Tuân thủ quy định bảo vệ dữ liệu cá nhân là một trong những yêu cầu quan trọng đối với doanh nghiệp trong bối cảnh hoạt động kinh doanh ngày càng phụ thuộc vào công nghệ và dữ liệu số. Hầu hết doanh nghiệp hiện nay đều có quá trình thu thập, lưu trữ và sử dụng thông tin cá nhân của khách hàng, nhân viên, nhà cung cấp hoặc đối tác để phục vụ hoạt động vận hành.
Bắc Ninh – dữ liệu cá nhân đang trở thành một rủi ro vận hành mới của doanh nghiệp
Bắc Ninh tập trung nhiều khu công nghiệp, nhà máy sản xuất, doanh nghiệp FDI, doanh nghiệp logistics, thương mại và dịch vụ nên dữ liệu cá nhân không còn nằm trong một vài bộ hồ sơ hành chính. Dữ liệu được tạo ra liên tục trong tuyển dụng, chấm công, trả lương, quản lý ra vào, chăm sóc khách hàng, bán hàng, camera, hệ thống ERP, HRM, CRM và các nền tảng cloud. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP tạo thành một phần quan trọng của khung pháp lý mà doanh nghiệp cần đưa vào hệ thống quản trị tuân thủ.
Khu công nghiệp và doanh nghiệp FDI tạo ra lượng dữ liệu cá nhân lớn như thế nào?
Một doanh nghiệp sản xuất tại khu công nghiệp Bắc Ninh có thể quản lý từ vài trăm đến hàng nghìn lao động, chưa kể ứng viên, chuyên gia nước ngoài, nhà thầu, khách hàng, tài xế, nhân viên giao nhận và khách đến làm việc. Mỗi nhóm người lại tạo ra nhiều lớp thông tin khác nhau như thông tin định danh, số điện thoại, hình ảnh, thông tin chấm công, lịch sử ra vào nhà máy, tài khoản nhận lương, hồ sơ bảo hiểm, thông tin đào tạo, đánh giá công việc và dữ liệu được ghi nhận bởi camera an ninh. Khi các dữ liệu này được số hóa, sao lưu hoặc đồng bộ giữa nhiều hệ thống, số lượng bản sao thực tế có thể lớn hơn rất nhiều so với những gì doanh nghiệp hình dung.
Đặc điểm của doanh nghiệp FDI tại Bắc Ninh còn làm bài toán phức tạp hơn vì dữ liệu thường không dừng tại nhà máy. Một phần dữ liệu có thể được đưa lên HRM toàn cầu, ERP của tập đoàn, hệ thống email quốc tế, nền tảng quản lý nhân sự của công ty mẹ hoặc cloud đặt ngoài Việt Nam. Vì vậy, doanh nghiệp không nên chỉ hỏi mình có bao nhiêu hồ sơ nhân sự mà cần xác định dữ liệu đang được tạo ở đâu, ai có quyền truy cập, hệ thống nào đang lưu, đơn vị nào được nhận và liệu có luồng dữ liệu nào đang đi ra khỏi lãnh thổ Việt Nam.
Doanh nghiệp sản xuất tại Bắc Ninh đang lưu những dữ liệu nào của người lao động?
Hồ sơ người lao động thường bắt đầu từ CV, thông tin liên hệ, bằng cấp, hồ sơ tuyển dụng và sau đó mở rộng sang hợp đồng lao động, thông tin ngân hàng, bảo hiểm xã hội, mã số thuế, người phụ thuộc, hình ảnh, dữ liệu chấm công, dữ liệu ra vào, đánh giá KPI, đào tạo, kỷ luật, điều chuyển và lịch sử tiền lương. Nhiều doanh nghiệp còn lưu bản chụp giấy tờ tùy thân, hồ sơ sức khỏe, thông tin tai nạn lao động hoặc dữ liệu sinh trắc học phục vụ chấm công. Nghị định 356/2025/NĐ-CP hiện phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, trong đó dữ liệu sức khỏe, sinh trắc học và một số thông tin tài chính thuộc nhóm cần được kiểm soát chặt hơn.
Rủi ro thường nằm ở việc cùng một thông tin được sao chép qua quá nhiều nơi. Một số giấy tờ có thể nằm trong hồ sơ giấy của nhân sự, bản scan trên máy tính cá nhân, thư mục dùng chung, phần mềm HRM, email của quản lý và dữ liệu do đơn vị payroll bên ngoài giữ. Khi người lao động nghỉ việc, doanh nghiệp có thể xóa tài khoản HRM nhưng quên bản scan trong email hoặc bản Excel mà bộ phận khác đã tải xuống. Vì vậy, quản lý dữ liệu người lao động phải được nhìn theo toàn bộ vòng đời chứ không chỉ theo hồ sơ chính thức tại phòng nhân sự.
Bán lẻ, dịch vụ và thương mại điện tử phát sinh dữ liệu khách hàng ra sao?
Doanh nghiệp bán lẻ và dịch vụ tại Bắc Ninh có thể thu thập dữ liệu ngay từ khi khách hàng nhắn tin hỏi giá, để lại số điện thoại trên website, đăng ký thành viên, đặt hàng hoặc tham gia chương trình khuyến mại. Sau một giao dịch, dữ liệu còn tiếp tục đi vào CRM, hệ thống giao hàng, phần mềm hóa đơn, phần mềm kế toán, công cụ chăm sóc khách hàng và nền tảng marketing. Nếu doanh nghiệp triển khai app hoặc website thương mại điện tử, dữ liệu hành vi như lịch sử truy cập, sản phẩm quan tâm, thiết bị, cookie hoặc tương tác quảng cáo cũng có thể trở thành một phần của bức tranh dữ liệu cần quản trị.
Đặc biệt, dữ liệu khách hàng không phải lúc nào cũng nằm trong hệ thống do doanh nghiệp kiểm soát trực tiếp. Nhân viên sales có thể lưu số điện thoại trong danh bạ cá nhân, tải file khách hàng về laptop, gửi qua ứng dụng nhắn tin hoặc tạo một bảng riêng để chăm sóc. Khi đó, doanh nghiệp có thể có chính sách bảo mật rất tốt trên CRM nhưng vẫn tồn tại một “hệ thống dữ liệu ngầm” nằm ngoài tầm kiểm soát. Đây là lý do công việc bảo vệ dữ liệu cần đi vào quy trình bán hàng, chăm sóc khách hàng và marketing chứ không chỉ tập trung vào server hoặc phần mềm.
Vì sao bảo vệ dữ liệu không còn là việc riêng của bộ phận IT?
IT có thể quản lý máy chủ, phân quyền, mật khẩu, sao lưu và bảo mật hệ thống nhưng lại không quyết định vì sao phòng nhân sự thu thập dữ liệu sức khỏe, sales dùng số điện thoại vào mục đích nào hay marketing muốn đưa danh sách khách hàng lên một nền tảng quảng cáo. Các quyết định về mục đích xử lý dữ liệu thường được đưa ra bởi phòng ban nghiệp vụ. Nếu doanh nghiệp coi bảo vệ dữ liệu là nhiệm vụ riêng của IT, bộ phận kỹ thuật có thể bảo vệ rất tốt một hoạt động xử lý vốn đã không phù hợp về mục đích, phạm vi hoặc thời hạn lưu trữ.
