Doanh nghiệp dùng dữ liệu khách hàng do đại lý cung cấp: cần kiểm tra gì?

Doanh nghiệp dùng dữ liệu khách hàng do đại lý cung cấp: cần kiểm tra gì?

Danh sách do đại lý gửi cần được kiểm tra cả nguồn thu thập, quyền chuyển giao và mục đích doanh nghiệp sẽ sử dụng. Phiếu thẩm tra giúp xác định dữ liệu nào được tiếp nhận, phần nào phải bổ sung căn cứ trước khi nhập hệ thống.

Doanh nghiệp dùng dữ liệu khách hàng do đại lý cung cấp cần xác minh đại lý đã thu thông tin trong hoàn cảnh nào, khách đã biết và chấp thuận việc gì, doanh nghiệp nhận để làm công việc nào. Hợp đồng đại lý hoặc cam kết “dữ liệu hợp pháp” chưa tự chứng minh các điều kiện đó. Nếu dựa vào sự đồng ý, phải đối chiếu được người đồng ý, thời điểm, nội dung và phạm vi chuyển cho bên nhận. Trường hợp xử lý không cần đồng ý phải có căn cứ riêng theo pháp luật; quan hệ hợp tác kinh doanh không tự tạo một ngoại lệ. Việc kiểm tra nên hoàn tất trước khi nhập danh sách vào CRM, phân cho nhân viên liên hệ hoặc đưa sang chiến dịch quảng cáo.

Trước hết cần xác định đại lý đang thu dữ liệu cho ai

Tên gọi “đại lý” có thể được dùng cho nhiều cách hợp tác: tiếp nhận yêu cầu theo biểu mẫu của doanh nghiệp, tự bán hàng rồi chuyển thông tin để giao sản phẩm, hoặc giới thiệu người có nhu cầu. Với mỗi cách, phải kiểm tra bên quyết định mục đích, phương tiện và bên thực hiện xử lý. Khoản 7–9 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 xác định vai trò từ các yếu tố này, không chỉ từ tên hợp đồng.

Nếu đại lý chỉ tiếp nhận theo chỉ dẫn, cần xem phạm vi công việc được giao và thỏa thuận xử lý. Nếu đại lý tự xây dựng cơ sở khách hàng, doanh nghiệp phải xác minh căn cứ để họ chuyển dữ liệu và để mình sử dụng tiếp. Nếu doanh nghiệp nhận rồi tự quyết định cách chăm sóc, phân nhóm và trực tiếp vận hành, cần đánh giá vai trò tương ứng với các hoạt động đó. Có thể đối chiếu bài phân biệt bên kiểm soát và bên xử lý dữ liệu cá nhân trước khi lập thỏa thuận.

Quan hệ đại lý không có nghĩa mọi khách trong sổ của đại lý đều là khách đã cho phép doanh nghiệp sử dụng thông tin. Cũng không thể coi việc chuyển giữa hai doanh nghiệp độc lập là chia sẻ giữa các bộ phận trong một tổ chức theo điểm b khoản 1 Điều 17. Cần xác định đúng từng luồng giao nhận.

Kiểm tra cả căn cứ thu thập và căn cứ sử dụng tiếp

Khoản 1 Điều 11 Luật 91 yêu cầu có sự đồng ý trước khi thu thập, trừ trường hợp pháp luật quy định khác. Khoản 2 Điều 3 yêu cầu xử lý đúng phạm vi, mục đích cụ thể, rõ ràng và phù hợp pháp luật. Vì vậy, doanh nghiệp không nên chỉ hỏi đại lý “đã có đồng ý chưa”, mà cần hỏi khách đã được cung cấp thông tin nào và đồng ý cho công việc gì.

Một phiếu yêu cầu giao hàng có thể liên quan việc chuyển tên, số liên hệ, địa chỉ để hoàn tất đơn hàng. Phiếu đó chưa tự bao phủ việc đưa lịch sử mua vào phân tích hành vi hoặc gọi quảng cáo sản phẩm khác. Điểm d khoản 1 Điều 19 về thực hiện thỏa thuận của chủ thể dữ liệu phải được đối chiếu với thỏa thuận thực sự của khách, không phải chỉ hợp đồng giữa doanh nghiệp và đại lý. Khi áp dụng Điều 19, cơ chế giám sát tại khoản 2 vẫn phải được thiết lập.

Với người tiêu dùng, cần kiểm tra thêm khoản 2–3 Điều 15 và Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng. Việc thuê, ủy quyền bên thứ ba xử lý thông tin có yêu cầu về sự đồng ý và văn bản xác định phạm vi, trách nhiệm. Chia sẻ, tiết lộ, chuyển giao cũng thuộc việc sử dụng thông tin; ngoại lệ để cung cấp hàng hóa theo yêu cầu chỉ giới hạn trong phạm vi thông tin khách đã đồng ý. Không lấy ngoại lệ của một nghĩa vụ để miễn toàn bộ các nghĩa vụ còn lại.

Doanh nghiệp cần đại lý cung cấp bằng chứng gì?

Nếu căn cứ là sự đồng ý, khoản 1–2 Điều 6 Nghị định 356/2025/NĐ-CP yêu cầu kiểm chứng được chủ thể, thời điểm, nội dung đồng ý và lưu bằng chứng; trách nhiệm chứng minh thuộc bên kiểm soát hoặc bên kiểm soát và xử lý. Một tệp chỉ có cột “đã đồng ý” khó cho biết khách đã chọn mục đích nào, ở phiên bản biểu mẫu nào.

Doanh nghiệp nên yêu cầu bản biểu mẫu hoặc kịch bản áp dụng tại thời điểm thu, mô tả cách hiển thị, bản ghi lựa chọn theo từng mục đích và thông tin nối bản ghi với khách tương ứng. Với cuộc gọi, cần xác định đoạn thể hiện nội dung đã cung cấp và sự chấp thuận; với biểu mẫu điện tử, cần giữ phiên bản nội dung cùng bản ghi sự kiện. Đây là cách tổ chức chứng cứ được đề xuất, không phải yêu cầu mọi hồ sơ đều phải có cùng một bộ dữ liệu kỹ thuật.

Việc thẩm tra không nên làm phát sinh một kho sao chép không cần thiết. Có thể kiểm tra bằng quyền truy cập giới hạn, bản đã che phần không liên quan hoặc mẫu hồ sơ phù hợp; vẫn phải bảo đảm tra được bằng chứng cho những người thực sự được đưa vào sử dụng. Kiểm tra mẫu không thay điều kiện hợp pháp của toàn bộ danh sách.

 

Phiếu thẩm tra nguồn dữ liệu đại lý

Phiếu là công cụ nội bộ do Justix biên soạn, có cột minh họa theo một lô giả định. Khi sử dụng, ghi thêm mã lô, đại lý, người tiếp nhận, ngày kiểm tra và người phê duyệt.

Hạng mục	Câu hỏi cần trả lời	Tài liệu đối chiếu	Minh họa ghi nhận	Kết quả hoặc việc còn phải làm
Nguồn và hoàn cảnh thu	Thu từ khách nào, khi nào, qua kênh nào? Có nhận tiếp từ bên khác không?	Phiếu đăng ký, biểu mẫu, nhật ký nguồn	Đại lý A nhận yêu cầu bảo hành thiết bị trong tháng 9	Giữ mã yêu cầu để nối với từng dòng dữ liệu
Vai trò từng bên	Ai quyết định mục đích, ai thu và ai sử dụng tiếp?	Hợp đồng, hướng dẫn, mô tả vận hành	B tiếp nhận để xử lý bảo hành theo yêu cầu khách	Xác nhận phạm vi B được quyết định và thực hiện
Căn cứ thu, cung cấp, chuyển	Căn cứ nào áp dụng cho từng hoạt động? Nếu đồng ý, đã nêu B và mục đích tương ứng chưa?	Thỏa thuận với khách, nội dung đồng ý, quy định áp dụng	Biểu mẫu ghi chuyển cho B để xử lý yêu cầu; chưa có nội dung quảng cáo	Chỉ xem xét luồng bảo hành; chưa đưa vào quảng cáo
Bằng chứng theo người	Tra được ai, lúc nào, đã chọn nội dung gì không?	Phiên bản biểu mẫu và bản ghi gắn mã yêu cầu	5 dòng thiếu thông tin nối với bằng chứng	Giữ ngoài danh sách vận hành, đề nghị làm rõ
Dữ liệu và giới hạn	Những trường nào thực sự phục vụ công việc của B?	Danh mục trường, yêu cầu nghiệp vụ	Có tên, liên hệ, mã máy; kèm cả ghi chú cá nhân không liên quan	Loại phần không cần cho bảo hành khỏi luồng nhận
Điều kiện giao nhận	Có thỏa thuận cần thiết, bảo vệ, người nhận và thời hạn không?	Thỏa thuận dữ liệu, phân quyền, cách chuyển	Chưa chốt tài khoản nhận và cách xử lý khi khách yêu cầu	Hoàn thiện trước khi mở quyền hoặc nhận lô
Phê duyệt sử dụng	Lô nào, người nào được dùng cho mục đích nào? Ai theo dõi thay đổi?	Kết luận thẩm tra, danh sách được duyệt	Chỉ các hồ sơ đủ căn cứ được phân cho tổ bảo hành	Ghi người phê duyệt, phần loại trừ và thời điểm xem xét lại

 

 

Hợp đồng với đại lý cần gắn với kết quả thẩm tra

Đối với chuyển giao thuộc điểm a, c, d khoản 1 Điều 17 Luật, khoản 1 Điều 7 Nghị định 356 yêu cầu thỏa thuận nêu mục đích, chủ thể và loại dữ liệu, thời hạn xử lý, việc xóa hoặc hủy sau khi hoàn thành, cơ sở pháp lý, trách nhiệm bảo vệ, thực hiện quyền và phối hợp khi có vi phạm. Có thể bổ sung vào hợp đồng đại lý hoặc phụ lục phù hợp; tên văn bản không thay các nội dung phải làm rõ.

Thỏa thuận nên quy định thêm cách bàn giao bằng chứng, xử lý dòng dữ liệu thiếu căn cứ, thông báo khi có yêu cầu của khách và xác nhận hoàn tất công việc. Điều khoản bồi thường giữa hai bên không cho phép doanh nghiệp tiếp tục sử dụng một danh sách chưa đủ điều kiện. Bài hợp đồng xử lý dữ liệu cá nhân cần có những điều khoản nào giúp rà soát phần trách nhiệm trong giao dịch.

Phải phân biệt chuyển giao với cung cấp theo từng yêu cầu cụ thể của chủ thể. Khoản 6 Điều 7 Nghị định 356 quy định hoạt động cung cấp theo khoản 2 Điều 15 Luật, dựa trên từng yêu cầu cụ thể của chủ thể, không được coi là chuyển giao và không phải thực hiện Điều 7. Muốn áp dụng, phải có dữ kiện đúng trường hợp đó; không đổi tên một danh sách tiếp thị hàng loạt thành “cung cấp theo yêu cầu”. Các nghĩa vụ bảo vệ và căn cứ sử dụng tương ứng vẫn cần được đối chiếu.

Nếu có thu phí trong trường hợp tại khoản 3 Điều 7, còn phải kiểm tra cơ chế đồng ý rõ theo từng lần, đúng mục đích, giới hạn dữ liệu và thỏa thuận trước chuyển. Khoản 2 Điều 17 Luật không coi chuyển giao đúng khoản 1 là mua, bán dù có thu phí; quy định này không hợp pháp hóa việc mua danh sách không rõ nguồn. Khoản 6 Điều 7 Luật vẫn nghiêm cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật quy định khác.

Ví dụ: danh sách bảo hành bị đưa sang bộ phận bán hàng

Tình huống giả định: Đại lý A gửi cho nhà cung cấp B danh sách khách yêu cầu bảo hành, kèm bằng chứng họ đã đề nghị B giải quyết và tài liệu phù hợp. Bộ phận bán hàng B muốn dùng ngay danh sách đó để giới thiệu gói nâng cấp. Một số dòng chưa tra được bằng chứng gắn với người yêu cầu.

B cần tách hai công việc. Tổ bảo hành chỉ nhận phần dữ liệu cần thiết của những hồ sơ đã được xác minh đủ điều kiện. Các dòng thiếu bằng chứng phải được làm rõ qua đầu mối có căn cứ liên hệ phù hợp; không tự đưa sang một chiến dịch “gọi lại để xin đồng ý” hàng loạt. Nếu dữ liệu đã được gửi trước khi kiểm tra, cần giới hạn người truy cập, xác minh và quyết định cách xử lý phần không được phép tiếp tục giữ, thay vì sao chép thêm để kiểm tra.

Đối với gói nâng cấp, phải kiểm tra căn cứ quảng cáo, mục đích và lựa chọn của khách. Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng đặt điều kiện khi đổi mục đích, phạm vi và dùng thông tin quảng cáo. Nếu gửi thư điện tử, tin nhắn hoặc gọi quảng cáo, còn phải tuân thủ khoản 2, 4–5 Điều 11 và Điều 13 Nghị định 91/2020/NĐ-CP. Không dùng quyền liên hệ bảo hành để suy ra đồng ý nhận quảng cáo.

Đầu ra của việc rà soát nên gồm kết luận cho từng mục đích, danh sách đủ điều kiện đưa vào công việc, phần cần bổ sung hoặc loại khỏi luồng, thỏa thuận đã hoàn thiện và xác nhận quyền truy cập. Các đầu ra này giúp người vận hành biết được sử dụng dữ liệu đến đâu.

Phân công trước lần nhận dữ liệu tiếp theo

Bộ phận quản lý đại lý cần thu tài liệu nguồn và ghi nhận thay đổi biểu mẫu, kênh thu. Người phụ trách pháp lý đối chiếu vai trò, căn cứ và điều kiện chuyển; khi cần, yêu cầu làm rõ từ đại lý trước khi kết luận. Bộ phận IT hoặc vận hành CRM cấu hình việc nhập, phân quyền và giới hạn mục đích theo kết quả được duyệt.

Người phụ trách nghiệp vụ xác nhận danh sách được nhận và công việc được làm, đồng thời chuyển yêu cầu của khách đến đúng đầu mối. Doanh nghiệp nên kiểm tra lại khi đại lý thay cách thu, bổ sung trường dữ liệu hoặc đề xuất dùng sang mục đích khác. Đây là trình tự quản trị được đề xuất để thực hiện nghĩa vụ, không phải một thủ tục cấp phép riêng cho từng lô dữ liệu.

Câu hỏi thường gặp

Đại lý cam kết chịu mọi trách nhiệm thì doanh nghiệp có được dùng ngay không?

Chưa đủ. Doanh nghiệp nhận và xử lý vẫn có trách nhiệm theo vai trò tại Điều 37 Luật 91. Cam kết có thể phân bổ nghĩa vụ, trách nhiệm giữa các bên, nhưng cần có dữ kiện chứng minh căn cứ và phạm vi sử dụng thực tế.

Chỉ nhận số điện thoại, không nhận tên thì có cần kiểm tra không?

Có, nếu thông tin xác định hoặc giúp xác định một người theo khoản 1 Điều 2 Luật. Một trường dữ liệu đơn lẻ không tự mất tính chất dữ liệu cá nhân vì không kèm họ tên. Cần xác định nguồn, mục đích và cách dùng như đối với các dữ liệu liên quan khác.

Khách trực tiếp yêu cầu đại lý gửi thông tin sang doanh nghiệp thì sao?

Cần lưu được yêu cầu cụ thể và xác định việc gửi đúng phạm vi yêu cầu. Nếu đủ điều kiện khoản 6 Điều 7 Nghị định 356, áp dụng cách phân loại tương ứng; doanh nghiệp vẫn phải xử lý đúng công việc được phép, không tự mở rộng sang quảng cáo hoặc chuyển tiếp khác.

Justix hỗ trợ rà soát quan hệ dữ liệu với đại lý

Doanh nghiệp có thể chuẩn bị hợp đồng đại lý, biểu mẫu đang thu, mô tả nguồn và luồng dữ liệu, cách lưu bằng chứng để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ xác định vai trò và nội dung thỏa thuận phù hợp với hoạt động được khảo sát. Liên hệ 0372 717 888 hoặc info@justix.vn; trước hết cung cấp mô tả và tài liệu đã loại thông tin cá nhân không cần thiết.