Trong quản trị dữ liệu cá nhân, doanh nghiệp thường dành nhiều thời gian để xác định ai đang tham gia xử lý dữ liệu. Nhưng có lẽ, đó lại chưa phải là câu hỏi quan trọng nhất.
Thực tiễn cho thấy nhiều doanh nghiệp đang mặc nhiên coi mọi nhà cung cấp được tiếp cận dữ liệu cá nhân là Bên xử lý dữ liệu cá nhân (Processor). Từ giả định đó, họ thiết kế hợp đồng, phân loại nhà cung cấp và phân bổ trách nhiệm trong toàn bộ hệ thống tuân thủ. Cách tiếp cận này tưởng như hợp lý nhưng lại bỏ qua một nguyên tắc cốt lõi của pháp luật về bảo vệ dữ liệu cá nhân: vai trò của một chủ thể không được quyết định bởi việc họ có được tiếp cận dữ liệu hay không, mà bởi chức năng họ thực hiện trong từng hoạt động xử lý dữ liệu.
Vấn đề là hoạt động xử lý dữ liệu không vận hành theo tên gọi của nhà cung cấp
Sự khác biệt này đặc biệt rõ khi doanh nghiệp thuê ngoài chức năng bảo vệ dữ liệu cá nhân (DPO). Câu hỏi đặt ra không thực sự là DPO thuê ngoài có phải là Bên xử lý dữ liệu cá nhân hay không, mà là doanh nghiệp có đang xác định đúng vai trò của DPO trong từng hoạt động xử lý dữ liệu hay không. Đây cũng chính là điểm xuất phát của nhiều nhầm lẫn trong thực tiễn và là lý do vì sao không ít doanh nghiệp đang thiết kế cả hệ thống quản trị dữ liệu trên một tiền đề pháp lý chưa thật sự chính xác.
DPO thuê ngoài có phải là Processor hay không?
Thực ra, đây lại là câu hỏi chưa chính xác. Nó phản ánh một cách tiếp cận khá phổ biến trong quản trị dữ liệu hiện nay: cố gắng gắn cho mỗi nhà cung cấp một "nhãn pháp lý" cố định. Nhà cung cấp này là Controller, nhà cung cấp kia là Processor, còn đơn vị khác là DPO.
Vấn đề là hoạt động xử lý dữ liệu không vận hành theo tên gọi của nhà cung cấp. Nó vận hành theo từng hoạt động cụ thể. Một nhà cung cấp có thể chỉ tư vấn về bảo vệ dữ liệu trong giai đoạn này nhưng vài tháng sau lại được giao vận hành cổng tiếp nhận yêu cầu của chủ thể dữ liệu. Một doanh nghiệp công nghệ có thể vừa cung cấp hạ tầng lưu trữ dữ liệu, vừa triển khai dịch vụ DPO. Một hãng luật có thể vừa tư vấn tuân thủ vừa trực tiếp hỗ trợ doanh nghiệp xử lý sự cố dữ liệu. Nếu vai trò thay đổi theo phạm vi công việc thì việc cố gắng tìm một tư cách pháp lý duy nhất cho cả nhà cung cấp ngay từ đầu gần như chắc chắn sẽ dẫn đến sai lệch.
Điều doanh nghiệp cần xác định không phải là: "Nhà cung cấp này là ai?" mà phải là: "Trong hoạt động cụ thể này, nhà cung cấp đang thực hiện chức năng gì?". Sự thay đổi tưởng như rất nhỏ trong cách đặt câu hỏi lại làm thay đổi toàn bộ phương pháp xác định vai trò pháp lý của các chủ thể tham gia xử lý dữ liệu.
Sở dĩ nhiều doanh nghiệp nhầm lẫn giữa DPO và Processor là bởi họ đang đồng nhất ba khái niệm hoàn toàn khác nhau. Thứ nhất là được tiếp cận dữ liệu cá nhân. Thứ hai là thực hiện một hoạt động xử lý dữ liệu. Và thứ ba là đóng vai trò Bên xử lý dữ liệu cá nhân.
