Bảo vệ dữ liệu cá nhân trong doanh nghiệp

Cập nhật: 2026-10-02.

Một doanh nghiệp có thể đang giữ hồ sơ ứng viên trong email, bản chụp căn cước trong thư mục nhân sự, danh sách khách hàng trên phần mềm bán hàng và thông tin người liên hệ của nhà cung cấp trong bảng tính. Muốn bảo vệ những dữ liệu này, trước hết doanh nghiệp phải biết chúng đang ở đâu, ai được sử dụng và được sử dụng vào việc gì.

Từ ngày 2026-01-01, doanh nghiệp phải thực hiện bảo vệ dữ liệu cá nhân tại Việt Nam theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ cùng thời điểm; hồ sơ và sự đồng ý được xác lập trước đó chỉ được tiếp tục sử dụng khi đáp ứng quy định chuyển tiếp. Điều 38, 39 Luật số 91/2025/QH15; Điều 42 Nghị định 356/2025/NĐ-CP.

Doanh nghiệp cần bảo vệ dữ liệu cá nhân của nhân viên, khách hàng và người liên hệ của đối tác theo từng hoạt động xử lý. Bí mật kinh doanh, tài liệu kỹ thuật và các dữ liệu khác có yêu cầu bảo vệ riêng.

Kiểm soát quyền truy cập và phân công trách nhiệm

Nếu thư mục nhân sự đang mở cho toàn công ty hoặc nhân viên đã nghỉ việc vẫn truy cập được hệ thống, doanh nghiệp nên điều chỉnh ngay quyền truy cập, đồng thời tiếp tục hoàn thiện bộ chính sách. Các việc ưu tiên thường gồm:

Kiểm tra và thu hồi tài khoản không còn cần thiết; tắt các đường dẫn chia sẻ công khai ngoài mục đích được phê duyệt
Tách quyền xem, tải xuống, sửa và xuất dữ liệu; hạn chế quyền truy cập bản chụp giấy tờ, hồ sơ sức khỏe và dữ liệu sinh trắc học
Bật xác thực nhiều lớp cho tài khoản quan trọng, lưu nhật ký và kiểm tra khả năng khôi phục bản sao lưu
Dừng việc chuyển tiếp dữ liệu qua tài khoản cá nhân hoặc đưa dữ liệu thật vào công cụ chưa được doanh nghiệp thẩm định

Doanh nghiệp cần lựa chọn thứ tự ưu tiên phù hợp với hệ thống thực tế. Nếu phát hiện dấu hiệu dữ liệu đã bị truy cập hoặc tiết lộ trái phép, bộ phận phụ trách phải triển khai quy trình xử lý sự cố, bảo toàn chứng cứ và kiểm tra nghĩa vụ thông báo.

Lãnh đạo cần giao một đầu mối có quyền yêu cầu các bộ phận phối hợp. Về nghĩa vụ pháp lý, cơ quan, tổ chức phải chỉ định bộ phận, nhân sự có đủ năng lực hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân, trừ trường hợp được áp dụng ngoại lệ. Việc chỉ định nội bộ phải bằng văn bản; nhân sự được chỉ định phải đáp ứng các điều kiện về trình độ, kinh nghiệm và đào tạo theo nghị định. Điều 33 Luật số 91/2025/QH15; Điều 13–16 Nghị định 356/2025/NĐ-CP.

Lập danh mục dữ liệu theo công việc thực tế

Doanh nghiệp nên lập danh mục dữ liệu theo từng công việc: tuyển dụng, trả lương, chấm công, bán hàng, chăm sóc khách hàng, tiếp thị, quản lý nhà cung cấp. Với mỗi công việc, doanh nghiệp nên ghi lại:

Chủ thể dữ liệu, các trường thông tin và nguồn thu thập
Mục đích sử dụng cụ thể và căn cứ cho phép xử lý
Bộ phận quyết định cách sử dụng và người trực tiếp thao tác
Hệ thống và địa điểm lưu trữ, các bên được nhận hoặc truy cập dữ liệu
Thời hạn lưu giữ, người chịu trách nhiệm xóa và cách kiểm tra việc xóa

