Doanh nghiệp công nghệ cần rà soát dữ liệu cá nhân như thế nào?

Doanh nghiệp công nghệ cần rà soát dữ liệu cá nhân như thế nào?

Doanh nghiệp công nghệ nên rà soát theo từng hoạt động: dữ liệu do ai thu thập, dùng vào việc gì, ai quyết định cách xử lý và bên nào được tiếp cận. Từ đó mới xác định căn cứ sử dụng, hợp đồng, nghĩa vụ đánh giá tác động và công việc phải sửa. Một công ty có thể giữ nhiều vai trò pháp lý khác nhau trong cùng một sản phẩm.

Tình huống minh họa: một công ty cung cấp phần mềm quản lý khách hàng theo thuê bao. Khách hàng doanh nghiệp nhập thông tin liên hệ lên hệ thống; nhân viên hỗ trợ có thể xem dữ liệu để sửa lỗi. Công ty còn thu thông tin người đăng ký dùng thử, sao chép một số dữ liệu thật sang môi trường thử nghiệm và dự kiến dùng nội dung hỗ trợ để huấn luyện tính năng trí tuệ nhân tạo (AI). Đây là tình huống giả định để phân tích cách rà soát.

Cần tách những hoạt động nào trước khi xem hợp đồng?

Công ty có thể là bên xử lý đối với danh bạ do khách hàng nhập theo hợp đồng và là bên kiểm soát và xử lý đối với thông tin tự thu để bán dịch vụ. Cần đối chiếu quyền quyết định mục đích, phương tiện và hoạt động thực tế theo khoản 7–10 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.

Việc hợp đồng gọi công ty là “nhà cung cấp phần mềm” chưa giải quyết được vấn đề. Nếu công ty tự chọn dùng dữ liệu khách hàng để phát triển sản phẩm khác, hoạt động đó cần được phân tích riêng; không thể mặc nhiên dựa vào vai trò bên xử lý đã ghi cho dịch vụ ban đầu.

Bảng dưới đây giúp tổ chức buổi làm việc giữa sản phẩm, kỹ thuật, kinh doanh và pháp chế. Mỗi dòng phải được xác nhận bằng tài liệu hoặc thao tác thực tế.

Nên ghi người xác nhận và điểm chưa rõ trong bảng; kiểm tra cả hệ thống chính, bản sao lưu và nền tảng xử lý tiếp theo.

Có được dùng dữ liệu thật để thử nghiệm và huấn luyện AI?

Không thể kết luận chỉ vì công việc được gọi là “nội bộ”. Khoản 2 Điều 3 Luật yêu cầu xử lý đúng phạm vi, mục đích cụ thể, rõ ràng. Với trí tuệ nhân tạo, khoản 1, 3 và 4 Điều 30 Luật 91/2025/QH15 còn đặt ra giới hạn cần thiết, biện pháp bảo mật, phân quyền và phân loại mức độ rủi ro.

Trong tình huống này, cần hỏi vì sao lỗi không thể được tái hiện bằng dữ liệu giả lập, bản sao gồm những trường nào và ai được tải xuống. Khi chưa chứng minh được phạm vi sử dụng hợp pháp, doanh nghiệp nên tạm dừng việc sao chép bổ sung để làm rõ căn cứ. Đây là cách xử lý được khuyến nghị theo tình huống, không phải kết luận mọi thử nghiệm đều bị cấm.

Đối với đề xuất huấn luyện AI, phải xem riêng mục đích, dữ liệu đầu vào và bên nhận. Sửa hợp đồng với khách hàng doanh nghiệp chưa tự thay thế sự đồng ý của cá nhân khi pháp luật yêu cầu. Nếu viện dẫn trường hợp không cần đồng ý tại Điều 19 Luật 91/2025/QH15, phải chỉ ra điều kiện áp dụng; không thể dùng lý do chung là “cải thiện dịch vụ”.

Cần sửa gì trong hợp đồng và cách tiếp nhận dữ liệu?

Điểm a khoản 2 Điều 37 Luật 91/2025/QH15 yêu cầu bên xử lý chỉ tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng xử lý. Công ty cần kiểm tra cả tài khoản dùng thử, hợp đồng điện tử và các yêu cầu hỗ trợ phát sinh, thay vì chỉ kiểm tra hợp đồng trả phí.

Trong ví dụ, phụ lục nên làm rõ phạm vi hỗ trợ kỹ thuật, quyền sao chép để sửa lỗi, bên cung cấp hạ tầng tiếp theo, xử lý yêu cầu của cá nhân và việc trả, xóa dữ liệu khi kết thúc. Trường hợp chuyển giao thuộc điểm a, c, d khoản 1 Điều 17 Luật còn phải đáp ứng nội dung thỏa thuận tại khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP.

Với dữ liệu người đăng ký dùng thử do công ty tự thu, cần tách mục đích mở tài khoản và mục đích tiếp thị. Nếu xử lý dựa trên đồng ý, nội dung và cách ghi nhận phải đáp ứng Điều 9 Luật, Điều 6 Nghị định; một dấu tích chung không đương nhiên hợp pháp hóa mọi mục đích.

Công ty phần mềm có phải kiểm tra điều kiện kinh doanh riêng?

Cần kiểm tra theo dịch vụ thực tế. Khoản 1 Điều 21 Nghị định 356/2025/NĐ-CP liệt kê dịch vụ cung cấp và vận hành hệ thống, phần mềm tự động để thay mặt bên kiểm soát hoặc bên kiểm soát và xử lý tiến hành xử lý dữ liệu cá nhân. Hoạt động trong tình huống vì vậy cần được đối chiếu với quy định về dịch vụ xử lý dữ liệu, điều kiện tại Điều 22 và cơ chế giấy chứng nhận liên quan.

Cần nêu kết quả phân loại trong báo cáo, thay vì kết luận từ tên hợp đồng hoặc ngành nghề chung của doanh nghiệp.

Dữ liệu trên đám mây và hồ sơ đánh giá tác động cần xem thế nào?

Cần vẽ luồng từ hệ thống chính đến bản sao lưu, công cụ hỗ trợ và nền tảng AI. Nếu phát sinh trường hợp tại khoản 1 Điều 20 Luật 91/2025/QH15, phải xem nghĩa vụ đánh giá tác động chuyển xuyên biên giới và ngoại lệ tương ứng. Ngoại lệ lưu dữ liệu người lao động của chính tổ chức trên đám mây tại khoản 6 Điều 20 không tự áp dụng cho danh bạ khách hàng mà công ty xử lý theo hợp đồng.

Hồ sơ đánh giá tác động xử lý dữ liệu phải được xem riêng theo Điều 21. Nghĩa vụ của bên kiểm soát, bên kiểm soát và xử lý khác với việc bên xử lý lập, lưu hồ sơ theo thỏa thuận. Cơ chế dành cho doanh nghiệp nhỏ, khởi nghiệp hoặc siêu nhỏ tại Điều 38 Luật và Điều 41 Nghị định 356/2025/NĐ-CP có điều kiện loại trừ, gồm kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên, tính theo tổng lượng dữ liệu đã xử lý tích lũy. Không kết luận được miễn chỉ từ số nhân viên.

Nếu đã có hồ sơ và thỏa thuận trước năm 2026, cần đối chiếu Điều 39 Luật về chuyển tiếp. Những tài liệu đủ điều kiện có thể tiếp tục sử dụng; hoạt động mới vẫn phải được rà soát và cập nhật theo quy định.

Báo cáo rà soát phải giúp doanh nghiệp quyết định được gì?

Với từng thiếu sót, nên ghi hoạt động liên quan, căn cứ, bằng chứng, việc cần sửa và người phụ trách. Trong ví dụ, có thể ưu tiên làm rõ quyền dùng dữ liệu thử nghiệm, phạm vi truy cập hỗ trợ và đề xuất huấn luyện AI; sau đó hoàn thiện hợp đồng, biểu mẫu và hồ sơ tương ứng.

Bằng chứng hoàn thành có thể là phụ lục đã ký hoặc kết quả kiểm tra quyền. Luật sư phụ trách phần pháp lý; kỹ thuật xác nhận và triển khai cấu hình. Báo cáo cần nêu phần đã kiểm tra và thông tin còn thiếu.

Cần rà soát sản phẩm công nghệ đang vận hành?

Doanh nghiệp nên chuẩn bị mô tả sản phẩm, hợp đồng mẫu, danh sách hệ thống và bên được tiếp cận dữ liệu. Justix hỗ trợ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, xác định vấn đề pháp lý và đề xuất hạng mục cần triển khai. Trao đổi phạm vi qua 0372717888 / 0878853686.