Một luật sư được xem hồ sơ nhân sự để tư vấn tranh chấp lao động. Một kiểm toán viên được tiếp cận dữ liệu khách hàng trong quá trình kiểm toán. Một chuyên gia an ninh mạng rà soát toàn bộ cơ sở dữ liệu để đánh giá lỗ hổng. Một DPO đọc hồ sơ đánh giá tác động để xác định mức độ tuân thủ của doanh nghiệp. Điểm chung giữa họ là đều có thể tiếp cận dữ liệu cá nhân. Nhưng điều đó không tự động làm phát sinh tư cách Processor.
Nếu chỉ lấy tiêu chí "được nhìn thấy dữ liệu" để xác định vai trò pháp lý thì gần như mọi đơn vị tư vấn, kiểm toán, luật sư hay chuyên gia điều tra số đều có thể bị xếp vào nhóm Processor. Rõ ràng, đây không phải là cách mà pháp luật xây dựng cấu trúc trách nhiệm trong hoạt động bảo vệ dữ liệu cá nhân.
Điều pháp luật quan tâm không phải là ai nhìn thấy dữ liệu, mà là ai đang thực hiện hoạt động xử lý dữ liệu thay mặt cho chủ thể khác. Chính yếu tố "thay mặt" mới là điểm phân định bản chất của quan hệ pháp lý.
DPO đang bảo vệ hoạt động xử lý hay đang trực tiếp xử lý dữ liệu?
Khi một DPO rà soát hồ sơ đánh giá tác động, xem quy trình xử lý dữ liệu hoặc đánh giá một sự cố an toàn thông tin, mục tiêu của họ không phải là thay doanh nghiệp thực hiện hoạt động xử lý dữ liệu. Họ đang kiểm tra xem hoạt động xử lý đó có phù hợp với quy định pháp luật hay không, có rủi ro gì và cần điều chỉnh như thế nào.
Nói cách khác, DPO đang đánh giá hoạt động xử lý, chứ không nhất thiết thực hiện hoạt động xử lý. Hai chức năng này khác nhau về bản chất.
Sự khác biệt ấy cũng lý giải vì sao pháp luật dành riêng một khuôn khổ điều chỉnh đối với tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân, thay vì mặc nhiên coi mọi DPO thuê ngoài đều là Processor. Điều này không có nghĩa DPO không bao giờ có thể trở thành Processor. Nhưng điều đó cũng không đồng nghĩa với việc mọi DPO đều mặc nhiên là Processor chỉ vì họ được cấp quyền truy cập dữ liệu.
Một nhà cung cấp có thể đồng thời mang nhiều tư cách pháp lý
Thực tiễn triển khai dịch vụ DPO cho thấy ranh giới giữa các vai trò không phải lúc nào cũng rõ ràng.
Giả sử doanh nghiệp thuê một tổ chức bên ngoài để xây dựng chương trình bảo vệ dữ liệu cá nhân. Đơn vị này rà soát chính sách nội bộ, đánh giá hồ sơ DPIA, đào tạo nhân viên và tư vấn cách xử lý khi xảy ra vi phạm dữ liệu. Ở giai đoạn này, họ đang thực hiện chức năng của một tổ chức cung cấp dịch vụ bảo vệ dữ liệu.
Nhưng sau đó, doanh nghiệp quyết định giao luôn cho chính đơn vị này vận hành cổng tiếp nhận yêu cầu của chủ thể dữ liệu. Mỗi khi khách hàng yêu cầu truy cập, chỉnh sửa hoặc xóa dữ liệu, nhân viên của nhà cung cấp sẽ xác minh danh tính, truy cập hệ thống, thực hiện các thao tác cần thiết và phản hồi kết quả theo quy trình do doanh nghiệp ban hành.
Đối với phần công việc vận hành đó, nhà cung cấp không còn đơn thuần giám sát việc xử lý dữ liệu mà đã trực tiếp thực hiện một phần hoạt động xử lý thay mặt doanh nghiệp.
Điều đáng chú ý là không phải toàn bộ hợp đồng thay đổi bản chất, mà chỉ chính nhóm hoạt động đó có thể được nhìn nhận dưới góc độ của Processor. Đây cũng là điểm mà nhiều doanh nghiệp thường bỏ sót khi thiết kế hợp đồng.
