27/05/2026
Bên thứ ba trong thu thập, xử lý, sử dụng thông tin của người tiêu dùng
Trong hoạt động kinh doanh hiện nay, việc thu thập, lưu trữ và xử lý thông tin người tiêu dùng thường không chỉ do một chủ thể thực hiện mà có sự tham gia của nhiều bên liên quan. Thực tiễn cho thấy, bên cạnh tổ chức, cá nhân kinh doanh, các bên thứ ba như đơn vị cung cấp dịch vụ công nghệ, đối tác phân phối hoặc trung gian giao dịch thường tham gia trực tiếp hoặc gián tiếp vào quá trình này.
Luật Bảo vệ quyền lợi người tiêu dùng năm 2023 đã thiết lập khung pháp lý tương đối đầy đủ nhằm điều chỉnh hoạt động xử lý thông tin trong bối cảnh có sự tham gia của bên thứ ba. Việc nhận diện đúng vai trò, phạm vi và trách nhiệm của các chủ thể này có ý nghĩa quan trọng trong việc bảo đảm tuân thủ pháp luật và hạn chế rủi ro pháp lý cho doanh nghiệp.
1. Phân loại và trách nhiệm của bên thứ ba tham gia thu thập, xử lý, sử dụng thông tin người tiêu dùng
Bên thứ ba trong thu thập, xử lý, sử dụng thông tin của người tiêu dùng được quy định tại Điều 15 và Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng. Khác với bên thứ ba trong Luật Bảo vệ dữ liệu cá nhân năm 2025[1], bên thứ ba trong Luật Bảo vệ quyền lợi người tiêu dùng được hiểu chung là bên không phải là tổ chức, cá nhân kinh doanh và người tiêu dùng. Tuy nhiên, tùy theo tư cách bên thứ ba trong mối quan hệ với tổ chức, cá nhân kinh doanh, Luật Bảo vệ quyền lợi người tiêu dùng có sự điều chỉnh khác nhau đối với đối tượng này.
Theo quy định tại Điều 15 và Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng, có thể phân chia bên thứ ba làm các nhóm như sau:
a) Bên thứ ba được thuê, ủy quyền để thu thập, xử lý thông tin thay cho tổ chức, cá nhân kinh doanh
Tại khoản 1 và khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng, bên thứ ba có thể hiểu là bên không phải là tổ chức, cá nhân kinh doanh và người tiêu dùng nhưng tham gia vào quá trình xử lý thông tin của người tiêu dùng thông qua hoạt động ủy quyền hoặc thuê.
Đây là các đơn vị thực hiện một phần hoặc toàn bộ hoạt động xử lý thông tin thay cho tổ chức, cá nhân kinh doanh, ví dụ như: đơn vị lưu trữ dữ liệu, vận hành hệ thống công nghệ thông tin, trung tâm chăm sóc khách hàng, đơn vị phân tích dữ liệu hoặc tổ chức giám định chuyên môn.
Ví dụ trong lĩnh vực mua bán bảo hiểm nhân thọ, bên thứ ba xử lý thông tin thay tổ chức, cá nhân kinh doanh có thể là đơn vị giám định sức khỏe, nhà cung cấp cloud/ lưu trữ dữ liệu, đơn vị vận hành hệ thống công nghệ thông tin, đơn vị được thuê để chăm sóc khách hàng, đơn vị phân tích dữ liệu, quảng cáo sản phẩm…
Đối với bên thứ ba được thuê, ủy quyền để thu thập, xử lý thông tin thay cho tổ chức, cá nhân kinh doanh, khoản 1 và khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng quy định:
“1. Tổ chức, cá nhân kinh doanh tự mình hoặc ủy quyền, thuê bên thứ ba thực hiện việc thu thập, lưu trữ, sử dụng, chỉnh sửa, cập nhật, hủy bỏ thông tin của người tiêu dùng phải bảo đảm an toàn, an ninh thông tin của người tiêu dùng theo quy định của Luật này và quy định khác của pháp luật có liên quan.
