Câu trả lời nhanh: Theo GDPR, người kiểm soát dữ liệu xác định lý do và cách thức xử lý dữ liệu cá nhân, trong khi người xử lý dữ liệu chỉ xử lý dữ liệu theo chỉ dẫn của người kiểm soát. Trách nhiệm khác nhau đáng kể: người kiểm soát chịu trách nhiệm rộng nhất, trong khi người xử lý chỉ phải chịu trách nhiệm trực tiếp khi họ hành động ngoài chỉ dẫn hợp pháp hoặc vi phạm nghĩa vụ GDPR được chỉ định cụ thể cho họ.
Những điểm chính
- Người kiểm soát dữ liệu quyết định mục đích và phương tiện xử lý; người xử lý dữ liệu hành động thay mặt cho người kiểm soát.
- Người kiểm soát chịu trách nhiệm chính theo GDPR; người xử lý chỉ phải chịu trách nhiệm trực tiếp theo Điều 82 trong những trường hợp cụ thể.
- Cả hai vai trò có thể tồn tại đồng thời trong một tổ chức, một công ty có thể là người kiểm soát cho khách hàng của mình và là người xử lý cho một doanh nghiệp khác.
- Một Thỏa thuận Xử lý Dữ liệu (DPA) có hiệu lực pháp lý là bắt buộc mỗi khi một người kiểm soát thuê một người xử lý.
- Người xử lý phụ cần có sự ủy quyền bằng văn bản trước từ người kiểm soát; người xử lý chính vẫn hoàn toàn chịu trách nhiệm về hành vi của người xử lý phụ.
- Phân loại sai vai trò của bạn là một rủi ro tuân thủ có thể khiến tổ chức của bạn phải đối mặt với các hình phạt quy định.
- Người xử lý sử dụng dữ liệu cá nhân cho mục đích riêng của họ tự động trở thành người kiểm soát cho hoạt động xử lý đó.
- Đạo luật Dữ liệu (Sử dụng và Truy cập) của Vương quốc Anh năm 2026 giới thiệu thêm những thay đổi mà các tổ chức hoạt động theo GDPR của Vương quốc Anh nên xem xét ngay lập tức.
Sự khác biệt giữa Người kiểm soát và Người xử lý dữ liệu theo GDPR là gì?
Người kiểm soát dữ liệu là bất kỳ thực thể nào xác định mục đích và phương tiện xử lý dữ liệu cá nhân. Người xử lý dữ liệu là bất kỳ thực thể nào xử lý dữ liệu cá nhân thay mặt cho một người kiểm soát, hoàn toàn tuân theo chỉ dẫn của người kiểm soát [1].
Sự phân biệt này dựa trên quyền quyết định. Nếu tổ chức của bạn quyết định tại sao dữ liệu được thu thập và làm thế nào nó sẽ được sử dụng, bạn là người kiểm soát. Nếu tổ chức của bạn chỉ xử lý dữ liệu vì một thực thể khác đã chỉ dẫn bạn, và bạn không có quyền độc lập về mục đích, bạn là người xử lý.
Ví dụ thực tiễn:
| Tình huống | Vai trò |
|---|---|
| Một nhà bán lẻ thương mại điện tử thu thập dữ liệu mua hàng của khách hàng | Người kiểm soát |
| Một nhà cung cấp dịch vụ lưu trữ đám mây lưu trữ cơ sở dữ liệu của nhà bán lẻ đó | Người xử lý |
| Một nền tảng SaaS quản lý bảng lương xử lý dữ liệu nhân viên cho một nhà tuyển dụng | Người xử lý |
| Một công ty marketing xây dựng danh sách khách hàng tiềm năng của riêng mình | Người kiểm soát |
| Một nhà cung cấp CRM truy cập dữ liệu khách hàng để cung cấp hỗ trợ | Người xử lý |
ICO nhấn mạnh rằng nhãn trong một hợp đồng không xác định vai trò, mà hành vi thực tế mới là điều quyết định [1]. Một nhà cung cấp được gọi là "người xử lý" trong một hợp đồng nhưng đưa ra quyết định độc lập về việc sử dụng dữ liệu thì về mặt pháp lý là một người kiểm soát bất kể thỏa thuận nói gì.
Trách nhiệm chính của Người kiểm soát theo GDPR là gì?
Người kiểm soát chịu gánh nặng tuân thủ lớn nhất theo GDPR. Họ chịu trách nhiệm cho toàn bộ vòng đời dữ liệu và phải đảm bảo bất kỳ người xử lý nào họ thuê đều đáp ứng tiêu chuẩn GDPR [3].
Nghĩa vụ cốt lõi của người kiểm soát bao gồm:
- Thiết lập và ghi chép một cơ sở hợp pháp cho mọi hoạt động xử lý
- Cung cấp thông báo quyền riêng tư minh bạch cho các chủ thể dữ liệu
- Tạo điều kiện cho quyền của các chủ thể dữ liệu, bao gồm quyền truy cập, chỉnh sửa, xóa, chuyển đổi và phản đối
- Thực hiện Đánh giá Tác động Bảo vệ Dữ liệu (DPIAs) cho các hoạt động xử lý có rủi ro cao
- Bổ nhiệm một Nhân viên Bảo vệ Dữ liệu (DPO) khi cần thiết
- Thực hiện thẩm định trước khi thuê người xử lý và theo dõi sự tuân thủ liên tục của họ
- Ký kết một Thỏa thuận Xử lý Dữ liệu bằng văn bản với mỗi người xử lý được thuê [3]
Người kiểm soát không thể chuyển nhượng trách nhiệm. Ngay cả khi một người xử lý gây ra một vi phạm, người kiểm soát vẫn phải chịu trách nhiệm trước các cơ quan giám sát về sự lựa chọn người xử lý của mình và tính đầy đủ của các biện pháp bảo vệ hợp đồng.
Trách nhiệm chính của Người xử lý theo GDPR là gì?
Người xử lý có nghĩa vụ trực tiếp theo GDPR, không chỉ là nghĩa vụ hợp đồng, và không thể coi việc tuân thủ là vấn đề của người kiểm soát mà thôi [3].
Nghĩa vụ trực tiếp của người xử lý theo GDPR bao gồm:
- Xử lý dữ liệu chỉ theo các chỉ dẫn đã được ghi chép từ người kiểm soát
- Thực hiện các biện pháp bảo mật kỹ thuật và tổ chức phù hợp
- Duy trì hồ sơ về tất cả các hoạt động xử lý được thực hiện thay mặt cho người kiểm soát
- Thông báo cho người kiểm soát về bất kỳ vi phạm dữ liệu nào mà không chậm trễ
- Hỗ trợ người kiểm soát trong việc thực hiện các yêu cầu quyền của các chủ thể dữ liệu
- Xóa hoặc trả lại tất cả dữ liệu cá nhân khi hợp đồng kết thúc
- Thuê người xử lý phụ chỉ với sự ủy quyền bằng văn bản trước từ người kiểm soát [3]
"Người xử lý có nghĩa vụ trực tiếp theo GDPR, không chỉ là nghĩa vụ hợp đồng, và phải đối mặt với rủi ro quy định nếu họ hành động ngoài các chỉ dẫn hợp pháp của người kiểm soát."
Ai chịu trách nhiệm nếu có vi phạm dữ liệu: Người kiểm soát hay Người xử lý?
Cả hai đều có thể chịu trách nhiệm, nhưng phạm vi khác nhau. Theo Điều 82 của GDPR, bất kỳ ai bị thiệt hại do vi phạm GDPR có quyền yêu cầu bồi thường từ người kiểm soát hoặc người xử lý chịu trách nhiệm [2].
Người kiểm soát chịu trách nhiệm về thiệt hại gây ra bởi bất kỳ hoạt động xử lý nào vi phạm GDPR. Người xử lý chỉ chịu trách nhiệm khi họ không tuân thủ các nghĩa vụ GDPR được chỉ định cụ thể cho người xử lý, hoặc khi họ hành động ngoài hoặc trái với chỉ dẫn hợp pháp của người kiểm soát [2].
Phân bổ trách nhiệm trong thực tiễn:
- Nếu một người xử lý gặp phải vi phạm vì người kiểm soát đã đưa ra chỉ dẫn bảo mật không đầy đủ, người kiểm soát có thể sẽ chịu trách nhiệm chính.
- Nếu một người xử lý phớt lờ yêu cầu bảo mật của người kiểm soát, người xử lý sẽ chịu trách nhiệm trực tiếp.
- Cả hai có thể bị truy cứu trách nhiệm liên đới, có nghĩa là một chủ thể dữ liệu có thể theo đuổi bất kỳ bên nào để yêu cầu bồi thường toàn bộ thiệt hại, để lại cho họ tự phân chia trách nhiệm giữa nhau sau đó.