Mô hình hiệu quả hơn là quản trị dữ liệu trên toàn doanh nghiệp, trong đó pháp chế hoặc compliance kiểm soát căn cứ và hồ sơ, IT phụ trách giải pháp kỹ thuật, HR quản lý dữ liệu lao động, marketing quản lý dữ liệu khách hàng và ban lãnh đạo quyết định cơ chế trách nhiệm. Khi xảy ra sự cố, các bộ phận này cũng phải phối hợp ngay từ đầu. Đây chính là sự chuyển dịch từ tư duy “bảo mật hệ thống” sang “quản trị vòng đời dữ liệu cá nhân”.
“Data Map” – bước đầu tiên để biết doanh nghiệp Bắc Ninh đang giữ dữ liệu của ai
Một doanh nghiệp khó có thể bảo vệ dữ liệu nếu chưa biết chính xác dữ liệu đang ở đâu. Data Map có thể hiểu là bản đồ mô tả chủ thể dữ liệu, loại dữ liệu, nguồn thu thập, mục đích sử dụng, nơi lưu trữ, người truy cập, bên nhận, thời gian lưu giữ và điểm kết thúc của dữ liệu. Với doanh nghiệp Bắc Ninh có nhiều nhà máy, phòng ban và hệ thống quốc tế, Data Map còn giúp phát hiện những luồng dữ liệu xuyên biên giới hoặc những file Excel, email, ổ đĩa dùng chung đang nằm ngoài quy trình chính thức.
Dữ liệu của người lao động nằm ở những phòng ban nào?
Phòng nhân sự thường là nơi dễ nhìn thấy nhất, nhưng không phải nơi duy nhất giữ dữ liệu người lao động. Kế toán có thông tin tiền lương và tài khoản ngân hàng; bộ phận EHS có hồ sơ sức khỏe và tai nạn lao động; IT giữ tài khoản, log truy cập và email; bảo vệ quản lý camera và lịch sử ra vào; quản lý trực tiếp có đánh giá KPI; công đoàn hoặc bộ phận phúc lợi có thể có thông tin gia đình, người phụ thuộc. Nếu chỉ kiểm kê dữ liệu tại HR, doanh nghiệp sẽ bỏ sót một phần đáng kể luồng dữ liệu đang tồn tại.
Khi lập Data Map, cần đi theo quá trình làm việc thực tế thay vì chỉ nhìn vào sơ đồ tổ chức. Chẳng hạn một bảng chấm công có thể được tạo tại nhà máy, gửi cho HR, chuyển sang kế toán, đưa cho đơn vị payroll và sau đó lưu trên phần mềm ERP. Một dữ liệu ban đầu chỉ nằm ở máy chấm công đã đi qua năm điểm xử lý khác nhau. Việc mô tả được chuỗi này giúp doanh nghiệp nhìn rõ ai thực sự đang kiểm soát dữ liệu và điểm nào có nguy cơ phát sinh bản sao ngoài dự kiến.
Dữ liệu khách hàng đi qua website, CRM và bộ phận bán hàng ra sao?
Một khách hàng điền form trên website có thể khiến dữ liệu được chuyển đồng thời tới email, CRM, nền tảng marketing và hệ thống phân tích. Sau đó sales tải thông tin về điện thoại, gọi tư vấn, nhập ghi chú vào CRM và có thể chuyển tiếp cho bộ phận chăm sóc khách hàng. Nếu giao dịch thành công, dữ liệu tiếp tục được đưa sang kế toán, vận chuyển hoặc hệ thống hóa đơn. Nhìn bên ngoài đây chỉ là một form đăng ký, nhưng bên trong có thể là cả một chuỗi xử lý nhiều lớp.
Data Map cần mô tả rõ điểm bắt đầu và từng điểm trung chuyển. Doanh nghiệp nên biết biểu mẫu đang yêu cầu trường thông tin nào, CRM đặt ở đâu, nhân viên được xuất dữ liệu hay không, file được tải xuống có cơ chế kiểm soát nào và dữ liệu được chuyển sang đơn vị giao hàng trong phạm vi nào. Khi map theo luồng thực tế, doanh nghiệp thường phát hiện nhiều dữ liệu đang được sao chép chỉ vì quy trình cũ chứ không còn thực sự cần thiết.
Camera, chấm công, email và hồ sơ giấy có phải dữ liệu cần kiểm soát?
Dữ liệu cá nhân không chỉ tồn tại dưới dạng bảng Excel hoặc hồ sơ điện tử. Hình ảnh camera có thể xác định một người cụ thể, dữ liệu máy chấm công phản ánh thời gian làm việc, email chứa thông tin cá nhân, còn hồ sơ giấy có thể chứa số định danh, địa chỉ, tài khoản ngân hàng hoặc thông tin sức khỏe. Vì vậy, Data Map phải bao gồm cả dữ liệu số và dữ liệu dưới dạng khác nếu chúng xác định hoặc giúp xác định con người cụ thể theo phạm vi điều chỉnh của pháp luật hiện hành.
Điều này đặc biệt quan trọng với nhà máy ở Bắc Ninh, nơi hồ sơ giấy và hệ thống kỹ thuật thường tồn tại song song. Doanh nghiệp có thể xây hệ thống firewall rất mạnh nhưng vẫn để tủ hồ sơ nhân sự không khóa, bản photo giấy tờ tùy thân trên bàn làm việc hoặc file camera được sao chép sang USB. Kiểm soát dữ liệu vì thế phải bao gồm cả không gian vật lý, thiết bị đầu cuối, phương thức in ấn, lưu trữ giấy và cách tiêu hủy tài liệu.
Cách lập bản đồ luồng dữ liệu từ lúc thu thập đến khi xóa
Một Data Map hữu ích cần bắt đầu từ sự kiện tạo dữ liệu. Với ứng viên, đó có thể là lúc gửi CV; với khách hàng là khi điền form; với nhân viên là khi ký hợp đồng hoặc chấm công; với khách đến nhà máy là lúc đăng ký tại cổng. Từ điểm đó, doanh nghiệp lần theo tất cả nơi dữ liệu được lưu, sử dụng, sao chép, chia sẻ hoặc chuyển sang hệ thống khác. Mỗi luồng cần được gắn với một mục đích cụ thể, thay vì ghi chung chung rằng dữ liệu được dùng cho “hoạt động doanh nghiệp”.
Điểm cuối của Data Map cũng quan trọng không kém điểm đầu. Doanh nghiệp phải trả lời khi nào dữ liệu hết mục đích, căn cứ nào yêu cầu tiếp tục lưu, ai có quyền quyết định xóa và liệu việc xóa có được áp dụng cho bản sao lưu, vendor và thư mục cá nhân hay không. Chính phần “điểm kết thúc” thường giúp phát hiện tình trạng doanh nghiệp đang giữ dữ liệu vô thời hạn chỉ vì chưa từng xây quy tắc xóa.
