Quyền của chủ thể dữ liệu cá nhân: doanh nghiệp cần tổ chức thực hiện ra sao?

Quyền của chủ thể dữ liệu cá nhân: doanh nghiệp cần tổ chức thực hiện ra sao?

Doanh nghiệp cần nối từng quyền dữ liệu với người tiếp nhận, người quyết định và bộ phận thực hiện. Bảng dưới đây giúp phân công công việc, xử lý yêu cầu có nhiều nội dung và lưu bằng chứng hoàn tất.

Doanh nghiệp cần xây dựng quy trình, thủ tục và biểu mẫu thực hiện quyền phù hợp với hoạt động xử lý dữ liệu, đồng thời bảo đảm cá nhân biết cách sử dụng. Quy trình phải xác định ai tiếp nhận, ai kiểm tra căn cứ, ai thao tác trên hệ thống và ai trả kết quả. Từng yêu cầu có điều kiện và thời hạn riêng; việc ghi chung “giải quyết trong 72 giờ” hoặc giao toàn bộ cho bộ phận công nghệ không đáp ứng đúng yêu cầu tổ chức công việc. Nghĩa vụ này đặt trực tiếp lên bên kiểm soát, bên kiểm soát và xử lý dữ liệu tại khoản 4, khoản 5 Điều 4 Luật Bảo vệ dữ liệu cá nhân và Điều 5 Nghị định 356/2025/NĐ-CP.

Xác định đúng người có quyền và trách nhiệm của doanh nghiệp

Chủ thể dữ liệu cá nhân là người được dữ liệu phản ánh theo khoản 5 Điều 2 Luật. Trong hoạt động doanh nghiệp, đó có thể là khách hàng, người lao động, ứng viên, người nhận hàng hoặc người liên hệ của đối tác. Quyền của họ không phụ thuộc việc đã mua hàng hay còn tài khoản đang hoạt động. Phải xem doanh nghiệp đang xử lý dữ liệu của ai và trên căn cứ nào.

Trách nhiệm cũng không được xác định chỉ bằng tên phòng ban. Bên kiểm soát quyết định mục đích, phương tiện xử lý; bên xử lý thực hiện theo yêu cầu, thông qua thỏa thuận hoặc hợp đồng. Một doanh nghiệp có thể giữ các vai trò khác nhau đối với những hoạt động khác nhau. Căn cứ phân biệt nằm ở khoản 7 đến khoản 9 Điều 2 Luật.

Điểm e khoản 1 Điều 37 yêu cầu bên kiểm soát bảo đảm các quyền của chủ thể dữ liệu. Bên kiểm soát và xử lý thực hiện trách nhiệm của cả hai vai trò theo khoản 3. Khi thuê nền tảng hoặc đơn vị hỗ trợ, doanh nghiệp cần đưa việc phối hợp thực hiện quyền vào hợp đồng; không thể chỉ hướng khách tự tìm nhà cung cấp để giải quyết phần công việc thuộc trách nhiệm của mình.

Nếu doanh nghiệp chỉ là bên xử lý cho khách hàng tổ chức, cần xác định người có thẩm quyền ra chỉ dẫn và cơ chế chuyển yêu cầu theo hợp đồng. Tự xuất toàn bộ dữ liệu cho một người gửi email nhận là khách hàng có thể vượt phạm vi được giao. Ngược lại, giữ yêu cầu trong hộp thư hỗ trợ mà không chuyển đúng đầu mối cũng làm đứt quy trình phối hợp.

Bảng quyền và đầu mối xử lý

Khoản 1 Điều 4 Luật ghi nhận các nhóm quyền dưới đây. Bảng phân công là phương án tổ chức nội bộ để tham khảo, không phải yêu cầu pháp luật buộc mọi doanh nghiệp thành lập từng phòng ban riêng. Một người có thể kiêm nhiệm, nhưng người có thẩm quyền quyết định và bằng chứng thực hiện vẫn phải xác định được.

Để dùng bảng, doanh nghiệp cần thay tên đầu mối bằng người hoặc chức danh cụ thể, ghi kênh chuyển việc và người thay thế khi vắng mặt. Mỗi hoạt động nên có danh sách hệ thống và bên đang giữ dữ liệu. Nếu chỉ ghi “pháp chế xử lý” nhưng pháp chế không có quyền tìm hồ sơ hoặc yêu cầu nhà cung cấp thao tác, bảng chưa đủ để vận hành.

Quyền được biết và lựa chọn đồng ý cần được tổ chức ngay tại hoạt động thu thập, sử dụng, không đợi khách khiếu nại. Khi dựa vào đồng ý, Điều 9 Luật và Điều 6 Nghị định 356 yêu cầu tính tự nguyện, thông tin cần biết, lựa chọn theo từng mục đích và khả năng kiểm chứng. Có thể đối chiếu thêm bài sự đồng ý xử lý dữ liệu cá nhân hợp lệ cần đáp ứng điều kiện gì để thiết kế phần này.

Tổ chức một quy trình từ tiếp nhận đến trả kết quả

Tiếp nhận theo nội dung thực tế của yêu cầu

Doanh nghiệp nên có một nơi theo dõi tập trung, dù yêu cầu đến qua nhiều kênh. Nhân viên tiếp nhận cần ghi thời điểm, nội dung nguyên gốc, kênh, thông tin hồ sơ liên quan và người phụ trách. Khách không nhất thiết sử dụng đúng tên một quyền trong Luật. Câu “hãy gửi thông tin đang lưu về tôi và sửa số điện thoại” chứa ít nhất hai công việc cần được theo dõi riêng.

Khoản 1 Điều 5 Nghị định 356 yêu cầu thủ tục, biểu mẫu rõ ràng và để chủ thể được biết. Đây không phải căn cứ tạo thêm rào cản như bắt mọi người đến trụ sở hoặc nộp lại yêu cầu chỉ vì đã gửi qua một đầu mối khác. Khi cần bổ sung, phải chỉ ra thiếu thông tin gì và hướng dẫn cách hoàn thiện phù hợp.

Không nên dùng một mẫu quá dài cho mọi việc. Yêu cầu xem thông tin liên hệ trong tài khoản có thể cần bước kiểm tra khác với yêu cầu nhận bản sao hồ sơ chứa dữ liệu nhạy cảm. Với rút lại đồng ý hoặc hạn chế xử lý, phải đối chiếu riêng hình thức văn bản, dạng điện tử hoặc định dạng kiểm chứng được tại khoản 2 Điều 10 Luật.

Xác minh đủ để bảo vệ đúng người

Người tiếp nhận cần đối chiếu người yêu cầu với hồ sơ, tài khoản và phương thức liên hệ phù hợp. Việc đăng nhập thành công có thể là một yếu tố xác minh, nhưng phải xem dấu hiệu chiếm quyền, thay đổi email hoặc yêu cầu nhận dữ liệu ở địa chỉ mới. Không tiết lộ trước nội dung hồ sơ chỉ để hỏi người gửi xác nhận.

Phương án xác minh cần cân đối nguy cơ gửi nhầm với nghĩa vụ tạo thuận lợi tại khoản 4 Điều 4 Luật. Thu thêm ảnh căn cước cho mọi yêu cầu có thể làm tăng dữ liệu nhạy cảm phải bảo vệ. Doanh nghiệp nên sử dụng thông tin đã có và chỉ yêu cầu bổ sung phần cần thiết, có mục đích rõ theo khoản 2 Điều 3. Các cách xác minh cụ thể là lựa chọn quản trị cần được kiểm tra theo hệ thống thực tế.

Yêu cầu do người khác gửi phải làm rõ tư cách, căn cứ và phạm vi đại diện hoặc việc đồng ý cung cấp cho người đó. Không suy từ quan hệ vợ chồng, đồng nghiệp hay người từng đặt dịch vụ hộ rằng người gửi được nhận toàn bộ hồ sơ. Trường hợp trẻ em hoặc chủ thể thuộc nhóm đặc thù cần được chuyển để rà quy định tương ứng.

