Nhân viên dùng thiết bị cá nhân làm việc: kiểm soát dữ liệu khách hàng thế nào?

Việc nhân viên dùng thiết bị riêng để trao đổi với khách hàng, xử lý hợp đồng hoặc đăng nhập hệ thống của doanh nghiệp không làm thay đổi nghĩa vụ bảo vệ dữ liệu cá nhân. Doanh nghiệp phải xác định mục đích và phạm vi xử lý, phân quyền truy cập, áp dụng biện pháp bảo mật phù hợp và kiểm soát việc tiếp tục sử dụng dữ liệu sau khi nhân viên chuyển vị trí hoặc nghỉ việc. Đồng thời, quyền quản lý dữ liệu công việc không đồng nghĩa doanh nghiệp có quyền xem toàn bộ tin nhắn, hình ảnh hoặc thông tin riêng tư trên thiết bị cá nhân. Các nguyên tắc tại Điều 3, quy định về dữ liệu người lao động tại Điều 25 và trách nhiệm các bên tại Điều 37 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cần được xem xét theo từng hoạt động cụ thể.

1. Những dữ liệu nào có nguy cơ phát sinh khi nhân viên dùng thiết bị riêng?

Thiết bị cá nhân trong bài viết gồm điện thoại thông minh, máy tính xách tay và máy tính bảng thuộc sở hữu hoặc quyền sử dụng riêng của nhân viên nhưng được dùng để thực hiện công việc. Mô hình này thường được gọi là BYOD (Bring Your Own Device). Rủi ro pháp lý không xuất phát từ tên loại thiết bị, mà từ những dữ liệu được thu thập, hiển thị, lưu, sao chép và chia sẻ qua thiết bị.

Ví dụ, nhân viên kinh doanh có thể đăng nhập hệ thống quản lý khách hàng (CRM), nhận danh sách số điện thoại, gửi báo giá qua ứng dụng nhắn tin và lưu hợp đồng vào thư mục tải xuống. Nhân viên pháp chế có thể đọc hồ sơ khách hàng, thông tin đại diện theo pháp luật hoặc tài liệu tranh chấp. Nhân viên nhân sự có thể xử lý hồ sơ ứng viên, số căn cước, bảng lương hoặc thông tin sức khỏe. Cần xem từng dữ liệu và mục đích, bởi cùng một thiết bị có thể lưu cả dữ liệu của doanh nghiệp lẫn thông tin riêng của người sử dụng.

Điều 3 Luật Bảo vệ dữ liệu cá nhân đặt ra yêu cầu xử lý dữ liệu đúng mục đích, phù hợp phạm vi, bảo đảm an toàn và giới hạn thời gian lưu theo quy định. Doanh nghiệp nên lập bảng dữ liệu ứng với từng nghiệp vụ trước khi lựa chọn giải pháp quản trị thiết bị. Bảng trên là gợi ý vận hành, không phải danh mục biện pháp kỹ thuật bắt buộc giống nhau cho mọi ngành.

2. Doanh nghiệp có được yêu cầu kiểm tra toàn bộ điện thoại, máy tính cá nhân?

Không nên coi việc nhân viên đồng ý sử dụng thiết bị riêng để làm việc là sự cho phép không giới hạn đối với mọi dữ liệu riêng tư trên thiết bị. Quyền quản lý công việc và nghĩa vụ bảo mật phải được cân đối với mục đích xử lý cụ thể, phạm vi thông tin cần thiết và quyền của cá nhân. Khoản 3 Điều 25 Luật Bảo vệ dữ liệu cá nhân là một căn cứ cần đối chiếu khi doanh nghiệp sử dụng biện pháp công nghệ hoặc kỹ thuật để quản lý, giám sát người lao động; mọi hoạt động thực tế vẫn phải xem xét các nguyên tắc tại Điều 3 và quy định liên quan.

Ví dụ, để ngăn truy cập trái phép vào CRM, doanh nghiệp có thể thiết kế cơ chế xác thực và ghi nhật ký truy cập của tài khoản công việc. Tuy nhiên, từ yêu cầu bảo vệ CRM không thể tự suy ra quyền xem tin nhắn riêng, ảnh gia đình, danh bạ cá nhân hoặc định vị ngoài giờ làm việc của nhân viên. Nếu công cụ quản lý thiết bị có chức năng giám sát, lấy vị trí hoặc xóa dữ liệu từ xa, doanh nghiệp phải xác định rõ phạm vi tính năng, thông tin sẽ thu thập, căn cứ áp dụng, người được phép sử dụng và cách thông báo minh bạch.

