Trách nhiệm về bảo vệ dữ liệu cá nhân với dịch vụ phần mềm quản lý nhân sự SaaS

Mô hình cung cấp phần mềm dạng dịch vụ đang trở thành xu hướng chủ đạo trong thời đại chuyển đổi số. Tuy nhiên, khi đóng vai trò là đơn vị cung cấp nền tảng công nghệ, lưu trữ và xử lý dữ liệu cho khách hàng, các doanh nghiệp phần mềm phải đối mặt với áp lực tuân thủ pháp lý vô cùng khắt khe về an toàn thông tin, vị trí đặt máy chủ và các quy định về bảo vệ dữ liệu cá nhân.

Vậy nhà cung cấp phần mềm SaaS cần đảm bảo những điều kiện pháp lý nào? Cùng VDPC tìm hiểu chi tiết trong bài viết dưới đây.

Căn cứ pháp lý:

• Điều 156 Bộ luật dân sự 2015
• Điều 37 Luật bảo vệ dữ liệu cá nhân 2025
• Điều 26 Nghị định 53/2022/NĐ-CP
• Phụ lục II Thông tư 12/2022/TT-BTTTT
• Điều 8 Nghị định 85/2016/NĐ-CP

1. Mô hình SaaS

SaaS (Software as a Service) là phần mềm dạng dịch vụ được cung cấp trực tiếp trên internet. Đối với dạng phần mềm này bên cung cấp phần mềm sẽ là bên tiến hành lưu trữ xử lý dữ liệu theo yêu cầu và lưu trữ các dữ liệu, bên khách hàng sẽ quyết định, định đoạt dữ liệu. Tuy nhiên đối với các dữ liệu cá nhân bên cung cấp phần mềm sẽ là bên kiểm soát và xử lý (Quyết định sẽ thu thập các dữ liệu gì cho mục đích tạo lập tài khoản).

2. Trách nhiệm của bên cung cấp phần mềm SaaS

2.1. Điều kiện về vị trí lưu trữ

• Do cung cấp dịch vụ phần mềm trong lãnh thổ Việt Nam, cho người Việt Nam sử dụng và tiến hành  thu thập, lưu trữ và xử lý dữ liệu của người dùng tại Việt Nam thì bắt buộc phải lưu trữ dữ liệu này tại hệ thống máy chủ đặt ở Việt Nam.

2.2. Điều kiện về An toàn hệ thống thông tin

Phần mềm SaaS là phần mềm quản lý nhân sự cho các doanh nghiệp. Căn cứ theo tiêu chí phân loại cấp độ hệ thống thông tin, phần mềm SaaS sẽ thuộc cấp độ 2 là “Hệ thống thông tin phục vụ hoạt động nội bộ của cơ quan, tổ chức và có xử lý thông tin riêng, thông tin cá nhân của người sử dụng nhưng không xử lý thông tin bí mật nhà nước.”

Hệ thống thông tin cấp độ 2 phải đáp ứng đầy đủ các yêu cầu về kỹ thuật và quản lý cho việc lưu trữ bao gồm:

• Yêu cầu về quản lý:
  • Thiết lập chính sách an toàn thông tin 
  • Tổ chức bảo đảm an toàn thông tin 
  • Bảo đảm nguồn nhân lực 
  • Quản lý thiết kế, xây dựng hệ thống 
  • Quản lý vận hành hệ thống 
  • Phương án Quản lý rủi ro an toàn thông tin 
  • Phương án Kết thúc vận hành, khai thác, thanh lý, hủy bỏ 
• Yêu cầu về kỹ thuật:
  • Thiết kế các vùng mạng trong hệ thống theo chức năng 
  • Có phương án thiết kế bảo đảm các yêu cầu về đường truyền (VPN), vòng ranh giới (Firewall, WAF), thiết bị cuối (Antivirus cho máy chủ/máy trạm), dịch vụ (Email) cho đến hạ tầng phần cứng (Dự phòng thiết bị cốt lõi)
• Yêu cầu về thiết lập, cấu hình hệ thống:
  • Bảo đảm an toàn mạng 
  • Bảo đảm an toàn máy chủ 
  • Bảo đảm an toàn ứng dụng 
  • Bảo đảm an toàn dữ liệu 

