Đào tạo bảo vệ dữ liệu cá nhân cho HR và marketing cần những nội dung gì?

Đào tạo bảo vệ dữ liệu cá nhân cho HR và marketing cần những nội dung gì?

Đào tạo cho bộ phận nhân sự (HR) và tiếp thị (marketing) nên giúp người học quyết định được việc hằng ngày: thông tin nào được thu, dùng vào mục đích gì, khi nào được chia sẻ, xử lý ra sao khi có yêu cầu xóa hoặc ngừng quảng cáo. Chương trình cần phần nền tảng chung, phần thực hành theo phòng ban và hướng dẫn chuyển vấn đề cho đúng người phụ trách.

Nên dùng biểu mẫu, quy trình của doanh nghiệp để thực hành, sau khi che thông tin cá nhân hoặc thay bằng dữ liệu giả lập. Kết quả được đánh giá qua cách người học xử lý tình huống.

Pháp luật quy định thế nào về đào tạo dữ liệu cá nhân?

Khoản 6 Điều 13 Nghị định 356/2025/NĐ-CP đặt trách nhiệm đào tạo, bồi dưỡng kiến thức, kỹ năng cho nhân sự bảo vệ dữ liệu cá nhân được chỉ định. Điểm đ khoản 1 Điều 14 giao bộ phận bảo vệ dữ liệu nhiệm vụ xây dựng kế hoạch và triển khai đào tạo, bồi dưỡng định kỳ trong tổ chức; điểm đ khoản 2 quy định nhân sự bảo vệ dữ liệu tham gia chương trình bồi dưỡng.

Cần phân biệt người được chỉ định làm nhân sự bảo vệ dữ liệu với toàn bộ nhân viên HR hoặc marketing. Điều kiện năng lực của người được chỉ định tại khoản 2 Điều 13 gồm nhiều yêu cầu; việc dự một buổi phổ biến nội bộ không tự chứng minh đã đáp ứng đầy đủ các điều kiện đó.

Các quy định nêu trên không ấn định một số giờ học chung cho mọi nhân viên HR, marketing. Nội dung và lịch hướng dẫn nên dựa vào công việc, loại dữ liệu, mức độ rủi ro và các thay đổi trong doanh nghiệp. Nếu có quy định chuyên ngành, doanh nghiệp phải đối chiếu thêm yêu cầu tương ứng.

Phần kiến thức chung cần trả lời được những câu hỏi nào?

Trước hết, người học cần nhận diện dữ liệu cá nhân trong tài liệu thông thường: bảng chấm công, email, số điện thoại, ghi chú phỏng vấn hoặc lịch sử tương tác. Việc bỏ tên chưa chắc làm dữ liệu mất khả năng xác định một người nếu vẫn còn số điện thoại, mã nhân viên hoặc thông tin có thể đối chiếu. Cần giải thích theo khoản 1, 11 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.

Tiếp theo là xác định mục đích và căn cứ sử dụng. Điều 9 Luật yêu cầu đồng ý tự nguyện, rõ ràng theo từng mục đích; sự im lặng không được coi là đồng ý. Các trường hợp không cần đồng ý tại Điều 19 phải được nhận diện theo điều kiện thực tế, không biến thành lý do chung để sử dụng mọi thông tin doanh nghiệp đang giữ.

Người học cũng cần hiểu giới hạn quyền truy cập và chia sẻ. Khoản 2 Điều 4 Nghị định 356/2025/NĐ-CP yêu cầu kiểm soát truy cập khi xử lý dữ liệu nhạy cảm; khoản 4 Điều 7 yêu cầu kiểm soát chia sẻ nội bộ. Bài tập nên yêu cầu chọn đúng trường dữ liệu và người nhận, thay vì chỉ hỏi thuộc tên điều luật nào.

HR cần thực hành trên hồ sơ nào?

Nội dung HR nên theo các việc nhận hồ sơ ứng tuyển (CV), phỏng vấn, tiếp nhận nhân viên, quản lý trong thời gian làm việc và nghỉ việc. Điều 25 Luật 91/2025/QH15 là căn cứ trực tiếp về thông tin tuyển dụng, sự đồng ý, xóa hồ sơ không tuyển và xử lý dữ liệu người lao động.

Một bài tập phù hợp là đưa cho người học một email ứng tuyển có nhiều tài liệu đính kèm rồi yêu cầu chọn phần cần gửi người phỏng vấn. Người học phải giải thích mục đích, người được xem và cách xử lý phần không cần thiết. Với hồ sơ không trúng tuyển, cần nhận ra yêu cầu xóa, hủy, trừ trường hợp có thỏa thuận khác với ứng viên.

Marketing cần học gì về đồng ý và sử dụng danh sách khách hàng?

Marketing cần phân biệt dữ liệu được thu cho từng việc: trả lời yêu cầu, gửi tài liệu, cung cấp dịch vụ và quảng cáo tiếp theo. Một biểu mẫu có số điện thoại chưa tự chứng minh khách hàng đã đồng ý mọi chiến dịch. Phần thực hành nên đối chiếu nội dung thông báo với bằng chứng lựa chọn được lưu theo Điều 6 Nghị định 356/2025/NĐ-CP.

Với hoạt động kinh doanh dịch vụ quảng cáo, khoản 3 Điều 28 Luật 91/2025/QH15 yêu cầu đồng ý trên cơ sở khách biết nội dung, phương thức, hình thức, tần suất giới thiệu và có phương thức từ chối. Khoản 8 quy định thêm đối với quảng cáo theo hành vi, có mục tiêu hoặc cá nhân hóa, gồm đồng ý khi thu thập qua theo dõi website, ứng dụng.

Doanh nghiệp phải xác định mình là bên tự quảng cáo, bên thuê dịch vụ hay bên kinh doanh dịch vụ quảng cáo để áp dụng đúng trách nhiệm. Khi triển khai qua email, tin nhắn, cuộc gọi, chương trình còn cần hướng dẫn đối chiếu quy định về quảng cáo và chống thông tin rác theo khoản 4 Điều 28; không lấy một mẫu đồng ý chung làm kết luận đã đáp ứng tất cả yêu cầu của mọi kênh.

Dùng bốn bài tập để kiểm tra khả năng áp dụng

Các tình huống sau là minh họa. Người phụ trách có thể thay bằng biểu mẫu của doanh nghiệp, đồng thời ghi đáp án theo quy trình đã ban hành.

Nên chấm phần giải thích và hành động đề xuất, không chỉ lựa chọn đúng hoặc sai. Nếu người học nhận ra rủi ro nhưng không biết ai xử lý, doanh nghiệp cần sửa hướng dẫn hoặc công bố rõ đầu mối. Đây cũng là cách phát hiện thiếu sót của quy trình qua buổi học.

Có yêu cầu xóa hoặc gửi nhầm dữ liệu thì nhân viên làm gì?

Người học cần biết ghi nhận thời điểm, nội dung, kênh tiếp nhận và chuyển đúng người phụ trách. Quy trình thực hiện quyền phải được xây dựng theo Điều 5 Nghị định 356/2025/NĐ-CP. Yêu cầu xóa dữ liệu, rút đồng ý và ngừng quảng cáo có nội dung khác nhau; không nên đóng yêu cầu chỉ bằng cách xóa tên khỏi một file.

Với gửi nhầm hoặc nghi ngờ lộ dữ liệu, nên hướng dẫn báo nội bộ ngay, ghi nhận loại dữ liệu, người nhận, thời điểm và biện pháp đã thực hiện. Việc thông báo cho cơ quan chuyên trách phải được đầu mối có thẩm quyền đánh giá theo Điều 23 Luật 91/2025/QH15. Không dạy nhân viên rằng có thể chờ đủ 72 giờ mới báo nội bộ, hoặc tự kết luận mọi sự cố đều có cùng nghĩa vụ thông báo.

Sau đào tạo cần giữ tài liệu và theo dõi điều gì?

Nên lưu chương trình, phiên bản tài liệu, người tham gia, kết quả đánh giá và nội dung cần hướng dẫn lại. Đây là bằng chứng quản trị được khuyến nghị; biên bản tham dự không tự chứng minh mọi thao tác sau đó đều đúng.

Nên cập nhật hướng dẫn khi đổi biểu mẫu, phần mềm hoặc mục đích sử dụng; kiểm tra cách áp dụng trong công việc. Doanh nghiệp chưa có quy trình vẫn có thể đào tạo nền tảng và xác định tài liệu cần hoàn thiện sau buổi học.

Muốn xây dựng chương trình cho HR và marketing?

Doanh nghiệp có thể gửi nhóm người học, biểu mẫu đã che thông tin và các tình huống cần giải đáp để Justix đề xuất chương trình đào tạo bảo vệ dữ liệu cá nhân. Nội dung, hình thức, tài liệu bàn giao và báo phí được thống nhất theo nhu cầu. Liên hệ 0372717888 / 0878853686.