Quy định về xử lý dữ liệu cá nhân của ứng dụng liên kết thanh toán chi tiêu

Hỏi: Ứng dụng liên kết thanh toán chi tiêu có liên kết dữ liệu lịch sử chi tiêu hóa đơn điện, nước, internet của người dùng với các công ty cấp nước, điện lực để tự động đẩy thông báo nhắc nợ và trích tiền thanh toán hàng tháng. Dòng chảy dữ liệu giữa ứng dụng liên kết thanh toán chi tiêu và các đơn vị công ích cần quy định tại hợp đồng ra sao?

Bài viết sau đây VDPC sẽ tổng hợp và phân tích cụ thể các quy định và một số lưu ý về hoạt động xử lý và việc thỏa thuận xử lý dữ liệu cá nhân đối với các ứng dụng liên kết thanh toán chi tiêu.

Căn cứ pháp lý:

• Điều 2, 14, 23, 37 Luật Bảo vệ dữ liệu cá nhân năm 2025
• Điều 7 Nghị định 356/2025/NĐ-CP

1. Quy định chung

• Chủ thể dữ liệu cá nhân: là người được dữ liệu cá nhân phản ánh.
• Dữ liệu cá nhân (“DLCN”): là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, gồm: Họ, tên, ngày tháng năm sinh, địa chỉ (nơi ở thường trú, nơi ở tạm trú, địa chỉ liên hệ), tình trạng hôn nhân, giới tính, quốc tịch, thông tin gia đình (cha, mẹ, con, vợ, chồng), hình ảnh cá nhân, điện thoại, số định danh cá nhân, Căn cước công dân, tôn giáo tín ngưỡng, tình trạng sức khỏe, sinh trắc học, v.v. 
• Xử lý dữ liệu cá nhân: là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân. 
• Bên Kiểm soát dữ liệu cá nhân: là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân. 
• Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.
• Bên kiểm soát và xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.
• Đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân.

2. Hoạt động xử lý dữ liệu cá nhân và quy định về thỏa thuận xử lý dữ liệu cá nhân của ứng dụng liên kết thanh toán chi tiêu

(1) Hiểu rằng, trong hoạt động kinh doanh của doanh nghiệp có nền tảng thanh toán điện tử (“ứng dụng liên kết thanh toán chi tiêu“) sẽ tiến hành xử lý dữ liệu cá nhân của khách hàng để cung cấp dịch vụ nhắc nợ và trích tiền thanh toán hàng tháng hóa đơn chi tiêu điện, nước, internet. 

Hoạt động xử lý dữ liệu cá nhân của khách hàng cụ thể được xác định như sau:

• Chủ thể dữ liệu cá nhân: Khách hàng sử dụng dịch vụ thanh toán hàng tháng hóa đơn chi tiêu điện, nước, internet của ứng dụng liên kết thanh toán chi tiêu
• Loại dữ liệu cá nhân được xử lý: 
• Dữ liệu cá nhân nhạy cảm: thông tin tài khoản ngân hàng; lịch sử giao dịch tài chính; mã khách hàng sử dụng điện, nước, internet; hoá đơn sử dụng điện, nước, internet.
• Hoạt động xử lý dữ liệu cá nhân tương ứng: thu thập, lưu trữ, cung cấp, xoá/huỷ
• Mục đích xử lý dữ liệu cá nhân: Thực hiện hoạt động cung cấp dịch vụ tới khách hàng
• Bên kiểm soát và xử lý dữ liệu cá nhân: Ứng dụng liên kết thanh toán chi tiêu
• Bên xử lý dữ liệu cá nhân: Đơn vị cấp nước, internet, điện lực
• Bên thứ ba: Ngân hàng liên kết; tổ chức tín dụng; nhà cung cấp điện toán đám mây,…

Việc xử lý dữ liệu cá nhân phải được xác lập thỏa thuận bằng văn bản. Bên xử lý DLCN chỉ được tiếp nhận dữ liệu cá nhân sau khi có thoả thuận, hợp đồng về xử lý dữ liệu cá nhân với Bên kiểm soát và xử lý DLCN. Đồng thời, Bên xử lý DLCN phải xử lý DLCN theo đúng thoả thuận, hợp đồng đối với Bên kiểm soát và xử lý DLCN.

(2) Thỏa thuận xử lý dữ liệu cá nhân giữa ứng dụng liên kết thanh toán chi tiêu và Đơn vị cấp nước, internet, điện lực cần đáp ứng các nội dung như sau:

• Trách nhiệm xin sự đồng ý của chủ thể DLCN: Bên kiểm soát và xử lý DLCN.
• Mục đích xử lý dữ liệu cá nhân: Thỏa thuận phải liệt kê chi tiết các mục đích như: đẩy thông báo nhắc nợ hóa đơn, thực hiện trích tiền thanh toán,…;
• Đối tượng chủ thể dữ liệu cá nhân và loại dữ liệu cá nhân được xử lý phù hợp với mục đích xử lý;
• Thời hạn xử lý dữ liệu cá nhân, yêu cầu về xóa, hủy dữ liệu cá nhân: Thỏa thuận cần xác định thời hạn cụ thể, DLCN chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ khi pháp luật có quy định khác. Việc xóa, hủy dữ liệu phải được thực hiện khi đã hoàn thành mục đích hoặc theo thỏa thuận;
• Cơ sở pháp lý của việc xử lý dữ liệu cá nhân;
• Trách nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý dữ liệu cá nhân: Các bên phải thực hiện biện pháp quản lý và kỹ thuật phù hợp, áp dụng theo quy định, tiêu chuẩn kỹ thuật hiện hành;
• Trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân: Bên kiểm soát và xử lý DLCN có trách nhiệm xây dựng quy trình thực hiện các quyền của chủ thể DLCN như; được biết, đồng ý hoặc không đồng ý, yêu cầu chỉnh sửa,…;
• Trách nhiệm phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân: Bên kiểm soát và xử lý DLCN có trách nhiệm thông báo cho cơ quan chuyên trách (A05 – Bộ Công an) chậm nhất trong 72 giờ khi phát hiện vi phạm. Trường hợp bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm phải thông báo kịp thời cho bên kiểm soát và xử lý dữ liệu cá nhân. Các bên có trách nhiệm phối hợp ngăn chặn hành vi vi phạm, khắc phục hậu quả xảy ra và phối hợp cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong xử lý hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân.

Kết luận

Xây dựng thỏa thuận xử lý dữ liệu cá nhân ứng dụng liên kết thanh toán chi tiêu minh bạch, chuẩn xác với các đơn vị cấp nước, điện lực, internet là bước đệm pháp lý bắt buộc giúp doanh nghiệp tuân thủ nghiêm ngặt Luật Bảo vệ dữ liệu cá nhân. 

Trên đây là Quy định về bảo vệ dữ liệu cá nhân của ứng dụng liên kết thanh toán chi tiêu. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: