Lưu ý pháp lý: Bài viết cập nhật đến ngày 01/08/2026 và phục vụ mục đích phổ biến thông tin. Phạm vi nghĩa vụ cụ thể phụ thuộc vai trò xử lý dữ liệu, loại dữ liệu, ngành nghề và hoạt động chuyển dữ liệu của từng doanh nghiệp.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026. Điểm quan trọng với doanh nghiệp không nằm ở việc thêm một trang “chính sách riêng tư”, mà ở khả năng chứng minh toàn bộ vòng đời dữ liệu khách hàng, nhân viên và đối tác đang được quản trị có mục đích, có căn cứ và có kiểm soát.
1. Doanh nghiệp nào cần rà soát?
Gần như mọi đơn vị có nhân sự hoặc khách hàng đều xử lý dữ liệu cá nhân. Ví dụ:
- Cửa hàng lưu tên, số điện thoại và lịch sử mua để giao hàng, bảo hành hoặc tích điểm.
- Doanh nghiệp lưu hồ sơ ứng viên, hợp đồng, tài khoản ngân hàng, dữ liệu chấm công và lương.
- Website dùng biểu mẫu liên hệ, cookie, công cụ phân tích hoặc nền tảng quảng cáo.
- Bộ phận bán hàng đưa danh sách khách vào CRM, bảng tính hoặc ứng dụng nhắn tin.
- Doanh nghiệp thuê nhà cung cấp cloud, tổng đài, vận chuyển, kế toán hoặc phần mềm nhân sự.
Không nên chỉ giao việc cho phòng IT. Pháp chế xác định căn cứ và điều khoản; nhân sự, marketing, bán hàng xác định mục đích; IT triển khai kiểm soát; lãnh đạo phê duyệt rủi ro.
2. Bắt đầu bằng bản đồ dữ liệu
Mỗi quy trình nên được ghi thành một dòng trong sổ xử lý dữ liệu:
| Trường cần ghi | Ví dụ thực tế |
|---|---|
| Nhóm chủ thể | Khách hàng mua online |
| Dữ liệu | Họ tên, điện thoại, địa chỉ, lịch sử đơn |
| Mục đích | Xử lý và giao đơn hàng |
| Nguồn thu | Biểu mẫu checkout |
| Nơi lưu | ERP, hệ thống vận chuyển, bản sao lưu |
| Bên nhận | Đơn vị giao hàng |
| Thời hạn giữ | Theo mục đích và nghĩa vụ lưu hồ sơ |
| Người chịu trách nhiệm | Trưởng vận hành thương mại điện tử |
Hãy đi theo luồng thực tế từ lúc thu thập đến khi xóa, ẩn danh hoặc hết thời hạn lưu. Một bảng chỉ liệt kê tên phần mềm sẽ bỏ sót file tải về máy cá nhân, nhóm chat, email, bản giấy và bản sao lưu.
3. Phân biệt vai trò trong từng hoạt động
Một doanh nghiệp có thể đồng thời là bên kiểm soát ở quy trình nhân sự nhưng là bên xử lý khi cung cấp phần mềm cho khách hàng. Cần trả lời bốn câu hỏi:
- Ai quyết định mục đích xử lý?
- Ai quyết định phương tiện và cấu hình chính?
- Ai thực hiện xử lý theo chỉ dẫn?
- Có bên thứ ba nào nhận hoặc cùng quyết định việc sử dụng dữ liệu?
Vai trò phải nhất quán giữa thực tế, hợp đồng và thông báo cho chủ thể dữ liệu. Gọi nhà cung cấp là “đối tác kỹ thuật” không làm mất nghĩa vụ nếu họ vẫn truy cập dữ liệu thật.
4. Quản lý sự đồng ý theo bằng chứng
Khi hoạt động dựa trên sự đồng ý, doanh nghiệp phải lưu được ai đã đồng ý, lúc nào, với nội dung và phiên bản thông báo nào. Sự im lặng hoặc ô được đánh dấu sẵn không phải cách thu đồng ý an toàn.
Nên tách các mục đích không cần thiết cho giao dịch chính. Ví dụ, đồng ý nhận quảng cáo không nên bị gộp thành điều kiện bắt buộc để khách được mua hàng. Khi khách rút lại đồng ý, hệ thống cần ngừng đúng hoạt động liên quan và giữ lại phần dữ liệu còn căn cứ hợp pháp khác, thay vì xóa thiếu kiểm soát toàn bộ hồ sơ kế toán.
5. Hợp đồng với nhà cung cấp cần có gì?
Phụ lục xử lý dữ liệu tối thiểu nên nêu:
- Phạm vi, mục đích, loại dữ liệu và nhóm chủ thể.
- Chỉ dẫn xử lý được phép và giới hạn sử dụng cho mục đích riêng.
- Phân quyền, mã hóa, ghi nhật ký, sao lưu và thời hạn khắc phục sự cố.
- Điều kiện dùng nhà thầu phụ và địa điểm lưu trữ/xử lý.
- Thời gian thông báo khi có sự cố hoặc yêu cầu của chủ thể dữ liệu.
- Cách hoàn trả, xóa hoặc chứng minh xóa dữ liệu khi chấm dứt hợp đồng.
- Quyền kiểm tra, cung cấp tài liệu và phối hợp lập hồ sơ đánh giá tác động.
Đừng chỉ đọc chứng nhận bảo mật trên trang giới thiệu. Hãy kiểm tra cấu hình gói dịch vụ doanh nghiệp đang mua, vì phạm vi sao lưu và vị trí dữ liệu có thể khác giữa các gói.
6. Chuẩn bị quy trình thực hiện quyền của cá nhân
Doanh nghiệp cần một đầu mối nhận yêu cầu và cơ chế xác minh danh tính phù hợp. Quy trình nên chỉ rõ người phê duyệt, hệ thống phải tra cứu, trường hợp cần từ chối/hạn chế theo luật và cách ghi lại kết quả.
Một yêu cầu “xóa dữ liệu của tôi” có thể chạm CRM, email marketing, hồ sơ hỗ trợ, đơn hàng và bản sao lưu. Đội ngũ cần phân biệt dữ liệu được xóa ngay, dữ liệu bị hạn chế xử lý và dữ liệu phải giữ để đáp ứng nghĩa vụ pháp luật hoặc giải quyết tranh chấp.
7. Ứng phó sự cố theo giờ, không theo tuần
Kế hoạch sự cố nên có sẵn:
- Kênh báo cáo nội bộ 24/7 và người có quyền kích hoạt.
- Cách cô lập tài khoản, thiết bị hoặc khóa truy cập bị lộ.
- Mẫu ghi nhận loại dữ liệu, số người, thời điểm và hệ thống liên quan.
- Nhóm đánh giá rủi ro pháp lý, vận hành và truyền thông.
- Quy trình thông báo cơ quan, khách hàng và đối tác khi thuộc trường hợp phải thực hiện.
- Bảo toàn bằng chứng, khắc phục nguyên nhân và theo dõi hành động phòng ngừa.
Không nên chờ xác định đầy đủ mọi chi tiết mới mở hồ sơ sự cố. Ghi nhận sớm giúp bảo toàn log và không bỏ lỡ thời hạn pháp lý.
8. Chuyển dữ liệu ra nước ngoài
Dữ liệu có thể được chuyển xuyên biên giới dù nhân viên không bấm nút “xuất dữ liệu”: dùng cloud ở khu vực nước ngoài, cho đội hỗ trợ toàn cầu truy cập hoặc đồng bộ dữ liệu sang công cụ marketing đều cần được đánh giá.
Hồ sơ nên thể hiện các bên tham gia, quốc gia/vùng lưu trữ, mục đích, loại dữ liệu, biện pháp bảo vệ và cơ chế xử lý sự cố. Với hoạt động thuộc diện phải có hồ sơ đánh giá tác động chuyển dữ liệu, cần chuẩn bị ngay từ khâu mua phần mềm thay vì chờ sau khi hệ thống đã vận hành.
9. Lộ trình 30–60–90 ngày
30 ngày đầu: chỉ định người phụ trách, lập danh mục hệ thống và chọn 5 quy trình rủi ro cao nhất; đóng các biểu mẫu thu thừa dữ liệu; kiểm tra tài khoản dùng chung.
60 ngày: hoàn thiện bản đồ dữ liệu, phân vai các bên, cập nhật thông báo và hợp đồng nhà cung cấp; thiết kế quy trình quyền chủ thể và sự cố.
90 ngày: hoàn thiện hồ sơ đánh giá cần thiết, diễn tập sự cố, đào tạo theo vai trò và tạo bảng theo dõi định kỳ. Mỗi hệ thống mới phải qua bước đánh giá riêng tư trước khi mua hoặc triển khai.
Checklist kiểm tra nhanh
- Có danh mục dữ liệu cho khách hàng, nhân viên, ứng viên và đối tác.
- Mỗi mục đích có căn cứ, thời hạn giữ và người chịu trách nhiệm.
- Có bằng chứng đồng ý theo từng phiên bản khi dùng sự đồng ý.
- Hợp đồng nhà cung cấp quy định xử lý dữ liệu và sự cố.
- Đã nhận diện mọi luồng truy cập/lưu trữ xuyên biên giới.
- Có quy trình xác minh và phản hồi yêu cầu của chủ thể dữ liệu.
- Có playbook sự cố, danh sách liên hệ và log kiểm tra định kỳ.
- Nhân viên được đào tạo theo công việc, không chỉ ký cam kết chung.
Nguồn chính thức
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 trên Công báo
- Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân
- Điều kiện dịch vụ xử lý dữ liệu theo Nghị định 356/2025/NĐ-CP
- Quy định bảo vệ dữ liệu sức khỏe và dữ liệu trong bảo hiểm
Đọc tiếp: Luật Thương mại điện tử 122/2025 và Luật Công nghiệp công nghệ số 71/2025.