Một người xử lý có thể thoát khỏi trách nhiệm bằng cách chứng minh rằng họ không có lỗi trong sự kiện gây ra thiệt hại [2]. Đây là một tiêu chuẩn cao: người xử lý phải chứng minh tuân thủ đầy đủ các nghĩa vụ GDPR của mình.
Một công ty có thể vừa là Người kiểm soát vừa là Người xử lý cùng một lúc không?
Có. Một tổ chức có thể đồng thời đóng vai trò là người kiểm soát cho một số hoạt động xử lý và là người xử lý cho những hoạt động khác, ngay cả trong cùng một mối quan hệ kinh doanh [1].
Ví dụ, một công ty marketing kỹ thuật số có thể đóng vai trò là người kiểm soát khi quản lý dữ liệu nhân sự của chính mình, và là người xử lý khi thực hiện các chiến dịch quảng cáo sử dụng dữ liệu khách hàng của một khách hàng. Vai trò được xác định theo từng hoạt động, không phải theo từng công ty.
Một người xử lý có thể trở thành Người kiểm soát nếu họ sử dụng dữ liệu cho mục đích riêng của mình không?
Một người xử lý tự động trở thành người kiểm soát ngay khi họ sử dụng dữ liệu cá nhân cho các mục đích vượt ra ngoài chỉ dẫn của người kiểm soát [1]. Đây là một trong những sự phân loại sai lầm nghiêm trọng nhất trong thực tiễn.
Nếu một nhà cung cấp phân tích đám mây bắt đầu khai thác dữ liệu của khách hàng để đào tạo các mô hình AI của riêng mình mà không có sự ủy quyền, họ đã bước ra ngoài vai trò người xử lý và đảm nhận vai trò người kiểm soát cho hoạt động đó, với tất cả các nghĩa vụ và trách nhiệm theo GDPR đi kèm. Không có điều khoản hợp đồng nào có thể ngăn chặn sự phân loại lại này; đây là một vấn đề thực tế, không phải thỏa thuận.
Các Thỏa thuận Xử lý Dữ liệu bảo vệ Người xử lý khỏi trách nhiệm như thế nào?
Một Thỏa thuận Xử lý Dữ liệu (DPA) là một công cụ pháp lý bắt buộc theo GDPR mỗi khi một người kiểm soát thuê một người xử lý [3]. Đối với người xử lý, một DPA được soạn thảo tốt là cơ chế chính để hạn chế rủi ro trách nhiệm.
Một DPA tuân thủ phải chỉ rõ:
- Chủ đề, thời gian, tính chất và mục đích của việc xử lý
- Loại dữ liệu cá nhân và các loại chủ thể dữ liệu liên quan
- Nghĩa vụ và quyền của người kiểm soát
- Các yêu cầu về bảo mật cho nhân viên được ủy quyền
- Các biện pháp bảo mật cần được thực hiện
- Điều kiện để thuê người xử lý phụ
- Quy trình để trả lại hoặc xóa dữ liệu khi kết thúc hợp đồng [3]
Khi một người xử lý hành động hoàn toàn trong phạm vi của DPA, trách nhiệm cho bất kỳ thiệt hại nào phát sinh chủ yếu chuyển sang người kiểm soát. Ngược lại, nếu một người xử lý vượt quá các chỉ dẫn đó, DPA trở thành bằng chứng cho sự sai lệch chứ không phải là một lá chắn.
Điều gì xảy ra nếu một người xử lý vi phạm các quy tắc của GDPR?
Người xử lý vi phạm GDPR phải đối mặt với cả hình phạt quy định và trách nhiệm dân sự về thiệt hại. Các cơ quan giám sát có thể áp dụng các khoản phạt hành chính trực tiếp lên người xử lý, lên đến 20 triệu EUR hoặc 4% doanh thu toàn cầu hàng năm cho các vi phạm nghiêm trọng nhất, tùy theo mức nào cao hơn [2].
Ngoài các khoản phạt, người xử lý phải đối mặt với các yêu cầu theo Điều 82 từ các chủ thể dữ liệu đã bị thiệt hại. Họ cũng có thể phải đối mặt với trách nhiệm hợp đồng đối với người kiểm soát theo DPA, bao gồm cả nghĩa vụ bồi thường.
Người xử lý có cần bổ nhiệm Nhân viên Bảo vệ Dữ liệu của riêng họ không?
Người xử lý phải tuân theo các ngưỡng bổ nhiệm DPO giống như người kiểm soát. Một người xử lý phải bổ nhiệm một DPO nếu họ thực hiện việc giám sát hệ thống quy mô lớn, có hệ thống đối với cá nhân, hoặc xử lý các loại dữ liệu đặc biệt hoặc dữ liệu về án tích hình sự trên quy mô lớn [1].
