợp đồng giữa hai bên thường gọi data processing agreement (DPA). Không nên dịch là data handler vì từ này không có nghĩa pháp lý xác định. "Bên kiểm soát và xử lý dữ liệu cá nhân" chưa có thuật ngữ tương ứng trực tiếp; có thể dịch controller-processor kèm chú thích.
Thuật ngữ liên quan
- Bên kiểm soát dữ liệu cá nhân — bên giao việc, quyết định mục đích
- Xử lý dữ liệu cá nhân — công việc bên xử lý thực hiện
- Dữ liệu cá nhân nhạy cảm — kéo theo yêu cầu mã hóa, bảo mật cao hơn
- Chuyển dữ liệu cá nhân ra nước ngoài — khi bên xử lý hoặc máy chủ ở nước ngoài
- Bảo vệ dữ liệu cá nhân — khung nghĩa vụ chung
- Quyền của chủ thể dữ liệu — bên xử lý phải hỗ trợ thực hiện
Căn cứ pháp lý
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026) — khoản 7, 8, 9 Điều 2; Điều 17, 21, 23, 28, 37, 38.
- Nghị định 356/2025/NĐ-CP (hiệu lực 01/01/2026) — Điều 5, 7, 12, 19, 21–24, 41.
- Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026) — Điều 7, 52, 59.
Hỏi đáp nhanh
Công ty kế toán dịch vụ giữ bảng lương của khách có phải là bên xử lý dữ liệu cá nhân?
Có, đối với dữ liệu nhân viên của khách hàng: công ty kế toán xử lý theo yêu cầu và mục đích do khách hàng quyết định. Vì vậy hai bên cần có thỏa thuận về xử lý dữ liệu, và công ty kế toán chỉ được dùng bảng lương cho việc khách giao. Với dữ liệu nhân viên của chính mình, công ty kế toán lại là bên kiểm soát.
Bên xử lý có phải tự lập hồ sơ đánh giá tác động không?
Có lập và lưu, theo thỏa thuận với bên kiểm soát (khoản 3 Điều 21 Luật Bảo vệ dữ liệu cá nhân); không bắt buộc tự gửi cơ quan chuyên trách như bên kiểm soát. Doanh nghiệp nhỏ, khởi nghiệp được chọn không làm trong 5 năm đầu, trừ khi kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm hoặc từ 100.000 chủ thể trở lên.
Khách hàng yêu cầu xóa dữ liệu thì bên xử lý có phải làm không?
Bên xử lý thực hiện theo yêu cầu của bên kiểm soát, không trực tiếp với chủ thể trừ khi hợp đồng giao. Nghị định 356/2025/NĐ-CP cho tổng thời hạn 30 ngày khi việc xóa cần bên xử lý, bên thứ ba thực hiện; nên hợp đồng phải quy định quy trình nhận lệnh xóa và thời hạn ngắn hơn mốc đó.
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.