2. Trường hợp tổ chức, cá nhân kinh doanh ủy quyền hoặc thuê bên thứ ba thực hiện việc thu thập, lưu trữ, sử dụng, chỉnh sửa, cập nhật, hủy bỏ thông tin của người tiêu dùng thi phải được sự đồng ý của người tiêu dùng. Việc ủy quyền hoặc thuê bên thứ ba phải được thực hiện bằng văn bản, trong đó quy định rõ phạm vi, trách nhiệm của mỗi bên trong việc bảo vệ thông tin của người tiêu dùng theo quy định của Luật này và quy định khác của pháp luật có liên quan.”
Theo đó, trong trường hợp muốn thuê hoặc ủy quyền cho bên thứ ba thực hiện thu thập, lưu trữ, sử dụng, chỉnh sửa, cập nhật, hủy bỏ thông tin của người tiêu dùng, tổ chức, cá nhân kinh doanh phải đáp ứng các điều kiện sau:
- Được người tiêu dùng đồng ý;
- Lập văn bản ủy quyền/ thuê, trong đó quy định rõ phạm vi, trách nhiệm của mỗi bên trong việc bảo vệ thông tin của người tiêu dùng theo quy định pháp luật.
Trong trường hợp này, tổ chức, cá nhân kinh doanh vẫn là bên phải chịu trách nhiệm trước người tiêu dùng về việc bảo vệ thông tin của người tiêu dùng, bên thứ ba chịu trách nhiệm trong phạm vi văn bản ủy quyền/ thuê đã ký kết với tổ chức, cá nhân kinh doanh.
b) Bên thứ ba là kênh giao dịch giữa tổ chức, cá nhân kinh doanh với người tiêu dùng
Bao gồm các chủ thể là kênh giao dịch giữa tổ chức, cá nhân kinh doanh với người tiêu dùng, ví dụ như: ngân hàng, đại lý bảo hiểm tham gia quá trình tư vấn, bán bảo hiểm cho công ty bảo hiểm.
Đối với Bên thứ ba là kênh giao dịch giữa tổ chức, cá nhân kinh doanh với người tiêu dùng, khoản 3 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng quy định:
“Trường hợp người tiêu dùng thực hiện giao dịch thông qua bên thứ ba thì bên thứ ba có trách nhiệm bảo vệ thông tin của người tiêu dùng theo quy định của Luật này và quy định khác của pháp luật có liên quan.”
Theo đó, trong trường hợp bên thứ ba là kênh giao dịch giữa tổ chức, cá nhân kinh doanh với người tiêu dùng, bên thứ ba phải chịu trách nhiệm độc lập trong việc bảo vệ thông tin của người tiêu dùng.
Ngoài ra, trong trường hợp bên thứ ba đồng thời là bên được tổ chức, cá nhân kinh doanh ủy quyền/ thuê để thu thập, lưu trữ, sử dụng, chỉnh sửa, cập nhật, hủy bỏ thông tin của người tiêu dùng, bên thứ ba còn phải thực hiện trách nhiệm bảo vệ thông tin người tiêu dùng theo văn bản thỏa thuận với tổ chức, cá nhân kinh doanh.
Ví dụ về các bên thứ ba nêu trên trong lĩnh vực bảo hiểm nhân thọ như sau:
c) Bên thứ ba được chia sẻ, tiết lộ, chuyển giao thông tin để sử dụng độc lập
Đây là bên thứ ba nhận thông tin từ tổ chức, cá nhân kinh doanh để tự sử dụng cho mục đích của mình (không phải thay mặt tổ chức, cá nhân kinh doanh; không phải là kênh giao dịch của tổ chức, cá nhân kinh doanh), ví dụ là công ty phân tích dữ liệu, xếp hạng tín dụng; công ty tiếp thị, quảng cáo; đối tác nghiên cứu thị trường, khảo sát… sử dụng thông tin của người tiêu dùng vào các mục đích riêng của bên thứ ba.
Bên thứ ba được chia sẻ, tiết lộ, chuyển giao thông tin để sử dụng độc lập là một trong hai nhóm bên thứ ba được quy định tại Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng. Cụ thể, bên thứ ba theo Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng bao gồm hai nhóm như sau:
- Bên thứ ba được chia sẻ, tiết lộ, chuyển giao thông tin để sử dụng độc lập;
- Bên thứ ba xử lý thông tin thay doanh nghiệp (được tổ chức, cá nhân kinh doanh chuyển giao thông tin để lưu trữ hoặc phân tích phục vụ hoạt động kinh doanh của bên chuyển giao thông qua hoạt động thuê hoặc ủy quyền như đã đề cập tại Mục 1(a) trên đây).
Ví dụ trong lĩnh vực mua bán bảo hiểm nhân thọ, bên thứ ba theo Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng bao gồm:
Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng có sự điều chỉnh khác nhau giữa hai nhóm bên thứ ba này:
- Đối với bên thứ ba được chia sẻ, tiết lộ, chuyển giao thông tin để sử dụng độc lập: điểm a khoản 4 Điều 18 yêu cầu tổ chức, cá nhân kinh doanh thu thập, sử dụng thông tin của người tiêu dùng phải có cơ chế để người tiêu dùng lựa chọn việc cho phép hoặc không cho phép thực hiện hành vi chia sẻ, tiết lộ, chuyển giao thông tin cho bên thứ ba.
- Đối với bên thứ ba xử lý thông tin thay doanh nghiệp: không phải thực hiện trách nhiệm nêu trên trong trường hợp chuyển giao thông tin đã được thu thập phù hợp quy định của pháp luật cho bên thứ ba lưu trữ hoặc phân tích phục vụ hoạt động kinh doanh của bên chuyển giao và hai bên đã có thỏa thuận bằng văn bản về việc bên thứ ba có trách nhiệm bảo vệ thông tin người tiêu dùng theo quy định tại Luật Bảo vệ quyền lợi người tiêu dùng (điểm a khoản 4 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng).
Lưu ý đối với bên thứ ba xử lý thông tin thay doanh nghiệp, ngay cả trong trường hợp không phải thiết lập cơ chế để người tiêu dùng lựa chọn việc cho phép hoặc không cho phép thực hiện hành vi chuyển giao theo quy định tại điểm a khoản 4 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng, việc ủy quyền hoặc thuê bên thứ ba lưu trữ, phân tích thông tin phục vụ hoạt động kinh doanh của bên chuyển giao vẫn phải được người tiêu dùng đồng ý theo quy định tại khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng.
2. Khuyến nghị
Từ các quy định pháp luật nêu trên, các tổ chức, cá nhân kinh doanh và bên thứ ba cần đặc biệt lưu ý một số vấn đề sau:
Thứ nhất, rà soát và xác định đúng vai trò pháp lý của bên thứ ba trong từng hoạt động xử lý thông tin
Trong thực tiễn, cùng một chủ thể có thể đồng thời mang nhiều tư cách pháp lý khác nhau theo Điều 15 và Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng.
Ví dụ, trong hoạt động phân phối bảo hiểm nhân thọ qua ngân hàng: ngân hàng có thể là kênh giao dịch với người tiêu dùng theo khoản 3 Điều 15, đồng thời có thể được công ty bảo hiểm thuê hoặc ủy quyền thực hiện việc thu thập, nhập liệu, lưu trữ hoặc xử lý thông tin khách hàng theo khoản 1 và khoản 2 Điều 15. Ngoài ra, trong một số trường hợp, ngân hàng hoặc đối tác liên kết còn có thể là bên được chia sẻ, tiết lộ hoặc chuyển giao thông tin để sử dụng cho mục đích riêng theo Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng.
Do đó, tổ chức, cá nhân kinh doanh cần rà soát toàn bộ quy trình xử lý thông tin để xác định chính xác: bên thứ ba đang tham gia với vai trò nào; trường hợp nào thuộc Điều 15; trường hợp nào thuộc Điều 18 và nghĩa vụ pháp lý tương ứng trong từng trường hợp cụ thể.
Thứ hai, phân biệt rõ “ủy quyền/ thuê xử lý thông tin” và “chia sẻ, tiết lộ, chuyển giao thông tin”
Doanh nghiệp cần phân biệt rõ: (i) trường hợp bên thứ ba chỉ xử lý thông tin thay doanh nghiệp và (ii) trường hợp thông tin được chia sẻ hoặc chuyển giao cho bên thứ ba để sử dụng độc lập. Đây là hai cơ chế pháp lý khác nhau theo Điều 15 và Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng.
Đối với trường hợp thuê hoặc ủy quyền xử lý thông tin theo Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng:
- phải được người tiêu dùng đồng ý với việc thuê hoặc ủy quyền cho bên thứ ba;
- phải có văn bản thỏa thuận với bên thứ ba;
- quy định rõ phạm vi, trách nhiệm bảo vệ thông tin trong văn bản thỏa thuận.
Đối với trường hợp chia sẻ, tiết lộ hoặc chuyển giao thông tin cho bên thứ ba theo Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng: tổ chức, cá nhân kinh doanh có thể phải thiết lập cơ chế để người tiêu dùng lựa chọn cho phép hoặc không cho phép thực hiện hành vi này, trừ một số trường hợp ngoại lệ được pháp luật quy định.
Trong thực tiễn, nhiều tổ chức, cá nhân kinh doanh nhầm lẫn giữa hai cơ chế này, đặc biệt trong các hoạt động như phân tích dữ liệu, quảng cáo hành vi, chia sẻ dữ liệu trong nội bộ tập đoàn hoặc hợp tác phát triển sản phẩm mới.
Thứ ba, rà soát lại hợp đồng và cơ chế kiểm soát đối với bên thứ ba
Tổ chức, cá nhân kinh doanh cần rà soát: hợp đồng thuê dịch vụ, hợp đồng đại lý, hợp đồng hợp tác kinh doanh, thỏa thuận chia sẻ dữ liệu và các cơ chế kỹ thuật liên quan đến xử lý thông tin người tiêu dùng.
Trong đó cần quy định rõ: phạm vi thông tin được tiếp cận, mục đích xử lý, trách nhiệm bảo mật, cơ chế phân quyền, thời hạn lưu trữ, trách nhiệm xử lý khi xảy ra sự cố rò rỉ dữ liệu, trách nhiệm bồi hoàn giữa các bên.
Đặc biệt, đối với các lĩnh vực xử lý thông tin nhạy cảm như bảo hiểm, tài chính, ngân hàng hoặc y tế, việc kiểm soát trách nhiệm của bên thứ ba cần được thực hiện chặt chẽ trong toàn bộ vòng đời xử lý thông tin người tiêu dùng.
Thứ tư, tăng cường minh bạch và khả năng chứng minh tuân thủ
Trong trường hợp xảy ra tranh chấp hoặc sự cố rò rỉ dữ liệu, tổ chức, cá nhân kinh doanh cần có khả năng chứng minh: đã thông báo đầy đủ cho người tiêu dùng, đã lấy sự đồng ý phù hợp, đã thiết lập cơ chế lựa chọn theo quy định, đã ký kết văn bản với bên thứ ba và đã áp dụng biện pháp bảo vệ thông tin theo quy định pháp luật.
Do đó, doanh nghiệp cần lưu trữ đầy đủ:
- lịch sử đồng ý của người tiêu dùng;
- nội dung thông báo;
- phiên bản chính sách áp dụng;
- nhật ký xử lý dữ liệu;
- hồ sơ làm việc với bên thứ ba.
Việc sử dụng bên thứ ba trong hoạt động xử lý thông tin người tiêu dùng là xu hướng phổ biến trong nền kinh tế số hiện nay. Tuy nhiên, để bảo đảm tuân thủ pháp luật và xây dựng niềm tin của người tiêu dùng, các tổ chức, cá nhân kinh doanh cần thiết lập cơ chế minh bạch, có kiểm soát đối với toàn bộ hoạt động thu thập, sử dụng, chia sẻ và chuyển giao thông tin trong suốt quá trình kinh doanh./.
[1] “Bên thứ ba là tổ chức, cá nhân ngoài chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân tham gia vào việc xử lý dữ liệu cá nhân theo quy định của pháp luật” (Khoản 10 Điều 2).
