Công ty mẹ kiểm tra nội bộ từ nước ngoài: kiểm soát dữ liệu thế nào?

Công ty mẹ kiểm tra nội bộ từ nước ngoài: kiểm soát dữ liệu thế nào?

Kiểm tra nội bộ từ công ty mẹ có thể làm phát sinh việc tiếp cận hồ sơ nhân sự, khách hàng và dữ liệu nhạy cảm tại Việt Nam. Doanh nghiệp cần xác định mục tiêu kiểm tra, giới hạn dữ liệu và quyền của từng thành viên trước khi mở hệ thống hoặc gửi tài liệu.

Khi công ty mẹ ở nước ngoài thực hiện kiểm tra nội bộ, doanh nghiệp tại Việt Nam cần xác định từng nhóm hồ sơ được yêu cầu, người nhận và cách dữ liệu được sử dụng. Quyền quản lý trong tập đoàn không tự thay thế căn cứ xử lý, điều kiện chuyển giao hoặc nghĩa vụ chuyển dữ liệu xuyên biên giới. Phạm vi kiểm tra nên được chuyển thành ma trận quyền có người duyệt, thời hạn và cách kiểm soát bản phát sinh. Với hồ sơ nhân sự, phải rà riêng dữ liệu nhạy cảm và điều kiện của ngoại lệ được viện dẫn, thay vì miễn toàn bộ vì gọi là kiểm tra nội bộ. Căn cứ chính: Điều 2, Điều 3, Điều 9, Điều 19 và Điều 20 Luật số 91/2025/QH15.

Làm rõ mục tiêu kiểm tra trước khi gửi danh sách hồ sơ

Yêu cầu “cung cấp hồ sơ để kiểm tra tuân thủ” thường chưa đủ cụ thể để cấp quyền. Đoàn kiểm tra có thể cần đối chiếu quy trình phê duyệt chi phí, kiểm tra tính đúng đắn của bảng lương hoặc xác minh quyền truy cập hệ thống. Mỗi mục tiêu dẫn đến một phạm vi dữ liệu khác nhau.

Nếu kiểm tra xem khoản chi đã được phê duyệt đúng cấp hay chưa, đoàn có thể chỉ cần chứng từ mẫu và lịch sử phê duyệt. Không vì vậy mà mặc nhiên cần toàn bộ hồ sơ sức khỏe, ảnh căn cước hoặc thông tin người phụ thuộc của nhân viên. Khoản 2 Điều 3 Luật yêu cầu xử lý đúng phạm vi, mục đích cụ thể, rõ ràng; doanh nghiệp cần giải thích được mối liên hệ giữa dữ liệu cung cấp với việc kiểm tra.

Nên yêu cầu công ty mẹ xác nhận mục tiêu, kỳ kiểm tra, tiêu chí chọn mẫu, danh sách người tham gia và đầu ra dự kiến. Hồ sơ làm việc chi tiết, báo cáo phát hiện và bản trình lãnh đạo có thể có người nhận, thời gian lưu khác nhau. Việc đoàn cần xem một chứng từ không tự có nghĩa bản chứng từ đó phải được đính kèm vào mọi báo cáo sau này.

Bài này xét hoạt động kiểm tra do tập đoàn tổ chức. Nếu có yêu cầu của cơ quan nhà nước hoặc hoạt động kiểm toán theo một nghĩa vụ pháp luật chuyên ngành, phải đối chiếu đúng chủ thể, căn cứ và phạm vi riêng. Không lấy thẩm quyền của cơ quan kiểm tra nhà nước để giải thích quyền truy cập của công ty mẹ.

Công ty mẹ và người trong đoàn giữ vai trò dữ liệu nào

Trước khi phân quyền, cần biết người được cấp tài khoản làm việc cho pháp nhân nào. Đoàn có thể gồm nhân sự công ty mẹ, trung tâm dịch vụ dùng chung và tư vấn bên ngoài. Email cùng tên miền tập đoàn không xác nhận đầy đủ quan hệ giữa các bên.

