Phân quyền truy cập dữ liệu cá nhân: doanh nghiệp cần quy trình gì?

Phân quyền truy cập dữ liệu cá nhân: doanh nghiệp cần quy trình gì?

Quy trình phân quyền cần kiểm soát từ lúc đề nghị cấp quyền đến thay đổi công việc, nghỉ việc và kiểm tra lại. Bảng phân loại theo vị trí dưới đây giúp doanh nghiệp xác định ai được xem, sửa, xuất dữ liệu và bằng chứng cần giữ.

Doanh nghiệp cần xác định người được tiếp cận từng nhóm dữ liệu, phạm vi thao tác, người phê duyệt và cách cấp, thay đổi, thu hồi quyền trên hệ thống thực tế. Với dữ liệu nhạy cảm, khoản 2 Điều 4 Nghị định 356/2025/NĐ-CP yêu cầu thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật. Các yêu cầu riêng còn áp dụng cho chia sẻ giữa phòng ban, điện toán đám mây và một số hoạt động công nghệ. Bảng phân loại truy cập và trình tự thực hiện trong bài là công cụ quản trị đề xuất để cụ thể hóa nghĩa vụ; doanh nghiệp phải điều chỉnh theo dữ liệu, hệ thống và nhiệm vụ thực tế. Căn cứ chính: Điều 3, Điều 18, Điều 30 và Điều 37 Luật Bảo vệ dữ liệu cá nhân, Điều 4, Điều 7 và Điều 12 Nghị định 356.

Những yêu cầu pháp luật nào liên quan trực tiếp đến phân quyền?

Điểm c khoản 1 Điều 37 Luật yêu cầu bên kiểm soát áp dụng biện pháp quản lý, kỹ thuật phù hợp, rà soát và cập nhật khi cần thiết. Bên xử lý phải thực hiện đầy đủ biện pháp bảo vệ theo điểm c khoản 2; bên kiểm soát và xử lý thực hiện trách nhiệm của cả hai vai trò. Vì vậy, giao cho IT quản lý tài khoản là một phần tổ chức công việc, chưa thay thế trách nhiệm của doanh nghiệp.

Đối với dữ liệu nhạy cảm, khoản 2 Điều 4 Nghị định 356 đặt ra yêu cầu cụ thể về giới hạn truy cập. Doanh nghiệp phải phân loại đúng dữ liệu trước khi cấp quyền. Thông tin sức khỏe, dữ liệu sinh trắc học và hình ảnh thẻ căn cước nằm trong danh mục tại khoản 1 Điều này. Tên thư mục “hồ sơ nhân sự” chưa cho biết người quản lý có quyền xem toàn bộ nội dung bên trong.

Khoản 4 Điều 7 Nghị định yêu cầu quy trình kiểm soát chia sẻ, sử dụng dữ liệu giữa các bộ phận trong cùng tổ chức theo mục đích đã xác lập, đồng thời phòng ngừa nhân sự chia sẻ trái phép với bên thứ ba. Quyền xem dữ liệu trong phần mềm và quyền gửi tệp cho đơn vị khác vì vậy cần được kiểm tra riêng.

Nếu sử dụng điện toán đám mây, điểm g khoản 2 Điều 12 yêu cầu các biện pháp kỹ thuật để phân cấp quyền truy cập hợp lý. Khoản 4 Điều này yêu cầu mã hóa dữ liệu ở trạng thái nghỉ và truyền, kèm phân quyền nghiêm ngặt. Có mật khẩu hoặc đã mua gói dịch vụ đám mây chưa đủ để kết luận cấu hình đáp ứng các yêu cầu đó.

Các quy định trên không ấn định một mẫu bảng phân loại duy nhất cho mọi doanh nghiệp. Cách chia nhóm tài khoản, cấp duyệt và chu kỳ rà soát phải phù hợp hoạt động, đồng thời tuân thủ yêu cầu chuyên ngành nếu có. Có thể đặt quy trình phân quyền trong quy chế bảo vệ dữ liệu cá nhân của doanh nghiệp, kèm danh sách quyền thực tế được quản lý riêng.

Xác định quyền theo công việc và từng thao tác

Trước khi hỏi ai được vào hệ thống, cần xác định người đó cần xử lý dữ liệu nào để hoàn thành nhiệm vụ. Một nhân viên chăm sóc khách hàng có thể cần tên, thông tin liên hệ và lịch sử yêu cầu của khách được phân công, nhưng không cần tải toàn bộ khách hàng của công ty. Trưởng nhóm có thể cần báo cáo tổng hợp mà không cần xem từng ảnh giấy tờ.

Nên tách quyền xem, tạo mới, chỉnh sửa, xuất hoặc tải xuống, chia sẻ, xóa và quản trị. Nếu phần mềm gộp nhiều quyền trong một vai trò, người duyệt phải biết việc cấp vai trò đó thực tế cho phép làm gì. Cấp quyền “quản lý” chỉ để sửa một số điện thoại có thể mở thêm khả năng xuất dữ liệu hoặc cấp quyền cho người khác.

Phạm vi cũng cần được giới hạn theo hồ sơ, nhóm khách hàng, chi nhánh, thời gian hoặc nhiệm vụ. Một người được điều sang nhóm mới cần được rà lại quyền cũ, tránh việc mỗi lần chuyển công tác lại tích lũy thêm quyền. Quyền tạm thời để xử lý một yêu cầu hỗ trợ nên có điều kiện kết thúc và người kiểm tra việc đóng quyền.

Tài khoản tích hợp giữa các hệ thống cũng cần được đưa vào danh mục. Đây là tài khoản hoặc thông tin xác thực để phần mềm tự trao đổi dữ liệu, có thể vẫn hoạt động sau khi một nhân viên đã nghỉ việc. Doanh nghiệp cần biết ai chịu trách nhiệm, ứng dụng được đọc hoặc ghi dữ liệu nào và khi nào phải thay thông tin xác thực.

Bảng phân loại truy cập theo vị trí để doanh nghiệp điều chỉnh

Bảng dưới đây minh họa một doanh nghiệp dịch vụ có dữ liệu khách hàng và người lao động. Các giới hạn là phương án đề xuất, không phải quyền mặc định do pháp luật trao cho từng chức danh. Trước áp dụng, cần bổ sung tên hệ thống, nhóm tài khoản, người duyệt, người thực hiện và ngày rà soát.

Bảng phân loại cần được so với danh sách quyền xuất trực tiếp từ hệ thống. Nếu bảng ghi nhân viên chỉ được xem nhưng cấu hình cho phép tải toàn bộ dữ liệu, công việc chưa hoàn thành. Ngược lại, không nên sửa bảng phân loại để hợp thức hóa quyền quá rộng chỉ vì phần mềm đã cấu hình như vậy từ trước.

Với nhà cung cấp, cần kiểm tra cả quyền truy cập từ xa, nơi xử lý và bên được tiếp cận tiếp theo. Khi phát sinh yếu tố nước ngoài, đối chiếu riêng Điều 20 Luật và Điều 17 Nghị định 356; không kết luận rằng “chỉ xem, không tải” thì đương nhiên không có hoạt động chuyển dữ liệu xuyên biên giới.

Tổ chức việc cấp, đổi và thu hồi quyền

Cấp quyền từ yêu cầu có thể kiểm chứng

Bộ phận đề nghị nên ghi người nhận quyền, nhiệm vụ, hệ thống, nhóm dữ liệu, thao tác cần làm và thời gian sử dụng. Người quản lý nghiệp vụ xác nhận nhu cầu; đầu mối pháp lý hoặc bảo vệ dữ liệu tham gia khi có dữ liệu nhạy cảm, mục đích mới hoặc bên ngoài tổ chức. Người có thẩm quyền duyệt phạm vi; IT thực hiện và xác nhận kết quả theo quyết định đó.

Đây là cách phân công đề xuất. Doanh nghiệp nhỏ có thể gộp một số vai trò, nhưng vẫn cần biết ai quyết định nhu cầu và ai đã thực hiện. Chỉ gửi tin nhắn “mở hết quyền cho bạn mới” không tạo được căn cứ để kiểm tra về sau.

Sau khi cấp, nên dùng tài khoản kiểm tra để xác nhận cả phần được phép và phần phải bị chặn. Bằng chứng có thể gồm yêu cầu, phê duyệt, danh sách quyền sau cấp và kết quả thử. Không cần chụp lại toàn bộ dữ liệu khách hàng để chứng minh quyền đã hoạt động.

Thay đổi nhiệm vụ phải đi cùng rà quyền cũ

Khi nhân viên chuyển bộ phận, thay dự án hoặc tiếp nhận công việc tạm thời, người quản lý cần thông báo những nhiệm vụ bắt đầu và kết thúc. IT đối chiếu tài khoản, nhóm dùng chung, thư mục, quyền trong phần mềm và quyền tích hợp có liên quan. Cấp thêm quyền mới cần đi cùng quyết định về quyền cũ.

Trường hợp phải giữ quyền trong thời gian bàn giao, nên ghi rõ người chấp thuận, lý do, phạm vi và điểm kết thúc. Mốc nội bộ phải đủ sớm để bảo vệ dữ liệu; không được viện dẫn thời gian bàn giao chung để duy trì quyền không còn cần thiết.

Thu hồi quyền phải kiểm tra cả phiên đăng nhập và bản đã xuất

Khóa một tài khoản chưa chắc đã xử lý hết quyền truy cập. Tùy hệ thống, cần kiểm tra các phiên còn hiệu lực, nhóm chia sẻ, thiết bị, liên kết công khai và thông tin xác thực mà người đó từng được sử dụng. IT phải xác nhận biện pháp phù hợp với cơ chế của từng nền tảng, thay vì coi việc đổi mật khẩu ở một nơi là đã hoàn tất.

Các tệp đã tải xuống cần được bàn giao, quản lý hoặc xóa theo căn cứ lưu giữ tương ứng. Thu hồi quyền không đồng nghĩa xóa ngay mọi dữ liệu nghiệp vụ do người nghỉ việc từng tạo ra. Doanh nghiệp cần tách quyền của người sử dụng với nghĩa vụ giữ và bảo vệ hồ sơ của tổ chức.

Biên bản hoặc phiếu hoàn tất nên thể hiện phạm vi đã xử lý, việc còn tồn tại và người tiếp tục theo dõi. Quy trình này nên nối với quản lý dữ liệu nhân sự từ tuyển dụng đến nghỉ việc để thông tin nghỉ việc được chuyển đến người quản lý hệ thống đúng lúc.

Kiểm tra nhật ký và tài khoản cần chú ý gì?

Nhật ký giúp kiểm tra ai đã thực hiện thao tác, vào thời điểm nào, trên nhóm dữ liệu hoặc hệ thống nào và có phù hợp phạm vi được giao hay không. Doanh nghiệp có thể ưu tiên theo dõi cấp quyền quản trị, xuất dữ liệu hàng loạt, thay đổi quyền chia sẻ, truy cập ngoài nhiệm vụ và tài khoản không còn người phụ trách. Đây là nội dung kiểm tra đề xuất; cấu hình cụ thể phải do người có chuyên môn đánh giá.

Cần phân biệt khuyến nghị đó với nghĩa vụ riêng của từng hoạt động. Chẳng hạn, khoản 1 Điều 8 Nghị định 356 yêu cầu tổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng ghi lại nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân. Điểm d khoản 3 Điều 9 yêu cầu giám sát liên tục đối với xử lý dữ liệu lớn. Không tự mở rộng mỗi yêu cầu này thành một cấu hình duy nhất cho mọi doanh nghiệp.

Nhật ký cũng có thể chứa dữ liệu cá nhân và thông tin xác thực. Cần hạn chế người đọc, xác định thời gian lưu phù hợp, bảo vệ tính toàn vẹn và tránh ghi mật khẩu hoặc nội dung nhạy cảm không cần thiết. Người có quyền quản trị không nên được tự xóa dấu vết để che việc đã thực hiện.

Khi rà tài khoản, nên đối chiếu với danh sách nhân sự, nhà cung cấp và nhiệm vụ còn hiệu lực. Tài khoản dùng chung làm khó việc xác định người thực hiện; có thể ưu tiên tài khoản cá nhân và cơ chế phân quyền riêng. Nếu hệ thống có giới hạn, phải đánh giá biện pháp bù đắp phù hợp, không chỉ bỏ qua vấn đề vì phần mềm chưa hỗ trợ.

