Dữ liệu doanh nghiệp đã công khai có được tự do thu thập và sử dụng?

Dữ liệu doanh nghiệp đã công khai có được tự do thu thập và sử dụng?

Không thể kết luận mọi thông tin doanh nghiệp đã công khai đều được tự do thu thập và dùng cho mục đích mới. Tên pháp nhân, số tổng đài chung và thông tin giúp xác định một nhân viên có phạm vi pháp lý khác nhau. Với dữ liệu cá nhân, việc có thể đọc trên website không thay cho căn cứ thu thập, sử dụng hoặc điều kiện liên hệ quảng cáo. Doanh nghiệp cần xác định ai được thông tin phản ánh, vì sao thông tin được đăng và hoạt động mình định thực hiện trước khi đưa vào danh sách tiếp thị.

Thông tin của doanh nghiệp có thể là thông tin của một cá nhân

Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, tiêu chí là dữ liệu xác định hoặc giúp xác định một con người cụ thể. Một số điện thoại đăng bên cạnh tên trưởng phòng hoặc địa chỉ thư điện tử gắn với tên nhân viên có thể đáp ứng tiêu chí đó, dù được dùng cho công việc. Việc doanh nghiệp cấp số điện thoại không tự loại bỏ khả năng nhận diện người sử dụng.

Ngược lại, tên pháp nhân, địa chỉ trụ sở hoặc một số tổng đài chỉ phản ánh tổ chức, không giúp nhận diện cá nhân trong bối cảnh cụ thể, không tự thuộc định nghĩa dữ liệu cá nhân. Khi tổng hợp thêm tên người phụ trách, lịch sử trao đổi hoặc chức danh vào cùng hồ sơ, cần đánh giá lại thông tin đã kết hợp. Nếu chỉ có dữ liệu tổ chức, vẫn phải kiểm tra quyền sử dụng, quy định liên quan và điều kiện của nguồn; không thuộc Luật Bảo vệ dữ liệu cá nhân không đồng nghĩa được phép làm mọi việc.

Doanh nghiệp có thể dùng bài cách nhận diện dữ liệu cá nhân trong doanh nghiệp để rà những trường thông tin tưởng là dữ liệu công việc nhưng vẫn chỉ ra một người.

Công khai cho một mục đích không cho phép mọi cách sử dụng lại

Điều 16 Luật 91/2025/QH15 yêu cầu việc công khai có mục đích cụ thể, phạm vi và loại dữ liệu phù hợp, không xâm phạm quyền, lợi ích hợp pháp của chủ thể. Khoản 2 xác định các trường hợp được công khai, gồm sự đồng ý, quy định pháp luật, trường hợp tại điểm b khoản 1 Điều 19 và thực hiện nghĩa vụ theo hợp đồng. Các trường hợp này điều chỉnh việc công khai, không tự xác lập căn cứ cho một doanh nghiệp khác thu thập và sử dụng tiếp.

Chẳng hạn, số của nhân viên kinh doanh được đăng để người có nhu cầu hỏi về sản phẩm công ty đang bán. Một đơn vị khác lấy số đó để quảng cáo dịch vụ của mình phải đánh giá hoạt động sử dụng lại riêng. Việc nhân viên hoặc doanh nghiệp đồng ý đăng số trên website chưa chứng minh họ đã đồng ý nhận quảng cáo của mọi bên tìm thấy số.

Khoản 5 Điều 16 còn yêu cầu bên công khai kiểm soát, giám sát và ngăn chặn xử lý trái phép trong khả năng, điều kiện của mình. Vì vậy, không nên giải thích việc website không có mật khẩu hoặc không chặn tải thông tin thành sự cho phép không giới hạn. Điều khoản sử dụng của nguồn có thể đặt thêm điều kiện; nó không thay thế quy định pháp luật về dữ liệu cá nhân.

Cần xác định căn cứ trước khi tạo danh sách liên hệ

Khoản 1 Điều 11 Luật 91/2025/QH15 yêu cầu sự đồng ý trước khi thu thập dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác. Khoản 3 Điều này chỉ cho phép tổ chức, cá nhân ngoài nhóm cơ quan có thẩm quyền phân tích, tổng hợp từ nguồn được phép xử lý. Doanh nghiệp không nên thu cả danh sách trước rồi mới đặt câu hỏi mình được dùng dữ liệu vào việc gì.

Nếu dựa vào sự đồng ý, phải đáp ứng Điều 9: người đồng ý biết rõ loại thông tin, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, cùng quyền và nghĩa vụ; lựa chọn phải tự nguyện, rõ ràng và kiểm chứng được. Điều 6 Nghị định 356/2025/NĐ-CP quy định cách thể hiện và trách nhiệm lưu bằng chứng. Sự đồng ý dành cho bên đăng website chỉ có thể được dùng để chứng minh hoạt động của bên thu thập lại nếu phạm vi thực tế đáp ứng yêu cầu tương ứng; không suy ra điều đó từ một dòng “thông tin đã công khai”.

Nếu viện dẫn Điều 19 về xử lý không cần sự đồng ý, phải chỉ ra trường hợp và điều kiện cụ thể. Doanh nghiệp có hợp đồng bán phần mềm với một pháp nhân chưa tự có căn cứ dùng số của mọi nhân viên pháp nhân đó để quảng cáo sản phẩm khác. Một yêu cầu do cá nhân gửi để thực hiện thỏa thuận cần được xem xét theo nội dung yêu cầu và phạm vi thỏa thuận; không mở rộng thành quyền tiếp thị lâu dài.

Quyền được biết tại điểm a khoản 1 Điều 4 và các yêu cầu thông tin trong Điều 9 cần được đưa vào cơ chế phù hợp với căn cứ đã xác định. Khi phải xin đồng ý, doanh nghiệp cần cung cấp thông tin trước để có lựa chọn hợp lệ; chỉ đăng chính sách của mình rồi tự lưu dữ liệu không chứng minh cá nhân đã biết và đồng ý. Nếu áp dụng trường hợp không cần đồng ý, vẫn phải thực hiện cơ chế giám sát tại khoản 2 Điều 19 và đối chiếu những nghĩa vụ thông tin, quy định chuyên ngành có liên quan; không mặc định mọi nghĩa vụ đều được miễn.

 

Yêu cầu chỉnh sửaCtrl Shift X

Bảng kiểm tra nguồn công khai và mục đích dùng lại

Bảng sau minh họa cách rà từng nguồn trước khi thu thập. Không thể lấy kết luận về một số tổng đài chung áp dụng cho toàn bộ dữ liệu trên website đó.

Nguồn thông tin	Người được nhận diện	Mục đích công khai cần xác minh	Mục đích dùng lại dự kiến	Căn cứ và tài liệu cần kiểm tra
Trang liên hệ chỉ có tên công ty và tổng đài chung	Có thể chỉ là tổ chức; cần kiểm tra bối cảnh	Tiếp nhận liên hệ của khách hoặc đối tác	Hỏi thông tin một dịch vụ đang được giới thiệu	Nội dung trang, điều kiện sử dụng, khả năng nhận diện; quy định theo kênh nếu chuyển sang quảng cáo
Tên, chức danh, số liên hệ của nhân viên	Nhân viên cụ thể	Bán hàng, hỗ trợ hoặc đầu mối nghiệp vụ của bên đăng	Tạo danh sách gọi quảng cáo cho bên thu thập	Điều 2.1, 3.2, 9, 11, 19 Luật 91; bằng chứng căn cứ cho mục đích mới; NĐ 91 về nhận quảng cáo
Email công việc có tên cá nhân	Người có tên hoặc người có thể xác định từ thông tin kết hợp	Nhận yêu cầu công việc xác định	Gửi thư điện tử quảng cáo định kỳ	Phạm vi đồng ý, thông tin đã cung cấp, bằng chứng đăng ký và cơ chế từ chối; không suy ra đồng ý từ địa chỉ email
Trang đăng thông tin theo nghĩa vụ pháp luật	Có thể có người đại diện hoặc cá nhân liên quan	Theo mục đích, phạm vi quy định chuyên ngành	Lập hồ sơ khách tiềm năng hoặc đánh giá người	Quy định cho phép công khai, điều kiện khai thác, mục đích dùng lại và căn cứ xử lý; không coi toàn bộ trang là miễn nghĩa vụ
Danh sách do đơn vị khác tổng hợp từ nhiều website	Nhiều cá nhân có thể được nhận diện	Nguồn và mục đích từng thành phần chưa rõ	Nhập vào phần mềm để tiếp thị	Tài liệu về nguồn, căn cứ thu thập, chuyển giao và sử dụng; hợp đồng không tự chứng minh danh sách hợp pháp

 

 

 

Kết quả cần có là một quyết định có căn cứ cho từng nhóm: được thực hiện hoạt động đã xác định, cần bổ sung căn cứ hoặc chưa đưa vào sử dụng. Cách chia nhóm này là khuyến nghị kiểm soát, không phải ba loại dữ liệu do pháp luật quy định.

Tình huống lấy số nhân viên trên website để tiếp thị

Tình huống giả định: công ty A bán phần mềm, dự định ghi lại tên, chức danh và số của nhân viên các doanh nghiệp được đăng trên trang liên hệ, nhập vào phần mềm khách hàng và giao nhân viên gọi giới thiệu sản phẩm. A chưa có bằng chứng những người này đã đăng ký nhận quảng cáo của mình.

Trước hết, marketing xác định danh sách có nhận diện cá nhân hay chỉ gồm tổng đài chung. Với tên và số gắn với một nhân viên, đây là hoạt động thu thập và tiếp tục sử dụng dữ liệu cá nhân. Pháp chế phải kiểm tra căn cứ trước khi lập danh sách; mục đích trang gốc là phục vụ liên hệ với bên đăng chưa chứng minh căn cứ tiếp thị của A. Theo Điều 3, 9, 11 và 19, không thể dùng lý do “bán cho doanh nghiệp” để miễn việc rà soát thông tin cá nhân.

Tiếp theo, phải kiểm tra điều kiện của kênh liên hệ. Khoản 1–2, 4 Điều 11 và Điều 13 Nghị định 91/2020/NĐ-CP yêu cầu đồng ý trước khi nhận quảng cáo, kiểm tra Danh sách không quảng cáo đối với hoạt động thuộc diện áp dụng và dừng khi nhận từ chối. Với tình huống gọi quảng cáo nêu trên, không nên thực hiện cuộc gọi khi chưa đáp ứng điều kiện. Một lần gọi quảng cáo với lời mở đầu “xin phép tư vấn” không tự trở thành cuộc gọi ngoài phạm vi quảng cáo.

Nếu A sử dụng dịch vụ quảng cáo hoặc hình thức cá nhân hóa thuộc Điều 28 Luật 91/2025/QH15, phải đối chiếu thêm điều kiện của mô hình đó. Khi giao danh sách cho nhà cung cấp, cần kiểm tra vai trò, căn cứ chuyển giao theo Điều 17 và trách nhiệm tại Điều 37. Không khắc phục thiếu căn cứ thu thập chỉ bằng cách ký một cam kết bảo mật với đơn vị gọi điện.

Trong tình huống này, đầu ra trước chiến dịch nên là bảng nguồn đã rà soát, kết luận căn cứ theo mục đích, bằng chứng đăng ký nếu có và danh sách đáp ứng điều kiện của kênh. Với nhóm thiếu căn cứ, chưa đưa vào chiến dịch; nếu đã thu thập, cần đánh giá và xử lý phần dữ liệu đã có, thay vì giữ chờ cơ hội sử dụng. Công ty có thể tổ chức kênh để người có nhu cầu chủ động gửi yêu cầu hoặc đăng ký, với nội dung rõ ràng; xem thêm bài thu thập thông tin qua form quảng cáo có phải xin đồng ý không.

Câu hỏi thường gặp

Chỉ chép thủ công vài số điện thoại thì có cần kiểm tra căn cứ?

Có, nếu các số giúp nhận diện cá nhân và hoạt động thuộc phạm vi Luật. Định nghĩa xử lý tại khoản 6 Điều 2 bao gồm thu thập và những tác động khác; không phải chỉ dùng phần mềm tự động hoặc thu rất nhiều dữ liệu mới cần xem xét căn cứ.

Email công việc đã đăng có thể gửi báo giá khi người đó yêu cầu không?

Cần xem yêu cầu thực tế và phạm vi thông tin cần sử dụng để đáp ứng. Có thể xem xét căn cứ thực hiện thỏa thuận tại điểm d khoản 1 Điều 19 khi đủ điều kiện, đồng thời tuân thủ nghĩa vụ bảo vệ dữ liệu. Việc trả lời yêu cầu cụ thể không tự cho phép đưa địa chỉ vào danh sách quảng cáo định kỳ.

Website có ghi “thông tin công khai” thì đã đủ quyền sử dụng chưa?

Chưa đủ để kết luận. Phải xác minh chủ thể đăng có quyền công khai, phạm vi cho phép và căn cứ cho hoạt động dùng lại. Nếu nội dung chỉ mô tả khả năng tiếp cận mà không xác lập mục đích, người nhận và điều kiện liên quan, không thể coi đó là sự đồng ý đáp ứng Điều 9.

Justix hỗ trợ rà soát nguồn và mục đích sử dụng

Trước khi nhập danh sách công khai vào hệ thống hoặc giao cho nhà cung cấp, doanh nghiệp có thể chuẩn bị đường dẫn nguồn, mô tả trường dữ liệu, mục đích, kênh liên hệ và hợp đồng liên quan để trao đổi với Justix. Dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân hỗ trợ đối chiếu hoạt động và tài liệu, xác định vấn đề cùng phần cần khắc phục theo phạm vi thống nhất. Liên hệ 0372 717 888 hoặc info@justix.vn; không cần gửi danh sách số điện thoại thật khi trao đổi ban đầu.