Doanh nghiệp cần làm gì để tuân thủ Luật Bảo vệ dữ liệu cá nhân?

Doanh nghiệp cần làm gì để tuân thủ Luật Bảo vệ dữ liệu cá nhân?

Doanh nghiệp nên xác định đang thu thập dữ liệu gì, dùng vào việc gì và cho ai tiếp cận, từ đó kiểm tra nghĩa vụ, xử lý rủi ro và phân công thực hiện. Lộ trình dưới đây là cách tổ chức được khuyến nghị; nghĩa vụ cụ thể phụ thuộc vai trò và điều kiện áp dụng theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

Ai cần tham gia rà soát dữ liệu cá nhân trong doanh nghiệp?

Ban lãnh đạo nên giao một đầu mối tập hợp thông tin từ các phòng ban. Pháp chế đối chiếu quy định, hợp đồng; bộ phận nghiệp vụ giải thích mục đích sử dụng; kỹ thuật xác nhận hệ thống, quyền truy cập và khả năng bảo vệ.

Cần phân biệt đầu mối điều phối đợt rà soát với nhân sự bảo vệ dữ liệu được chỉ định theo pháp luật. Khi thuộc diện thực hiện khoản 2 Điều 33 Luật, doanh nghiệp phải chỉ định bộ phận, nhân sự đủ năng lực hoặc thuê dịch vụ. Điều 13 Nghị định 356/2025/NĐ-CP quy định việc chỉ định bằng văn bản và điều kiện năng lực; giao thêm nhiệm vụ bằng email chưa thay thế việc kiểm tra các yêu cầu này.

Bước đầu tiên cần lập danh mục những gì?

Nên rà soát theo từng công việc, như nhận hồ sơ ứng viên, tính lương, nhận đơn hàng, ghi âm chăm sóc khách hoặc gửi quảng cáo. Mỗi hoạt động cần làm rõ nguồn dữ liệu, nhóm người liên quan, trường thông tin, mục đích, bên được tiếp cận, nơi lưu và thời gian lưu.

Sau đó xác định vai trò theo khoản 7–9 Điều 2 Luật và phân loại dữ liệu theo Điều 3, Điều 4 Nghị định 356/2025/NĐ-CP. Một doanh nghiệp có thể quyết định mục đích đối với dữ liệu nhân viên nhưng chỉ xử lý theo hợp đồng đối với dữ liệu của khách hàng doanh nghiệp. Hai hoạt động cần được đánh giá riêng.

Cần kiểm tra cả phần mềm, bảng tính, email, bản giấy và thư mục chia sẻ. Nếu có bên nước ngoài tiếp nhận hoặc dùng nền tảng nước ngoài, đối chiếu thêm Điều 20 Luật và Điều 17 Nghị định 356.

Nên xử lý vấn đề nào trước?

Ưu tiên nên dựa trên nguy cơ đang xảy ra, loại dữ liệu, số người có thể bị ảnh hưởng và thời hạn pháp luật. Chẳng hạn, thư mục chứa hồ sơ sức khỏe đang mở cho toàn công ty cần được xử lý sớm vì khoản 2 Điều 4 Nghị định 356 yêu cầu phân quyền giới hạn truy cập, quy trình và bảo mật đối với dữ liệu nhạy cảm.

Nếu đã phát hiện vi phạm, không nên chờ kết thúc đợt rà soát mới xử lý. Khoản 1 Điều 23 Luật 91/2025/QH15 quy định thời hạn thông báo chậm nhất 72 giờ từ khi phát hiện đối với bên kiểm soát, bên kiểm soát và xử lý, bên thứ ba khi vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể. Bên xử lý phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý.

Kế hoạch nên ghi người phụ trách, căn cứ, thời hạn và bằng chứng hoàn thành; tiến độ nội bộ không gia hạn thời hạn pháp luật.

Những tài liệu nào cần được đối chiếu với thực tế?

Trước hết là căn cứ thu thập, sử dụng và chia sẻ. Nếu dựa vào sự đồng ý, cần đối chiếu Điều 9 Luật và Điều 6 Nghị định 356 về tính tự nguyện, từng mục đích và khả năng chứng minh. Nếu xử lý không cần đồng ý theo Điều 19 Luật, phải xác định đúng trường hợp và có cơ chế giám sát theo khoản 2 Điều này.

Tiếp theo là hợp đồng với bên xử lý và bên nhận dữ liệu. Điều 37 Luật, Điều 7 Nghị định 356 đặt ra trách nhiệm và yêu cầu thỏa thuận theo trường hợp chuyển giao. Doanh nghiệp cần kiểm tra phạm vi sử dụng, chuyển tiếp, phối hợp thực hiện quyền và việc xử lý khi kết thúc dịch vụ.

Quy trình thực hiện quyền phải có người tiếp nhận, cách xác minh, phản hồi và phối hợp với nhà cung cấp theo Điều 5 Nghị định 356/2025/NĐ-CP. Thời hạn phụ thuộc loại yêu cầu; không nên đặt một mốc duy nhất cho mọi yêu cầu sửa, xóa hoặc rút đồng ý.

Cuối cùng, cần đối chiếu thời gian lưu với mục đích, nghĩa vụ pháp luật và thỏa thuận. Ví dụ minh họa: quy trình tuyển dụng ghi xóa hồ sơ ứng viên không được tuyển, nhưng thư mục dùng chung vẫn giữ toàn bộ hồ sơ nhiều năm. Doanh nghiệp phải kiểm tra thỏa thuận lưu giữ và việc thực hiện khoản 1 Điều 25 Luật, đồng thời thống nhất cách xóa với bộ phận kỹ thuật.

Có phải làm lại toàn bộ hồ sơ và xin đồng ý lại không?

Khoản 1 Điều 39 Luật 91/2025/QH15 cho phép tiếp tục hoạt động đã được đồng ý hoặc thỏa thuận theo Nghị định 13 trước 01/01/2026. Khoản 2 Điều này cho phép tiếp tục sử dụng hồ sơ đánh giá tác động đã được cơ quan chuyên trách tiếp nhận trước thời điểm đó. Cần kiểm tra tài liệu chứng minh và những thay đổi sau này để quyết định phần phải bổ sung.

Với hồ sơ xử lý, hồ sơ chuyển xuyên biên giới và nhân sự phụ trách, phải xác định nghĩa vụ riêng. Khoản 2–3 Điều 38 Luật và Điều 41 Nghị định 356 có cơ chế dành cho doanh nghiệp nhỏ, khởi nghiệp, hộ kinh doanh, doanh nghiệp siêu nhỏ đối với Điều 21, Điều 22 và khoản 2 Điều 33. Cơ chế không áp dụng nếu kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt ngưỡng từ 100.000 chủ thể tích lũy theo quy định.

Đối với doanh nghiệp nhỏ, khởi nghiệp đủ điều kiện, quyền lựa chọn có thời hạn 5 năm từ 01/01/2026. Việc thuộc nhóm này không tự miễn các nghĩa vụ về sự đồng ý, quyền của chủ thể, bảo mật hoặc nghĩa vụ lập hồ sơ chuyển theo Điều 20. Trước khi mua một bộ mẫu, nên chốt danh mục nghĩa vụ áp dụng và tài liệu hiện có còn sử dụng được.

Phân công công việc và kiểm tra kết quả ra sao?

Doanh nghiệp có thể dùng bảng phân công gợi ý sau, bổ sung tên người, mốc hoàn thành và nguồn lực.

Nên thử quy trình với tình huống nhân viên nghỉ việc hoặc khách yêu cầu sửa thông tin. Nếu chưa rõ ai nhận, hệ thống nào cần sửa và ai xác nhận hoàn tất, cần điều chỉnh phân công.

Khi thay đổi phần mềm, nhà cung cấp hoặc mục đích sử dụng, nên có bước rà soát pháp lý trước khi triển khai. Với chủ thể có nghĩa vụ cập nhật hồ sơ đánh giá tác động, thực hiện theo Điều 22 Luật và Điều 20 Nghị định 356. Điều 14 Nghị định cũng quy định nhiệm vụ đánh giá tuân thủ, đào tạo và tham gia bảo vệ dữ liệu của bộ phận, nhân sự phụ trách.

Nhận đề xuất rà soát phù hợp với doanh nghiệp

Doanh nghiệp có thể gửi danh sách hệ thống, sơ đồ tổ chức, chính sách, hợp đồng và hồ sơ đã lập để Justix đề xuất phạm vi rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân. Kết quả rà soát giúp xác định nghĩa vụ còn thiếu và thứ tự khắc phục; các hạng mục soạn tài liệu được thống nhất theo nhu cầu. Liên hệ 0372717888 hoặc 0878853686.