2.3. Điều kiện về Bảo vệ dữ liệu cá nhân

• Đối với dữ liệu cá nhân doanh nghiệp sẽ đóng vai trò là bên kiểm soát và xử lý dữ liệu vì vậy doanh nghiệp cần phải tuân thủ đầy đủ trách nhiệm của bên kiểm soát và xử lý dữ liệu cá nhân bao gồm:

Trách nhiệm khi kiểm soát:

• Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân theo quy định của Luật này và quy định khác của pháp luật có liên quan;
• Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung theo quy định của Luật này;
• Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân theo quy định của pháp luật, rà soát và cập nhật các biện pháp này khi cần thiết;
• Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo quy định;
• Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân;
• Bảo đảm các quyền của chủ thể dữ liệu cá nhân theo quy định;
• Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
• Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
• Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
• Thực hiện các trách nhiệm khác theo quy định của Luật này và quy định khác của pháp luật có liên quan.

Trách nhiệm khi xử lý:

• Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
• Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
• Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định của Luật này và các quy định khác của pháp luật có liên quan;
• Chịu trách nhiệm trước bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân về thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
• Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
• Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
• Thực hiện các trách nhiệm khác theo quy định của Luật này và quy định khác của pháp luật có liên quan.

2.4. Điều kiện về Xóa/hủy dữ liệu

Nhà cung cấp SaaS không được giữ dữ liệu của khách hàng mãi mãi một cách vô thời hạn:

• Khi khách hàng yêu cầu xóa, hoặc khi hợp đồng thuê phần mềm kết thúc, bạn có nghĩa vụ phải xóa sạch hoàn toàn dữ liệu của họ trên hệ thống (bao gồm cả các bản sao lưu lưu trữ) hoặc tiến hành khử dữ liệu.

3. Thiết lập các điều khoản loại trừ trách nhiệm

Sau khi đã đảm bảo phần mềm đúng yêu cầu kỹ thuật, quy định pháp luật và đảm bảo quá trình hoạt động của người dùng thì khi Doanh nghiệp tiến hành thiết lập các điều khoản loại trừ trách nhiệm. Lúc này các điều khoản loại trừ trách nhiệm có thể dựa trên các căn cứ sau để thiết lập:

Nhóm Lỗi không thuộc về Doanh nghiệp:

• Lỗi từ phía khách hàng (Lỗi vô ý và cố ý): Doanh nghiệp được miễn trừ trách nhiệm nếu thiệt hại phát sinh do khách hàng vi phạm quy định sử dụng, cung cấp thông tin/dữ liệu đầu vào sai lệch, thao tác sai hướng dẫn, hoặc tự ý can thiệp vào mã nguồn, hệ thống phần mềm.
• Lỗi hệ thống của bên thứ ba độc lập: Các sự cố phát sinh từ nhà cung cấp dịch vụ hạ tầng (như AWS, Google Cloud, Azure), nhà cung cấp dịch vụ viễn thông mà doanh nghiệp đã tích hợp nhưng không có quyền kiểm soát trực tiếp quá trình vận hành của các bên này.
• Đối với “Lỗi vô ý” từ phía doanh nghiệp: Cần lưu ý, doanh nghiệp không thể loại trừ hoàn toàn trách nhiệm nếu phần mềm gây thiệt hại do lỗi vô ý của mình. Thay vào đó, doanh nghiệp chỉ có thể thiết lập điều khoản “Giới hạn mức bồi thường tối đa”

Sự kiện bất khả kháng: Đây là những sự kiện xảy ra một cách khách quan, không thể lường trước và không thể khắc phục được mặc dù đã áp dụng mọi biện pháp cần thiết và khả năng cho phép.

• Cụ thể hóa trong lĩnh vực phần mềm: Các sự kiện bao gồm thiên tai, thảm họa, đứt cáp quang biển diện rộng, chiến tranh, hoặc các cuộc tấn công mạng quy mô lớn (DDoS, Ransomware) dẫn đến sập hệ thống dù doanh nghiệp chứng minh được đã áp dụng các biện pháp bảo mật đạt chuẩn theo quy định hiện hành.

Kết luận

Việc vận hành mô hình phần mềm SaaS đòi hỏi doanh nghiệp cung cấp không chỉ vững về công nghệ mà còn phải tuân thủ nghiêm ngặt các tiêu chuẩn pháp lý tại Việt Nam nhằm tránh khỏi các rủi ro với mức chế tài nặng nề. 

Trên đây là Trách nhiệm về bảo vẹ dữ liệu cá nhân với dịch vụ phần mềm quản lý nhân sự SaaS. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: