Khách hàng yêu cầu cung cấp dữ liệu: trả lời và xác thực thế nào?

Khách hàng yêu cầu cung cấp dữ liệu: trả lời và xác thực thế nào?

Yêu cầu nhận dữ liệu cần được kiểm tra cả người gửi, phạm vi hồ sơ và nơi nhận. Bảng kiểm xác thực và mẫu biên bản dưới đây giúp doanh nghiệp chuẩn bị gói dữ liệu, tránh gửi kèm thông tin của người khác và lưu bằng chứng giao nhận.

Doanh nghiệp cần tiếp nhận yêu cầu, xác minh phù hợp, xác định dữ liệu thuộc về người yêu cầu và kiểm tra điều kiện cung cấp trước khi gửi. Việc khách biết số hợp đồng hoặc gửi từ một địa chỉ email chưa đủ để mặc định được nhận toàn bộ hồ sơ. Bên kiểm soát, bên kiểm soát và xử lý có trách nhiệm cung cấp cho chủ thể theo yêu cầu phù hợp pháp luật, thỏa thuận và ngoại lệ tại điểm a khoản 2 Điều 15 Luật Bảo vệ dữ liệu cá nhân. Đối với yêu cầu theo đúng thủ tục, khoản 3 Điều 5 Nghị định 356/2025/NĐ-CP quy định phản hồi trong 2 ngày làm việc và thực hiện trong 10 ngày, kèm điều kiện gia hạn được nêu dưới đây.

Xác định khách muốn nhận dữ liệu nào

Quyền yêu cầu cung cấp dữ liệu được ghi nhận tại điểm d khoản 1 Điều 4 Luật. Người yêu cầu có thể muốn nhận thông tin đăng ký, lịch sử giao dịch hoặc dữ liệu liên quan đến việc sử dụng dịch vụ. Doanh nghiệp cần làm rõ phạm vi đủ để tìm và trả đúng, nhưng không biến việc mô tả thành yêu cầu khách phải biết tên bảng dữ liệu hoặc cấu trúc phần mềm nội bộ.

Nên đối chiếu người được dữ liệu phản ánh với người đang yêu cầu. Trong một đơn hàng có thể có người mua, người thanh toán, người nhận và người liên hệ hỗ trợ. Người đứng tên hợp đồng không đương nhiên có quyền nhận mọi dữ liệu về những người khác xuất hiện trong hồ sơ.

Điểm a khoản 2 Điều 15 đặt điều kiện cung cấp cho chính chủ thể dữ liệu theo yêu cầu; điểm b quy định riêng việc cung cấp cho cơ quan, tổ chức, cá nhân khác khi có sự đồng ý, trừ trường hợp pháp luật có quy định khác. Vì vậy, yêu cầu “gửi cho công ty của tôi” hoặc “gửi cho người thân” cần được làm rõ người nhận và căn cứ, không chỉ đổi địa chỉ email trong lệnh xuất tệp.

Nếu khách đồng thời muốn chỉnh sửa hoặc xóa, ghi nhận thành phần công việc riêng. Việc gửi bản sao chưa giải quyết việc sửa, và xóa dữ liệu trước khi hoàn tất một yêu cầu cung cấp liên quan có thể làm việc xử lý thêm phức tạp. Đầu mối cần rà thứ tự, phạm vi và căn cứ cho từng việc; không tự chọn một cách hiểu có lợi cho vận hành.

Xác thực người yêu cầu mà không thu thập quá mức

Khoản 2 Điều 3 và khoản 4 Điều 4 Luật yêu cầu xử lý đúng phạm vi, mục đích và tạo thuận lợi cho việc thực hiện quyền. Doanh nghiệp cần bảo vệ hồ sơ khỏi người mạo danh, đồng thời tránh yêu cầu giấy tờ vượt nhu cầu chỉ vì mẫu nội bộ có sẵn trường đó.

Có thể bắt đầu từ kênh đã được xác thực, thông tin tài khoản hoặc dữ kiện giao dịch đang có. Tuy nhiên, cần xem dấu hiệu bất thường: khách vừa đổi email, không còn dùng số đăng ký, tài khoản có cảnh báo truy cập lạ hoặc yêu cầu chuyển hồ sơ sang nơi khác. Một phương thức phù hợp với việc xác nhận địa chỉ giao hàng chưa chắc đủ cho gói dữ liệu nhạy cảm hoặc lịch sử giao dịch chi tiết.

Nếu cần bổ sung, nêu rõ thông tin cần thiết, mục đích và kênh cung cấp an toàn. Không yêu cầu khách đọc mật khẩu hoặc gửi mã dùng để đăng nhập tài khoản cho nhân viên. Việc xác nhận qua cơ chế của ứng dụng phải được thực hiện trên kênh chính thức và theo cách không làm lộ bí mật xác thực.

Ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân thuộc nhóm dữ liệu nhạy cảm tại điểm i khoản 1 Điều 4 Nghị định 356. Vì vậy, không mặc định thu thêm ảnh giấy tờ cho mọi yêu cầu. Nếu cần xử lý loại dữ liệu này trên căn cứ phù hợp, phải tổ chức giới hạn truy cập, quy trình và bảo mật theo khoản 2 Điều 4; cần xác định thời gian giữ bằng chứng phù hợp thay vì lưu vô hạn.

Đối với người đại diện, phải kiểm tra tư cách và phạm vi được thực hiện, bao gồm việc có được nhận dữ liệu hay chỉ gửi yêu cầu. Bản chụp giấy tờ của người có dữ liệu không tự chứng minh sự ủy quyền. Trường hợp trẻ em, người đã chết, mất tích hoặc người thuộc diện đại diện theo pháp luật cần rà quy định riêng; không dùng chung một ô “người thân” để giải quyết.

Bảng kiểm tra trước khi cung cấp dữ liệu

Bảng dưới đây là công cụ thực hành đề xuất, không phải mẫu nhà nước bắt buộc. Doanh nghiệp cần ghi kết quả và người kiểm tra cho từng dòng, đồng thời điều chỉnh theo mức độ nhạy cảm, hệ thống và cách giao nhận.

Chỉ nên chuyển sang bước giao khi các điều kiện cần thiết đã được giải quyết. Nếu một dòng còn vướng, phải xác định ảnh hưởng đến phần nào của yêu cầu và cách xử lý trong thời hạn. Không dùng bảng kiểm như lý do tự động chờ đến khi tất cả phòng ban thuận tiện mới phản hồi.

Tìm và chuẩn bị dữ liệu trên nhiều hệ thống

Người quản lý nghiệp vụ nên xác định danh mục nơi có thể giữ thông tin trong phạm vi yêu cầu: hệ thống khách hàng, đơn hàng, lịch sử hỗ trợ, tệp liên quan và bên cung cấp đang xử lý. Kỹ thuật hỗ trợ truy xuất theo tiêu chí đã xác nhận, nhưng kết luận về phần được cung cấp cần có người chịu trách nhiệm pháp lý và nghiệp vụ.

Đừng chỉ xuất trang thông tin đang nhìn thấy trên màn hình nếu phạm vi yêu cầu hợp lệ còn bao gồm dữ liệu khác doanh nghiệp xử lý. Ngược lại, cũng không xuất toàn bộ cơ sở dữ liệu rồi giao khách tự tìm phần của mình. Cách làm cần gắn với dữ liệu được yêu cầu, vai trò thực tế và giới hạn pháp luật.

Khi dữ liệu ở nhà cung cấp, doanh nghiệp cần sử dụng cơ chế phối hợp đã thỏa thuận. Điều 37 Luật quy định trách nhiệm theo vai trò, còn khoản 1 Điều 7 Nghị định 356 có nội dung thực hiện quyền trong thỏa thuận chuyển giao thuộc phạm vi điều khoản. Có thể rà thêm bài hợp đồng xử lý dữ liệu cá nhân cần có những điều khoản nào để xác định việc tìm, xuất và xác nhận kết quả.

Nếu không tìm thấy dữ liệu phù hợp, cần kiểm tra tiêu chí tra cứu và các nơi thuộc phạm vi trước khi kết luận. Phản hồi nên mô tả đúng phạm vi đã xác minh. Không nên tuyên bố “chúng tôi không có dữ liệu của khách” chỉ vì phần mềm chính không còn tài khoản, trong khi email hoặc nhà cung cấp vẫn có hồ sơ liên quan.

Xử lý hồ sơ có thông tin của nhiều người

Một chuỗi email, phiếu giao hàng hoặc bản ghi hỗ trợ có thể đồng thời chứa dữ liệu của người yêu cầu và người khác. Điểm c khoản 3 Điều 4 Luật yêu cầu việc thực hiện quyền không xâm phạm quyền, lợi ích hợp pháp của chủ thể khác. Quyền nhận dữ liệu của mình không tự cho phép nhận trọn hồ sơ chung.

Doanh nghiệp nên phân tích từng phần: dữ liệu của người yêu cầu; thông tin liên quan nhưng có thể tách; thông tin của người khác cần có căn cứ để cung cấp. Tùy trường hợp có thể trích xuất phần phù hợp, che thông tin không được giao hoặc chuẩn bị bản cung cấp riêng. Cách này là phương án thực hành, phải bảo đảm không làm sai lệch nội dung dữ liệu được trả và không che mất chính thông tin người yêu cầu có quyền tiếp cận.

Che trên bản cung cấp không đồng nghĩa chỉnh sửa hoặc xóa hồ sơ gốc. Người thực hiện cần giữ sự phân biệt giữa hai việc. Với tệp điện tử, nên kiểm tra cả trang tính ẩn, chú thích, lịch sử nhận xét, tệp đính kèm và phần có thể khôi phục sau khi che. Một hình chữ nhật phủ lên chữ chưa chứng minh dữ liệu phía dưới đã được loại khỏi bản gửi.

Không phải cứ hồ sơ có người khác là từ chối toàn bộ. Cần xem có thể tách phần được cung cấp hay không và nêu lý do cho phần không cung cấp. Ngoại lệ tại điểm a khoản 2 Điều 15 liên quan khả năng gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, tài sản của người khác phải được đối chiếu thực chất. Nhãn “hồ sơ nội bộ” không tự thay một căn cứ luật định.

Chọn phương thức trả và kiểm tra việc giao nhận

Phương thức giao cần phù hợp dữ liệu, người nhận và điều kiện đã xác minh. Có thể tổ chức nhận qua tài khoản được bảo vệ, tệp có biện pháp bảo mật hoặc giao trực tiếp theo phương án phù hợp. Đây không phải quy tắc bắt buộc mọi trường hợp dùng cùng một công nghệ.

Người gửi phải đối chiếu lại địa chỉ hoặc tài khoản nhận với kết quả xác minh, nhất là khi có thay đổi ở cuối quá trình. Không dùng chế độ trả lời tất cả cho chuỗi thư có nhiều người; không gửi vào nhóm trò chuyện chỉ vì trước đây nhóm đó từng trao đổi dịch vụ. Nếu dùng đường dẫn tải, cần xác định người được truy cập, thời gian tồn tại và cách xử lý khi giao lỗi.

Đối với dữ liệu nhạy cảm, phải thực hiện yêu cầu bảo mật phù hợp theo Điều 4 Nghị định 356. Nên có bước kiểm tra độc lập cho gói dữ liệu có nguy cơ cao hoặc nhiều thông tin của người khác. Việc kiểm tra bởi người thứ hai là khuyến nghị quản trị, không phải yêu cầu pháp luật chung buộc mọi lần cung cấp đều phải có hai chữ ký.

Kết quả cần phân biệt đã chuẩn bị, đã gửi và đã có bằng chứng giao theo phương thức áp dụng. Một email bị trả lại hoặc đường dẫn không thể truy cập cần được xử lý tiếp. Không nên đóng yêu cầu chỉ vì phần mềm ghi nhận nhân viên nhấn nút gửi.

