Phân định chủ thể dữ liệu, bên kiểm soát dữ liệu, bên xử lý dữ liệu, bên kiểm soát và xử lý dữ liệu, bên thứ ba theo Luật Bảo vệ dữ liệu cá nhân 2025

LexNovum Lawyers

08/07/2026

Luật Bảo vệ dữ liệu cá nhân 2025 (“Luật BVDLCN 2025”) cung cấp các khái niệm nền tảng để xác định vai trò và trách nhiệm của các chủ thể tham gia vào hoạt động xử lý dữ liệu cá nhân (“DLCN”). Trên cơ sở đó, việc phân biệt đúng ai là chủ thể DLCN, bên kiểm soát DLCN, bên xử lý DLCN, bên kiểm soát và xử lý DLCN hay bên thứ ba có ý nghĩa đặc biệt quan trọng, bởi đây là tiền đề để xác định quyền và nghĩa vụ theo pháp luật về bảo vệ DLCN.

Trên thực tế, nhiều doanh nghiệp vẫn dễ nhầm lẫn giữa các vai trò này. Không ít trường hợp doanh nghiệp biết mình đang “xử lý DLCN”, nhưng lại chưa xác định rõ mình đang xử lý với tư cách kiểm soát, xử lý theo chỉ dẫn, hay đồng thời vừa kiểm soát vừa xử lý DLCN.

Trong bài viết này, LNV sẽ lần lượt làm rõ: (i) khái niệm và dấu hiệu nhận diện của từng chủ thể trong hoạt động xử lý DLCN theo Luật BVDLCN 2025; và (ii) minh họa bằng ví dụ thực tiễn để giúp doanh nghiệp dễ hình dung và xác định đúng vai trò của mình.

1. Nhận diện các chủ thể trong hoạt động xử lý DLCN theo Luật BVDLCN 2025

Trong thực tế, mỗi luồng xử lý DLCN khác nhau sẽ kéo theo việc doanh nghiệp có thể mang những vai trò khác nhau, tương ứng với đó là quyền, nghĩa vụ và trách nhiệm pháp lý cũng khác nhau. Vì vậy, để xác định đúng mình phải làm gì và làm đến đâu theo Luật BVDLCN 2025, bước đầu tiên doanh nghiệp cần thực hiện là xác định đúng luồng DLCN: DLCN đi từ đâu đến đâu, ai thu thập, ai quyết định mục đích/phương tiện xử lý, ai thực hiện xử lý theo chỉ đạo, ai nhận/chia sẻ DLCN và việc chia sẻ đó trong phạm vi nào. Chỉ sau khi xác định rõ luồng DLCN, doanh nghiệp mới có thể định danh chính xác vai trò của mình trong chính luồng đó và từ đó áp đúng nghĩa vụ tương ứng.

Việc phân định này đặc biệt quan trọng vì nếu doanh nghiệp xác định sai vai trò, toàn bộ những nghĩa vụ mà doanh nghiệp triển khai có thể bị lệch: ví dụ, trong một luồng DLCN, doanh nghiệp chỉ là bên xử lý DLCN nhưng lại nhầm mình là bên kiểm soát DLCN, thì dù doanh nghiệp có nỗ lực tuân thủ “đúng luật” theo cách hiểu của mình, các bước thực hiện vẫn có thể không đúng đối tượng, không đúng trình tự, không đúng trách nhiệm, dẫn đến rủi ro không đủ để bảo đảm tính tuân thủ khi xảy ra sự cố hoặc khi cơ quan có thẩm quyền kiểm tra. Vì vậy, để tránh các rủi ro trên, việc phân định rõ các chủ thể này rất cần thiết, căn cứ Điều 2 Luật BVDLCN 2025, các chủ thể này được định nghĩa như sau:

(i) Chủ thể DLCN.

Theo quy định tại Điều 2.5 Luật BVDLCN 2025, chủ thể DLCN là người được DLCN phản ánh. Theo đó, nếu DLCN được dùng để xác định hoặc phản ánh về ai, thì người đó chính là chủ thể DLCN.

(ii) Bên kiểm soát DLCN.

Theo quy định tại Điều 2.7 Luật BVDLCN 2025, bên kiểm soát DLCN là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý DLCN. Đây là chủ thể trả lời cho hai câu hỏi: “Xử lý dữ liệu để làm gì?” (tức là mục đích) và “Xử lý bằng cách nào?” (tức là phương tiện). Nói cách khác, đây là bên quyết định cho hoạt động xử lý DLCN: thu thập để làm gì, dùng vào mục đích nào, lưu ở đâu, chia sẻ cho ai.

(iii) Bên xử lý DLCN.