Doanh nghiệp phải phân loại dữ liệu theo danh mục pháp luật hiện hành. Theo Nghị định 356, hình ảnh thẻ căn cước, căn cước công dân hoặc chứng minh nhân dân thuộc dữ liệu cá nhân nhạy cảm. Thông tin sức khỏe, dữ liệu sinh trắc học và vị trí xác định qua dịch vụ định vị cũng nằm trong nhóm này. Các hồ sơ nhân sự hằng ngày có thể chứa dữ liệu nhạy cảm, kể cả tại doanh nghiệp có ít lao động. Điều 3, 4 Nghị định 356/2025/NĐ-CP.

Sau khi lập danh mục, doanh nghiệp nên giữ các trường dữ liệu cần thiết cho mục đích đã xác định và loại bỏ các trường còn lại. Đồng thời, doanh nghiệp nên xây dựng lịch lưu giữ riêng cho từng nhóm hồ sơ. Doanh nghiệp cần xác định thời hạn lưu hồ sơ ứng viên, chứng từ trả lương và dữ liệu tiếp thị theo mục đích sử dụng và nghĩa vụ lưu giữ tương ứng. Nguyên tắc của luật là xử lý đúng phạm vi, mục đích rõ ràng và lưu trữ trong thời gian phù hợp, trừ khi pháp luật có quy định khác. Điều 3 Luật số 91/2025/QH15.

Xác định căn cứ xử lý cho từng mục đích

Bộ phận phụ trách phải xác định căn cứ cho từng hoạt động xử lý dữ liệu: sự đồng ý của chủ thể dữ liệu hoặc trường hợp pháp luật cho phép xử lý mà không cần sự đồng ý.

Nếu dựa trên sự đồng ý, người cung cấp dữ liệu phải được biết rõ loại dữ liệu, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu, cùng quyền và nghĩa vụ của mình. Sự đồng ý phải tự nguyện, thể hiện rõ và có thể kiểm chứng; phải tách theo từng mục đích. Im lặng không phải đồng ý, và không được dùng lựa chọn mặc định đồng ý. Doanh nghiệp phải lưu bằng chứng về nội dung, thời điểm và người đã đồng ý. Điều 9 Luật số 91/2025/QH15; Điều 6 Nghị định 356/2025/NĐ-CP.

Doanh nghiệp nên chuẩn bị thông báo phù hợp tại từng điểm thu thập: biểu mẫu ứng tuyển, màn hình đăng ký, hợp đồng hoặc quy trình nhân sự. Đối với hoạt động dựa trên sự đồng ý, doanh nghiệp cần ghi nhận và lưu bằng chứng đồng ý cho từng mục đích xử lý. Khi xin đồng ý xử lý dữ liệu nhạy cảm, doanh nghiệp phải thông báo rõ tính chất nhạy cảm của dữ liệu. Thông báo cũng nên hướng dẫn rõ cách liên hệ và thực hiện quyền của chủ thể dữ liệu.

Với hoạt động xử lý được pháp luật cho phép thực hiện mà không cần sự đồng ý, doanh nghiệp cần ghi rõ căn cứ áp dụng trong hồ sơ nội bộ. Điều 19 của luật bao gồm việc thực hiện thỏa thuận của chủ thể dữ liệu với tổ chức, cá nhân liên quan theo pháp luật và một số trường hợp khác. Doanh nghiệp phải đối chiếu hoạt động cụ thể với điều kiện của trường hợp đó, đồng thời thiết lập cơ chế giám sát theo luật. Khi sử dụng biểu mẫu tham khảo từ Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR), doanh nghiệp cần điều chỉnh căn cứ xử lý theo pháp luật Việt Nam áp dụng cho hoạt động cụ thể. Điều 19 Luật số 91/2025/QH15.

Ví dụ giả định: Khách hàng cung cấp số điện thoại để nhận hàng. Việc sử dụng số đó cho giao hàng và việc đưa số đó vào danh sách tiếp thị là hai mục đích cần được xem xét riêng. Trước khi dùng số điện thoại cho tiếp thị, bộ phận bán hàng phải xác định căn cứ xử lý, nội dung cần thông báo và bằng chứng đồng ý cần có cho mục đích này.

