DPA Là Gì? Data Processing Agreement GDPR Cho Công Ty Outsourcing

DPA là gì? DPA (Data Processing Agreement) là hợp đồng xử lý dữ liệu mà bên kiểm soát (controller) ký với bên xử lý (processor) theo Điều 28 GDPR, quy định bên xử lý chỉ dùng dữ liệu cá nhân theo chỉ thị và phải bảo vệ nó. Công ty outsourcing Việt Nam thường nhận DPA từ khách hàng EU trước khi được giao dữ liệu; truy cập từ Việt Nam còn cần thêm SCCs.

DPA là viết tắt của từ gì?

Trong GDPR, DPA thường là viết tắt của Data Processing Agreement (đôi khi gọi là Data Processing Addendum khi là phụ lục của hợp đồng dịch vụ). Ở châu Âu, DPA còn được dùng cho Data Protection Authority, tức cơ quan bảo vệ dữ liệu của từng nước thành viên (GDPR gọi là supervisory authority), nên hãy xem ngữ cảnh: "ký DPA" là hợp đồng, "báo cáo cho DPA" là cơ quan nhà nước. Bài này nói về hợp đồng.

DPA khác SCC, BAA và NDA thế nào?

Bốn văn bản này hay xuất hiện cùng nhau trong hồ sơ vendor nhưng giải quyết bốn việc khác nhau.

Hợp đồng HIPAA được giải thích ở bài BAA HIPAA cho công ty outsource Việt Nam. Phần còn lại của bài này giúp bạn đọc DPA nhận được, chuẩn bị danh sách sub-processor và biết điều khoản nào nên đàm phán.

Vì sao khách hàng EU gửi DPA cho công ty outsourcing?

Khi bạn xử lý dữ liệu cá nhân theo chỉ thị của khách hàng EU, như vận hành hệ thống, phát triển tính năng trên dữ liệu thật, hỗ trợ người dùng hay xử lý dữ liệu, bạn là processor và khách hàng là controller. Điều 28(3) yêu cầu quan hệ này phải được điều chỉnh bằng hợp đồng có nội dung bắt buộc, nên DPA thường là một bước trong quy trình onboarding vendor của họ.

DPA không phải NDA. NDA bảo vệ bí mật kinh doanh; DPA quy định cách bạn được xử lý dữ liệu cá nhân và nghĩa vụ của bạn khi xử lý. Nếu bạn sẽ chạm vào dữ liệu EU mà khách hàng chưa gửi DPA, hãy chủ động hỏi. Phân biệt controller và processor được giải thích ở bài vì sao công ty Việt Nam phải tuân thủ GDPR; phần tham chiếu chi tiết hai văn bản nằm ở DPA và SCCs.

DPA bắt buộc phải có những điều khoản nào?

Điều 28(3) liệt kê nội dung tối thiểu. Bảng dưới đây ghép từng điều khoản với việc công ty outsourcing cần chuẩn bị để thực hiện được nó.

Truy cập từ xa từ Việt Nam có cần SCCs không?

Có, trong đa số trường hợp. Hướng dẫn 05/2021 của EDPB coi việc truy cập từ một nước thứ ba, kể cả chỉ hiển thị dữ liệu trên màn hình để hỗ trợ hay xử lý sự cố, là transfer khi exporter chịu GDPR và importer ở nước thứ ba. Việt Nam chưa có adequacy decision, nên khách hàng EU cần safeguard theo Điều 46, thường là SCCs Module 2 (controller → processor) theo Quyết định (EU) 2021/914.

SCCs có thể là phụ lục của DPA hoặc văn bản riêng. Khách hàng thường cũng yêu cầu bạn cung cấp thông tin cho Transfer Impact Assessment: ai truy cập, từ đâu, bằng thiết bị và biện pháp bảo vệ nào.

Sub-processor: điều khoản hay bị bỏ qua nhất

Mọi công cụ bạn dùng mà dữ liệu khách hàng có thể đi qua đều là sub-processor: cloud, ticketing, chat, logging, error tracking, công cụ chia sẻ màn hình. Một ví dụ hay bị sót: log ứng dụng gửi sang dịch vụ monitoring có chứa email hoặc tên người dùng.

Theo Điều 28(2), bạn cần chấp thuận của khách hàng trước khi dùng sub-processor, cụ thể từng bên hoặc chấp thuận chung kèm nghĩa vụ báo trước mọi thay đổi để khách hàng có cơ hội phản đối. Thời gian báo trước do hai bên thỏa thuận trong DPA. Theo Điều 28(4), bạn phải áp cùng nghĩa vụ bảo vệ dữ liệu lên sub-processor bằng hợp đồng và vẫn chịu trách nhiệm đầy đủ trước khách hàng nếu họ vi phạm.

