Hợp đồng xử lý dữ liệu cá nhân DPA: Điều khoản cần có và lưu ý tuân thủ

Trong quá trình kinh doanh, doanh nghiệp thường xuyên chia sẻ dữ liệu cá nhân cho bên thứ ba, chẳng hạn như đơn vị vận chuyển, agency marketing, nhà cung cấp phần mềm CRM, dịch vụ cloud, đơn vị IT outsourcing hoặc đối tác chăm sóc khách hàng. Nếu các hoạt động này không được điều chỉnh bằng thỏa thuận rõ ràng, doanh nghiệp có thể gặp rủi ro khi xảy ra rò rỉ dữ liệu, sử dụng sai mục đích hoặc tranh chấp trách nhiệm giữa các bên.

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP đặt ra yêu cầu tuân thủ rõ ràng hơn đối với hoạt động xử lý dữ liệu cá nhân. Trong bối cảnh đó, hợp đồng xử lý dữ liệu cá nhân, thường được gọi là DPA, là công cụ quan trọng giúp doanh nghiệp phân định trách nhiệm, kiểm soát rủi ro và chứng minh nỗ lực tuân thủ.

Hợp đồng xử lý dữ liệu cá nhân DPA là gì?

DPA, viết tắt của Data Processing Agreement, là thỏa thuận giữa các bên liên quan đến việc xử lý dữ liệu cá nhân. Thỏa thuận này thường được ký giữa bên quyết định mục đích, phương tiện xử lý dữ liệu và bên được giao xử lý dữ liệu theo yêu cầu hoặc chỉ dẫn.

Trong thực tế, DPA có thể là một hợp đồng độc lập hoặc một phụ lục đính kèm hợp đồng dịch vụ chính. Mục tiêu của DPA là ghi nhận rõ: dữ liệu nào được xử lý, xử lý cho mục đích gì, bên xử lý được làm gì, không được làm gì, phải bảo mật ra sao và phải phối hợp thế nào khi có yêu cầu từ chủ thể dữ liệu hoặc khi xảy ra sự cố.

DPA không chỉ là một tài liệu pháp lý mang tính hình thức. Đây còn là công cụ quản trị giúp doanh nghiệp kiểm soát luồng dữ liệu khi làm việc với nhà cung cấp, đối tác hoặc bên thứ ba.

Khi nào doanh nghiệp nên có DPA?

Doanh nghiệp nên cân nhắc ký DPA hoặc bổ sung điều khoản xử lý dữ liệu cá nhân khi thuê bên thứ ba thực hiện các công việc có liên quan đến dữ liệu cá nhân, ví dụ:

• Giao dữ liệu khách hàng cho đơn vị vận chuyển để giao hàng;
• Chia sẻ danh sách khách hàng cho agency marketing;
• Sử dụng phần mềm CRM, HRM, ERP hoặc email marketing;
• Lưu trữ dữ liệu trên nền tảng cloud;
• Thuê đơn vị IT quản trị hệ thống, bảo trì máy chủ hoặc hỗ trợ kỹ thuật;
• Chuyển dữ liệu cho công ty mẹ, công ty liên kết hoặc nhà cung cấp ở nước ngoài;
• Thuê tổng đài, đơn vị chăm sóc khách hàng hoặc xử lý thanh toán.

Không phải mọi trường hợp đều cần một văn bản tên là “DPA”. Tuy nhiên, khi có bên thứ ba tham gia xử lý dữ liệu cá nhân, doanh nghiệp nên có thỏa thuận bằng văn bản để ghi nhận rõ quyền, nghĩa vụ và trách nhiệm của các bên.

Phân định vai trò của các bên trong DPA

Một DPA hiệu quả cần xác định đúng vai trò của từng bên trong hoạt động xử lý dữ liệu cá nhân.

Bên kiểm soát dữ liệu cá nhân thường là bên quyết định mục đích và phương tiện xử lý dữ liệu. Ví dụ, doanh nghiệp thu thập thông tin khách hàng để bán hàng, chăm sóc khách hàng hoặc triển khai chương trình thành viên.

Bên xử lý dữ liệu cá nhân là bên xử lý dữ liệu theo thỏa thuận hoặc chỉ dẫn của bên kiểm soát. Ví dụ, agency marketing, nhà cung cấp cloud, đơn vị vận chuyển, tổng đài chăm sóc khách hàng hoặc nhà cung cấp phần mềm.

Trong một số trường hợp, một bên có thể vừa quyết định mục đích, vừa trực tiếp xử lý dữ liệu. Vì vậy, trước khi soạn DPA, doanh nghiệp cần rà soát luồng dữ liệu thực tế để xác định đúng vai trò pháp lý của từng bên.