Riêng với hồ sơ nhân sự

Trong tuyển dụng, doanh nghiệp chỉ được yêu cầu thông tin phục vụ tuyển dụng phù hợp pháp luật; việc xử lý thông tin người dự tuyển phải được sự đồng ý của họ. Nếu không tuyển, doanh nghiệp phải xóa hoặc hủy thông tin, trừ khi có thỏa thuận khác. Vì vậy, nếu muốn giữ hồ sơ cho đợt tuyển sau, doanh nghiệp nên xác lập thỏa thuận phù hợp với người dự tuyển về mục đích và thời gian lưu giữ.

Khi người lao động nghỉ việc, doanh nghiệp phải xác định dữ liệu cần xóa và dữ liệu tiếp tục lưu theo thỏa thuận hoặc quy định pháp luật. Với các biện pháp công nghệ dùng để quản lý lao động, người lao động phải biết rõ biện pháp được áp dụng. Bộ phận nhân sự cần đưa các yêu cầu này vào quy trình tuyển dụng, quản lý lao động và giải quyết hồ sơ khi người lao động nghỉ việc. Điều 25 Luật số 91/2025/QH15.

Kiểm soát nhà cung cấp trước khi chuyển dữ liệu

Doanh nghiệp thuê ngoài tính lương hoặc dùng phần mềm quản lý khách hàng vẫn phải xác định vai trò của từng bên. Bên quyết định mục đích và phương tiện là bên kiểm soát; bên thực hiện xử lý theo yêu cầu thông qua hợp đồng là bên xử lý; bên vừa quyết định vừa trực tiếp xử lý là bên kiểm soát và xử lý. Các bên cần xác định vai trò theo hoạt động thực tế và thể hiện đúng vai trò đó trong hợp đồng. Khoản 7–9 Điều 2 Luật số 91/2025/QH15.

Trước khi đưa dữ liệu vào hệ thống của nhà cung cấp, doanh nghiệp nên kiểm tra tối thiểu:

Loại dữ liệu và mục đích nhà cung cấp được phép xử lý; điều kiện sử dụng dữ liệu cho mục đích riêng, nếu có
Địa điểm của hệ thống lưu trữ và đội ngũ hỗ trợ; các bên tiếp tục xử lý hoặc được quyền truy cập
Cách nhà cung cấp hỗ trợ yêu cầu xem, sửa, xóa dữ liệu và thông báo sự cố
Cách trả lại, xóa dữ liệu và xác nhận hoàn tất khi hết hợp đồng

Các bên cần thể hiện những kết quả này trong hợp đồng hoặc thỏa thuận xử lý dữ liệu. Luật yêu cầu xác định quyền, nghĩa vụ và trách nhiệm của các bên; bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng phù hợp. Hợp đồng cần quy định cụ thể trách nhiệm của nhà cung cấp đối với từng hoạt động xử lý dữ liệu. Điều 37 Luật số 91/2025/QH15.

Nếu dữ liệu được gửi cho bên nhận ở nước ngoài, lưu trên máy chủ ở nước ngoài hoặc xử lý qua nền tảng ở ngoài lãnh thổ Việt Nam, doanh nghiệp phải rà soát quy định về chuyển dữ liệu cá nhân xuyên biên giới. Doanh nghiệp cần xác minh nơi lưu trữ, nơi xử lý dữ liệu và bên nhận dữ liệu để xác định nghĩa vụ áp dụng. Điều 20 Luật số 91/2025/QH15; Điều 17 Nghị định 356/2025/NĐ-CP.

Kiểm tra nghĩa vụ đánh giá tác động và ngoại lệ

Doanh nghiệp cần xác định riêng nghĩa vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Tùy hoạt động, doanh nghiệp có thể phải lập cả hai loại hồ sơ.

Đối với bên kiểm soát, bên kiểm soát và xử lý thuộc diện thực hiện, hồ sơ đánh giá tác động xử lý phải được lập, lưu và gửi một bản chính đến cơ quan chuyên trách trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu. Với hoạt động chuyển xuyên biên giới thuộc diện thực hiện, thời hạn gửi hồ sơ là 60 ngày kể từ ngày đầu tiên chuyển. Việc đánh giá được thực hiện một lần trong suốt thời gian hoạt động và phải cập nhật theo quy định khi có thay đổi. Điều 20–22 Luật số 91/2025/QH15.

Doanh nghiệp nên chuẩn bị thông tin và tổ chức đánh giá từ khi triển khai hoạt động xử lý hoặc chuyển dữ liệu để hoàn thành hồ sơ đúng hạn. Nội dung đánh giá phải mô tả được luồng dữ liệu, mục đích, các bên liên quan, biện pháp bảo vệ, rủi ro và cách giảm thiểu. Các hợp đồng, chính sách và quy trình liên quan là thành phần cần đối chiếu khi lập hồ sơ. Với vai trò bên xử lý, doanh nghiệp phải xác định và thực hiện các nghĩa vụ của mình theo thỏa thuận và Điều 19 Nghị định 356. Khoản 3 Điều 21 Luật số 91/2025/QH15; Điều 18–20 Nghị định 356/2025/NĐ-CP.

Ngoại lệ theo quy mô và hoạt động xử lý

Doanh nghiệp cần kiểm tra đồng thời quy mô pháp lý của mình và dữ liệu thực tế đang xử lý:

Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp đủ điều kiện được lựa chọn chưa thực hiện các quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của luật trong thời gian 5 năm kể từ ngày luật có hiệu lực
Hộ kinh doanh, doanh nghiệp siêu nhỏ đủ điều kiện không phải thực hiện các quy định này
Các ngoại lệ trên không áp dụng khi kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc đạt quy mô từ 100.000 chủ thể dữ liệu trở lên theo cách tính tích lũy quy định tại nghị định

Các ngoại lệ trên chỉ áp dụng đối với các quy định được nêu tại Điều 21, Điều 22 và khoản 2 Điều 33 của luật. Doanh nghiệp vẫn phải tuân thủ các quy định khác về bảo vệ dữ liệu cá nhân. Doanh nghiệp cần xem xét riêng nghĩa vụ đánh giá ban đầu đối với chuyển dữ liệu xuyên biên giới theo Điều 20. Khoản 2, 3 Điều 38 Luật số 91/2025/QH15; Điều 41 Nghị định 356/2025/NĐ-CP.

Vì vậy, doanh nghiệp nhỏ đang trực tiếp xử lý bản chụp căn cước hoặc dữ liệu chấm công sinh trắc học phải đối chiếu với điều kiện về xử lý dữ liệu nhạy cảm khi xác định nghĩa vụ, bên cạnh các tiêu chí doanh thu và số lao động.

Dữ liệu nhân viên lưu trên đám mây nước ngoài

Luật miễn nghĩa vụ đánh giá tác động chuyển xuyên biên giới đối với trường hợp cơ quan, tổ chức lưu trữ dữ liệu của người lao động thuộc chính cơ quan, tổ chức đó trên dịch vụ điện toán đám mây. Nghị định còn quy định một số trường hợp khác, trong đó có quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể phù hợp pháp luật. Đối với việc chia sẻ dữ liệu với công ty mẹ hoặc lưu dữ liệu trên đám mây, doanh nghiệp cần xác định mục đích, loại dữ liệu và hoạt động xử lý để đối chiếu đúng điều kiện miễn. Khoản 6 Điều 20 Luật số 91/2025/QH15; Khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP.

Khi được miễn lập hồ sơ, doanh nghiệp vẫn phải đáp ứng các yêu cầu về mục đích, căn cứ xử lý, bảo mật, hợp đồng và quyền của chủ thể dữ liệu. Với hồ sơ đã lập trước năm 2026, doanh nghiệp cần kiểm tra bằng chứng cơ quan chuyên trách đã tiếp nhận và điều kiện chuyển tiếp để xác định cách tiếp tục sử dụng hoặc lập lại hồ sơ. Việc cập nhật sau đó phải tuân theo luật mới. Điều 39 Luật số 91/2025/QH15.

Tiếp nhận yêu cầu và xử lý sự cố

Khi cá nhân yêu cầu xem, sửa, xóa hoặc ngừng xử lý

Doanh nghiệp cần công bố kênh tiếp nhận dễ tìm và phân công người theo dõi. Quy trình nên bao gồm xác minh người yêu cầu, xác định dữ liệu liên quan, kiểm tra căn cứ lưu giữ, chuyển việc cho các hệ thống và nhà cung cấp, rồi ghi lại kết quả trả lời.

Điều 5 Nghị định 356 quy định thời hạn phản hồi 2 ngày làm việc đối với các nhóm yêu cầu được gửi đúng thủ tục. Thời hạn hoàn thành khác nhau theo loại quyền, sự tham gia của bên xử lý hoặc bên thứ ba và điều kiện gia hạn. Vì vậy, doanh nghiệp cần lập lịch riêng cho từng nhóm yêu cầu theo thời hạn và điều kiện tương ứng. Điều 5 Nghị định 356/2025/NĐ-CP.

Doanh nghiệp cũng phải đối chiếu yêu cầu xóa với trường hợp pháp luật cho phép tiếp tục xử lý hoặc yêu cầu lưu giữ. Nếu có lý do chính đáng khiến không thể xóa, doanh nghiệp phải thông báo cho cá nhân. Các tài liệu thuộc diện pháp luật yêu cầu lưu giữ phải tiếp tục được lưu theo quy định. Điều 14 và Điều 19 Luật số 91/2025/QH15.

Khi phát hiện dữ liệu bị lộ hoặc xử lý trái phép

Quy trình xử lý sự cố cần phân công người có thẩm quyền cô lập hệ thống, người bảo toàn nhật ký, người đánh giá phạm vi dữ liệu và xác định cá nhân bị ảnh hưởng, người quyết định nội dung thông báo. Bước kiểm soát sự cố và bước đánh giá nghĩa vụ pháp lý phải tiến hành song song.

Theo khoản 1 Điều 23 của luật, bên kiểm soát, bên kiểm soát và xử lý, bên thứ ba phát hiện vi phạm có thể gây các tổn hại được điều luật liệt kê phải thông báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện. Nhóm tổn hại này bao gồm tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu. Bên xử lý khi phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Doanh nghiệp cũng phải kiểm tra các trường hợp thông báo khác tại khoản 3 Điều 23 để xác định đầy đủ nghĩa vụ áp dụng. Điều 23 Luật số 91/2025/QH15.

Khi xảy ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, bên kiểm soát hoặc bên kiểm soát và xử lý phải thông báo cho người bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ khi phát hiện, đồng thời báo cáo cơ quan có thẩm quyền và lưu hồ sơ vi phạm theo quy định. Điều 28, 29 Nghị định 356/2025/NĐ-CP.

Hợp đồng với nhà cung cấp và quy trình trực ngoài giờ cần giúp doanh nghiệp nhận được thông tin đủ sớm để thực hiện các nghĩa vụ này. Doanh nghiệp cần ghi nhận thời điểm phát hiện vi phạm và theo dõi thời hạn thông báo ngay trong quá trình xác minh thiệt hại.

Kiểm tra việc thực hiện

Trong đợt rà soát đầu tiên, lãnh đạo nên yêu cầu ba kết quả cụ thể: danh mục luồng dữ liệu có người phụ trách; danh sách rủi ro cần khắc phục kèm người thực hiện; và bảng nghĩa vụ pháp lý cho từng hoạt động, trong đó ghi rõ căn cứ xử lý, hồ sơ phải lập, ngoại lệ được áp dụng và thời hạn.

Sau đó, doanh nghiệp nên thử vận hành bằng một tình huống giả định: một khách hàng yêu cầu xóa dữ liệu, hoặc một nhân viên báo gửi nhầm hồ sơ. Qua đó, các bộ phận cần xác định được nơi lưu dữ liệu, người cần liên hệ và thứ tự xử lý công việc. Doanh nghiệp cần bổ sung, điều chỉnh quy trình theo kết quả thử nghiệm để phù hợp với công việc hằng ngày.