Hỗ trợ kỹ thuật từ nước ngoài truy cập dữ liệu khách hàng: cần làm gì?

Hỗ trợ kỹ thuật từ nước ngoài truy cập dữ liệu khách hàng: cần làm gì?

Một phiên hỗ trợ từ xa có thể làm phát sinh luồng dữ liệu xuyên biên giới dù máy chủ vẫn ở Việt Nam. Doanh nghiệp cần chốt phạm vi truy cập, căn cứ xử lý, trách nhiệm nhà cung cấp và chứng cứ trước, trong, sau phiên hỗ trợ.

Trước khi cho bộ phận hỗ trợ ở nước ngoài truy cập dữ liệu khách hàng, doanh nghiệp cần xác định người truy cập, dữ liệu họ được xem, thao tác được phép và nơi lưu các bản phát sinh. Phiên truy cập ngắn hoặc chỉ có quyền xem vẫn phải được rà soát theo hoạt động thực tế; không có căn cứ để mặc nhiên miễn nghĩa vụ chỉ vì đó là công việc sửa lỗi. Nếu dữ liệu được cung cấp cho bên ở nước ngoài hoặc xử lý trên nền tảng ngoài Việt Nam, cần đối chiếu Điều 20 Luật Bảo vệ dữ liệu cá nhân về chuyển xuyên biên giới và các trường hợp không phải đánh giá tác động. Phê duyệt kỹ thuật, hợp đồng và nghĩa vụ hồ sơ là những việc phải kiểm tra cùng nhau. Căn cứ: Điều 18, Điều 20 Luật số 91/2025/QH15 và Điều 17 Nghị định 356/2025/NĐ-CP.

Xác định người hỗ trợ thực sự nhìn thấy và nhận được gì

Một yêu cầu “kiểm tra lỗi đơn hàng” có thể được thực hiện theo nhiều cách. Kỹ thuật viên hướng dẫn nhân viên trong nước thao tác trên dữ liệu giả lập; được chia sẻ màn hình có tên và số điện thoại khách hàng; đăng nhập vào tài khoản quản trị; hoặc nhận bản xuất cơ sở dữ liệu. Mỗi cách tạo phạm vi tiếp cận và bản dữ liệu khác nhau.

Doanh nghiệp nên yêu cầu đơn vị hỗ trợ mô tả phương án trước khi mở quyền. Nếu chỉ cần biết mã lỗi, phiên bản ứng dụng và cấu hình hệ thống, hãy kiểm tra khả năng dùng các thông tin đó thay cho toàn bộ hồ sơ khách hàng. Khi cần dữ liệu thật, phải xác định vì sao cần, trường dữ liệu nào liên quan và ai duyệt phạm vi sử dụng.

Khoản 2 Điều 18 Luật điều chỉnh cả việc truy cập, truy xuất và kết nối dữ liệu cá nhân. Khoản 1 Điều 20 không chỉ đề cập việc chuyển máy chủ mà còn có trường hợp chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài. Từ các quy định này, doanh nghiệp cần xem xét luồng hiển thị hoặc cung cấp dữ liệu trong phiên hỗ trợ, thay vì chỉ kiểm tra nơi đặt cơ sở dữ liệu chính.

Nếu kỹ thuật viên chỉ nhận thông tin không phải dữ liệu cá nhân, kết luận sẽ khác với trường hợp họ nhìn được hồ sơ có thể nhận diện khách hàng. Tuy nhiên, che tên chưa chắc đủ: mã đơn, số điện thoại rút gọn, địa chỉ, nội dung trao đổi hoặc khả năng liên kết với hệ thống khác vẫn có thể giúp xác định một người. Cần kiểm tra theo khoản 1 và khoản 11 Điều 2 Luật trước khi gọi dữ liệu là đã khử nhận dạng.

