Bên kiểm soát dữ liệu

Theo Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15), có hiệu lực từ ngày 1/1/2026, trách nhiệm được chia theo vai trò, và Điều 2 gọi tên từng vai. Bên kiểm soát dữ liệu quyết định vì sao và xử lý dữ liệu cá nhân như thế nào. Bên xử lý dữ liệu chỉ xử lý dữ liệu thay cho bên kiểm soát, theo đúng chỉ dẫn. Bên kiểm soát gánh phần lớn nghĩa vụ pháp lý: thông báo cho chủ thể dữ liệu, giữ dữ liệu an toàn và xử lý các yêu cầu xóa dữ liệu. Luật còn đặt tên cho một vai thứ ba, bên kiểm soát và xử lý dữ liệu, dành cho ai vừa quyết định mục đích vừa tự tay xử lý, tức phần lớn công ty nhỏ làm mọi việc trong nhà.

Đây là chỗ liên quan trực tiếp đến bạn. Khi chủ một quán cà phê dán danh sách email khách hàng vào chatbot để viết bản tin, chính cô ấy là bên kiểm soát của dữ liệu đó. Vai trò của nhà cung cấp AI tùy thuộc vào gói: với gói doanh nghiệp có thỏa thuận đầy đủ, họ thường đóng vai bên xử lý cho cô ấy; còn trên tài khoản cá nhân, nhà cung cấp có thể dùng dữ liệu cho mục đích riêng của họ, một tình huống khó biện minh hơn nhiều.

Vì thế câu hỏi “mình đang dùng gói nào?” thật ra là một câu hỏi về quyền riêng tư, chứ không chỉ về hóa đơn. Công cụ kiểm tra bảo mật cho thấy mỗi nhà cung cấp xử lý dữ liệu ra sao trên từng gói, còn DPA là văn bản chính thức hóa quan hệ bên xử lý. Với nghĩa vụ cụ thể của bạn, hướng dẫn từ Bộ Công an là nguồn có thẩm quyền.

Bạn gặp thuật ngữ này ở đâu

• Trong chính sách quyền riêng tư, ở phần ghi rõ ai là bên kiểm soát dữ liệu
• Trong điều khoản gói doanh nghiệp của các nhà cung cấp AI, nơi định nghĩa vai trò bên kiểm soát và bên xử lý
• Trong các văn bản hướng dẫn của cơ quan nhà nước về bảo vệ dữ liệu cá nhân tại Việt Nam

Thuật ngữ liên quan

• GDPR →
• DPA (thỏa thuận xử lý dữ liệu) →
• Dữ liệu cá nhân →
• Cơ quan bảo vệ dữ liệu →