Quy chế bảo vệ dữ liệu cá nhân trong doanh nghiệp gồm những gì?

Quy chế bảo vệ dữ liệu cá nhân  trong doanh nghiệp gồm những gì?

Quy chế bảo vệ dữ liệu cá nhân nên làm rõ dữ liệu nào được xử lý, để làm gì, ai được tiếp cận, ai phê duyệt và ai xử lý khi có yêu cầu hoặc sự cố. Điểm cần kiểm tra là nhân viên có biết phải làm gì trong từng tình huống hay không. Một bản quy chế chỉ lặp lại nguyên tắc bảo mật sẽ chưa giải quyết được việc gửi nhầm bảng lương, dùng phần mềm mới hoặc giữ hồ sơ quá hạn.

Doanh nghiệp có bắt buộc dùng một mẫu quy chế chung không?

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP đặt ra các nghĩa vụ bảo vệ dữ liệu. Hai văn bản này không quy định một mẫu quy chế nội bộ duy nhất dùng cho mọi doanh nghiệp.

Tuy vậy, nhiều công việc phải được cụ thể hóa: khoản 2 Điều 4 Nghị định yêu cầu quy định phân quyền, quy trình xử lý và bảo mật đối với dữ liệu nhạy cảm; Điều 5 yêu cầu quy trình, thủ tục, biểu mẫu thực hiện quyền của chủ thể dữ liệu; khoản 4 Điều 7 yêu cầu quy trình chia sẻ dữ liệu giữa các bộ phận.

Doanh nghiệp có thể tổ chức thành quy chế chung và quy trình kèm theo, phù hợp hoạt động và có người thực hiện.

Quy chế cần bao quát những nội dung nào?

Phạm vi và mục đích: xác định nhóm dữ liệu, người có dữ liệu được xử lý, phòng ban và hệ thống liên quan. Phạm vi có thể gồm ứng viên, nhân viên, khách hàng và người liên hệ của đối tác; không chỉ dữ liệu trong phần mềm chính.

Căn cứ xử lý: ghi cách xác định khi nào cần sự đồng ý, ai lưu bằng chứng và ai kiểm tra trường hợp xử lý không cần đồng ý. Các ngoại lệ tại Điều 19 Luật phải được đối chiếu với hoạt động cụ thể.

Quyền truy cập và chia sẻ: quy định người đề nghị, người duyệt, giới hạn sử dụng, việc tải xuống và thu hồi quyền khi chuyển vị trí hoặc nghỉ việc. Người có quyền xem chưa đương nhiên có quyền xuất toàn bộ dữ liệu.

Lưu giữ và xóa: xác định đầu mối lập thời hạn cho từng nhóm tài liệu, kiểm tra căn cứ giữ lại, thực hiện xóa và xác nhận kết quả. Không giao cho từng nhân viên tự quyết định lưu vô thời hạn.

Yêu cầu, sự cố và thay đổi: thiết lập kênh tiếp nhận, người thay thế khi đầu mối vắng mặt, cách báo cáo và điều kiện rà soát trước khi dùng dữ liệu cho mục đích mới.

Ai chịu trách nhiệm về từng công việc?

Điều 37 Luật 91/2025/QH15 phân định trách nhiệm theo vai trò trong hoạt động xử lý. Việc thuê phần mềm hoặc giao công việc cho một phòng ban không tự xóa trách nhiệm của doanh nghiệp. Trong nội bộ, nên phân công cả người quyết định và người thực hiện.

Bảng dưới đây là gợi ý để doanh nghiệp điều chỉnh theo cơ cấu thực tế:

Mỗi công việc nên có người điều phối đến khi hoàn tất và cách chuyển việc khi phát sinh bất đồng.

Có thể giao toàn bộ việc bảo vệ dữ liệu cho phòng nhân sự không?

Phòng nhân sự có thể phụ trách dữ liệu người lao động nhưng thường không nắm toàn bộ luồng dữ liệu khách hàng, website hoặc nhà cung cấp. Giao mọi trách nhiệm cho trưởng phòng nhân sự dễ tạo khoảng trống ngoài phạm vi quản lý của người đó.

Khi thuộc diện phải bố trí bộ phận hoặc nhân sự bảo vệ dữ liệu, cần đối chiếu khoản 2 Điều 33 Luật và Điều 13–14 Nghị định 356/2025/NĐ-CP. Việc chỉ định phải bằng văn bản; người được chỉ định phải đáp ứng điều kiện năng lực. Một quyết định giao nhiệm vụ chung chưa đủ nếu người nhận chưa đáp ứng điều kiện.

Doanh nghiệp nhỏ, khởi nghiệp, siêu nhỏ cần kiểm tra Điều 38 Luật và Điều 41 Nghị định trước khi kết luận được miễn hoặc lựa chọn chưa thực hiện một số nghĩa vụ. Trực tiếp xử lý dữ liệu nhạy cảm là một trường hợp loại trừ cơ chế này. Quy mô nhỏ không làm mất nghĩa vụ bảo vệ dữ liệu nói chung.

Khi dùng phần mềm mới, quy chế nên yêu cầu gì?

Có thể thiết kế một bước rà soát trước khi đưa dữ liệu thật lên hệ thống. Bộ phận đề xuất cung cấp mục đích, trường thông tin, người được truy cập, nơi lưu trữ, nhà cung cấp và khả năng chuyển dữ liệu ra nước ngoài. Pháp chế cùng đầu mối bảo vệ dữ liệu xác định căn cứ xử lý, hợp đồng và nghĩa vụ hồ sơ; công nghệ thông tin kiểm tra khả năng thực hiện yêu cầu bảo mật.

Ví dụ minh họa: phòng kinh doanh muốn đưa danh sách khách hàng lên công cụ gửi email. Quy chế nên yêu cầu kiểm tra mục đích sử dụng, nguồn dữ liệu, căn cứ gửi nội dung quảng cáo và quyền của nhà cung cấp trước khi nhập danh sách. Việc lãnh đạo duyệt chi phí mua công cụ không tự thay thế bước rà soát dữ liệu.

Thời gian xử lý nội bộ có thể do doanh nghiệp thiết kế, nhưng cần phân biệt với thời hạn pháp luật áp dụng cho từng nghĩa vụ.

Quy chế bảo vệ dữ liệu có thay thế nội quy lao động không?

Không thể chỉ đổi tên tài liệu rồi coi như đã hoàn thành yêu cầu của pháp luật lao động. Khi doanh nghiệp dùng quy định bảo vệ dữ liệu làm căn cứ xử lý kỷ luật, cần đối chiếu hành vi, hình thức, thẩm quyền và thủ tục với Bộ luật Lao động.

Điều 118 Bộ luật Lao động quy định việc ban hành, tham khảo ý kiến và thông báo nội quy; từ 10 người lao động trở lên, nội quy phải bằng văn bản. Điều 127 nghiêm cấm phạt tiền, cắt lương thay xử lý kỷ luật và giới hạn căn cứ xử lý hành vi vi phạm.

Vì vậy, không nên chép vào quy chế điều khoản “gửi nhầm dữ liệu bị trừ một tháng lương”. Cam kết bảo mật cũng không tự hợp pháp hóa một chế tài trái luật.

Làm thế nào để quy chế được áp dụng thực tế?

Nên kiểm tra thử bằng ba tình huống: nhân viên yêu cầu xóa dữ liệu; một quản lý cần xuất bảng lương; nhà cung cấp thông báo có người truy cập trái phép. Với mỗi tình huống, người thực hiện phải tìm được đầu mối, quyền quyết định và hồ sơ cần lưu.

Sau khi ban hành, cần phổ biến theo công việc, quản lý phiên bản và rà soát khi thay đổi hệ thống, mục đích hoặc bên nhận dữ liệu. Bằng chứng đào tạo, phê duyệt truy cập, xử lý yêu cầu và khắc phục sự cố giúp chứng minh quy chế đã được thực hiện.

Cần xây dựng quy chế phù hợp với doanh nghiệp?

Justix hỗ trợ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, làm rõ trách nhiệm và chuẩn hóa tài liệu pháp lý theo phạm vi thống nhất. Doanh nghiệp có thể chuẩn bị sơ đồ tổ chức, quy chế hiện có, danh sách phần mềm và hợp đồng liên quan để trao đổi qua 0372717888 / 0878853686.