Kiểm tra căn cứ và thỏa thuận trước khi cấp quyền

Doanh nghiệp cần xác định công việc sửa lỗi có nằm trong mục đích và căn cứ xử lý đang áp dụng hay không. Nếu dựa vào sự đồng ý, phải đáp ứng Điều 9 Luật; nếu thuộc trường hợp không cần sự đồng ý thì đối chiếu đúng Điều 19 và cơ chế giám sát tương ứng. Việc khách hàng đã mua hàng không tự cho phép nhà cung cấp kỹ thuật sử dụng dữ liệu cho mọi mục đích, chẳng hạn đào tạo sản phẩm hoặc phân tích phục vụ riêng nhà cung cấp.

Vai trò của đơn vị hỗ trợ phải được xác định theo Điều 2 Luật. Khi bên đó xử lý dữ liệu theo yêu cầu của doanh nghiệp thông qua hợp đồng, cần đối chiếu trách nhiệm của bên xử lý. Khoản 2 Điều 37 yêu cầu có thỏa thuận, hợp đồng trước khi tiếp nhận dữ liệu và thực hiện đúng phạm vi đã ký. Thỏa thuận bảo mật thông tin đơn thuần có thể chưa làm rõ được phạm vi xử lý, bên nhận tiếp theo và nghĩa vụ hỗ trợ thực hiện quyền.

Nên kiểm tra hợp đồng có bao phủ pháp nhân đang cử kỹ thuật viên hay chỉ ghi tên đại lý bán phần mềm. Nếu đội hỗ trợ chuyển yêu cầu cho công ty liên kết hoặc nhà thầu phụ, cần biết bên nào nhận dữ liệu, làm công việc gì và chịu ràng buộc nào. Bài hợp đồng xử lý dữ liệu cá nhân cần có điều khoản nào giúp rà các nội dung liên quan.

Với hoạt động trên điện toán đám mây, Điều 12 Nghị định 356 còn đặt yêu cầu về luồng xử lý, vai trò, biện pháp bảo mật và trách nhiệm trong hợp đồng. Khoản 4 yêu cầu mã hóa dữ liệu ở trạng thái nghỉ và truyền, kèm phân quyền truy cập nghiêm ngặt. Chỉ ký DPA, tức thỏa thuận xử lý dữ liệu, chưa chứng minh cấu hình và cách cấp quyền đã đáp ứng các yêu cầu đó.

Tình huống hỗ trợ kỹ thuật từ xa và cách xử lý

Tình huống giả định: Công ty A tại Việt Nam gặp lỗi hiển thị trạng thái đơn hàng. Nhà cung cấp B đề nghị cho một kỹ thuật viên đang ở Singapore truy cập từ xa trong 30 phút. Hệ thống của A chứa tên, số điện thoại và lịch sử mua hàng; máy chủ chính đặt tại Việt Nam. B chưa giải thích liệu công cụ hỗ trợ có ghi hình hoặc lưu tệp gửi kèm hay không.

Trong tình huống này, thời lượng 30 phút chỉ là kế hoạch công việc, không phải ngưỡng miễn nghĩa vụ pháp lý. A cần làm rõ quyền và các luồng phụ trước khi chấp thuận. Bảng sau minh họa phiếu kiểm soát phiên hỗ trợ; nội dung là phương án thực hành, không phải biểu mẫu nhà nước.

Trước phiên hỗ trợ, IT thử tái hiện lỗi trên môi trường phù hợp và xác minh công cụ kết nối. Pháp chế hoặc đầu mối bảo vệ dữ liệu kiểm tra căn cứ, hợp đồng và nghĩa vụ chuyển. Người có thẩm quyền chỉ duyệt phạm vi đã làm rõ. Nếu chưa biết công cụ ghi hình ở đâu, có thể yêu cầu giải thích, điều chỉnh cấu hình hoặc chọn phương án hỗ trợ khác trước khi để dữ liệu thật xuất hiện.

Trong phiên hỗ trợ, IT đối chiếu hoạt động thực tế với phạm vi đã duyệt. Nếu B cần tải bản xuất để phân tích, đây là thay đổi cần đánh giá thêm, dù phiên ban đầu chỉ cho phép xem. Người điều phối ghi nhận dữ liệu nào được chuyển, bên nhận, nơi nhận và điều kiện xử lý; không để quyền quản trị rộng trở thành chấp thuận mặc nhiên cho mọi thao tác.

Sau phiên hỗ trợ, A kiểm tra quyền đã được thu hồi và lập danh sách bản phát sinh. Đóng yêu cầu trên hệ thống hỗ trợ chưa chứng minh tệp đính kèm, bản ghi màn hình hoặc bản tải về đã được xóa. Việc giữ hoặc xóa phải có căn cứ, thời hạn và người thực hiện; nếu còn đầu việc, cần giao người theo dõi đến khi có chứng cứ hoàn tất.

Nhật ký cần chứng minh được điều gì

Nhật ký nên đủ để xác định ai truy cập, theo yêu cầu nào, vào lúc nào, dùng quyền gì và đã thực hiện thao tác nào có liên quan. Doanh nghiệp có thể liên kết mã yêu cầu hỗ trợ với phê duyệt, tài khoản, lịch sử đăng nhập, lần xuất tệp và biên bản khóa quyền. Cách lưu cụ thể phụ thuộc hệ thống, nhưng cần tránh tình trạng chỉ còn một email “đã sửa xong”.

Không cần ghi lại toàn bộ màn hình hoặc nội dung khách hàng trong mọi phiên chỉ để có bằng chứng. Việc ghi hình cũng tạo dữ liệu cần được quản lý. Nên chọn mức ghi nhận phù hợp với rủi ro và mục đích kiểm tra, hạn chế người xem nhật ký và xác định thời gian lưu. Đây là cách tổ chức thực hiện nguyên tắc tại Điều 3 và trách nhiệm bảo vệ dữ liệu tại Điều 37 Luật, không phải một mẫu nhật ký bắt buộc chung cho mọi doanh nghiệp.

Nếu phát hiện tải dữ liệu ngoài phạm vi, doanh nghiệp cần kiểm soát truy cập, bảo toàn chứng cứ phù hợp, xác định dữ liệu và bên nhận, đồng thời yêu cầu phối hợp xử lý. Nghĩa vụ thông báo vi phạm phải đối chiếu riêng với Điều 23 Luật. Khoản 1 quy định mốc chậm nhất 72 giờ từ khi phát hiện đối với các chủ thể và trường hợp có thể gây tổn hại hoặc xâm phạm những lợi ích được điều luật liệt kê; bên xử lý phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Không chờ kết thúc toàn bộ điều tra mới bắt đầu đánh giá nghĩa vụ thông báo.

Hồ sơ chuyển dữ liệu có phải làm cho từng lần hỗ trợ không

Trước hết cần đối chiếu khoản 1 và khoản 6 Điều 20 Luật, Điều 17 Nghị định 356. Không có ngoại lệ chung chỉ vì phiên hỗ trợ ngắn, không tải tệp hoặc được gọi là “bảo trì nội bộ”. Ngoại lệ về lưu dữ liệu người lao động của chính tổ chức trên cloud không tự áp dụng cho dữ liệu khách hàng đang được đội kỹ thuật nước ngoài tiếp cận.

Nếu thuộc diện phải lập hồ sơ chuyển, khoản 2 Điều 20 Luật quy định gửi trong 60 ngày kể từ ngày đầu tiên chuyển. Khoản 3 quy định đánh giá một lần cho suốt thời gian hoạt động và cập nhật theo Điều 22. Vì vậy, không tự lập một hồ sơ ban đầu mới cho từng yêu cầu hỗ trợ, nhưng phải kiểm tra luồng hỗ trợ thực tế đã được mô tả trong hồ sơ hay chưa. Có thể xem thêm phạm vi hồ sơ chuyển dữ liệu cá nhân ra nước ngoài.