Điều khoản nào nên đàm phán trước khi ký?

1. Audit rights. Điều 28(3)(h) yêu cầu cho phép audit, nhưng hình thức có thể thỏa thuận: ưu tiên bảng hỏi, báo cáo SOC 2 hoặc chứng chỉ ISO 27001, auditor độc lập, báo trước hợp lý và giới hạn tần suất.
2. Thời hạn báo sự cố. Điều 33(2) yêu cầu processor báo controller "không chậm trễ quá mức". Nhiều DPA cụ thể hóa thành 24, 48 hoặc 72 giờ. Chỉ ký mốc mà quy trình ứng cứu sự cố của bạn thực sự đáp ứng được.
3. Thời gian báo trước khi đổi sub-processor, khớp với chu kỳ thay đổi công cụ của bạn.
4. Trách nhiệm bồi thường và mức trần. Đề nghị giới hạn theo giá trị hợp đồng hoặc bội số phí hằng năm, và tách rõ trách nhiệm theo Điều 82.
5. Luật áp dụng và nơi giải quyết tranh chấp. DPA của khách hàng EU thường chọn luật và tòa án một nước EU; hiểu rõ hệ quả trước khi đồng ý.

Chuẩn bị gì trước khi nhận DPA đầu tiên?

1. Lập danh sách hệ thống và công cụ có thể chứa dữ liệu khách hàng; đó là danh sách sub-processor của bạn.
2. Kiểm tra từng công cụ đã có DPA với bạn chưa và có kèm SCCs khi xử lý ngoài EEA không (xem vendor management theo GDPR).
3. Viết quy trình báo sự cố cho khách hàng với mốc thời gian bạn đáp ứng được.
4. Chuẩn bị quy trình tìm, xuất và xóa dữ liệu của một cá nhân.
5. Ghi hoạt động xử lý cho từng khách hàng vào hồ sơ processor theo Điều 30(2) (xem ROPA là gì).
6. Lưu bản DPA đã ký cùng các chỉ thị và thông báo thay đổi sub-processor, đủ để chứng minh tuân thủ trong suốt hợp đồng và sau khi kết thúc.

pTrackly hỗ trợ phần nào?

pTrackly giúp công ty outsourcing quản lý phía mình: vendor register ghi trạng thái DPA của từng sub-processor với ngày ký, ngày hết hạn và nhắc trước 60 và 30 ngày; bộ lọc "dữ liệu cá nhân chưa có DPA đã ký"; RoPA ghi việc chuyển dữ liệu ra nước ngoài kèm safeguard; và sổ sự cố có đồng hồ thông báo tính từ lúc phát hiện. Đàm phán và ký DPA với khách hàng, chọn module SCCs và đánh giá pháp lý vẫn thuộc về đội ngũ và luật sư của bạn. Xem thêm GDPR cho doanh nghiệp xuất khẩu phần mềm và trang GDPR.

Câu hỏi thường gặp

Công ty outsourcing có chịu trách nhiệm trực tiếp theo GDPR không?

Có thể. Processor có nghĩa vụ riêng, như lưu hồ sơ theo Điều 30(2), bảo mật theo Điều 32 và báo vi phạm cho controller theo Điều 33(2). Mức độ áp dụng trực tiếp cho một công ty ở Việt Nam phụ thuộc vào Điều 3, nhưng các nghĩa vụ này gần như luôn được đưa vào DPA.

Không có DPA thì ai vi phạm?

Điều 28(3) đặt yêu cầu hợp đồng lên quan hệ controller–processor, nên thiếu DPA trước hết là vi phạm của khách hàng EU. Với bạn, hệ quả thực tế là mất hợp đồng hoặc không qua được bước onboarding.

Có được dùng dữ liệu thật của khách hàng để test không?

Chỉ khi chỉ thị của khách hàng cho phép. Điều 28(3)(a) yêu cầu processor chỉ xử lý theo chỉ thị bằng văn bản; dùng dữ liệu thật cho mục đích không được giao có thể khiến bạn bị coi là controller cho phần xử lý đó theo Điều 28(10).

SCCs và DPA có phải hai văn bản riêng không?

Không bắt buộc. SCCs có thể là phụ lục của DPA, miễn phần DPA đủ nội dung Điều 28(3) và phần SCCs giữ nguyên văn điều khoản do Ủy ban châu Âu ban hành.