Điều 2 Luật xác định bên kiểm soát theo quyền quyết định mục đích, phương tiện; bên xử lý thực hiện theo yêu cầu thông qua hợp đồng; bên kiểm soát và xử lý vừa quyết định vừa trực tiếp xử lý. Vì vậy, không gắn mọi thành viên đoàn thành “bên xử lý” hoặc “bên thứ ba” chỉ vì họ nhận dữ liệu. Cần xem công ty mẹ có tự quyết định sử dụng kết quả cho mục đích riêng, nhà tư vấn có làm đúng chỉ dẫn hay được tự khai thác dữ liệu hay không.

Nếu trong tình huống cụ thể công ty tại Việt Nam và công ty mẹ là hai pháp nhân, cần rà quan hệ chuyển giao giữa hai bên. Quy trình chia sẻ giữa các phòng ban trong cùng một tổ chức tại khoản 4 Điều 7 Nghị định 356 không thể tự thay cho việc đánh giá quan hệ đó. Có thể tham khảo bài công ty trong cùng tập đoàn chia sẻ dữ liệu có được coi là nội bộ để phân biệt các luồng.

Với đơn vị thực hiện vai trò bên xử lý, khoản 2 Điều 37 Luật yêu cầu thỏa thuận, hợp đồng trước khi tiếp nhận dữ liệu. Trường hợp chuyển giao thuộc điểm a, c hoặc d khoản 1 Điều 17 Luật còn phải đối chiếu nội dung thỏa thuận tại khoản 1 Điều 7 Nghị định 356. Tài liệu cần xác định mục đích, nhóm dữ liệu, thời hạn, xóa hoặc hủy, trách nhiệm bảo vệ, thực hiện quyền và phối hợp khi có vi phạm.

Rà riêng hồ sơ nhân sự và dữ liệu nhạy cảm

Hồ sơ nhân sự không phải một nhóm dữ liệu có thể mở toàn bộ bằng một quyết định. Cùng một thư mục có thể chứa hợp đồng, bảng lương, ảnh căn cước, giấy khám sức khỏe, dữ liệu chấm công và thông tin người thân. Cần phân loại các thành phần theo Điều 3, Điều 4 Nghị định 356, thay vì chỉ nhìn tên thư mục.

Tình trạng sức khỏe, dữ liệu sinh trắc học và hình ảnh thẻ căn cước nằm trong danh mục dữ liệu nhạy cảm tại khoản 1 Điều 4 Nghị định. Khoản 2 Điều này yêu cầu quy định giới hạn truy cập, quy trình xử lý và biện pháp bảo mật. Doanh nghiệp nên tách tài liệu không liên quan khỏi bộ hồ sơ được đoàn tiếp cận, đồng thời kiểm tra tệp đính kèm và các trang nằm sau chứng từ chính.

Nếu việc xử lý dựa vào sự đồng ý, phải đáp ứng Điều 9 Luật và Điều 6 Nghị định; khi xin đồng ý xử lý dữ liệu nhạy cảm phải thông báo rõ tính chất này theo khoản 4 Điều 6. Nếu viện dẫn trường hợp không cần đồng ý tại Điều 19 Luật, cần xác định đúng điều kiện và cơ chế giám sát. Một yêu cầu từ công ty mẹ hoặc câu “phục vụ quản trị” không tự chứng minh căn cứ cho mọi hoạt động.

Đối với thông tin sức khỏe, cần đối chiếu thêm Điều 26 Luật. Với dữ liệu người lao động nói chung, Điều 25 điều chỉnh việc quản lý, sử dụng, lưu giữ và áp dụng biện pháp công nghệ. Việc nhân viên đã được thông báo về chấm công không tự chứng minh họ đã được biết về một hoạt động giám sát hoặc sử dụng khác của đoàn kiểm tra.

Ma trận quyền của đoàn kiểm tra

Tình huống giả định: Công ty A tại Việt Nam và công ty mẹ M tại Nhật Bản là hai pháp nhân. M tổ chức kiểm tra việc phê duyệt thanh toán và quản lý tài khoản của A. Đoàn gồm trưởng đoàn, người kiểm tra tiền lương và người kiểm tra hệ thống; M còn đề nghị một tư vấn C tham gia. A đang giữ bảng lương, hồ sơ sức khỏe và ảnh căn cước trong cùng kho tài liệu.

Sau khi xác định căn cứ và phạm vi hợp lệ, A có thể dùng ma trận dưới đây để triển khai quyền. Đây là phương án quản trị minh họa, không phải mẫu bắt buộc hoặc xác nhận rằng hoạt động đã được miễn hồ sơ chuyển.

Ma trận dùng cho đợt kiểm tra thật cần bổ sung tên tài khoản, quốc gia truy cập, người duyệt, ngày bắt đầu và thời điểm kết thúc. Quyền xem, tải, sửa và chia sẻ tiếp nên được tách riêng. Khi có thành viên mới hoặc yêu cầu mở rộng mẫu kiểm tra, cần cập nhật quyết định và cấu hình tương ứng.

Không nên dùng tài khoản chung khiến không xác định được ai đã xem hoặc xuất tệp. IT cần kiểm tra quyền thực tế sau khi cấp, vì tên nhóm “chỉ xem” có thể chưa phản ánh các chức năng tải tệp, sao chép hoặc chia sẻ liên kết đang được bật.

Truy cập từ nước ngoài có phải lập hồ sơ chuyển không

Khoản 1 Điều 20 Luật và khoản 1 Điều 17 Nghị định 356 điều chỉnh các trường hợp chuyển đến hệ thống lưu trữ ở nước ngoài, cung cấp cho tổ chức hoặc cá nhân ở nước ngoài và xử lý trên nền tảng ngoài Việt Nam. Doanh nghiệp cần rà cả cách hiển thị dữ liệu trong phiên truy cập, tệp tải về, công cụ trao đổi và nơi lưu giấy tờ làm việc của đoàn. Máy chủ chính đặt tại Việt Nam chưa đủ để kết luận không có luồng xuyên biên giới.

Đối với hồ sơ nhân sự, hai ngoại lệ thường được viện dẫn cần tách rõ. Điểm b khoản 6 Điều 20 Luật đề cập việc tổ chức lưu dữ liệu người lao động của chính mình trên cloud. Điểm d khoản 3 Điều 17 Nghị định đề cập quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể theo pháp luật. Hoạt động kiểm tra của công ty mẹ phải được đối chiếu đúng mục đích, tài liệu và điều kiện; không tự thuộc ngoại lệ vì hồ sơ có liên quan đến nhân viên.

Nếu cùng đợt kiểm tra còn có dữ liệu khách hàng, người liên hệ của nhà cung cấp hoặc ứng viên, phải đánh giá các luồng đó riêng. Có thể xem thêm bài gửi dữ liệu nhân viên cho công ty mẹ ở nước ngoài có phải lập hồ sơ không. Miễn đánh giá tác động chuyển không làm mất yêu cầu về căn cứ, bảo mật, hợp đồng và quyền của người có dữ liệu.

Khi thuộc diện phải lập hồ sơ, khoản 2 Điều 20 Luật đặt mốc gửi trong 60 ngày kể từ ngày đầu tiên chuyển. Hồ sơ theo Điều 18 Nghị định gồm báo cáo Mẫu số 09 và tài liệu liên quan; không tính lại mốc ban đầu chỉ vì bước sang kỳ kiểm tra năm sau. Nếu đã có hồ sơ, cần đối chiếu đoàn kiểm tra, bên nhận, mục đích và luồng phát sinh với nội dung đã lập, sau đó xác định nghĩa vụ cập nhật theo Điều 22 Luật và Điều 20 Nghị định.

Quản lý tài liệu trong và sau đợt kiểm tra

Trong đợt kiểm tra, đầu mối tại A nên quản lý một danh mục yêu cầu, ghi rõ tài liệu đã cung cấp, phiên bản và người nhận. Khi đoàn đề nghị thêm hồ sơ sức khỏe để “đối chiếu cho đầy đủ”, HR phải làm rõ sự cần thiết và chuyển người có trách nhiệm rà căn cứ trước khi cung cấp. Không để quyết định mở rộng dữ liệu chỉ diễn ra qua trao đổi miệng giữa người kiểm tra và người giữ hồ sơ.

Nếu dùng phòng dữ liệu trên cloud, Điều 12 Nghị định 356 đặt yêu cầu về thỏa thuận, luồng xử lý, trách nhiệm và bảo mật. Khoản 4 yêu cầu mã hóa khi lưu và truyền cùng phân quyền nghiêm ngặt. Các lựa chọn như khóa tải tệp, giới hạn phiên hoặc đánh dấu bản tài liệu là biện pháp cần đánh giá theo hệ thống; không có một tính năng riêng lẻ tự chứng minh toàn bộ nghĩa vụ đã được thực hiện.

Khi kết thúc, IT thu hồi quyền theo quyết định; đầu mối kiểm tra đối chiếu bản tải về, thư mục dùng chung và báo cáo gửi tiếp. Từng nhóm tài liệu cần có căn cứ, thời hạn lưu hoặc phương án xóa phù hợp Điều 3, Điều 14 và Điều 18 Luật. Không ấn định một thời hạn chung cho mọi giấy tờ làm việc chỉ vì đoàn đã hoàn thành báo cáo.

Đầu ra nên gồm biên bản đóng quyền, danh mục tài liệu còn được giữ và trách nhiệm theo dõi vấn đề chưa hoàn tất. Nếu phát hiện gửi sai người hoặc tải vượt phạm vi, phải xử lý và đánh giá nghĩa vụ thông báo theo Điều 23 Luật; không chỉ ghi vào báo cáo kiểm tra để xử lý vào kỳ sau.

Mốc pháp lý cần theo dõi: Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026, sửa một số quy định về tiếp nhận, đánh giá và cập nhật hồ sơ; khoản 3 Điều 49 quy định chuyển tiếp. Tại ngày kiểm tra 25/10/2026, chưa áp dụng sớm cơ chế mới. Cần rà ngày tiếp nhận và quy định tương ứng nếu thực hiện hồ sơ qua mốc này.

Câu hỏi thường gặp

Công ty mẹ yêu cầu quyền quản trị để kiểm tra có phải cấp không?

Phải xem nhiệm vụ có thực sự cần quyền đó và căn cứ cho phạm vi tiếp cận. Doanh nghiệp có thể thiết kế cách cung cấp chứng cứ, quyền xem hoặc phiên làm việc có giám sát phù hợp. Việc người yêu cầu thuộc công ty mẹ không tự thay cho đánh giá mục đích và giới hạn truy cập.

Che tên trên bảng lương đã đủ để gửi tự do chưa?

Chưa chắc. Mã nhân viên, chức danh hiếm, phòng ban hoặc khả năng ghép với danh sách khác vẫn có thể xác định một người. Chỉ kết luận đã khử nhận dạng khi đáp ứng khoản 1 và khoản 11 Điều 2 Luật; nếu vẫn là dữ liệu cá nhân thì tiếp tục áp dụng các nghĩa vụ tương ứng.

Tư vấn ngoài tập đoàn tham gia sau có dùng quyền của trưởng đoàn được không?

Không nên cho dùng chung quyền để bỏ qua việc xác định người nhận. Cần làm rõ vai trò của tư vấn, căn cứ tiếp nhận, thỏa thuận và nơi xử lý; sau đó cấp quyền riêng trong phạm vi hợp lệ. Đồng thời kiểm tra việc bổ sung bên nhận có ảnh hưởng đến hồ sơ đã lập hay không.

Công ty mẹ giữ bản báo cáo thì công ty Việt Nam hết trách nhiệm chưa?

Chưa thể kết luận như vậy. Trách nhiệm được xác định theo vai trò, hoạt động và thỏa thuận phù hợp pháp luật. Doanh nghiệp cần kiểm soát việc chuyển ban đầu, phối hợp thực hiện quyền và xử lý vi phạm theo Điều 37, Điều 23; bên nhận cũng chịu trách nhiệm tương ứng với hoạt động của mình.

Chuẩn bị thông tin để Justix rà soát

Doanh nghiệp có thể chuẩn bị đề cương kiểm tra, danh sách người tham gia, nhóm hồ sơ được yêu cầu, phương án truy cập và tài liệu ràng buộc với công ty mẹ. Trong dịch vụ hồ sơ chuyển dữ liệu cá nhân xuyên biên giới, Justix hỗ trợ đối chiếu luồng, căn cứ, ngoại lệ và tài liệu cần hoàn thiện theo phạm vi thỏa thuận. IT, HR và đoàn kiểm tra cần xác nhận dữ kiện thực tế. Có thể gửi mô tả đã lược dữ liệu cá nhân thật qua trang liên hệ Justix.