Nguyên tắc bảo vệ dữ liệu cá nhân áp dụng thế nào?

Nguyên tắ

Doanh nghiệp phải xử lý dữ liệu cá nhân đúng pháp luật, trong phạm vi và mục đích rõ ràng; bảo đảm tính chính xác, thời gian lưu phù hợp và biện pháp bảo vệ có hiệu quả. Những yêu cầu này cần được áp dụng khi nhân viên thực hiện công việc, từ mở biểu mẫu tuyển dụng đến gửi một file ra ngoài. Một quyết định cho phép thu thập dữ liệu không đồng nghĩa cho phép mọi lần sử dụng tiếp theo. Cách triển khai cần dựa vào loại thông tin, người được tiếp cận và căn cứ của từng thao tác.

Điều 3 quy định những nguyên tắc nào?

Điều 3 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 có sáu khoản: tuân thủ pháp luật; xử lý đúng phạm vi và mục đích; bảo đảm chính xác và thời gian lưu; kết hợp biện pháp về thể chế, kỹ thuật, con người; chủ động phòng ngừa, phát hiện và xử lý vi phạm; gắn bảo vệ dữ liệu với lợi ích quốc gia và hài hòa các quyền, lợi ích hợp pháp.

Khi hướng dẫn nhân viên, doanh nghiệp có thể diễn giải thành những câu hỏi ngắn như “cần trường thông tin này để làm gì?” hoặc “người nhận có cần xem toàn bộ file không?”. Đây là cách triển khai nguyên tắc, không phải một danh sách nghĩa vụ mới thay cho điều luật. Quyền được biết tại điểm a khoản 1 Điều 4, điều kiện đồng ý tại Điều 9 và trách nhiệm của các bên tại Điều 37 cũng cần được đối chiếu khi thiết kế quy trình.

 

Yêu cầu chỉnh sửaCtrl Shift X

Bảng phân loại nguyên tắc và thao tác kiểm tra

Mỗi dòng dưới đây nối một khoản của Điều 3 với công việc cụ thể. Doanh nghiệp có thể bổ sung tên đầu mối và hệ thống đang dùng.

Nguyên tắc và căn cứ	Ví dụ thao tác	Vấn đề cần kiểm tra	Hành động gợi ý	Bằng chứng hoặc đầu ra
Tuân thủ pháp luật: Điều 3.1; đối chiếu Điều 9, 11, 19	Nhận số điện thoại để báo giá	Khách yêu cầu báo giá hay đăng ký quảng cáo; căn cứ nào cho từng mục đích	Tách liên hệ giải quyết yêu cầu với danh sách quảng cáo; lấy đồng ý khi thuộc diện áp dụng	Nội dung yêu cầu, phiên bản thông báo, lựa chọn kiểm chứng được
Đúng phạm vi, mục đích: Điều 3.2; tuyển dụng có Điều 25.1.a–b	Nhận hồ sơ ứng viên vòng đầu	Những trường nào thực sự phục vụ đánh giá vị trí	Chỉ yêu cầu thông tin cần cho giai đoạn đó; giải thích mục đích và lấy đồng ý theo quy định tuyển dụng	Biểu mẫu đã rà soát, nội dung đồng ý, danh mục người được xem
Chính xác, lưu phù hợp: Điều 3.3; Điều 13, 25.1.c	Sửa số liên hệ; kết thúc đợt tuyển dụng	Dữ liệu sai nằm ở đâu; còn căn cứ giữ hồ sơ người không được tuyển không	Xác minh, đồng bộ thông tin; xóa hồ sơ không tuyển nếu không có thỏa thuận khác	Xác nhận cập nhật; danh sách hồ sơ cần xóa, thỏa thuận lưu nếu có
Biện pháp thể chế, kỹ thuật, con người: Điều 3.4; NĐ 356: Điều 4.2 khi nhạy cảm	Gửi bảng lương và thông tin trả lương	Người nhận, trường dữ liệu, quyền tải file và kênh gửi	Tách phạm vi từng người nhận; kỹ thuật thiết lập quyền phù hợp; hướng dẫn nhân viên kiểm tra trước gửi	Bảng quyền đã duyệt, xác nhận cấp quyền, bản hướng dẫn và kết quả thử
Phòng ngừa, phát hiện, xử lý vi phạm: Điều 3.5; Điều 23	Phát hiện file hồ sơ bị chia sẻ sai người	File có gì, ai tiếp cận, đã tải chưa; nghĩa vụ thông báo theo vai trò	Báo đầu mối, hạn chế tiếp cận, giữ chứng cứ và đánh giá nghĩa vụ; không chờ họp định kỳ	Ghi nhận sự việc, biện pháp đã làm, kết quả đánh giá và thông báo khi áp dụng
Hài hòa quyền, lợi ích hợp pháp: Điều 3.6; Điều 4.3–4	Nhận yêu cầu xóa thông tin còn trong hồ sơ cần lưu hợp pháp	Phần nào phải xóa, phần nào còn căn cứ giữ; quyền người khác có liên quan không	Xem xét theo từng nhóm; giải thích căn cứ, giới hạn truy cập và tạo điều kiện thực hiện quyền	Quyết định xử lý, căn cứ giữ lại từng phần, phản hồi cho người yêu cầu