Phân biệt dữ liệu công việc và dữ liệu riêng trên cùng thiết bị

Doanh nghiệp nên sử dụng tài khoản công việc tách biệt với tài khoản cá nhân, kho lưu trữ dùng chung của doanh nghiệp và, khi điều kiện kỹ thuật cho phép, vùng dữ liệu công việc được quản trị riêng. Chính sách cần nói rõ dữ liệu nào là tài liệu công việc phải bàn giao và những loại thông tin riêng tư nào không nằm trong phạm vi kiểm tra thông thường. Nếu có tranh chấp về một tệp hoặc một đoạn trao đổi, phải xem xét quyền đối với tài liệu, tính liên quan, cơ sở pháp lý và cách thu thập chứng cứ, không kiểm tra tràn lan toàn bộ thiết bị.

Không sử dụng một giấy cam kết chung để thay mọi căn cứ xử lý

Biên bản sử dụng thiết bị riêng hoặc cam kết bảo mật giúp chứng minh nhân viên đã được phổ biến quy tắc nội bộ. Tuy nhiên, tài liệu đó không tự thay thế căn cứ xử lý dữ liệu khách hàng, nghĩa vụ thông báo cho chủ thể dữ liệu, hợp đồng với nhà cung cấp công nghệ hoặc việc đánh giá chuyển dữ liệu xuyên biên giới nếu có. Điều 9 và Điều 19 Luật Bảo vệ dữ liệu cá nhân cần được đối chiếu khi doanh nghiệp xem xét sự đồng ý và trường hợp xử lý không cần đồng ý; không mặc định mọi hoạt động thuộc một căn cứ duy nhất.

3. Bảng phân quyền và kiểm soát dữ liệu trên thiết bị riêng

Bảng phân quyền dưới đây là đề xuất quản trị nội bộ cho doanh nghiệp có nhân viên dùng điện thoại cá nhân để làm kinh doanh, chăm sóc khách hàng hoặc xử lý hồ sơ. Các giới hạn cụ thể cần điều chỉnh theo vai trò, loại dữ liệu, công nghệ và khả năng triển khai thực tế.

Với hệ thống chứa dữ liệu cá nhân nhạy cảm, ví dụ hồ sơ sức khỏe, thông tin cần đối chiếu theo khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP. Khoản 2 Điều 4 đặt ra yêu cầu về phân quyền, quy trình và biện pháp bảo mật khi xử lý nhóm dữ liệu này. Ma trận quyền là công cụ thực hiện trách nhiệm tổ chức, không phải căn cứ để tự mở rộng quyền giám sát nhân viên.

4. Mẫu quy định sử dụng thiết bị cá nhân phục vụ công việc

Mẫu tham khảo do Justix biên soạn, không phải mẫu bắt buộc của cơ quan nhà nước. Doanh nghiệp cần điều chỉnh theo nội quy lao động, hợp đồng, danh mục hệ thống và khả năng quản trị công nghệ. Ví dụ dưới đây áp dụng cho tổ chức sử dụng email doanh nghiệp, CRM và kho lưu trữ tập trung.

Điều 1. Phạm vi áp dụng và điều kiện sử dụng

“Người lao động được phép sử dụng thiết bị cá nhân để truy cập tài khoản công việc theo danh mục hệ thống và cấp quyền do doanh nghiệp phê duyệt. Trước khi sử dụng, người lao động phải nhận thông tin về phạm vi dữ liệu công việc, biện pháp bảo mật tối thiểu, chức năng kỹ thuật có thể áp dụng trên tài khoản công việc và đầu mối hỗ trợ.”

Chú thích: Phải chỉ rõ nhóm thiết bị, vị trí được phép, ứng dụng và loại dữ liệu. Không sử dụng một điều khoản chung cho phép mọi nhân viên tải mọi dữ liệu về máy riêng.

Điều 2. Tài khoản, bảo mật và quyền truy cập

“Người lao động sử dụng tài khoản công việc được cấp riêng, không chia sẻ mật khẩu, mã xác thực hoặc phiên đăng nhập cho người khác. Các yêu cầu về khóa màn hình, xác thực nhiều yếu tố, cập nhật phần mềm và bảo vệ tệp công việc thực hiện theo hướng dẫn kỹ thuật đã công bố. Khi nghi ngờ tài khoản bị truy cập trái phép, phải báo ngay qua kênh nội bộ được chỉ định.”

Chú thích: Doanh nghiệp cần ghi tiêu chuẩn kỹ thuật cụ thể trong hướng dẫn vận hành, đồng thời cung cấp phương án phù hợp cho nhân viên không thể đáp ứng yêu cầu trên thiết bị riêng.

