Vi phạm Thỏa thuận xử lý dữ liệu “DPA” bị xử lý như thế nào

Trong quá trình hợp tác kinh doanh, hoạt động chuyển giao dữ liệu cá nhân giữa các bên kiểm soát và bên xử lý dữ liệu diễn ra vô cùng thường xuyên. Tuy nhiên, việc ký kết các văn bản thỏa thuận một cách lỏng lẻo, thiếu minh bạch về mục đích hoặc không thiết lập đầy đủ Thỏa thuận xử lý dữ liệu cá nhân (DPA) đang đẩy doanh nghiệp vào những rủi ro pháp lý cực kỳ nghiêm trọng.

Vậy một bản DPA chuẩn chỉnh cần đảm bảo những nội dung cốt lõi nào? Mức xử phạt cho từng hành vi vi phạm ra sao? Cùng VDPC tìm hiểu chi tiết trong bài viết dưới đây.

Căn cứ pháp lý:

Khoản 1 Điều 66, 67 Dự thảo Nghị định Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (Đang được Bộ Tư pháp đăng tải thẩm định ngày 20/5/2026)
Điều 7 Nghị định 356/2025/NĐ-CP
Điều 2 Luật bảo vệ dữ liệu cá nhân 2025

1. Quy định chung

Chủ thể dữ liệu cá nhân: là người được dữ liệu cá nhân phản ánh.
Dữ liệu cá nhân (“DLCN”): là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, gồm: Họ, tên, ngày tháng năm sinh, địa chỉ (nơi ở thường trú, nơi ở tạm trú, địa chỉ liên hệ), tình trạng hôn nhân, giới tính, quốc tịch, thông tin gia đình (cha, mẹ, con, vợ, chồng), hình ảnh cá nhân, điện thoại, số định danh cá nhân, Căn cước công dân, tôn giáo tín ngưỡng, tình trạng sức khỏe, sinh trắc học, v.v.
Xử lý dữ liệu cá nhân: là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân.
Bên Kiểm soát dữ liệu cá nhân: là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.
Bên kiểm soát và xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.

2. Thoả thuận xử lý dữ liệu cá nhân

(i) Thoả thuận xử lý dữ liệu cá nhân (“DPA” – Data Processing Agreement) là thoả thuận bắt buộc giữa Bên kiểm soát, xử lý dữ liệu và Bên xử lý dữ liệu. Điều 37 Luật Bảo vệ dữ liệu cá nhân năm 2025, Điều 7 Nghị định 356/2025/NĐ-CP quy định rất rõ về trách nhiệm của các Bên về việc thiết lập DPA. Nhằm ghi nhận rõ dữ liệu nào được xử lý, xử lý cho mục đích gì, bên xử lý được làm gì, không được làm gì, phải bảo mật ra sao và phải phối hợp thế nào khi có yêu cầu từ chủ thể dữ liệu hoặc khi xảy ra sự cố.

(ii) DPA có thể tồn tại dưới hình thức một hợp đồng riêng biệt hoặc là phụ lục đính kèm hợp đồng dịch vụ chính.

(iii) Tuy nhiên, dù tồn tại dưới hình thức nào thì DPA đều cần thoả mãn các nội dung như sau:

Trách nhiệm xin sự đồng ý của chủ thể DLCN;
Mục đích xử lý dữ liệu cá nhân;
Đối tượng chủ thể dữ liệu cá nhân và loại dữ liệu cá nhân được xử lý phù hợp với mục đích xử lý;
Thời hạn xử lý dữ liệu cá nhân, yêu cầu về xóa, hủy dữ liệu cá nhân;
Cơ sở pháp lý của việc xử lý dữ liệu cá nhân;
Trách nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý dữ liệu cá nhân;
Trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân;
Trách nhiệm phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân.

3. Chế tài xử lý vi phạm hành chính

(Dựa trên Dự thảo Nghị định xử phạt vi phạm hành chính, chỉ mang tính chất tham khảo, chưa có hiệu lực pháp luật)

Hành vi vi phạm	Mức xử phạt	Xử phạt bổ sung và biện pháp khắc phục hậu quả
(i) Vi phạm quy định về mua, bán trái phép dữ liệu cá nhân trong các trường hợp: – Không có thỏa thuận về việc chuyển giao DLCN; – Thỏa thuận không xác định mục đích chuyển giao.	Phạt tiền dựa trên khoản thu: Mức phạt tối thiểu bằng 02 lần và tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm (không khấu trừ chi phí); Phạt tiền khi không xác định được khoản thu: – Nếu dữ liệu liên quan đến dưới 1.000 chủ thể dữ liệu cơ bản: Phạt từ 70.000.000 đồng đến 100.000.000 đồng; – Nếu số lượng dữ liệu lớn hơn, mức phạt có thể lên tới 1.000.000.000 đồng; – Trong trường hợp vi phạm nghiêm trọng xâm phạm trật tự an toàn xã hội, mức phạt có thể lên tới 03 tỷ đồng.	Xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm; có thể bị tước quyền sử dụng giấy phép kinh doanh đối với ngành nghề có vi phạm từ 12 đến 24 tháng. Biện pháp khắc phục hậu quả: – Buộc hủy, xóa dữ liệu cá nhân đã mua bán trái phép; – Buộc nộp lại khoản thu có được từ hành vi vi phạm; – Buộc thông báo công khai về hành vi vi phạm và biện pháp khắc phục đến chủ thể DLCN.
(ii) Thỏa thuận chuyển giao không xác định đủ trách nhiệm bảo vệ và phối hợp khi có vi phạm.	Mức phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng	Xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm; có thể bị tước quyền sử dụng giấy phép kinh doanh đối với ngành nghề có vi phạm từ 01 đến 03 tháng. Biện pháp khắc phục hậu quả: – Buộc bổ sung, hoàn thiện thỏa thuận chuyển giao dữ liệu theo đúng quy định và cung cấp minh chứng cho cơ quan chức năng; – Buộc hủy, xóa dữ liệu cá nhân đã chuyển giao nếu không thể bảo đảm các biện pháp bảo mật theo quy định.
(iii) Vi phạm liên quan đến dữ liệu nhạy cảm trong quá trình chuyển giao	Mức phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng

Kết luận

Như vậy, việc xây dựng thoả thuận xử lý dữ liệu cá nhân thiếu sót, không xác định rõ mục đích hoặc không đảm bảo trách nhiệm bảo vệ dữ liệu sẽ khiến tổ chức đối mặt với các hình thức xử phạt, chế tài nặng nề. Vì vậy doanh nghiệp cần nắm chắc và thực hiện đúng quy định của pháp luật.

Trên đây là Vi phạm Thỏa thuận xử lý dữ liệu “DPA” bị xử lý như thế nào. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: