Trả lời ngắn
Vendor management theo GDPR là chọn processor đủ đảm bảo, ký DPA theo Điều 28, kiểm soát sub-processor và có cơ sở chuyển dữ liệu khi vendor ở ngoài EEA.
Vendor management theo GDPR gồm bốn việc: chỉ dùng processor đưa ra đủ đảm bảo về bảo mật (Điều 28(1)), ký DPA có đủ nội dung của Điều 28(3), kiểm soát sub-processor theo Điều 28(2) và 28(4), và có safeguard theo Chương V khi vendor xử lý dữ liệu từ ngoài EEA. Mọi vendor tiếp xúc dữ liệu cá nhân thay mặt bạn đều nằm trong phạm vi này.
Vendor nào phải đưa vào danh sách?
Mọi bên xử lý dữ liệu cá nhân thay mặt bạn là processor, bất kể lớn hay nhỏ. Danh sách thường gồm:
- Hạ tầng: cloud, CDN, database được quản lý, backup
- SaaS nghiệp vụ: CRM, email marketing, công cụ hỗ trợ khách hàng, HR, kế toán
- Kỹ thuật: logging, error tracking, monitoring, analytics, CI/CD có chứa dữ liệu thật
- Thanh toán: payment gateway (một số đóng vai controller cho phần dữ liệu riêng của họ, cần đọc DPA để biết)
- Nhân sự thuê ngoài: agency phát triển, BPO, freelancer truy cập dữ liệu khách hàng
Công cụ do từng team tự đăng ký mà không qua IT hay pháp chế ("shadow IT") là nguồn sót phổ biến nhất. Đối chiếu danh sách với hóa đơn, SSO và cấu hình tích hợp theo định kỳ giúp phát hiện sớm.
Vendor management theo GDPR gồm những bước nào?
| Bước | Việc cần làm | Căn cứ GDPR |
|---|---|---|
| Kiểm tra vendor có đủ biện pháp kỹ thuật và tổ chức: báo cáo SOC 2, chứng chỉ ISO 27001, bảng hỏi bảo mật | Điều 28(1), Điều 32 |
| Đủ các điểm của Điều 28(3): chỉ thị, bảo mật, sub-processor, hỗ trợ quyền chủ thể, xóa hoặc trả lại, audit | Điều 28(3) |
| Chấp thuận cụ thể hoặc chấp thuận chung kèm thông báo thay đổi và quyền phản đối | Điều 28(2), 28(4) |
| Adequacy decision, SCCs hoặc safeguard khác khi vendor xử lý từ ngoài EEA | Chương V, Điều 45–46 |
| Vendor là người nhận trong hồ sơ hoạt động xử lý | Điều 30 |
| Gia hạn báo cáo và chứng chỉ, thay đổi sub-processor, chấm dứt và xóa dữ liệu | Điều 5(2), Điều 28(3)(g) |
DPA với vendor cần những điều khoản nào?
Điều 28(3) yêu cầu hợp đồng nêu đối tượng, thời hạn, tính chất, mục đích, loại dữ liệu, nhóm chủ thể và quyền của controller, cùng tám nghĩa vụ của processor: xử lý theo chỉ thị bằng văn bản, ràng buộc bảo mật với nhân sự, biện pháp theo Điều 32, điều kiện dùng sub-processor, hỗ trợ quyền chủ thể dữ liệu, hỗ trợ nghĩa vụ ở Điều 32–36 (gồm thông báo vi phạm và DPIA), xóa hoặc trả lại dữ liệu khi kết thúc, và cung cấp thông tin cho audit.
Nhà cung cấp lớn thường có DPA mẫu trên trang web. Việc của bạn là đọc kỹ: DPA có áp dụng cho gói dịch vụ bạn dùng không, có liệt kê sub-processor và cách thông báo thay đổi không, và có kèm SCCs khi dữ liệu rời EEA không.
Khi nào vendor ở ngoài EEA cần SCCs?
Khi bạn chịu GDPR và gửi hoặc cho vendor ở nước thứ ba truy cập dữ liệu, đó là transfer theo Chương V. Nước nhận có adequacy decision thì không cần thêm safeguard; Việt Nam chưa có, và với Mỹ, chỉ tổ chức tham gia EU-US Data Privacy Framework mới được hưởng adequacy decision. Trường hợp còn lại cần SCCs hoặc safeguard khác theo Điều 46, kèm đánh giá luật nước nhận (TIA).
Chọn module SCCs theo vai trò: bạn là controller ký với vendor là processor thì dùng Module 2; bạn là processor thuê sub-processor ở nước thứ ba thì dùng Module 3. Chi tiết ở bài DPA và SCCs.
pTrackly hỗ trợ phần nào?
Vendor register trong pTrackly ghi từng vendor với mức rủi ro, tier đề xuất theo loại dữ liệu và mức quan trọng, trạng thái DPA (Chưa ghi nhận, Không cần, Bản nháp, Đã ký, Hết hạn) và các chứng chỉ như SOC 2, ISO/IEC 27001 hay ISO/IEC 27701 kèm ngày hiệu lực. pTrackly nhắc trước 60 và 30 ngày khi DPA hoặc chứng chỉ sắp hết hạn, có bộ lọc "dữ liệu cá nhân chưa có DPA đã ký", và đọc trang bảo mật công khai của vendor để đề xuất đánh giá rủi ro cho người duyệt. pTrackly không soạn hay ký DPA, không chọn module SCCs và không quyết định thay bạn vendor nào được dùng. Xem thêm ROPA là gì, DPA GDPR cho công ty outsourcing và trang GDPR.
Câu hỏi thường gặp
Vendor đã có ISO 27001 hoặc SOC 2 thì còn cần DPA không?
Có. Chứng chỉ ISO 27001 và báo cáo SOC 2 là bằng chứng về biện pháp bảo mật, giúp đáp ứng Điều 28(1), nhưng không thay được hợp đồng có các điều khoản bắt buộc của Điều 28(3).
Vendor từ chối ký DPA thì sao?
Nếu vendor xử lý dữ liệu cá nhân thay mặt bạn mà không có hợp đồng đáp ứng Điều 28(3), bạn không nên dùng vendor đó cho dữ liệu này. Vì vậy nên đánh giá và ký DPA trước khi tích hợp, không phải sau.
DPA có cần gia hạn định kỳ không?
GDPR không đặt thời hạn cho DPA; DPA thường có hiệu lực theo hợp đồng dịch vụ chính. Nên rà soát lại khi phạm vi xử lý thay đổi, khi vendor cập nhật điều khoản hoặc thêm sub-processor.
Sub-processor của vendor có phải ký DPA với tôi không?
Không trực tiếp. Theo Điều 28(4), vendor phải áp cùng nghĩa vụ bảo vệ dữ liệu lên sub-processor bằng hợp đồng và vẫn chịu trách nhiệm đầy đủ với bạn nếu sub-processor vi phạm.
pTrackly giúp bạn triển khai GDPR nhanh hơn với templates và evidence collection tự động.
Đặt Demo Miễn Phí