Việc trở thành người xử lý không miễn trừ một tổ chức khỏi yêu cầu bổ nhiệm DPO. Nhiều nhà cung cấp đám mây lớn và các nền tảng SaaS đóng vai trò là người xử lý được yêu cầu duy trì một DPO chính xác vì khối lượng và tính nhạy cảm của dữ liệu mà họ xử lý.
Sự khác biệt về hình phạt giữa Người kiểm soát và Người xử lý theo GDPR là gì?
Cấu trúc hình phạt hai cấp của GDPR áp dụng đồng đều cho cả người kiểm soát và người xử lý. Cấp một bao gồm các vi phạm ít nghiêm trọng hơn (lên đến 10 triệu EUR hoặc 2% doanh thu toàn cầu); cấp hai bao gồm các vi phạm nghiêm trọng nhất, bao gồm xử lý trái phép và không tôn trọng quyền của các chủ thể dữ liệu (lên đến 20 triệu EUR hoặc 4% doanh thu toàn cầu) [2].
Không có mức giảm giá hợp pháp cho người xử lý. Tuy nhiên, trong thực tiễn, các cơ quan giám sát đánh giá mức độ có tội, sự hợp tác và tính chất của vi phạm khi xác định số tiền phạt, các yếu tố có thể dẫn đến kết quả khác nhau cho người kiểm soát so với người xử lý trong cùng một sự cố.
Người xử lý phụ có trách nhiệm khác với người xử lý chính không?
Người xử lý phụ có cùng nghĩa vụ GDPR như người xử lý chính nhưng bị ràng buộc theo hợp đồng với người xử lý chính thay vì trực tiếp với người kiểm soát. Sự phân biệt quan trọng: người xử lý chính vẫn hoàn toàn chịu trách nhiệm với người kiểm soát về hiệu suất của người xử lý phụ [3].
Nếu một người xử lý phụ gây ra một vi phạm, biện pháp pháp lý của người kiểm soát sẽ nhắm vào người xử lý chính. Người xử lý chính sau đó phải theo đuổi người xử lý phụ một cách riêng biệt. Người xử lý phụ cũng có thể phải đối mặt với hành động quy định trực tiếp từ các cơ quan giám sát vì các vi phạm GDPR của riêng họ.
Các quy tắc về người xử lý phụ tóm tắt:
- Cần có sự ủy quyền bằng văn bản trước từ người kiểm soát trước khi thuê bất kỳ người xử lý phụ nào
- Người xử lý chính phải áp đặt các nghĩa vụ bảo vệ dữ liệu tương đương lên người xử lý phụ
- Người xử lý chính không thể thoát khỏi trách nhiệm bằng cách chỉ ra lỗi của người xử lý phụ
Làm thế nào để xác định bạn là Người kiểm soát hay Người xử lý cho doanh nghiệp của bạn?
Việc xác định dựa trên một câu hỏi duy nhất: tổ chức của bạn có quyết định độc lập tại sao dữ liệu cá nhân được xử lý không? Nếu có, bạn là người kiểm soát. Nếu bạn chỉ xử lý dữ liệu vì một thực thể khác đã chỉ dẫn bạn, và bạn không có mục đích độc lập, bạn là người xử lý [1].
Danh sách kiểm tra quyết định thực tiễn:
- Ai là người quyết định thu thập dữ liệu này ngay từ đầu?
- Ai xác định dữ liệu sẽ được sử dụng cho mục đích gì?
- Tổ chức của bạn có quyền tự quyết định cách dữ liệu được xử lý hay bạn đang tuân theo các thông số kỹ thuật của bên khác?
- Liệu việc xử lý có dừng lại nếu bên kia rút lại chỉ dẫn của họ không?
- Bạn có đang sử dụng dữ liệu cho bất kỳ mục đích nào mang lại lợi ích cho tổ chức của bạn một cách độc lập không?
Nếu các câu trả lời của bạn chỉ ra những hướng khác nhau trong các câu hỏi này, bạn có thể là một người kiểm soát chung, một tình huống yêu cầu một thỏa thuận minh bạch riêng với bên kia [1].
Những sai lầm phổ biến mà các công ty mắc phải với vai trò Người kiểm soát và Người xử lý là gì?