Không phải dữ liệu nào cũng giống nhau – phân loại sai sẽ kéo theo cách xử lý sai
Sau khi biết dữ liệu đang nằm ở đâu, doanh nghiệp cần phân loại để xác định mức độ kiểm soát phù hợp. Nghị định 356/2025/NĐ-CP đã quy định danh mục dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Việc phân loại không chỉ phục vụ hồ sơ pháp lý mà còn ảnh hưởng đến phân quyền, mã hóa, mức độ giám sát, cách chia sẻ và quy trình xử lý sự cố.
Nhận diện dữ liệu cá nhân cơ bản
Dữ liệu cá nhân cơ bản có thể bao gồm họ tên, ngày sinh, giới tính, nơi sinh, địa chỉ, quốc tịch, hình ảnh, số điện thoại, số định danh cá nhân, số hộ chiếu, tình trạng hôn nhân, thông tin quan hệ gia đình và thông tin tài khoản số cùng những thông tin khác gắn với hoặc giúp xác định một người cụ thể mà không thuộc nhóm dữ liệu nhạy cảm.
Điểm doanh nghiệp cần tránh là suy nghĩ rằng “cơ bản” đồng nghĩa với “không quan trọng”. Một danh sách gồm họ tên, số điện thoại và vị trí công việc vẫn có thể gây hậu quả nếu bị sử dụng sai mục đích. Vì vậy, dữ liệu cơ bản vẫn cần mục đích xử lý rõ ràng, phân quyền, thời hạn lưu trữ và biện pháp bảo vệ tương ứng với rủi ro.
Khi nào doanh nghiệp đang xử lý dữ liệu cá nhân nhạy cảm?
Theo Nghị định 356/2025/NĐ-CP, dữ liệu nhạy cảm bao gồm nhiều nhóm như tình trạng sức khỏe, sinh trắc học, đặc điểm di truyền, vị trí xác định qua dịch vụ định vị, một số dữ liệu tài chính và tài khoản, thông tin đời sống riêng tư cũng như dữ liệu theo dõi hành vi sử dụng một số dịch vụ trên không gian mạng.
Doanh nghiệp sản xuất tại Bắc Ninh rất dễ chạm tới nhóm này mà không nhận ra. Máy chấm công khuôn mặt tạo dữ liệu sinh trắc học; hồ sơ khám sức khỏe tạo dữ liệu sức khỏe; ứng dụng theo dõi xe hoặc nhân sự có thể tạo dữ liệu vị trí; hồ sơ trả lương chứa thông tin tài chính. Vì vậy, phân loại cần dựa vào bản chất dữ liệu chứ không dựa vào tên của phòng ban đang giữ dữ liệu.
Hồ sơ nhân sự và dữ liệu sức khỏe cần được quản lý khác nhau thế nào?
Một hồ sơ nhân sự thông thường có thể cần nhiều bộ phận truy cập để phục vụ quản lý lao động. Tuy nhiên, phần thông tin sức khỏe không nên mặc nhiên được mở cho cùng nhóm người. Dữ liệu khám sức khỏe, bệnh nghề nghiệp, tình trạng sức khỏe hoặc hồ sơ y tế cần giới hạn quyền truy cập theo nhu cầu thực tế, đồng thời có cơ chế lưu trữ và chia sẻ chặt hơn.
Luật Bảo vệ dữ liệu cá nhân dành quy định riêng cho thông tin sức khỏe và yêu cầu áp dụng các biện pháp bảo vệ phù hợp; hoạt động thu thập, xử lý loại thông tin này còn phải xem xét điều kiện về sự đồng ý và các trường hợp pháp luật cho phép xử lý không cần sự đồng ý. Vì vậy, doanh nghiệp không nên gộp mọi hồ sơ của người lao động vào cùng một thư mục với cùng một quyền truy cập.
Một bộ dữ liệu có thể trở nên nhạy cảm khi kết hợp nhiều trường thông tin không?
Một trường thông tin riêng lẻ có thể không tạo ra mức độ rủi ro quá cao, nhưng khi nhiều trường được kết hợp, khả năng nhận diện và phân tích về một cá nhân tăng lên đáng kể. Chẳng hạn danh sách gồm họ tên, số điện thoại, phòng ban, mức lương, tài khoản nhận lương, lịch sử chấm công và vị trí làm việc tạo ra bức tranh rất chi tiết về người lao động.
Do đó, doanh nghiệp không nên đánh giá rủi ro chỉ dựa trên từng cột dữ liệu. Khi xây Data Map và phân loại, cần xem xét cả tập dữ liệu, khả năng liên kết với hệ thống khác và hậu quả nếu tập dữ liệu bị lộ. Đây là cách tiếp cận thực tế hơn so với việc gắn một nhãn duy nhất cho toàn bộ file.
“Consent không phải tấm vé vạn năng” – doanh nghiệp cần xác định đúng căn cứ xử lý
Sự đồng ý là một cơ chế quan trọng nhưng không phải lý do để doanh nghiệp thu thập và sử dụng dữ liệu không giới hạn. Luật 91/2025/QH15 yêu cầu sự đồng ý phải tự nguyện, dựa trên việc chủ thể biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát và các quyền, nghĩa vụ liên quan; đồng thời pháp luật cũng quy định những trường hợp xử lý không cần sự đồng ý.
Khi nào cần sự đồng ý của chủ thể dữ liệu?
Doanh nghiệp trước hết phải xác định hoạt động xử lý cụ thể, mục đích và quy định pháp luật điều chỉnh rồi mới kết luận có cần xin đồng ý hay không. Không nên áp dụng một công thức rằng mọi hoạt động đều cần consent hoặc ngược lại, chỉ cần có quan hệ lao động hay hợp đồng là doanh nghiệp được toàn quyền xử lý dữ liệu.
Đối với những hoạt động dựa trên sự đồng ý, doanh nghiệp phải tạo được cơ chế đồng ý phù hợp và có bằng chứng. Trong một số trường hợp pháp luật cho phép xử lý không cần sự đồng ý, doanh nghiệp vẫn phải tuân thủ các nguyên tắc, giới hạn mục đích và nghĩa vụ bảo vệ dữ liệu chứ không được hiểu đó là vùng miễn trách nhiệm.
Sự đồng ý phải rõ ràng và chứng minh được đến mức nào?
Luật hiện hành quy định sự đồng ý phải thể hiện rõ ràng, cụ thể và có thể in, sao chép hoặc kiểm chứng được, kể cả dưới dạng điện tử. Sự im lặng hoặc không phản hồi không được coi là đồng ý, và sự đồng ý cần thể hiện theo từng mục đích xử lý.
Điều này khiến doanh nghiệp phải quan tâm đến bằng chứng, không chỉ câu chữ. Nếu consent được lấy trên website, cần có log thể hiện phiên bản nội dung mà người dùng đã nhìn thấy và thời điểm họ lựa chọn. Nếu dùng hồ sơ giấy, cần quản lý phiên bản biểu mẫu. Một checkbox đã được tích sẵn hoặc một điều khoản chung bao phủ mọi mục đích có thể tạo rủi ro lớn khi doanh nghiệp cần chứng minh tính hợp lệ.
Thu thập một lần có được sử dụng cho nhiều mục đích không?
Việc doanh nghiệp đã có số điện thoại của khách hàng để giao hàng không đồng nghĩa số điện thoại đó tự động được sử dụng cho tất cả chiến dịch quảng cáo sau này. Tương tự, dữ liệu của nhân viên thu thập để trả lương không mặc nhiên được sử dụng cho một dự án phân tích khác không liên quan.
Luật yêu cầu sự đồng ý theo từng mục đích và nguyên tắc xử lý phải gắn với mục đích xác định. Vì vậy, khi muốn mở rộng cách sử dụng một tập dữ liệu, doanh nghiệp cần rà lại thông báo ban đầu, căn cứ xử lý và phạm vi mà chủ thể đã được biết hoặc đồng ý.
Cách xử lý khi chủ thể rút lại sự đồng ý hoặc thay đổi yêu cầu
Doanh nghiệp cần có kênh tiếp nhận yêu cầu và quy trình xác minh người yêu cầu trước khi thay đổi dữ liệu hoặc dừng hoạt động xử lý. Nếu không có quy trình này, yêu cầu có thể nằm trong email của một nhân viên mà không được chuyển tới bộ phận phụ trách, dẫn tới việc dữ liệu vẫn tiếp tục được sử dụng.
Luật hiện hành ghi nhận các quyền như được biết, rút lại sự đồng ý, xem, chỉnh sửa, yêu cầu xóa, hạn chế xử lý và phản đối xử lý trong phạm vi pháp luật quy định. Doanh nghiệp vì vậy cần quản lý yêu cầu như một quy trình nghiệp vụ có người chịu trách nhiệm, thời điểm tiếp nhận, kết quả xử lý và bằng chứng hoàn thành.
Hồ sơ tuân thủ không nên bắt đầu từ biểu mẫu – hãy bắt đầu từ vòng đời dữ liệu
Nếu doanh nghiệp lấy một bộ mẫu trên mạng rồi điền tên công ty mà chưa hiểu dữ liệu thực tế đang chạy như thế nào, hồ sơ rất dễ đẹp trên giấy nhưng không khớp hoạt động. Cách bền vững hơn là phân tích vòng đời từ thu thập, sử dụng, chia sẻ, lưu trữ đến xóa hoặc tiêu hủy rồi mới xây chính sách và biểu mẫu tương ứng.
Giai đoạn thu thập – doanh nghiệp phải thông báo gì?
Ngay khi thu thập, doanh nghiệp cần làm rõ mình đang lấy loại dữ liệu nào và để làm gì. Thông tin cung cấp cho chủ thể phải đủ để họ hiểu hoạt động xử lý chứ không nên chỉ là một câu chung chung như “dùng cho mục đích kinh doanh”.
Nội dung thông báo cũng phải phù hợp với kênh thu thập. Form website, hồ sơ tuyển dụng, ứng dụng chấm công hay phiếu đăng ký khách đều có bối cảnh khác nhau. Một mẫu duy nhất áp cho mọi hoạt động thường khiến mục đích mô tả quá rộng và không phản ánh đúng thực tế.
Giai đoạn sử dụng – ai được quyền truy cập và dùng vào mục đích nào?
Sau khi dữ liệu vào hệ thống, doanh nghiệp cần xác định rõ nhóm người được xem, sửa, tải xuống hoặc xuất dữ liệu. Quyền truy cập nên gắn với nhiệm vụ công việc thay vì cấp rộng vì tiện lợi. Một quản lý cần xem KPI không có nghĩa phải được xem toàn bộ thông tin ngân hàng hoặc hồ sơ sức khỏe.
Bên cạnh phân quyền kỹ thuật, doanh nghiệp cần kiểm soát mục đích sử dụng. Một người có quyền truy cập hợp lệ vẫn có thể sử dụng dữ liệu sai mục đích. Vì vậy log truy cập, quy chế nội bộ, đào tạo và cơ chế xử lý vi phạm phải đi cùng hệ thống phân quyền.
Giai đoạn chia sẻ – dữ liệu được chuyển cho nhà cung cấp ra sao?
Nhiều doanh nghiệp Bắc Ninh thuê bên ngoài thực hiện payroll, tuyển dụng, cloud, CRM, bảo vệ, vận chuyển hoặc các dịch vụ công nghệ. Khi đó, dữ liệu được chuyển ra ngoài biên giới tổ chức và doanh nghiệp cần biết bên nhận dữ liệu là ai, nhận trường thông tin nào và xử lý trong thời gian bao lâu.
Hợp đồng phải phản ánh trách nhiệm xử lý dữ liệu thay vì chỉ mô tả giá và phạm vi dịch vụ. Luật hiện hành yêu cầu bên xử lý tiếp nhận và xử lý dữ liệu dựa trên thỏa thuận, hợp đồng và phải thực hiện các biện pháp bảo vệ dữ liệu tương ứng.
Giai đoạn lưu trữ, xóa và tiêu hủy – khi nào phải kết thúc vòng đời dữ liệu?
Không phải dữ liệu nào cũng được xóa ngay khi kết thúc giao dịch vì có thể còn nghĩa vụ lưu trữ theo pháp luật, hợp đồng hoặc nhu cầu hợp pháp khác. Tuy nhiên, “có thể cần lưu” cũng không đồng nghĩa với lưu vô thời hạn. Doanh nghiệp nên xác định thời hạn theo từng loại hồ sơ.
Khi đến điểm kết thúc, việc xóa cần bao phủ các hệ thống liên quan chứ không chỉ dữ liệu chính. File tải xuống, thư mục dùng chung, dữ liệu vendor và bản giấy cũng cần được xem xét. Đối với người lao động, Luật 91/2025/QH15 còn quy định nguyên tắc xóa, hủy dữ liệu khi chấm dứt hợp đồng, trừ trường hợp có thỏa thuận hoặc pháp luật quy định khác.
Doanh nghiệp trong KCN Bắc Ninh cần đặc biệt chú ý dữ liệu nhân sự
Dữ liệu nhân sự là một trong những vùng rủi ro lớn nhất của doanh nghiệp sản xuất vì lượng thông tin nhiều, thời gian lưu dài và có sự tham gia của nhiều phòng ban. Luật Bảo vệ dữ liệu cá nhân hiện có quy định riêng cho hoạt động tuyển dụng, quản lý và sử dụng người lao động, khiến doanh nghiệp cần rà lại từ biểu mẫu ứng tuyển đến chấm công, camera và luồng dữ liệu về công ty mẹ.
Hồ sơ tuyển dụng và ứng viên chưa trúng tuyển xử lý thế nào?
Doanh nghiệp nên chỉ yêu cầu ứng viên cung cấp những thông tin thực sự phục vụ tuyển dụng. Việc hỏi quá sâu về đời sống riêng tư hoặc thu thập giấy tờ chưa cần thiết từ giai đoạn đầu có thể làm tăng rủi ro mà không mang lại giá trị tương ứng.
Điểm đáng chú ý là Luật 91/2025/QH15 quy định thông tin người dự tuyển phải được sử dụng phù hợp với mục đích và phải xóa, hủy khi không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển. Vì vậy, việc giữ hàng nghìn CV “để sau này dùng” cần có cơ chế phù hợp thay vì mặc nhiên lưu vô hạn.
Chấm công bằng khuôn mặt hoặc sinh trắc học phát sinh rủi ro gì?
Dữ liệu khuôn mặt dùng để nhận diện thuộc vùng dữ liệu sinh trắc học và được xếp vào nhóm nhạy cảm theo Nghị định 356/2025/NĐ-CP. Luật cũng yêu cầu tổ chức xử lý sinh trắc học có biện pháp bảo mật vật lý, hạn chế quyền truy cập và hệ thống theo dõi nhằm phòng ngừa, phát hiện hành vi xâm phạm.
Vì vậy, trước khi triển khai máy chấm công khuôn mặt tại nhà máy Bắc Ninh, doanh nghiệp nên đánh giá nhu cầu, mục đích, nhà cung cấp, nơi lưu template sinh trắc, khả năng xuất dữ liệu và cách xóa khi người lao động nghỉ việc. Không nên coi dữ liệu này giống một mã nhân viên thông thường vì nếu bị lộ, con người không thể “đổi khuôn mặt” theo cách đổi mật khẩu.
Camera tại nhà máy được đặt và khai thác dữ liệu ra sao?
Camera có thể cần thiết cho an ninh, an toàn và bảo vệ tài sản nhưng doanh nghiệp vẫn phải xác định mục đích, phạm vi ghi hình, khu vực đặt camera và thời hạn lưu giữ. Việc có camera vì an ninh không đồng nghĩa doanh nghiệp được sử dụng hình ảnh cho mọi mục đích khác.
Luật hiện có quy định riêng về ghi âm, ghi hình tại nơi công cộng và yêu cầu trong các trường hợp thuộc phạm vi điều chỉnh phải có hình thức thông tin để chủ thể biết đang bị ghi hình, đồng thời dữ liệu chỉ được sử dụng phù hợp mục đích và lưu trong thời gian cần thiết. Đối với camera nội bộ nhà máy, doanh nghiệp cần đánh giá đúng bối cảnh thay vì tự động áp dụng ngoại lệ dành cho khu vực công cộng.
Dữ liệu người lao động gửi về công ty mẹ ở nước ngoài cần rà những gì?
Doanh nghiệp cần lập danh sách cụ thể những trường thông tin được chuyển, hệ thống nhận, quốc gia hoặc khu vực lưu trữ, mục đích chuyển, bộ phận tại công ty mẹ được truy cập và thời hạn lưu giữ. Các luồng HRM, payroll quốc tế, email tập đoàn hoặc hệ thống đánh giá nhân sự toàn cầu đều cần được đưa vào Data Map.
Nghị định 356/2025/NĐ-CP xác định việc đưa dữ liệu thu thập tại Việt Nam lên máy chủ, cloud hoặc nền tảng ngoài lãnh thổ Việt Nam có thể là hoạt động chuyển dữ liệu cá nhân xuyên biên giới. Nghị định cũng có một số trường hợp ngoại lệ đối với nghĩa vụ đánh giá tác động, trong đó có một số hoạt động quản lý nhân sự xuyên biên giới đáp ứng điều kiện quy định; vì vậy doanh nghiệp cần phân tích từng luồng thay vì mặc định tất cả đều giống nhau.
Website, app, CRM và marketing – “mặt trận” dữ liệu khách hàng dễ bị bỏ sót nhất
Trong khi hồ sơ nhân sự thường có người quản lý rõ ràng, dữ liệu marketing lại được tạo ra nhanh và phân tán. Một chiến dịch mới có thể bổ sung form, chatbot, pixel, CRM, nền tảng quảng cáo và công cụ email chỉ trong vài ngày. Nếu compliance không tham gia từ đầu, Data Map có thể lỗi thời ngay khi hoạt động marketing thay đổi.
Form đăng ký và chatbot đang thu thập những trường dữ liệu nào?
Doanh nghiệp cần mở từng form và kiểm tra chính xác các trường đang yêu cầu. Nhiều website tích lũy thêm ngày sinh, địa chỉ, nghề nghiệp hoặc thông tin khác chỉ vì mẫu cũ có sẵn, trong khi hoạt động tư vấn thực tế chỉ cần tên và số điện thoại.
Chatbot cũng cần được xem như một điểm thu thập dữ liệu. Khách hàng có thể tự nhập nhiều thông tin hơn doanh nghiệp yêu cầu, kể cả giấy tờ hoặc thông tin nhạy cảm. Vì vậy quy trình không chỉ kiểm soát trường bắt buộc mà còn phải tính đến nội dung người dùng tự gửi.
Cookie, tracking và công cụ marketing cần được đưa vào bản đồ dữ liệu ra sao?
Website hiện đại thường sử dụng công cụ đo lường, quảng cáo, remarketing và theo dõi tương tác. Một số loại dữ liệu theo dõi hành vi sử dụng dịch vụ trên môi trường mạng hiện nằm trong danh mục dữ liệu cá nhân nhạy cảm theo Nghị định 356/2025/NĐ-CP.
Doanh nghiệp vì vậy cần biết script nào đang chạy trên website, dữ liệu được gửi tới nhà cung cấp nào, máy chủ ở đâu và mục đích sử dụng là gì. Việc bộ phận marketing tự gắn thêm một công cụ tracking có thể làm thay đổi Data Map và nghĩa vụ tuân thủ mà bộ phận pháp chế không hề biết.
Có được sử dụng số điện thoại khách hàng để marketing cho mục đích khác?
Câu trả lời không nên được xác định chỉ bằng việc doanh nghiệp “đã có số điện thoại”. Cần nhìn lại mục đích ban đầu, thông tin đã cung cấp cho khách hàng, cơ sở xử lý và quy định pháp luật chuyên ngành về quảng cáo, viễn thông hoặc chống tin nhắn rác nếu có liên quan.
Nếu số điện thoại được cung cấp để xác nhận đơn hàng, việc mở rộng sang một mục đích marketing độc lập cần được đánh giá riêng. Nguyên tắc an toàn nhất là mỗi mục đích sử dụng phải có căn cứ và có thể giải thích được, thay vì coi việc sở hữu dữ liệu là quyền sử dụng vô hạn.
Danh sách khách hàng do sales tự lưu trên điện thoại cá nhân xử lý thế nào?
Đây là một trong những điểm mù phổ biến nhất. Khi nhân viên lưu dữ liệu trong danh bạ, file Excel, ứng dụng nhắn tin hoặc tài khoản cloud cá nhân, doanh nghiệp mất khả năng kiểm soát việc sao chép, chia sẻ và xóa dữ liệu.
Doanh nghiệp cần có quy định về thiết bị, tài khoản được phép sử dụng, xuất dữ liệu khỏi CRM, sao lưu và xử lý khi nhân viên nghỉ việc. Mục tiêu không nhất thiết là cấm mọi thiết bị cá nhân mà phải biết dữ liệu nào được phép đi ra ngoài hệ thống và cơ chế nào giữ dữ liệu dưới quyền kiểm soát của doanh nghiệp.
Chia sẻ dữ liệu cho bên thứ ba – nơi trách nhiệm dễ bị đẩy qua đẩy lại
Khi xảy ra sự cố tại vendor, câu trả lời “đó là hệ thống của nhà cung cấp” thường không đủ để giải quyết trách nhiệm quản trị dữ liệu. Luật hiện hành phân định vai trò của bên kiểm soát, bên xử lý và các chủ thể liên quan, đồng thời yêu cầu bên kiểm soát lựa chọn bên xử lý phù hợp và quy định trách nhiệm trong hợp đồng.
Đơn vị payroll, cloud, CRM và tuyển dụng đang xử lý dữ liệu thay doanh nghiệp ra sao?
Payroll có thể nhận thông tin lương và ngân hàng; công ty tuyển dụng nhận CV; CRM lưu thông tin khách hàng; cloud lưu cả dữ liệu nhân sự và dữ liệu kinh doanh. Mỗi nhà cung cấp có phạm vi dữ liệu khác nhau nên doanh nghiệp không thể đánh giá tất cả bằng cùng một bảng câu hỏi đơn giản.
Cần xác định vendor đang đóng vai trò gì, xử lý dữ liệu theo chỉ dẫn của ai và có sử dụng dữ liệu cho mục đích riêng hay không. Đây là nền tảng để xây điều khoản hợp đồng, cơ chế audit và phương án xử lý khi hợp đồng kết thúc.
Hợp đồng với bên xử lý dữ liệu cần kiểm soát những nội dung nào?
Hợp đồng cần phản ánh loại dữ liệu, mục đích xử lý, phạm vi công việc, biện pháp bảo vệ, nhân sự hoặc hệ thống truy cập, cơ chế thuê nhà thầu phụ, xử lý sự cố, yêu cầu hỗ trợ thực hiện quyền chủ thể và phương án hoàn trả hoặc xóa dữ liệu khi kết thúc dịch vụ.
Luật quy định bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận hoặc hợp đồng xử lý dữ liệu và phải xử lý theo đúng nội dung đã ký. Vì vậy điều khoản bảo vệ dữ liệu không nên chỉ là một câu “bên B có trách nhiệm bảo mật thông tin”.
Nhà cung cấp gặp sự cố thì doanh nghiệp có hết trách nhiệm không?
Không. Việc thuê ngoài không đồng nghĩa chuyển toàn bộ trách nhiệm quản trị cho vendor. Bên kiểm soát dữ liệu vẫn có trách nhiệm lựa chọn bên xử lý phù hợp, áp dụng biện pháp quản lý, bảo đảm quyền của chủ thể và thực hiện các nghĩa vụ liên quan theo vai trò của mình.
Do đó, doanh nghiệp Bắc Ninh cần xây cơ chế vendor notification để nhà cung cấp báo sự cố đủ sớm. Nếu hợp đồng chỉ yêu cầu báo trong vài ngày, doanh nghiệp có thể mất thời gian cần thiết để đánh giá và đáp ứng nghĩa vụ thông báo theo pháp luật.
Checklist đánh giá vendor trước khi giao dữ liệu cá nhân
Việc đánh giá nên đi từ thực tế dữ liệu: vendor nhận gì, lưu ở đâu, ai truy cập, có mã hóa hay không, có log không, có nhà thầu phụ không, dữ liệu có ra nước ngoài không và cách xử lý khi sự cố xảy ra. Cần chú ý cả lịch sử sự cố và khả năng hỗ trợ doanh nghiệp khi cần truy xuất, sửa hoặc xóa dữ liệu.
Sau khi ký hợp đồng, đánh giá không nên chấm dứt. Nhà cung cấp có thể thay đổi trung tâm dữ liệu, công nghệ, sub-processor hoặc mô hình dịch vụ. Vì vậy vendor management phải là một chu trình định kỳ và kết nối với việc cập nhật Data Map.
Chuyển dữ liệu ra nước ngoài – bài toán đặc biệt với doanh nghiệp FDI tại Bắc Ninh
Với doanh nghiệp FDI, dữ liệu xuyên biên giới thường là hoạt động vận hành hằng ngày chứ không phải một giao dịch đặc biệt. Nghị định 356/2025/NĐ-CP xác định nhiều tình huống như chuyển dữ liệu từ Việt Nam cho bên nhận ở nước ngoài hoặc đưa dữ liệu lên cloud, nền tảng ngoài Việt Nam là hoạt động chuyển dữ liệu cá nhân xuyên biên giới.
Những luồng dữ liệu nào thường được chuyển về công ty mẹ?
Dữ liệu thường gặp gồm danh sách nhân sự, mức lương, chức danh, KPI, hồ sơ chuyên gia, kế hoạch nhân sự, tài khoản email, dữ liệu đào tạo và thông tin phục vụ báo cáo tập đoàn. Một số hệ thống còn tự đồng bộ dữ liệu từ nhà máy Bắc Ninh sang hệ thống khu vực mà người dùng không trực tiếp thực hiện thao tác chuyển.
Doanh nghiệp cần map cả luồng tự động. Việc nhân viên không gửi file qua email không có nghĩa dữ liệu không rời Việt Nam. Chỉ cần HRM hoặc cloud xử lý dữ liệu trên hạ tầng ngoài lãnh thổ Việt Nam thì đã cần xem xét quy định về chuyển dữ liệu xuyên biên giới.
Cloud đặt máy chủ ngoài Việt Nam có phải vấn đề cần rà soát?
Có. Nghị định 356/2025/NĐ-CP nêu trường hợp dữ liệu thu thập, lưu trữ tại Việt Nam được chuyển đến máy chủ ngoài lãnh thổ Việt Nam hoặc cloud của nhà cung cấp nước ngoài thuộc những trường hợp cần nhận diện khi đánh giá chuyển dữ liệu xuyên biên giới.
Điều đó không có nghĩa doanh nghiệp không được sử dụng cloud quốc tế. Vấn đề là phải biết dữ liệu nào đang đi lên đó, vai trò của nhà cung cấp, vị trí hạ tầng, các bên nhận và hồ sơ tuân thủ cần thiết. Rủi ro lớn nhất thường là doanh nghiệp không biết chính xác hệ thống đang lưu dữ liệu ở đâu.
Hệ thống HRM, ERP và CRM quốc tế làm phát sinh nghĩa vụ gì?
Một hệ thống quốc tế có thể xử lý đồng thời dữ liệu nhân viên, khách hàng và đối tác. Doanh nghiệp cần xác định vai trò của từng pháp nhân trong tập đoàn, vendor vận hành hệ thống và quốc gia nơi dữ liệu được xử lý.
Nghĩa vụ không chỉ nằm ở hồ sơ chuyển dữ liệu. Doanh nghiệp còn phải rà Data Map, hợp đồng xử lý, phân quyền, biện pháp bảo mật và cách xử lý yêu cầu của chủ thể. Một hệ thống toàn cầu tốt về an ninh mạng vẫn cần được đưa vào mô hình tuân thủ tại Việt Nam.
Cách xây hồ sơ kiểm soát luồng dữ liệu xuyên biên giới
Điểm khởi đầu là lập danh sách từng luồng: dữ liệu nào, của ai, từ đâu, sang đâu, thông qua hệ thống nào và vì mục đích gì. Sau đó doanh nghiệp xác định bên chuyển, bên nhận, vai trò của các bên và yêu cầu hồ sơ tương ứng.
Nghị định 356/2025/NĐ-CP quy định về hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và cơ chế cập nhật khi có thay đổi; đồng thời cũng quy định các trường hợp không phải thực hiện đánh giá tác động. Vì vậy hồ sơ cần phản ánh đúng từng luồng chứ không nên làm một bộ chung rồi dùng cho mọi hệ thống.
Khi có sự cố dữ liệu – 24 giờ đầu tiên quan trọng hơn việc tìm người để đổ lỗi
“24 giờ đầu” nên được xem là cửa sổ phản ứng vận hành chứ không nên bị nhầm thành một thời hạn pháp lý áp dụng cho mọi sự cố. Luật 91/2025/QH15 quy định một số trường hợp vi phạm có khả năng gây tổn hại nhất định phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện. Vì vậy, doanh nghiệp cần tận dụng những giờ đầu để xác định bản chất và phạm vi sự cố thay vì tranh luận trách nhiệm giữa IT, HR và vendor.
Dấu hiệu nào được xem là sự cố liên quan đến dữ liệu cá nhân?
Sự cố không chỉ là hacker đánh cắp cơ sở dữ liệu. Gửi nhầm file lương, để lộ danh sách nhân viên, chia sẻ sai quyền trên cloud, mất laptop, tài khoản bị chiếm quyền, vendor gửi dữ liệu cho sai khách hàng hoặc sử dụng dữ liệu sai mục đích đều có thể tạo ra vấn đề.
Doanh nghiệp cần xây tiêu chí nhận diện đủ rộng để nhân viên biết khi nào phải báo. Nếu chỉ quy định “báo khi bị tấn công mạng”, phần lớn sự cố do thao tác con người hoặc quy trình sai sẽ không đi vào hệ thống phản ứng.
Ai phải kích hoạt quy trình ứng phó?
Người phát hiện sự cố phải có một kênh báo cáo rõ ràng. Sau đó một đầu mối được chỉ định cần có quyền kích hoạt nhóm phản ứng gồm IT, bảo mật, pháp chế hoặc compliance, đại diện phòng ban sở hữu dữ liệu và ban lãnh đạo khi cần.
Cơ chế này phải được xác định trước sự cố. Nếu tới lúc dữ liệu bị lộ mới hỏi “ai phụ trách”, doanh nghiệp sẽ mất nhiều giờ chỉ để tập hợp đúng người. Với các sự cố có thời hạn thông báo pháp lý, thời gian đó đặc biệt quan trọng.
Cách cô lập sự cố, bảo toàn bằng chứng và xác định phạm vi ảnh hưởng
Ưu tiên đầu tiên là ngăn sự cố tiếp tục lan rộng nhưng không làm mất bằng chứng cần thiết. IT có thể cần khóa tài khoản, thu hồi quyền chia sẻ, cô lập thiết bị hoặc vô hiệu hóa liên kết, đồng thời giữ log và dữ liệu phục vụ điều tra.
Song song, nhóm compliance cần xác định dữ liệu của ai bị ảnh hưởng, loại dữ liệu nào, bao nhiêu bản ghi, bên nào đã nhận và hậu quả tiềm ẩn. Hai nhánh kỹ thuật và pháp lý phải chạy đồng thời thay vì đợi IT hoàn thành rồi mới bắt đầu phân tích nghĩa vụ.
Báo cáo, thông báo và khắc phục nên được tổ chức theo timeline nào?
Ngay khi phát hiện, doanh nghiệp nên ghi nhận thời điểm, người phát hiện và dấu hiệu ban đầu. Trong những giờ tiếp theo cần khoanh vùng, bảo toàn bằng chứng và đánh giá rủi ro. Các quyết định về thông báo phải dựa trên loại sự cố và quy định áp dụng chứ không nên đợi tới sát hạn mới xem xét.
Luật hiện hành quy định trong các trường hợp thuộc Điều 23, bên kiểm soát, bên kiểm soát và xử lý hoặc bên thứ ba phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm; bên xử lý phải thông báo kịp thời cho bên kiểm soát. Vì vậy quy trình nội bộ nên đặt mốc phản ứng sớm hơn thời hạn pháp lý.
Một “Data Compliance File” của doanh nghiệp Bắc Ninh nên có những gì?
Data Compliance File không nên là một tập tài liệu chỉ được mở khi có đoàn kiểm tra. Bộ hồ sơ tốt phải phản ánh được hệ thống dữ liệu đang vận hành, chứng minh doanh nghiệp đã xác định trách nhiệm và có bằng chứng cập nhật khi mục đích, hệ thống hoặc vendor thay đổi.
Chính sách và quy chế bảo vệ dữ liệu cá nhân
Chính sách cấp doanh nghiệp nên đưa ra nguyên tắc chung, phạm vi áp dụng, vai trò của các bộ phận và cơ chế xử lý dữ liệu. Bên dưới có thể là các quy trình chuyên biệt cho nhân sự, khách hàng, vendor, sự cố, quyền chủ thể và quản lý dữ liệu xuyên biên giới.
Quan trọng hơn văn bản là khả năng thực thi. Nếu chính sách cấm tải dữ liệu xuống máy cá nhân nhưng CRM vẫn cho tất cả sales xuất toàn bộ danh sách khách hàng, chính sách và hệ thống đang mâu thuẫn. Hồ sơ tuân thủ phải đi cùng kiểm soát kỹ thuật.
Hồ sơ thông báo, đồng ý và quản lý yêu cầu của chủ thể dữ liệu
Doanh nghiệp cần lưu phiên bản các thông báo, cơ chế consent và bằng chứng đồng ý nếu hoạt động dựa trên consent. Việc quản lý phiên bản rất quan trọng vì nội dung website hoặc form có thể thay đổi nhiều lần.
Đối với yêu cầu của chủ thể, nên có hồ sơ thể hiện ngày tiếp nhận, người yêu cầu, nội dung, bước xác minh, quyết định xử lý và kết quả. Điều này giúp doanh nghiệp chứng minh quyền của chủ thể không chỉ tồn tại trên chính sách mà đã có cơ chế thực thi.
Hồ sơ đánh giá hoạt động xử lý và bên thứ ba
Nghị định 356/2025/NĐ-CP quy định hồ sơ đánh giá tác động xử lý dữ liệu cá nhân gồm báo cáo theo mẫu, tài liệu về hợp đồng hoặc thỏa thuận xử lý cùng các chính sách, quy trình và tài liệu liên quan.
Bên cạnh hồ sơ theo quy định, doanh nghiệp nên duy trì tài liệu đánh giá vendor, sơ đồ hệ thống và Data Map. Những tài liệu này giúp giải thích vì sao doanh nghiệp lựa chọn một giải pháp bảo mật hoặc một nhà cung cấp cụ thể.
Nhật ký sự cố, kiểm tra nội bộ và bằng chứng đào tạo nhân sự
Mỗi sự cố hoặc near-miss nên được ghi nhận để doanh nghiệp nhìn thấy mô hình lỗi lặp lại. Ví dụ nếu nhiều lần nhân viên gửi nhầm bảng lương, vấn đề có thể nằm ở quy trình chia sẻ file chứ không phải ở từng cá nhân.
Đào tạo cũng cần có bằng chứng về nội dung, đối tượng và thời gian thực hiện. Với các nhóm xử lý nhiều dữ liệu như HR, IT, sales và marketing, đào tạo nên gắn với tình huống thực tế thay vì chỉ học một bài chung về bảo mật.
10 lỗi tuân thủ dữ liệu cá nhân doanh nghiệp Bắc Ninh dễ mắc nhất
Các lỗi về dữ liệu thường không xuất phát từ việc doanh nghiệp hoàn toàn không làm gì mà từ việc làm từng phần rời rạc. Có nơi đã có chính sách nhưng chưa có Data Map, có consent nhưng không quản lý phiên bản, có hợp đồng vendor nhưng thiếu điều khoản dữ liệu hoặc có IT security nhưng không kiểm soát mục đích sử dụng.
Thu thập quá nhiều thông tin nhưng không xác định mục đích
Một biểu mẫu càng nhiều trường không có nghĩa càng chuyên nghiệp. Mỗi trường dữ liệu bổ sung làm tăng khối lượng cần bảo vệ, phạm vi Data Map và hậu quả nếu xảy ra sự cố.
Doanh nghiệp nên đặt câu hỏi ngược: nếu bỏ trường này thì quy trình có tiếp tục hoạt động không? Nếu câu trả lời là có, cần xem lại lý do thu thập. Tối thiểu hóa dữ liệu ngay từ đầu thường hiệu quả hơn cố bảo vệ một kho dữ liệu quá lớn.
Dùng mẫu đồng ý chung cho mọi hoạt động xử lý
Một consent chung bao trùm tuyển dụng, chấm công, marketing, chia sẻ cho vendor và chuyển ra nước ngoài rất khó phản ánh đúng từng mục đích. Luật yêu cầu consent theo từng mục đích và sự im lặng không được coi là đồng ý.
Doanh nghiệp nên thiết kế cơ chế theo từng điểm thu thập và từng hoạt động. Điều này giúp chủ thể hiểu rõ hơn và giúp doanh nghiệp chứng minh căn cứ xử lý khi có yêu cầu kiểm tra hoặc tranh chấp.
Chia sẻ dữ liệu cho vendor nhưng không kiểm soát hợp đồng
Vendor có thể có hệ thống bảo mật tốt nhưng nếu hợp đồng không xác định phạm vi xử lý, doanh nghiệp vẫn gặp khó khi cần yêu cầu xóa dữ liệu, báo sự cố hoặc kiểm tra sub-processor.
Do đó hợp đồng cần là một phần của thiết kế kiểm soát dữ liệu chứ không phải thủ tục mua hàng. Pháp chế, IT và phòng nghiệp vụ nên cùng rà nhà cung cấp thay vì mỗi bên đánh giá một mảng tách rời.
Chỉ giao trách nhiệm cho IT mà không có cơ chế quản trị toàn doanh nghiệp
IT không thể quyết định thay HR về nhu cầu thu thập hồ sơ sức khỏe hoặc thay marketing về mục đích sử dụng danh sách khách hàng. Nếu mọi vấn đề dữ liệu đều chuyển cho IT, doanh nghiệp mới chỉ quản lý được an ninh hệ thống mà chưa quản trị hoạt động xử lý.
Cần có đầu mối bảo vệ dữ liệu và cơ chế phối hợp giữa ban lãnh đạo, pháp chế, compliance, IT và các phòng ban nghiệp vụ. Khi có hệ thống hoặc dự án mới, đánh giá dữ liệu nên trở thành một bước trong quy trình triển khai chứ không phải việc làm sau cùng.
Dịch vụ rà soát và tuân thủ bảo vệ dữ liệu cá nhân tại Bắc Ninh
Đối với doanh nghiệp Bắc Ninh có nhiều lao động, nhiều hệ thống hoặc kết nối với công ty mẹ ở nước ngoài, việc xây tuân thủ từ Data Map thường hiệu quả hơn việc mua một bộ biểu mẫu có sẵn. Một dự án rà soát tốt cần đi từ hiện trạng thực tế, xác định khoảng trống rồi mới xây chính sách, hồ sơ và quy trình phù hợp với mô hình hoạt động.
Khảo sát hiện trạng và lập Data Map cho doanh nghiệp
Giai đoạn đầu tập trung phỏng vấn các phòng ban, kiểm tra form, phần mềm, thư mục lưu trữ và các vendor đang sử dụng. Mục tiêu là tìm được dữ liệu thực tế, kể cả những file và quy trình nằm ngoài hệ thống chính thức.
Sau khảo sát, Data Map giúp doanh nghiệp thấy rõ chủ thể dữ liệu, loại dữ liệu, nguồn, mục đích, hệ thống, bên nhận và thời hạn lưu. Đây là nền móng cho hầu hết công việc tuân thủ tiếp theo.
Phân loại dữ liệu, mục đích xử lý và luồng chia sẻ
Từ Data Map, doanh nghiệp phân loại dữ liệu cơ bản, nhạy cảm và các tập dữ liệu có mức rủi ro cao. Đồng thời từng mục đích xử lý được đối chiếu với cơ chế pháp lý phù hợp và phạm vi chủ thể đã được thông tin.
Các luồng chia sẻ cho vendor, công ty mẹ, cloud hoặc hệ thống khu vực cũng được tách riêng. Điều này giúp xác định nơi nào cần bổ sung hợp đồng, hồ sơ đánh giá hoặc biện pháp kỹ thuật.
Xây chính sách, biểu mẫu, hồ sơ và quy trình ứng phó sự cố
Chính sách và biểu mẫu chỉ được xây sau khi hiểu hệ thống thực tế, nhờ đó nội dung phản ánh đúng hoạt động của doanh nghiệp thay vì sao chép một mẫu chung. Các tài liệu thường cần liên kết với nhau để tạo thành một chuỗi quản trị thống nhất.
Quy trình ứng phó sự cố cũng cần được thiết kế theo hệ thống cụ thể của doanh nghiệp. Ai nhận cảnh báo, ai khóa hệ thống, ai đánh giá pháp lý, ai liên hệ vendor và ai quyết định thông báo phải được xác định trước khi sự cố xảy ra.
Kiểm tra định kỳ và hỗ trợ duy trì tuân thủ khi hệ thống dữ liệu thay đổi
Tuân thủ dữ liệu không phải dự án hoàn thành một lần. Một phần mềm mới, vendor mới, chiến dịch marketing mới hoặc việc chuyển thêm dữ liệu sang công ty mẹ đều có thể làm thay đổi Data Map và hồ sơ đánh giá.
Nghị định 356/2025/NĐ-CP cũng đặt ra cơ chế cập nhật hồ sơ đánh giá tác động khi có các thay đổi thuộc trường hợp quy định. Vì vậy doanh nghiệp Bắc Ninh nên thiết lập chu kỳ kiểm tra định kỳ để Data Compliance File luôn phản ánh hoạt động thật, thay vì chỉ đúng tại thời điểm hồ sơ được lập lần đầu.
Tuân thủ quy định bảo vệ dữ liệu cá nhân không chỉ là nghĩa vụ pháp lý mà còn là yếu tố quan trọng giúp doanh nghiệp xây dựng hình ảnh chuyên nghiệp, minh bạch và đáng tin cậy. Khi dữ liệu cá nhân được quản lý đúng quy trình, doanh nghiệp có thể khai thác hiệu quả nguồn thông tin phục vụ kinh doanh mà vẫn đảm bảo quyền lợi hợp pháp của các cá nhân liên quan.