Thời hạn phản hồi và trường hợp cần thêm thời gian

Khoản 3 Điều 5 Nghị định 356 quy định phản hồi trong 2 ngày làm việc, cung cấp thông tin thủ tục và thực hiện trong 10 ngày khi nhận yêu cầu theo đúng thủ tục. Phải ghi mốc tiếp nhận và theo dõi hai việc riêng; không bắt đầu tính 10 ngày sau khi đã dùng hết 2 ngày phản hồi.

Do tính chất, mức độ phức tạp, có thể gia hạn tối đa một lần, không quá 10 ngày, nhưng phải thông báo lý do và chứng minh cần thiết, hợp lý. Không tự có quyền kéo dài chỉ vì hồ sơ nằm ở bên cung cấp. Câu về 15 ngày trong khoản 3 nêu trường hợp cần bên xử lý, bên thứ ba chỉnh sửa, không phải mốc chung cho việc cung cấp.

Cũng không tự áp mốc 30 ngày trong khoản 4 cho yêu cầu cung cấp độc lập. Khoản 4 được đặt trong trường hợp nhận yêu cầu xóa. Hồ sơ gồm nhiều quyền cần được tách và kiểm tra căn cứ riêng. Với phần xóa, có thể đối chiếu bài xử lý yêu cầu xóa dữ liệu của khách hàng.

Nếu chưa đủ thông tin để xác minh, cần hướng dẫn kịp thời, ghi rõ vấn đề và giới hạn cung cấp để tránh lộ dữ liệu. Không coi mọi yêu cầu bổ sung của doanh nghiệp là lý do mặc nhiên dừng thời hạn hoặc đặt lại ngày nhận. Quy trình phải bảo vệ đúng người và tạo điều kiện thực hiện quyền.

Mẫu biên bản cung cấp dữ liệu cá nhân

Mẫu dưới đây dùng dữ kiện giả định để minh họa cách ghi nhận một lần cung cấp đã hoàn tất. Đây là tài liệu nội bộ đề xuất, không phải biểu mẫu nhà nước bắt buộc. Khi áp dụng phải thay bằng dữ kiện thật đã được kiểm tra; không yêu cầu khách ký từ bỏ quyền để xác nhận giao nhận.

Mã hồ sơ: CC-01. Bên cung cấp: Công ty A. Chủ thể nhận: khách hàng mã KH-01, nhận dữ liệu của chính mình. Yêu cầu được tiếp nhận qua tài khoản khách hàng và xác định đúng thủ tục ngày 02/11/2026.

Phạm vi yêu cầu: thông tin đăng ký của KH-01 và lịch sử ba yêu cầu hỗ trợ thuộc tài khoản này trong tháng 10/2026. Không có yêu cầu sửa hoặc xóa trong hồ sơ minh họa.

Kết quả xác minh: đầu mối tiếp nhận đã đối chiếu tài khoản, thông tin liên hệ đăng ký và phương thức xác nhận phù hợp; người nhận không yêu cầu đổi sang địa chỉ mới. Lưu kết quả kiểm tra trong hồ sơ, không ghi mật khẩu hoặc mã xác thực vào biên bản.

Phạm vi cung cấp: bản trích xuất thông tin đăng ký và ba yêu cầu hỗ trợ nêu trên. Bản giao đã loại thông tin liên hệ riêng của người khác xuất hiện trong một trao đổi; phần nội dung liên quan đến yêu cầu của KH-01 được giữ đúng. Căn cứ và phạm vi xử lý phần thông tin của người khác được người có thẩm quyền kiểm tra trước khi giao.

Hình thức, thời điểm và kết quả: cung cấp qua khu vực tài khoản dành riêng cho KH-01 ngày 06/11/2026; hệ thống ghi nhận việc truy cập nhận gói dữ liệu cùng ngày. Danh mục tệp và bằng chứng giao nhận được liên kết với mã CC-01.

Người chịu trách nhiệm: đầu mối quyền xác nhận phạm vi; chủ quản nghiệp vụ kiểm tra nội dung; kỹ thuật xác nhận bản giao và quyền truy cập. Người thực tế thực hiện phải được ghi nhận trong hồ sơ nội bộ.

Thông tin phản hồi: đã hoàn tất việc cung cấp trong phạm vi nêu trên; thông báo cho khách cách liên hệ nếu tệp lỗi hoặc cho rằng dữ liệu còn thiếu. Ghi nhận này không làm mất quyền yêu cầu khác theo pháp luật.

Lưu hồ sơ: giữ yêu cầu, kết quả xác minh cần thiết, danh mục dữ liệu đã giao, căn cứ xử lý phần loại khỏi bản cung cấp và bằng chứng phản hồi theo thời gian phù hợp. Không mặc định tạo thêm bản sao đầy đủ chứa dữ liệu nhạy cảm chỉ để đính vào biên bản.

Mẫu giúp người rà soát biết đã cung cấp gì, cho ai và bằng chứng nào xác nhận kết quả. Nếu thực tế mới gửi đường dẫn nhưng chưa có kết quả giao phù hợp, phải ghi đúng tình trạng thay vì sao chép câu “đã hoàn tất”. Việc ký, xác nhận hoặc ghi nhận điện tử cần được thiết kế theo phương thức giao thực tế; không mặc định mọi khách phải đến ký trực tiếp.

Câu hỏi thường gặp

Khách gửi từ email mới có phải từ chối ngay không?

Không nên tự động từ chối chỉ vì email khác. Cần hướng dẫn cách xác minh phù hợp và kiểm tra việc đổi nơi nhận. Trong thời gian chưa đủ căn cứ, không gửi hồ sơ nhạy cảm vào địa chỉ mới chỉ dựa vào nội dung người gửi tự khai.

Một người thanh toán cho cả nhóm có được nhận hồ sơ của cả nhóm không?

Việc thanh toán không tự xác lập quyền nhận dữ liệu của tất cả thành viên. Cần xác định dữ liệu của người yêu cầu và căn cứ cung cấp phần của người khác theo Điều 15, cùng quy định về đại diện nếu có. Có thể phải chuẩn bị bản riêng thay vì gửi nguyên danh sách nhóm.

Dữ liệu đã mã hóa thì có được trả lời rằng không thuộc phạm vi cung cấp không?

Không thể kết luận như vậy chỉ vì đã mã hóa. Khoản 1 Điều 12 Luật quy định dữ liệu sau mã hóa vẫn là dữ liệu cá nhân. Doanh nghiệp cần xem phạm vi yêu cầu và khả năng thực hiện hợp pháp, bảo đảm an toàn; không dùng cách lưu kỹ thuật để tự loại quyền.

Khách nhận bản sao xong thì doanh nghiệp phải xóa ngay hồ sơ gốc không?

Yêu cầu cung cấp và yêu cầu xóa là những quyền khác nhau. Việc tiếp tục lưu phải dựa vào mục đích, thời hạn và căn cứ áp dụng; không tự xóa chỉ vì đã giao bản sao, cũng không mặc nhiên được giữ vô hạn. Nếu có yêu cầu xóa, xử lý riêng theo Điều 14 Luật.

Justix hỗ trợ xây dựng quy trình cung cấp dữ liệu

Doanh nghiệp có thể chuẩn bị luồng tiếp nhận, mẫu phản hồi, danh sách hệ thống và một hồ sơ minh họa đã che thông tin thật. Trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, Justix hỗ trợ rà căn cứ, phạm vi, thủ tục xác minh và biểu mẫu theo hạng mục được thống nhất. Quy trình nên gắn với bộ tài liệu tuân thủ dữ liệu cá nhân và khả năng kỹ thuật đã được xác nhận. Có thể gửi mô tả nhu cầu qua trang liên hệ Justix.