Phân loại sai là lỗi phổ biến nhất, và nó mang lại hậu quả tuân thủ thực sự. Các tổ chức thường giả định rằng việc được gọi là "nhà cung cấp" hoặc "nhà cung cấp dịch vụ" trong một hợp đồng khiến họ trở thành người xử lý, trong khi hành vi thực tế của họ đủ điều kiện họ là người kiểm soát.
Những sai lầm thường gặp khác:
- Bỏ qua DPA: Người kiểm soát thuê người xử lý mà không có DPA bằng văn bản đang vi phạm trực tiếp GDPR, bất kể hệ thống của người xử lý có an toàn đến đâu.
- Không kiểm tra người xử lý phụ: Người kiểm soát thường bỏ qua việc người xử lý của họ đã thuê người xử lý phụ mà không có sự ủy quyền hoặc bảo vệ hợp đồng tương đương.
- Giả định rằng người xử lý xử lý quyền của các chủ thể dữ liệu: Người kiểm soát vẫn chịu trách nhiệm phản hồi các yêu cầu của các chủ thể dữ liệu; người xử lý chỉ hỗ trợ.
- Bỏ qua rủi ro phân loại lại: Người xử lý mở rộng dịch vụ của họ và bắt đầu sử dụng dữ liệu khách hàng cho phân tích, đào tạo mô hình hoặc chuẩn hóa có thể vô tình trở thành người kiểm soát mà không nhận ra sự thay đổi.
Đối với các tổ chức quản lý sự đồng ý và luồng dữ liệu qua các trang web và tài sản kỹ thuật số, một nền tảng quản lý sự đồng ý như Biscotti CMP có thể giúp người kiểm soát ghi chép các cơ sở hợp pháp và quản lý hồ sơ sự đồng ý, một yếu tố cơ bản của trách nhiệm người kiểm soát theo GDPR.
Doanh nghiệp nhỏ nên xử lý trách nhiệm Người kiểm soát và Người xử lý như thế nào?
Các doanh nghiệp nhỏ không được miễn trừ khỏi khuôn khổ người kiểm soát-người xử lý của GDPR. Nếu một doanh nghiệp nhỏ thu thập dữ liệu khách hàng, ngay cả chỉ là địa chỉ email cho bản tin, họ là người kiểm soát và phải tuân thủ tất cả các nghĩa vụ của người kiểm soát.
Các bước thực tiễn cho các doanh nghiệp nhỏ:
- Lập bản đồ mọi công cụ hoặc nhà cung cấp xử lý dữ liệu cá nhân thay mặt cho bạn (các nền tảng email, công cụ phân tích, người xử lý thanh toán, CRM).
- Xác nhận xem có DPA đã ký với mỗi nhà cung cấp hay không.
- Xác minh rằng DPA của mỗi nhà cung cấp đáp ứng các yêu cầu tối thiểu của GDPR.
- Công bố một thông báo quyền riêng tư tuân thủ mô tả chính xác các hoạt động xử lý của bạn.
- Thiết lập một quy trình để phản hồi các yêu cầu của các chủ thể dữ liệu trong khoảng thời gian 30 ngày theo quy định.
Đạo luật Dữ liệu (Sử dụng và Truy cập) của Vương quốc Anh năm 2026, đã nhận được sự đồng ý của Hoàng gia vào ngày 19 tháng 6 năm 2026, giới thiệu thêm những sửa đổi đối với luật bảo vệ dữ liệu mà các doanh nghiệp nhỏ có trụ sở tại Vương quốc Anh nên xem xét với luật sư để đảm bảo các nghĩa vụ của người kiểm soát của họ vẫn còn hiện hành [1].
Câu hỏi thường gặp
Q: Một công ty SaaS có luôn là người xử lý không? Một công ty SaaS chỉ là người xử lý khi họ xử lý dữ liệu cá nhân hoàn toàn thay mặt cho khách hàng của mình và không vì mục đích độc lập nào. Nếu họ sử dụng dữ liệu khách hàng cho phân tích, cải tiến sản phẩm hoặc marketing của riêng mình, họ trở thành người kiểm soát cho những hoạt động đó.
Q: Một người xử lý có cần đăng ký với cơ quan giám sát không? Yêu cầu đăng ký khác nhau tùy theo từng quốc gia thành viên EU. Tuy nhiên, người xử lý phải duy trì hồ sơ nội bộ về các hoạt động xử lý (RoPA) theo Điều 30 của GDPR nếu họ có 250 nhân viên trở lên, hoặc nếu việc xử lý có khả năng gây ra rủi ro cho các chủ thể dữ liệu.