Theo quy định tại Điều 2.8 Luật BVDLCN 2025, bên xử lý DLCN là cơ quan, tổ chức, cá nhân thực hiện việc xử lý DLCN theo yêu cầu của bên kiểm soát DLCN hoặc bên kiểm soát và xử lý DLCN thông qua hợp đồng. Hiểu đơn giản, bên xử lý DLCN là bên làm theo yêu cầu của bên khác. Bên này không tự quyết định mục đích xử lý dữ liệu, mà chỉ tiếp nhận dữ liệu và xử lý theo chỉ dẫn đã được giao, thường trên cơ sở hợp đồng.

(iv) Bên kiểm soát và xử lý DLCN.

Theo quy định tại Điều 2.9 Luật BVDLCN 2025, bên kiểm soát và xử lý DLCN là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý DLCN. Đây là chủ thể vừa ra quyết định, vừa trực tiếp thực hiện việc xử lý DLCN. Khác với bên kiểm soát DLCN khi chỉ quyết định, bên kiểm soát và xử lý dữ liệu tự mình làm cả hai việc: vừa xác định mục đích và phương tiện, vừa trực tiếp thu thập, lưu trữ, sử dụng hoặc xóa dữ liệu.

(v) Bên thứ ba.

Theo quy định tại Điều 2.10 Luật BVDLCN 2025, bên thứ ba là tổ chức, cá nhân ngoài chủ thể DLCN, bên kiểm soát DLCN, bên kiểm soát và xử lý DLCN, bên xử lý DLCN tham gia vào việc xử lý DLCN theo quy định của pháp luật. Đây là chủ thể “nằm ngoài” mối quan hệ xử lý DLCN ban đầu. Họ không phải là người thu thập dữ liệu (Bên kiểm soát), cũng không phải là người được thuê để xử lý dữ liệu (Bên xử lý), nhưng vì một lý do nào đó (thường là do quy định của pháp luật hoặc một giao dịch độc lập) mà họ được tiếp cận và xử lý dữ liệu đó.

2. Ví dụ minh họa

Để thấy rõ sự khác biệt giữa năm vai trò theo Luật BVDLCN 2025, Quý Khách hàng có thể xem xét tình huống sau:

Công ty A có nhu cầu tuyển dụng vị trí Giám đốc Kinh doanh. Công ty A quyết định mục đích tuyển dụng, tiêu chí tuyển chọn, loại dữ liệu cần thu thập, thời hạn lưu trữ hồ sơ và phạm vi người được tiếp cận hồ sơ ứng viên.

Công ty A ký hợp đồng với Công ty B để Công ty B thay mặt Công ty A thu thập CV, nhập thông tin ứng viên vào biểu mẫu do Công ty A cung cấp, gửi email mời phỏng vấn theo mẫu của Công ty A và chuyển hồ sơ ứng viên cho Công ty A. Theo hợp đồng, Công ty B không được sử dụng dữ liệu ứng viên cho bất kỳ mục đích riêng nào.

Ứng viên C nộp CV để ứng tuyển vào vị trí Giám đốc Kinh doanh. Sau vòng phỏng vấn, Công ty A yêu cầu Ứng viên C nộp chứng chỉ đánh giá năng lực quản lý do Trung tâm D cấp. Trung tâm D là đơn vị độc lập, tự xây dựng bài kiểm tra, tự quyết định phương thức chấm điểm, trực tiếp thu thập câu trả lời của ứng viên, lưu trữ kết quả và cấp chứng chỉ đánh giá năng lực cho ứng viên.

Sau khi trúng tuyển, Công ty A gửi thông tin của Ứng viên C cho Ngân hàng E để mở tài khoản nhận lương theo quy trình trả lương của doanh nghiệp và quy định pháp luật có liên quan.

Trong tình huống này, vai trò của từng bên được xác định như sau:

(i) Ứng viên C là chủ thể DLCN.

Ứng viên C là chủ thể DLCN vì các thông tin trong CV, số điện thoại, địa chỉ email, kinh nghiệm làm việc, kết quả đánh giá năng lực và thông tin tài khoản nhận lương đều là dữ liệu phản ánh về Ứng viên C.

(ii) Công ty A là bên kiểm soát DLCN hoặc bên kiểm soát và xử lý DLCN.

Công ty A là bên kiểm soát DLCN vì Công ty A quyết định mục đích và phương tiện xử lý dữ liệu ứng viên để tuyển dụng vị trí Giám đốc Kinh doanh. Công ty A không trực tiếp thực hiện toàn bộ thao tác thu thập và nhập liệu ban đầu, nhưng Công ty A là bên quyết định các yếu tố cốt lõi của hoạt động xử lý DLCN trong quy trình tuyển dụng.

Công ty A là bên kiểm soát và xử lý DLCN vì Công ty A quyết định mục đích và phương tiện xử lý dữ liệu của ứng viên để làm thẻ ngân hàng, bên cạnh đó Công ty A lưu trữ và trực tiếp chuyển dữ liệu của Ứng viên C qua Ngân hàng E.

(iii) Công ty B là bên xử lý DLCN.

Công ty B là bên xử lý DLCN vì Công ty B chỉ thực hiện việc xử lý dữ liệu theo yêu cầu và chỉ dẫn của Công ty A thông qua hợp đồng. Công ty B thu thập CV, nhập thông tin vào biểu mẫu, gửi email mời phỏng vấn và chuyển hồ sơ ứng viên cho Công ty A theo đúng phạm vi công việc đã được giao. Công ty B không tự quyết định mục đích xử lý dữ liệu và không được sử dụng dữ liệu ứng viên cho mục đích riêng.

(iv) Trung tâm D là bên kiểm soát và xử lý DLCN.

Trung tâm D là bên kiểm soát và xử lý DLCN vì Trung tâm D vừa quyết định mục đích, phương tiện xử lý dữ liệu, vừa trực tiếp xử lý dữ liệu của Ứng viên C. Trung tâm D tự xây dựng bài kiểm tra, tự quyết định cách thu thập câu trả lời, cách chấm điểm, cách lưu trữ kết quả và trực tiếp cấp chứng chỉ đánh giá năng lực cho ứng viên. Trong hoạt động này, Trung tâm D không chỉ làm theo chỉ dẫn của Công ty A mà tự vận hành một quy trình đánh giá độc lập.

(v) Ngân hàng E là bên thứ ba hoặc bên kiểm soát và xử lý DLCN độc lập.

Xét trong luồng dữ liệu tuyển dụng của Công ty A, Ngân hàng E là bên thứ ba trong quy trình xử lý DLCN này vì Ngân hàng E không phải là Ứng viên C, không phải Công ty A, không phải Công ty B và không phải Trung tâm D. Ngân hàng E tham gia vào việc xử lý DLCN sau khi Công ty A chuyển thông tin của Ứng viên C để mở tài khoản nhận lương theo quy trình trả lương và quy định pháp luật có liên quan. Trong trường hợp này, Ngân hàng E là chủ thể nằm ngoài quan hệ xử lý dữ liệu tuyển dụng ban đầu nhưng vẫn tham gia vào một công đoạn xử lý DLCN theo quy định pháp luật.

Song, xét trong luồng dữ liệu quản lý tài khoản của Ngân hàng E, sau khi tiếp nhận dữ liệu của Ứng viên C và mở tài khoản, cung cấp dịch vụ ngân hàng cho Ứng viên C, Ngân hàng E trở thành bên kiểm soát và xử lý DLCN độc lập. Lúc này, Ngân hàng E không xử lý dữ liệu theo chỉ đạo của Công ty A mà xử lý cho mục đích riêng của mình: thiết lập quan hệ khách hàng, quản lý tài khoản và tuân thủ các nghĩa vụ pháp lý chuyên ngành (như KYC – định danh khách hàng, phòng chống rửa tiền…). Ngân hàng E hoàn toàn tự quyết định phương tiện, cách thức xử lý và chịu trách nhiệm trực tiếp trước pháp luật cũng như với chủ thể dữ liệu (Ứng viên C).

Từ ví dụ trên, có thể thấy việc xác định vai trò của từng bên không phụ thuộc vào tên gọi trong hợp đồng, mà phụ thuộc vào luồng dữ liệu và việc bên đó quyết định mục đích xử lý, quyết định phương tiện xử lý, trực tiếp xử lý theo mục đích của mình hay chỉ xử lý theo yêu cầu của bên khác.

Trên đây là một số phân tích của LNV nhằm giúp doanh nghiệp nhận diện và phân biệt chính xác các vai trò: chủ thể DLCN, bên kiểm soát DLCN, bên xử lý DLCN, bên kiểm soát và xử lý DLCN, cũng như bên thứ ba theo quy định của Luật BVDLCN 2025. Trường hợp Quý Khách hàng cần được tư vấn cụ thể hơn về việc xác định vai trò pháp lý, xây dựng thỏa thuận xử lý dữ liệu giữa các bên hoặc các vấn đề liên quan đến tuân thủ bảo vệ DLCN, Quý Khách hàng vui lòng liên hệ hotline hoặc email của LNV tại địa chỉ info@lexnovum.com.vn để được hỗ trợ chi tiết.

Thực hiện: Thực tập sinh Trung Tín

Tham vấn: Luật sư Phan Nhi

Lưu ý:

Những thông tin tại bài viết này chỉ nên được sử dụng nhằm mục đích tham khảo. Chúng tôi không chịu trách nhiệm hay có nghĩa vụ pháp lý đối với bất kỳ cá nhân, tổ chức nào sử dụng thông tin tại bài viết này ngoài mục đích tham khảo. Trước khi đưa ra bất kỳ sự lựa chọn hoặc quyết định nào, Quý Khách hàng vui lòng tham vấn thêm các khuyến nghị một cách chính thức, hoặc liên hệ LexNovum Lawyers để nhận được sự tư vấn chuyên sâu từ chúng tôi.

Vui lòng trích dẫn nguồn “LexNovum Lawyers” khi sử dụng hoặc chia sẻ bài viết này tại bất kỳ đâu.