 

 

 

Nghĩa vụ trong cột đầu xuất phát từ pháp luật. Việc lập bảng quyền, dùng một phiếu kiểm tra trước gửi hoặc bố trí người duyệt là khuyến nghị tổ chức công việc; doanh nghiệp có thể chọn cách khác nếu bảo đảm yêu cầu pháp lý và kiểm soát được kết quả. Bằng chứng gợi ý phải được lưu có giới hạn, phục vụ mục đích kiểm tra; không vì muốn chứng minh tuân thủ mà tạo thêm một bản sao đầy đủ của mọi hồ sơ cá nhân.

Xin đồng ý đúng mục đích ngay ở mục nhận thông tin

Một form có thể nhận cả yêu cầu tư vấn và đăng ký nhận quảng cáo. Theo khoản 2–4 Điều 9 Luật 91/2025/QH15, sự đồng ý cần tự nguyện, dựa trên thông tin rõ ràng và thể hiện theo từng mục đích. Không thể suy ra khách chấp nhận nhận quảng cáo chỉ vì đã để số điện thoại cho một báo giá. Nếu căn cứ áp dụng là thực hiện thỏa thuận tại điểm d khoản 1 Điều 19, phải xác định nội dung thỏa thuận và hoạt động tương ứng, không mở rộng sang mọi việc doanh nghiệp muốn làm.

Khoản 1–3 Điều 6 Nghị định 356/2025/NĐ-CP yêu cầu cơ chế đồng ý có thể kiểm chứng và lưu được bằng chứng; không thiết lập mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm. Vì vậy, marketing cần phối hợp kỹ thuật để biết danh sách đang dùng chứa lựa chọn gì, có liên kết với phiên bản thông tin đã hiển thị hay không. Một cột “đồng ý” do nhân viên tự nhập sau đó chưa tự chứng minh lựa chọn của khách.

Với tuyển dụng, điểm a–b khoản 1 Điều 25 đặt ra yêu cầu riêng về thông tin phục vụ tuyển dụng và sự đồng ý của người dự tuyển. Doanh nghiệp nên rà từng trường của mẫu ứng tuyển theo vị trí và giai đoạn. Những giấy tờ phục vụ việc tiếp nhận người đã trúng tuyển không mặc nhiên cần thu từ mọi ứng viên ngay khi gửi hồ sơ. Khi đợt tuyển dụng kết thúc, điểm c khoản 1 Điều 25 yêu cầu xóa, hủy thông tin người không được tuyển, trừ trường hợp có thỏa thuận khác.

Gửi bảng lương và xuất dữ liệu cho nhà cung cấp

Ví dụ minh họa: nhân sự chuẩn bị bảng lương có họ tên, số tài khoản và các khoản khấu trừ, rồi gửi chung cho trưởng bộ phận và nhà cung cấp hỗ trợ trả lương. Trưởng bộ phận cần đối soát nhân sự trong nhóm; nhà cung cấp cần dữ liệu theo dịch vụ đã nhận. Hai người nhận không nhất thiết cần cùng một file đầy đủ.

Khoản 2, 4 Điều 3 yêu cầu kiểm soát phạm vi và biện pháp bảo vệ. Nếu file chứa dữ liệu nhạy cảm, còn phải đối chiếu khoản 2 Điều 4 Nghị định 356 về giới hạn truy cập, quy trình và bảo mật. Nhân sự nên tách phần cần cho từng người; pháp chế đối chiếu căn cứ, vai trò và thỏa thuận với nhà cung cấp theo Điều 17, Điều 37 Luật; kỹ thuật kiểm tra quyền truy cập thực tế. Không chỉ sửa lời cam kết trong hợp đồng rồi tiếp tục gửi file bằng cơ chế cũ.

Kết quả cần kiểm tra là người nhận chỉ tiếp cận phần đã xác định, có thể truy xuất căn cứ bàn giao và có đầu mối phối hợp khi phải sửa, thu hồi hoặc xóa dữ liệu. Cách phân công nêu trên là khuyến nghị. Doanh nghiệp lựa chọn người chịu trách nhiệm theo cơ cấu của mình; việc thuê nhà cung cấp không tự loại trừ trách nhiệm gắn với vai trò kiểm soát dữ liệu.

Sửa dữ liệu sai và xử lý sự việc phát sinh

Khoản 3 Điều 3 yêu cầu dữ liệu chính xác, được chỉnh sửa, cập nhật khi cần. Nếu một người đã xác nhận thay số liên hệ, chỉ sửa trên màn hình chăm sóc khách hàng có thể chưa đủ khi file xuất hoặc hệ thống khác vẫn dùng số cũ. Theo Điều 13, cần xác định nội dung sửa và phối hợp với bên xử lý, bên thứ ba theo trường hợp; nên lưu xác nhận để biết việc cập nhật đã hoàn tất ở đâu.

Thời gian lưu cũng phải có lý do phù hợp. Không áp một con số chung cho hồ sơ ứng viên, chứng từ trả lương và dữ liệu phục vụ tiếp thị. Với từng nhóm, người quản lý hồ sơ cần xác định mục đích còn lại, quy định chuyên ngành hoặc thỏa thuận hợp pháp; hết căn cứ thì tổ chức xử lý phù hợp. Doanh nghiệp có thể tham khảo thêm bài hồ sơ ứng viên và nhân viên nghỉ việc được phép lưu bao lâu để phân biệt các nhóm thường gặp.

Nếu phát hiện gửi nhầm hồ sơ hoặc để lộ quyền tải dữ liệu, cần báo ngay đầu mối được giao, hạn chế tiếp cận và giữ thông tin phục vụ xác minh. Điều 23 Luật 91/2025/QH15 quy định trách nhiệm thông báo theo vai trò và điều kiện; không nên coi mọi sự việc đều có cùng một người thông báo hoặc dùng một thời hạn chung cho tất cả. Quy trình nội bộ phải giúp đầu mối đánh giá kịp thời những điều kiện đó, thay vì đợi đủ hồ sơ mới bắt đầu xử lý.

Kiểm tra quy trình bằng một công việc cụ thể trên thực tế

Người phụ trách có thể chọn một biểu mẫu hoặc một lần giao dữ liệu để kiểm tra từ đầu đến cuối. Đầu mối nghiệp vụ giải thích mục đích và trường thông tin; pháp chế xác định căn cứ và ngoại lệ; kỹ thuật chứng minh cấu hình, quyền truy cập, việc lưu lựa chọn hoặc kết quả xóa. Khi thông tin chưa khớp, cần giao người sửa, xác định đầu ra và kiểm tra lại thao tác.

Ví dụ, trước khi giao một danh sách cho nhà cung cấp, phiếu kiểm tra nội bộ có thể ghi sáu nội dung: mục đích giao; nhóm dữ liệu cần thiết; người nhận và vai trò; căn cứ cùng hợp đồng; kênh bàn giao; cách xác nhận hoàn tất và xử lý sau dịch vụ. Phiếu này là công cụ gợi ý, không phải thành phần bắt buộc mới của mọi giao dịch. Điều quan trọng là người duyệt đọc được căn cứ và người thực hiện làm đúng phạm vi đã duyệt.

Nếu cần triển khai rộng hơn, doanh nghiệp có thể đối chiếu quy chế bảo vệ dữ liệu cá nhân trong doanh nghiệp. Quy chế cần được nối với quyền thực tế trên hệ thống và cách làm của từng phòng ban; một quy định chung khó khắc phục lỗi lặp lại nếu người thực hiện không biết phải kiểm tra ở đâu.

Câu hỏi thường gặp

Doanh nghiệp ít người có được bỏ qua các nguyên tắc này?

Quy mô nhỏ không tự miễn các nguyên tắc tại Điều 3. Cơ chế lựa chọn hoặc miễn tại khoản 2–3 Điều 38 Luật và Điều 41 Nghị định 356 liên quan một số nghĩa vụ được liệt kê, có điều kiện riêng. Cần kiểm tra phạm vi đó, không hiểu thành miễn mọi việc bảo vệ dữ liệu.

Có phải mã hóa mọi file mới được coi là bảo mật?

Không thể áp một kết luận cho mọi file. Khoản 4 Điều 3 yêu cầu biện pháp phù hợp; khoản 3 Điều 12 cho phép quyết định mã hóa, giải mã theo hoạt động xử lý, còn dữ liệu là bí mật nhà nước có chế độ riêng. Phải kiểm tra loại thông tin, rủi ro và quy định cụ thể; mã hóa cũng không thay cho việc cấp quyền đúng người.

Có phải lập biên bản riêng cho mọi lần gửi email?

Pháp luật được dẫn trong bài không đặt ra một mẫu biên bản như vậy cho mọi email. Doanh nghiệp nên chọn cách chứng minh phù hợp với nghĩa vụ và mức độ rủi ro, có thể bằng yêu cầu đã duyệt, nhật ký hoặc xác nhận bàn giao. Không thu thêm dữ liệu quá mức chỉ để tạo hồ sơ kiểm tra.

Justix hỗ trợ rà soát thao tác và tài liệu

Doanh nghiệp có thể chuẩn bị một biểu mẫu, quy trình gửi file hoặc hợp đồng đang vướng để Justix đối chiếu yêu cầu pháp lý và đề xuất phần cần sửa trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân. Tài liệu đầu vào nên có mô tả người nhận, hệ thống và mục đích; ưu tiên mẫu đã che thông tin cá nhân. Liên hệ 0372 717 888 hoặc info@justix.vn để trao đổi phạm vi.

c bảo vệ dữ liệu cá nhân: áp dụng vào công việc hằng ngày