Q: Một người xử lý có thể từ chối chỉ dẫn của người kiểm soát không? Có, nếu việc tuân theo chỉ dẫn đó sẽ yêu cầu người xử lý vi phạm GDPR. Trong những trường hợp như vậy, người xử lý nên thông báo cho người kiểm soát và, nếu chỉ dẫn không được sửa chữa, có thể cần phải chấm dứt mối quan hệ.
Q: Thỏa thuận người kiểm soát chung là gì? Người kiểm soát chung tồn tại khi hai hoặc nhiều thực thể cùng xác định mục đích và phương tiện xử lý. Họ phải ghi chép trách nhiệm tương ứng của mình trong một thỏa thuận minh bạch và làm cho bản chất của thỏa thuận đó có sẵn cho các chủ thể dữ liệu [1].
Q: Một DPA cần duy trì hiệu lực trong bao lâu? Một DPA nên duy trì hiệu lực trong suốt thời gian quan hệ xử lý. Khi kết thúc, nó quy định nghĩa vụ của người xử lý để xóa hoặc trả lại tất cả dữ liệu cá nhân.
Q: Người xử lý có chịu trách nhiệm cho các khoản phạt áp dụng cho người kiểm soát không? Không. Các khoản phạt được áp dụng cho thực thể đã phạm vi phạm. Tuy nhiên, người xử lý có thể phải đối mặt với các khoản phạt riêng cho các vi phạm của chính họ, và có thể phải đối mặt với các yêu cầu bồi thường từ người kiểm soát theo DPA.
Q: GDPR có áp dụng cho người xử lý nằm ngoài EU không? Có. GDPR áp dụng cho người xử lý nằm ngoài EU khi họ xử lý dữ liệu cá nhân của cư dân EU thay mặt cho người kiểm soát có trụ sở tại EU, hoặc khi họ thuộc phạm vi lãnh thổ của GDPR theo Điều 3.
Q: Sự khác biệt giữa một DPA và một Điều khoản Hợp đồng Chuẩn là gì? Một DPA điều chỉnh mối quan hệ người kiểm soát-người xử lý trong nước. Các Điều khoản Hợp đồng Chuẩn (SCCs) là các cơ chế hợp đồng cụ thể để chuyển giao dữ liệu cá nhân sang các quốc gia thứ ba bên ngoài EU/EEA mà không có quyết định đầy đủ.
Kết luận
Người kiểm soát vs. Người xử lý: Hiểu rõ trách nhiệm của bạn theo GDPR không phải là một bài tập pháp lý trừu tượng, nó xác định ai phải đối mặt với các khoản phạt quy định, ai bồi thường cho các chủ thể dữ liệu, và ai phải chịu trách nhiệm trước các cơ quan giám sát khi có điều gì đó sai sót. Sự phân biệt dựa trên một câu hỏi thực tế về quyền quyết định, không phải trên nhãn hợp đồng.
Các bước hành động tiếp theo:
- Thực hiện một bài tập lập bản đồ dữ liệu để xác định mọi hoạt động xử lý và vai trò của tổ chức bạn trong từng hoạt động.
- Kiểm tra các hợp đồng nhà cung cấp hiện có để xác nhận rằng các DPA tuân thủ đã được ký kết với mỗi người xử lý mà bạn thuê.
- Xem xét các thỏa thuận người xử lý phụ để đảm bảo có sự ủy quyền trước và các nghĩa vụ tương đương được áp đặt.
- Nếu bạn hoạt động như cả người kiểm soát và người xử lý trong các hoạt động khác nhau, hãy ghi chép từng vai trò một cách riêng biệt.
- Đối với các tổ chức tại Vương quốc Anh, hãy xem xét các tác động của Đạo luật Dữ liệu (Sử dụng và Truy cập) năm 2026 với luật sư có chuyên môn.
- Triển khai một giải pháp quản lý sự đồng ý như Biscotti CMP để duy trì hồ sơ sự đồng ý có thể kiểm tra và hỗ trợ nghĩa vụ của bạn với tư cách là người kiểm soát.
Phân loại sai không chỉ là một kỹ thuật, mà là một khoảng trống tuân thủ có hậu quả tài chính và danh tiếng trực tiếp. Đặt đúng vai trò ngay từ đầu là khoản đầu tư tiết kiệm chi phí nhất cho GDPR mà bất kỳ tổ chức nào cũng có thể thực hiện.
Tài liệu tham khảo
[1] What Are Controllers And Processors - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Art 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Controller And Processor Relationships - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai