Dữ liệu cá nhân là gì? Cách nhận diện trong doanh nghiệp

Dữ liệu cá nhân là gì? Cách nhận diện trong doanh nghiệp

Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể. Trong doanh nghiệp, phạm vi này bao gồm thông tin nhận diện trực tiếp và thông tin có thể liên kết với nguồn khác để xác định một người. Dữ liệu có thể nằm trong hồ sơ giấy, bảng tính, email, hình ảnh, bản ghi âm hoặc phần mềm; không chỉ giới hạn ở họ tên và số điện thoại.

Định nghĩa dữ liệu cá nhân theo quy định hiện hành

Khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 xác định dữ liệu cá nhân gồm dữ liệu cơ bản và dữ liệu nhạy cảm. Luật cũng quy định dữ liệu sau khi khử nhận dạng không còn là dữ liệu cá nhân. Khoản 11 Điều 2 giải thích khử nhận dạng là thay đổi hoặc xóa thông tin để tạo ra dữ liệu mới không thể xác định hoặc giúp xác định một con người cụ thể. Nguồn: Điều 2 Luật 91/2025/QH15.

Điểm cần kiểm tra là khả năng nhận diện, không phải doanh nghiệp gọi thông tin đó bằng tên gì. Một mã khách hàng không hiển thị họ tên vẫn có thể là dữ liệu cá nhân nếu hệ thống có bảng liên kết mã với người mua. Một danh sách thống kê cũng có thể giúp xác định người cụ thể nếu nhóm thống kê quá nhỏ hoặc có đủ thông tin bổ sung.

Danh mục cơ bản và nhạy cảm hiện hành được quy định tại Điều 3–4 Nghị định 356/2025/NĐ-CP. Khi kiểm kê, nên xác định trước thông tin có phải dữ liệu cá nhân, rồi phân loại và kiểm tra yêu cầu bảo vệ tương ứng. Tên gọi “dữ liệu cơ bản” không có nghĩa doanh nghiệp được tự do thu thập hoặc công khai. Xem Nghị định 356.

Nhận diện trực tiếp và nhận diện qua thông tin liên kết

Thông tin nhận diện trực tiếp giúp xác định người cụ thể ngay trong bối cảnh sử dụng. Ví dụ, số định danh cá nhân, hồ sơ gồm họ tên và số điện thoại, hoặc hình ảnh nhận diện được nhân viên. Một họ tên phổ biến đứng riêng lẻ có thể chưa đủ để chỉ ra duy nhất một người; cần xem thông tin đó xuất hiện trong hồ sơ và hệ thống nào.

Nhận diện gián tiếp xảy ra khi doanh nghiệp ghép dữ liệu với nguồn khác. Chẳng hạn, bảng chấm công chỉ ghi mã NV025 nhưng phòng nhân sự biết mã này thuộc nhân viên nào. Trong trường hợp đó, việc bỏ cột họ tên chưa làm bảng chấm công mất tính chất dữ liệu cá nhân.

Với thông tin kỹ thuật như địa chỉ IP, mã thiết bị hoặc cookie, cần xem khả năng liên kết với tài khoản, thiết bị, người dùng và lịch sử hoạt động. Không nên kết luận mọi giá trị kỹ thuật đều có cùng tính chất. Đặc biệt, dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên không gian mạng thuộc nhóm được nêu tại điểm l khoản 1 Điều 4 Nghị định 356 khi là dữ liệu cá nhân. Đây là yếu tố cần kiểm tra khi sử dụng công cụ phân tích và quảng cáo.

Doanh nghiệp nên yêu cầu bộ phận kỹ thuật giải thích bảng liên kết, mã định danh và nhật ký hệ thống, thay vì chỉ rà các trường có tên “họ tên” hoặc “số điện thoại”. Những thông tin này giúp pháp chế đánh giá được dữ liệu đang gắn với người nào và có thể được sử dụng ra sao.

Ví dụ dữ liệu cá nhân theo từng phòng ban

Bảng dưới đây giúp nhận diện những nhóm thường gặp. Phân loại cơ bản hay nhạy cảm phải tiếp tục đối chiếu nội dung thực tế và Điều 3–4 Nghị định 356.

Một bảng dữ liệu có thể phản ánh nhiều người. Đơn hàng gồm người đặt, người thanh toán và người nhận hàng không nhất thiết là cùng một cá nhân. Hồ sơ người lao động có thể chứa thông tin con, vợ hoặc chồng. Khi lập danh mục, doanh nghiệp cần ghi đủ nhóm chủ thể để xác định căn cứ thu thập và cách thực hiện quyền phù hợp.

Đối với hình ảnh, cần phân biệt ảnh thông thường với ảnh thẻ căn cước và dữ liệu được xử lý để nhận diện sinh trắc học. Điều 3–4 Nghị định 356 có cách phân loại khác nhau cho các trường hợp này. Việc chỉ lưu tất cả vào một thư mục “ảnh nhân viên” dễ làm bỏ sót yêu cầu bảo vệ.

Phân biệt thông tin doanh nghiệp với thông tin của cá nhân

Tên công ty, mã số doanh nghiệp và thông số sản phẩm, khi chỉ phản ánh pháp nhân hoặc hàng hóa và không xác định người cụ thể, không phải dữ liệu cá nhân theo tiêu chí tại Điều 2 Luật. Tuy nhiên, tên người đại diện, chữ ký của người ký hợp đồng và số điện thoại của đầu mối phụ trách trong cùng hồ sơ có thể là dữ liệu cá nhân.

Email dạng “kinhdoanh@congty.vn” dùng chung cho một bộ phận cần được xem trong bối cảnh thực tế. Bản thân tên hộp thư có thể không chỉ ra một cá nhân, nhưng danh sách người được giao sử dụng, chữ ký thư hoặc nhật ký thao tác có thể giúp xác định người. Ngược lại, email có họ tên nhân viên và được gán riêng cho người đó thường giúp nhận diện trực tiếp hoặc qua hệ thống nội bộ.

Với tài khoản thanh toán của pháp nhân, không nên tự động coi số tài khoản là dữ liệu cá nhân chỉ vì đó là thông tin tài chính. Nếu chứng từ chứa tên và thông tin thanh toán của một cá nhân, phải đánh giá các trường dữ liệu đó. Sau bước nhận diện, việc xếp dữ liệu tài chính vào nhóm nào cần đối chiếu đúng nội dung tại Điều 4 Nghị định 356.

Thông tin không phải dữ liệu cá nhân vẫn có thể phải bảo mật theo hợp đồng hoặc quy định khác. Việc xác định phạm vi dữ liệu cá nhân chỉ giải quyết một phần trách nhiệm quản lý thông tin của doanh nghiệp.

Dữ liệu công khai hoặc được mã hóa có còn là dữ liệu cá nhân

Thông tin công khai vẫn có thể xác định người cụ thể. Số điện thoại xuất hiện trên mạng xã hội, thông tin người đại diện trên hồ sơ công khai hoặc ảnh sự kiện không mất tính chất dữ liệu cá nhân vì nhiều người có thể xem. Trước khi thu thập và dùng cho mục đích khác, doanh nghiệp cần kiểm tra căn cứ, phạm vi và quy định áp dụng. Điều 16 Luật có yêu cầu riêng về mục đích, phạm vi và trường hợp công khai dữ liệu cá nhân. Nguồn: Điều 16 Luật.

Mã hóa là một biện pháp bảo vệ dữ liệu. Nếu thông tin có thể được giải mã và tiếp tục gắn với người cụ thể, chưa thể coi đó là dữ liệu đã khử nhận dạng. Tương tự, thay tên bằng mã hoặc che vài ký tự không đủ nếu doanh nghiệp vẫn giữ bảng đối chiếu hoặc có nguồn thông tin giúp nhận diện lại.

Ví dụ minh họa: công ty chuyển tên khách thành mã KH001 và vẫn lưu bảng KH001 tương ứng với họ tên, số điện thoại. Bộ dữ liệu mang mã vẫn giúp xác định người qua bảng liên kết. Nếu muốn dùng dữ liệu thống kê mà không còn nhận diện cá nhân, cần đánh giá cả các trường còn lại và khả năng ghép với nguồn khác. Khoản 6 Điều 14 Luật còn đặt ra trách nhiệm kiểm soát quá trình khử nhận dạng và giới hạn việc tái nhận dạng. Nguồn: Điều 2 và Điều 14 Luật.