Báo cáo theo Mẫu số 09 và các tài liệu tại Điều 18 Nghị định 356 cần phản ánh bên nhận, luồng, hệ thống, việc chuyển tiếp và biện pháp bảo vệ. Khi thay nhà thầu, thêm công cụ ghi hình hoặc cho phép tải dữ liệu, cần rà thay đổi với hồ sơ hiện có và mốc cập nhật tại Điều 22 Luật, Điều 20 Nghị định 356. Cơ chế áp dụng cho doanh nghiệp nhỏ, khởi nghiệp hoặc siêu nhỏ phải được xét đúng điều kiện tại Điều 38 Luật và Điều 41 Nghị định; không suy ra miễn hồ sơ chuyển chỉ từ số nhân viên.

Với doanh nghiệp sử dụng CRM, nên đối chiếu luồng hỗ trợ cùng luồng vận hành trong bài dùng CRM nước ngoài cần tuân thủ quy định nào. Việc nhà cung cấp đã có tên trong hợp đồng chưa xác nhận mọi công cụ của đội hỗ trợ nằm trong phạm vi đã rà soát.

Mốc cần kiểm tra khi thực hiện hồ sơ: Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026, sửa một số quy định về tiếp nhận, đánh giá và cập nhật hồ sơ; khoản 3 Điều 49 có quy định chuyển tiếp. Tại ngày kiểm tra 25/10/2026, chưa áp dụng sớm cơ chế mới. Cần đối chiếu ngày tiếp nhận và quy định tương ứng nếu thực hiện qua mốc hiệu lực.

Câu hỏi thường gặp

Kỹ thuật viên chỉ xem màn hình, không tải tệp, có cần kiểm tra không

Có. Cần biết màn hình có hiển thị dữ liệu cá nhân cho người ở nước ngoài hay không và công cụ có tạo bản ghi hoặc dữ liệu khác không. Quyền chỉ xem làm giới hạn thao tác nhưng chưa đủ kết luận không phát sinh hoạt động xử lý hoặc chuyển dữ liệu.

Có thể dùng chung tài khoản quản trị để hỗ trợ nhanh không

Doanh nghiệp nên tránh cách làm khiến không xác định được người thực hiện. Cần có cơ chế cấp quyền, xác thực, theo dõi và thu hồi phù hợp. Với cloud, khoản 4 Điều 12 Nghị định 356 yêu cầu phân quyền truy cập nghiêm ngặt; cấu hình cụ thể phải được IT kiểm tra theo hệ thống.

Hệ thống đang lỗi nghiêm trọng thì được bỏ qua căn cứ và hợp đồng không

Không tự động. Cần phân biệt yêu cầu sửa lỗi gấp với trường hợp pháp luật cho phép xử lý không cần đồng ý hoặc không phải đánh giá tác động chuyển. Nếu viện dẫn ngoại lệ tại Điều 19 Luật hoặc điểm c khoản 3 Điều 17 Nghị định 356, phải chứng minh đúng điều kiện, phạm vi cần thiết và trách nhiệm tương ứng.

Phiên hỗ trợ đã kết thúc thì có thể xóa toàn bộ nhật ký ngay không

Cần xét mục đích lưu, yêu cầu bảo vệ dữ liệu, hợp đồng và nghĩa vụ pháp luật liên quan. Không mặc định giữ mọi nhật ký vô thời hạn, nhưng cũng không xóa chứng cứ đang cần để xử lý sự cố hoặc thực hiện nghĩa vụ hợp lệ. Dữ liệu khách hàng xuất hiện trong nhật ký vẫn cần được bảo vệ.

Chuẩn bị thông tin để Justix rà soát luồng hỗ trợ

Doanh nghiệp có thể chuẩn bị mẫu yêu cầu hỗ trợ, danh sách đơn vị tham gia, quyền được cấp, công cụ kết nối, hợp đồng và hồ sơ đã có. Qua dịch vụ hồ sơ chuyển dữ liệu cá nhân xuyên biên giới, Justix hỗ trợ làm rõ nghĩa vụ, ngoại lệ và tài liệu cần hoàn thiện trong phạm vi thỏa thuận. IT và nhà cung cấp cần xác nhận cấu hình, luồng và chứng cứ kỹ thuật. Gửi mô tả đã lược bỏ dữ liệu cá nhân thật qua trang liên hệ Justix để trao đổi phạm vi công việc.