Tình huống nhân viên đã chuyển bộ phận vẫn xuất được dữ liệu

Tình huống giả định: Công ty A chuyển một nhân viên từ chăm sóc khách hàng sang vận hành. Nhân viên được cấp quyền trên hệ thống mới nhưng vẫn giữ quyền xuất toàn bộ danh sách khách của nhóm cũ. Nhà cung cấp hỗ trợ cũng còn một tài khoản quản trị không ghi ngày kết thúc.

A cần đối chiếu nhiệm vụ hiện tại, phạm vi dữ liệu và quyền đã duyệt để quyết định điều chỉnh ngay phần không còn phù hợp. IT kiểm tra các tài khoản và nhóm quyền liên quan; quản lý nghiệp vụ xác nhận nhu cầu còn lại. Với nhà cung cấp, đầu mối hợp đồng xác định công việc đang thực hiện và phạm vi truy cập được thỏa thuận trước khi giữ hoặc đóng quyền.

Đồng thời, cần kiểm tra nhật ký để biết có hoạt động xuất hoặc chia sẻ nào đã xảy ra. Việc phát hiện cấu hình quá rộng chưa tự chứng minh đã có rò rỉ; kết luận phải dựa trên dữ kiện. Nếu phát hiện vi phạm, phải đánh giá nghĩa vụ xử lý và thông báo theo Điều 23 Luật, không chỉ đóng tài khoản rồi kết thúc việc rà soát.

Đầu ra nên gồm danh sách quyền trước và sau điều chỉnh, căn cứ phê duyệt, kết quả kiểm tra, tài khoản nhà cung cấp đã xử lý và các việc còn phải xác minh. A cũng cần sửa điểm chuyển giao thông tin giữa nhân sự, quản lý và IT để lần thay đổi nhiệm vụ tiếp theo không bỏ sót quyền cũ.

Câu hỏi thường gặp

Trưởng phòng có đương nhiên được xem mọi dữ liệu của nhân viên không?

Không thể kết luận chỉ từ chức danh. Cần xác định nhiệm vụ, căn cứ sử dụng, loại dữ liệu và phạm vi cần thiết. Với dữ liệu nhạy cảm, doanh nghiệp phải thực hiện yêu cầu giới hạn truy cập theo khoản 2 Điều 4 Nghị định 356.

Pháp luật có bắt buộc mọi doanh nghiệp rà quyền hằng tháng không?

Các điều khoản được phân tích không đặt một chu kỳ hằng tháng chung cho mọi hệ thống. Doanh nghiệp cần chọn tần suất phù hợp và kiểm tra khi có thay đổi, đồng thời đối chiếu nghĩa vụ đánh giá hoặc giám sát riêng theo lĩnh vực, hoạt động thực tế.

Ký cam kết bảo mật có thay cho việc hạn chế quyền không?

Không. Cam kết xác định trách nhiệm nhưng không tự ngăn một tài khoản đọc, tải hoặc chia sẻ dữ liệu ngoài nhiệm vụ. Cần kết hợp quy định nội bộ với cấu hình, kiểm tra và cách xử lý khi phát hiện sai lệch.

Người quản lý dữ liệu có phải tự thực hiện mọi cấu hình kỹ thuật không?

Không nhất thiết. Doanh nghiệp cần phân công người quyết định phạm vi, người triển khai kỹ thuật và người kiểm tra. Tài liệu và kết quả thực hiện nên được nối với bộ tài liệu tuân thủ dữ liệu cá nhân để có thể bàn giao và tra lại.

Justix hỗ trợ rà soát quy trình phân quyền

Doanh nghiệp có thể chuẩn bị sơ đồ tổ chức, danh sách hệ thống, bảng quyền hiện tại và một số yêu cầu cấp hoặc thu hồi quyền đã lược thông tin không cần thiết. Trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, Justix hỗ trợ đối chiếu trách nhiệm, quy trình và tài liệu theo phạm vi thống nhất. Việc cấu hình, kiểm thử và đánh giá kỹ thuật cần đầu mối có chuyên môn thực hiện. Có thể gửi mô tả nhu cầu qua trang liên hệ Justix.