Điều 3. Thu thập, lưu và chuyển dữ liệu công việc

“Hồ sơ, danh sách khách hàng và tệp phát sinh khi thực hiện công việc phải được lưu trên hệ thống do doanh nghiệp chỉ định. Người lao động không được tự chuyển dữ liệu sang email cá nhân, tài khoản lưu trữ cá nhân, danh bạ riêng hoặc phần mềm ngoài danh sách phê duyệt. Việc sao chép, tải xuống hoặc gửi cho nhà cung cấp khác chỉ thực hiện trong phạm vi nhiệm vụ và quyền truy cập được giao.”

Chú thích: Có thể bổ sung danh mục trường hợp được sử dụng ngoại tuyến, cách mã hóa và thời hạn chuyển tệp khỏi thiết bị. Nếu nghiệp vụ cần trao đổi với khách qua ứng dụng phổ biến, phải quy định cách chuyển hồ sơ về hệ thống chính thức.

Điều 4. Kiểm tra tuân thủ và giới hạn quyền đối với thiết bị riêng

“Doanh nghiệp quản lý tài khoản, phiên đăng nhập, nhật ký truy cập và dữ liệu thuộc hệ thống công việc trong phạm vi đã thông báo và có căn cứ. Các biện pháp hỗ trợ kỹ thuật trên thiết bị riêng phải được giới hạn ở chức năng, dữ liệu và mục đích cụ thể. Việc kiểm tra nội dung riêng tư không nằm trong phạm vi kiểm tra thường xuyên theo Quy định này.”

Chú thích: Nếu sử dụng công cụ quản lý thiết bị có khả năng xem vị trí, kiểm soát ứng dụng hoặc xóa từ xa, phải có phụ lục chức năng và cơ chế phê duyệt riêng. Không coi chữ ký nhận nội quy là sự cho phép mặc nhiên đối với mọi biện pháp giám sát.

Điều 5. Xử lý mất thiết bị hoặc lộ thông tin

“Ngay khi phát hiện thiết bị thất lạc, có người sử dụng trái phép hoặc dữ liệu công việc có dấu hiệu bị tiết lộ, người lao động phải thông báo tới bộ phận công nghệ và đầu mối phụ trách dữ liệu theo kênh đã công bố. Doanh nghiệp thực hiện khóa phiên, thay đổi thông tin xác thực, rà soát nhật ký và đánh giá phạm vi dữ liệu liên quan; việc thông báo cho chủ thể dữ liệu hoặc cơ quan có thẩm quyền được quyết định theo điều kiện pháp luật áp dụng.”

Chú thích: Không mặc định mọi trường hợp mất điện thoại đều là sự cố phải thông báo cơ quan hoặc đều phát sinh cùng một thời hạn. Trước hết phải xác minh thiết bị có lưu dữ liệu nào, biện pháp bảo vệ, người có thể tiếp cận và hậu quả thực tế.

Điều 6. Bàn giao và chấm dứt quyền truy cập

“Khi người lao động chuyển vị trí hoặc chấm dứt hợp đồng lao động, doanh nghiệp thu hồi quyền truy cập, kiểm tra việc bàn giao hồ sơ và xác nhận trạng thái dữ liệu công việc theo danh mục. Người lao động thực hiện chuyển giao tệp công việc đang lưu về hệ thống được chỉ định và xử lý bản sao trên thiết bị riêng theo hướng dẫn hợp pháp. Doanh nghiệp ưu tiên khóa tài khoản và xóa dữ liệu trong vùng công việc, không tự động xóa dữ liệu cá nhân ngoài phạm vi được quản lý.”

Chú thích: Trường hợp còn dữ liệu phải lưu do nghĩa vụ pháp luật hoặc tranh chấp, cần chỉ định nơi lưu và người chịu trách nhiệm. Biên bản bàn giao nên liệt kê hệ thống, tài khoản và tệp công việc, không yêu cầu nhân viên giao toàn bộ ảnh hoặc dữ liệu riêng trên máy.

Điều 7. Trách nhiệm phối hợp

“Trưởng bộ phận đề nghị cấp và thu hồi quyền phù hợp công việc; bộ phận công nghệ thực hiện biện pháp kỹ thuật; bộ phận nhân sự lưu hồ sơ tiếp nhận chính sách và bàn giao; đầu mối pháp chế hoặc bảo vệ dữ liệu đánh giá căn cứ xử lý, tài liệu cần thông báo và các trường hợp vượt quy trình.”

Chú thích: Doanh nghiệp phải xác định người chịu trách nhiệm thực tế, không ghi một đầu mối trên giấy khi không có quyền và nguồn lực xử lý.

5. Quy trình triển khai BYOD trong doanh nghiệp

1. Kiểm kê hệ thống và dữ liệu: trưởng các phòng ban liệt kê ứng dụng đang dùng trên thiết bị riêng, tài khoản, loại dữ liệu, tình huống tải tệp và nhóm khách hàng có liên quan. Đầu ra là danh mục hoạt động và luồng dữ liệu.
2. Phân loại rủi ro và căn cứ: pháp chế hoặc đầu mối dữ liệu đối chiếu dữ liệu cá nhân, dữ liệu nhạy cảm, mục đích xử lý, vai trò từng bên và hoạt động chuyển cho nhà cung cấp ngoài doanh nghiệp. Đầu ra là bảng căn cứ và việc cần hạn chế.
3. Ban hành chính sách và thông báo: nhân sự cùng công nghệ xây dựng danh mục thiết bị, hệ thống được phép, phương thức hỗ trợ, giới hạn giám sát và mẫu xác nhận đã phổ biến. Đầu ra là chính sách BYOD và hướng dẫn công việc.
4. Thiết lập biện pháp kỹ thuật: quản trị hệ thống bật xác thực phù hợp, phân quyền theo vị trí, hạn chế xuất tệp nếu khả thi, ghi nhật ký truy cập và kiểm thử thu hồi tài khoản. Đầu ra là biên bản cấu hình và phân quyền.
5. Vận hành và xử lý sự cố: quy định kênh báo mất thiết bị, người có quyền tạm khóa, cách kiểm tra dữ liệu liên quan và trình tự đánh giá nghĩa vụ thông báo. Đầu ra là nhật ký sự cố, quyết định xử lý và bằng chứng khắc phục.
6. Bàn giao và kiểm tra định kỳ: khi đổi vị trí hoặc nghỉ việc, đối chiếu danh sách tài khoản, tệp cần bàn giao và tình trạng thu hồi; định kỳ kiểm tra các quyền không còn cần thiết. Đầu ra là biên bản bàn giao và báo cáo quyền truy cập.

Đối với các bên cung cấp phần mềm, lưu trữ hoặc quản trị thiết bị, doanh nghiệp phải đánh giá vai trò xử lý, phạm vi dữ liệu có thể tiếp cận và hợp đồng tương ứng. Điều 37 Luật Bảo vệ dữ liệu cá nhân có quy định về trách nhiệm của bên kiểm soát và bên xử lý; đối với nhà cung cấp giữ vai trò bên xử lý, cần có thỏa thuận hoặc hợp đồng trước khi nhận dữ liệu và thực hiện theo thỏa thuận hợp pháp. Không coi mua phần mềm quản trị thiết bị là đã hoàn tất toàn bộ nghĩa vụ bảo vệ dữ liệu.

6. Tình huống giả định: nhân viên kinh doanh nghỉ việc nhưng vẫn giữ dữ liệu khách hàng

Doanh nghiệp A có 20 nhân viên kinh doanh dùng điện thoại riêng đăng nhập CRM. Một nhân viên nghỉ việc, đã được khóa email nhưng vẫn giữ tệp xuất danh sách khách hàng trong thư mục tải xuống. Doanh nghiệp phát hiện qua lịch sử xuất dữ liệu trước ngày nghỉ.

Đánh giá: Cần xác định tài khoản nào đã được cấp quyền, hành vi xuất tệp có nằm trong nhiệm vụ được giao hay không, loại dữ liệu trong tệp, phạm vi sử dụng sau khi nghỉ và các quy định mà nhân viên đã được thông báo. Điều 3, Điều 25 và trách nhiệm quản lý theo Điều 37 Luật Bảo vệ dữ liệu cá nhân là căn cứ đối chiếu cùng hợp đồng lao động, thỏa thuận bảo mật và chứng cứ về hoạt động thực tế. Không tự kết luận đã xảy ra chuyển giao dữ liệu trái phép hoặc tội phạm chỉ vì có tệp trên thiết bị riêng.

Hướng xử lý: Doanh nghiệp khóa tài khoản và phiên đăng nhập còn hiệu lực; bảo toàn nhật ký xuất tệp; gửi yêu cầu xác minh và bàn giao dữ liệu công việc; đánh giá có hay không việc sử dụng, cung cấp dữ liệu ngoài nhiệm vụ; lựa chọn biện pháp xử lý phù hợp sau khi xem xét căn cứ. Khi cần thu hồi tệp, chỉ xử lý phần dữ liệu công việc thuộc phạm vi hợp pháp, tránh tự ý truy cập toàn bộ điện thoại của người lao động.

Tài liệu đầu ra: biên bản xác minh quyền truy cập, nhật ký hệ thống, văn bản yêu cầu bàn giao, biên bản xác nhận dữ liệu công việc đã được xử lý và báo cáo đánh giá sự cố nếu có dấu hiệu vi phạm. Đây là tình huống minh họa, không phải vụ việc Justix đã thực hiện.

7. Câu hỏi thường gặp

Nhân viên dùng Zalo cá nhân để trao đổi khách hàng có bị cấm không?

Không nên xác định chỉ dựa vào tên ứng dụng. Cần xem loại dữ liệu, mục đích liên hệ, tài khoản, cấu hình sao lưu, người truy cập và khả năng bàn giao. Doanh nghiệp có thể quy định kênh giao tiếp được phép, nhưng phải tổ chức biện pháp lưu hồ sơ, thông báo và quản lý dữ liệu phù hợp; với tài liệu nhạy cảm hoặc hồ sơ định danh, cần đánh giá mức độ cần thiết trước khi gửi qua kênh này.

Doanh nghiệp có thể bắt buộc nhân viên cài phần mềm giám sát lên điện thoại riêng không?

Không thể kết luận có quyền áp dụng mọi phần mềm giám sát chỉ vì thiết bị được dùng cho công việc. Phải đánh giá mục đích và tính năng: phần mềm đọc được gì, có lấy vị trí hay nội dung cá nhân không, ai xem dữ liệu, trong thời gian nào và có biện pháp thay thế ít xâm phạm hơn không. Doanh nghiệp cần đối chiếu Điều 3, khoản 3 Điều 25 Luật Bảo vệ dữ liệu cá nhân và pháp luật lao động trước khi triển khai.

Nhân viên nghỉ việc có phải giao lại điện thoại cá nhân?

Việc bàn giao dữ liệu, tài liệu và tài khoản công việc không mặc nhiên đồng nghĩa phải giao quyền kiểm soát toàn bộ thiết bị thuộc sở hữu cá nhân. Doanh nghiệp cần sử dụng biên bản bàn giao công việc, thu hồi tài khoản, chuyển tệp lên kho chính thức và đối chiếu thỏa thuận hợp pháp áp dụng cho thiết bị. Trường hợp có tranh chấp về tài liệu cụ thể, phải xử lý trên cơ sở chứng cứ và quyền của các bên.

Mất thiết bị có dữ liệu khách hàng có phải báo cơ quan chức năng ngay không?

Doanh nghiệp phải tổ chức kiểm tra ngay theo quy trình sự cố để xác định dữ liệu đã lưu, hình thức mã hóa hoặc bảo vệ, khả năng người khác truy cập, hành vi đã xảy ra và trách nhiệm của các bên. Chỉ sau khi xác định đúng sự kiện, điều kiện và nghĩa vụ thông báo theo Điều 23 Luật Bảo vệ dữ liệu cá nhân mới kết luận thời hạn và cơ quan tiếp nhận; không coi mọi trường hợp thất lạc điện thoại đều có cùng hậu quả pháp lý.

8. Justix hỗ trợ doanh nghiệp quản lý dữ liệu trên thiết bị cá nhân

Doanh nghiệp nên rà soát chính sách nếu có nhân viên sử dụng điện thoại riêng để truy cập CRM, nhận giấy tờ khách hàng qua ứng dụng nhắn tin, lưu tệp vào tài khoản cá nhân hoặc nghỉ việc nhưng chưa có biên bản thu hồi dữ liệu. Trong phạm vi dịch vụ chuẩn hóa pháp lý dữ liệu nhân sự, Justix có thể rà soát căn cứ xử lý, hệ thống tài liệu, quy định sử dụng thiết bị cá nhân, điều khoản bảo mật và quy trình bàn giao. Khi vấn đề liên quan hệ thống rộng hơn, doanh nghiệp có thể tham khảo dịch vụ rà soát và thiết lập tuân thủ dữ liệu cá nhân.

Để xác định phạm vi công việc, doanh nghiệp có thể chuẩn bị danh sách ứng dụng đang dùng, mô tả nhóm dữ liệu, chính sách đã ban hành và tình huống cần xử lý; không cần gửi trực tiếp danh sách khách hàng hoặc dữ liệu riêng tư thật qua biểu mẫu công khai. Thông tin liên hệ: trang liên hệ Justix, điện thoại 0372 717 888 hoặc email info@justix.vn.