Bên kiểm soát dữ liệu

Theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (và Luật Bảo vệ dữ liệu cá nhân có hiệu lực năm 2026), trách nhiệm được chia thành hai vai trò. Bên kiểm soát dữ liệu quyết định vì sao và xử lý dữ liệu cá nhân như thế nào. Bên xử lý dữ liệu chỉ xử lý dữ liệu thay cho bên kiểm soát, theo đúng chỉ dẫn. Bên kiểm soát gánh phần lớn nghĩa vụ pháp lý: thông báo cho chủ thể dữ liệu, giữ dữ liệu an toàn và xử lý các yêu cầu xóa dữ liệu.

Đây là chỗ liên quan trực tiếp đến bạn. Khi chủ một quán cà phê dán danh sách email khách hàng vào chatbot để viết bản tin, chính cô ấy là bên kiểm soát của dữ liệu đó. Vai trò của nhà cung cấp AI tùy thuộc vào gói: với gói doanh nghiệp có thỏa thuận đầy đủ, họ thường đóng vai bên xử lý cho cô ấy; còn trên tài khoản cá nhân, nhà cung cấp có thể dùng dữ liệu cho mục đích riêng của họ, một tình huống khó biện minh hơn nhiều.

Vì thế câu hỏi «mình đang dùng gói nào?» thật ra là một câu hỏi về quyền riêng tư, chứ không chỉ về hóa đơn. Công cụ kiểm tra bảo mật cho thấy mỗi nhà cung cấp xử lý dữ liệu ra sao trên từng gói, còn DPA là văn bản chính thức hóa quan hệ bên xử lý. Với nghĩa vụ cụ thể của bạn, hướng dẫn từ Bộ Công an (A05) và Bộ Thông tin và Truyền thông là nguồn có thẩm quyền.

Bạn gặp thuật ngữ này ở đâu

• Trong chính sách quyền riêng tư, ở phần ghi rõ ai là bên kiểm soát dữ liệu
• Trong điều khoản gói doanh nghiệp của các nhà cung cấp AI, nơi định nghĩa vai trò bên kiểm soát và bên xử lý
• Trong các văn bản hướng dẫn của cơ quan nhà nước về bảo vệ dữ liệu cá nhân tại Việt Nam

Thuật ngữ liên quan

• GDPR →
• DPA (thỏa thuận xử lý dữ liệu) →
• Dữ liệu cá nhân →
• Cơ quan bảo vệ dữ liệu →