Cách kiểm kê để tránh bỏ sót dữ liệu

Doanh nghiệp có thể rà soát theo trình tự sau:

Liệt kê nơi đang giữ thông tin, gồm phần mềm, hồ sơ giấy, email, bảng tính, điện thoại công việc và thư mục chia sẻ.

Chọn từng hoạt động như tuyển dụng, trả lương, giao hàng hoặc chăm sóc khách để ghi các trường thông tin thực tế.

Kiểm tra trường nào nhận diện trực tiếp, trường nào liên kết được với tài khoản hoặc bảng đối chiếu và dữ liệu phản ánh những người nào.

Đối chiếu danh mục cơ bản, nhạy cảm; đánh dấu dữ liệu trẻ em và các hoạt động có quy định bảo vệ riêng.

Ghi mục đích, người được tiếp cận, bên nhận, nơi lưu và căn cứ xác định thời gian lưu để chuyển sang bước rà soát nghĩa vụ.

Đầu ra nên là một danh mục có thể kiểm tra bằng hồ sơ và hệ thống. Ví dụ, một dòng cho hoạt động giao hàng phải chỉ ra mã đơn nằm ở phần mềm nào, ai xem được địa chỉ, bên vận chuyển nhận những trường gì và thông tin người nhận được lưu ở đâu. Ghi chung “có dữ liệu khách hàng” chưa đủ để xác định việc cần sửa.

Việc lưu, phân tích, chỉnh sửa, mã hóa, cung cấp hoặc chuyển giao cũng có thể là xử lý dữ liệu theo khoản 6 Điều 2 Luật. Do đó, một phòng ban không trực tiếp thu thập thông tin vẫn cần tham gia kiểm kê nếu sử dụng dữ liệu do phòng ban khác chuyển đến.

Sau khi có danh mục, doanh nghiệp có thể dùng lộ trình tuân thủ Luật Bảo vệ dữ liệu cá nhân để xác định việc cần làm, người phụ trách và tài liệu chứng minh.

Câu hỏi thường gặp

Dữ liệu trong Excel hoặc hồ sơ giấy có thuộc phạm vi bảo vệ không

Có, nếu xác định hoặc giúp xác định một người cụ thể. Định nghĩa trong Luật bao gồm dữ liệu số và thông tin dưới dạng khác, nên không phụ thuộc việc doanh nghiệp có phần mềm chuyên dụng hay không.

Mã khách hàng không kèm họ tên có phải dữ liệu cá nhân không

Có thể có. Nếu mã liên kết được với hồ sơ khách hàng hoặc thông tin khác để xác định người, dữ liệu vẫn cần được đánh giá và bảo vệ. Cần kiểm tra bảng đối chiếu và quyền tiếp cận các nguồn liên kết.

Chỉ thu số điện thoại để báo giá có cần rà soát nghĩa vụ không

Có. Số điện thoại thuộc danh mục cơ bản tại khoản 7 Điều 3 Nghị định 356. Doanh nghiệp cần xác định mục đích, căn cứ sử dụng, thông tin cho khách và việc lưu giữ; sử dụng thêm để quảng cáo phải được đánh giá riêng.

Thông tin của người nhận quà hoặc người liên hệ khẩn cấp có phải dữ liệu cá nhân không

Có, khi giúp xác định người đó. Người cung cấp thông tin và người được thông tin phản ánh có thể khác nhau. Doanh nghiệp cần kiểm tra căn cứ thu thập và sử dụng đối với từng nhóm, thay vì chỉ ghi nhận người điền form.

Justix hỗ trợ doanh nghiệp nhận diện và quản lý dữ liệu

Nếu dữ liệu đang phân tán giữa nhiều phòng ban, Justix có thể hỗ trợ lập danh mục hoạt động, phân loại dữ liệu và xác định vai trò theo phạm vi thống nhất. Dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân giúp doanh nghiệp có cơ sở để lựa chọn chính sách, quy trình, hợp đồng và hồ sơ cần triển khai.

Liên hệ Công ty Luật TNHH Justix: 0372 717 888; info@justix.vn. Văn phòng: Tòa A Ecolife Tây Hồ, KĐT Starlake, Nghĩa Đô, Hà Nội.