Đó là cách tiếp cận phản ánh đúng bản chất của hệ sinh thái dữ liệu hiện đại hơn là việc cố gắng gắn một nhãn pháp lý duy nhất cho cả một nhà cung cấp.
Sai lầm lớn hơn nằm ở cách doanh nghiệp phân loại nhà cung cấp
Từ câu chuyện của DPO, có thể thấy một vấn đề rộng hơn trong quản trị dữ liệu hiện nay.
Nhiều doanh nghiệp vẫn xây dựng hệ thống tuân thủ theo phương pháp: mỗi nhà cung cấp chỉ được gắn với một vai trò pháp lý. Đây là cách tiếp cận khá tự nhiên nhưng ngày càng bộc lộ nhiều hạn chế.
Trong nền kinh tế số, ranh giới giữa tư vấn, công nghệ, vận hành và tuân thủ đang dần mờ đi. Một nhà cung cấp hoàn toàn có thể đồng thời triển khai nhiều dịch vụ với bản chất pháp lý khác nhau. Vai trò của họ không cố định mà thay đổi theo phạm vi công việc mà doanh nghiệp giao.
Nếu doanh nghiệp vẫn cố gắng tìm một "nhãn" duy nhất cho cả nhà cung cấp thì rất dễ dẫn đến việc ghi nhận sai vai trò trong hồ sơ đánh giá tác động, áp dụng sai loại hợp đồng và phân bổ sai trách nhiệm khi xảy ra vi phạm.
Có lẽ đã đến lúc doanh nghiệp cần thay đổi góc nhìn. Với mỗi hoạt động, doanh nghiệp cần xác định ai quyết định mục đích xử lý, ai quyết định phương thức xử lý và ai đang thực hiện hoạt động xử lý thay mặt cho ai. Khi trả lời được những câu hỏi đó, vai trò pháp lý của từng chủ thể sẽ tự nhiên trở nên rõ ràng.
Đó là cách tiếp cận phản ánh đúng bản chất của hệ sinh thái dữ liệu hiện đại hơn là việc cố gắng gắn một nhãn pháp lý duy nhất cho cả một nhà cung cấp.
Hợp đồng DPO cũng cần được nhìn từ góc độ này
Không ít doanh nghiệp sử dụng một mẫu Data Processing Agreement tiêu chuẩn cho toàn bộ quan hệ với DPO thuê ngoài. Trong khi đó, nếu phần lớn công việc của DPO là giám sát tuân thủ, đánh giá rủi ro và tư vấn thì trọng tâm của hợp đồng phải nằm ở phạm vi giám sát, quyền tiếp cận thông tin, nghĩa vụ cảnh báo, cơ chế báo cáo, tính độc lập và trách nhiệm hỗ trợ doanh nghiệp.
Ngược lại, nếu DPO đồng thời thực hiện một số hoạt động xử lý dữ liệu thay mặt doanh nghiệp thì chính phần công việc đó mới cần được điều chỉnh bằng các nghĩa vụ của Processor.
Nói cách khác, điều doanh nghiệp cần không phải là lựa chọn giữa DPO Agreement và Data Processing Agreement, mà là thiết kế một hợp đồng phản ánh đúng bản chất của từng nhóm hoạt động. Đó mới là cách tiếp cận phù hợp với thực tế của các mô hình thuê ngoài hiện nay.
Câu chuyện về DPO thuê ngoài thực chất không chỉ đặt ra một vấn đề về phân loại vai trò pháp lý. Nó phản ánh một yêu cầu lớn hơn của quản trị dữ liệu hiện đại: không thể xác định trách nhiệm chỉ từ tên gọi của chủ thể tham gia, mà phải bắt đầu từ bản chất của từng hoạt động xử lý dữ liệu.
Khi doanh nghiệp chuyển từ tư duy "nhà cung cấp này là ai" sang "nhà cung cấp đang làm gì", việc xác định vai trò, thiết kế hợp đồng và phân bổ trách nhiệm sẽ trở nên chính xác hơn. Và trong bảo vệ dữ liệu cá nhân, đó mới là nền tảng của một hệ thống tuân thủ thực chất, thay vì chỉ là sự đúng đắn về thuật ngữ.