Quyết định theo từng dữ liệu và mục đích

Một yêu cầu có thể được thực hiện toàn bộ, một phần hoặc có nội dung chưa thể thực hiện trên căn cứ cụ thể. Người quyết định phải chỉ ra dữ liệu nào thuộc trường hợp nào. Không dùng nhãn “dữ liệu công ty” hoặc “đang thực hiện hợp đồng” để từ chối mọi quyền.

Ví dụ, Điều 14 Luật đặt điều kiện và ngoại lệ đối với yêu cầu xóa; Điều 15 có quy định riêng về cung cấp cho chủ thể dữ liệu. Lý do không xóa một chứng từ không tự đồng nghĩa được từ chối cho cá nhân tiếp cận dữ liệu của mình trong chứng từ đó. Cũng không nên suy rằng rút đồng ý cho một mục đích sẽ tự hủy toàn bộ quan hệ dịch vụ.

Khoản 3 Điều 4 yêu cầu việc thực hiện quyền không xâm phạm quyền, lợi ích hợp pháp của chủ thể khác và không cản trở nghĩa vụ pháp lý của các bên. Đồng thời, khoản 4 yêu cầu các bên tạo điều kiện thuận lợi. Hai nhóm yêu cầu phải được đọc cùng nhau: bảo vệ quyền của người khác cần lý do và cách xử lý phù hợp, không trở thành câu trả lời từ chối chung.

Giao việc đến nơi có thể thực hiện

Nghiệp vụ xác định hồ sơ và mục đích; pháp chế hoặc đầu mối chuyên môn kiểm tra căn cứ; kỹ thuật xác nhận nơi lưu và thao tác; người quản lý hợp đồng liên hệ bên cung cấp. Người theo dõi yêu cầu tổng hợp kết quả, kiểm tra việc còn thiếu và chuẩn bị phản hồi.

Nên ghi hạn nội bộ sớm hơn hạn áp dụng để còn thời gian kiểm tra. Hợp đồng với nhà cung cấp cần có cơ chế tìm, xuất, sửa, dừng hoặc xóa theo phạm vi được giao. Khoản 1 Điều 7 Nghị định 356 có nội dung về thực hiện quyền trong thỏa thuận chuyển giao thuộc phạm vi điều khoản này. Bài hợp đồng xử lý dữ liệu cá nhân cần có những điều khoản nào giúp rà phần phối hợp thay vì chỉ dựa vào cam kết bảo mật.

Trả lời đúng kết quả đã kiểm chứng

Thông báo kết quả nên cho biết phần đã làm, thời điểm, phạm vi và phần chưa làm cùng lý do phù hợp. “Đã chuyển IT” là trạng thái nội bộ, chưa phải hoàn thành yêu cầu. Tương tự, gửi yêu cầu cho nhà cung cấp chưa chứng minh họ đã thực hiện.

Hồ sơ nên giữ mã yêu cầu, căn cứ quyết định, trao đổi cần thiết, kết quả từng bên và phản hồi cuối. Việc lưu bằng chứng cũng phải có giới hạn truy cập, mục đích và thời gian phù hợp. Không sao chép thêm toàn bộ dữ liệu cá nhân chỉ để chứng minh đã xử lý một yêu cầu.

Thời hạn phải gắn với đúng quyền

Các khoản 2 đến 5 Điều 5 Nghị định 356 quy định phản hồi trong 2 ngày làm việc khi nhận yêu cầu theo đúng thủ tục đối với những nhóm yêu cầu được nêu. Thời hạn thực hiện khác nhau: nhóm rút đồng ý, hạn chế, phản đối có mốc 15 ngày; nhóm xem, chỉnh sửa, cung cấp có mốc 10 ngày; yêu cầu xóa có mốc 20 ngày; yêu cầu biện pháp bảo vệ có mốc 15 ngày. Còn phải xét trường hợp phối hợp và gia hạn đúng từng khoản.

Không đưa mốc phản hồi 2 ngày làm việc thành thời hạn chung cho cả khiếu nại, tố cáo, khởi kiện hay bồi thường. Các quyền này thực hiện theo pháp luật về thủ tục tương ứng. Việc doanh nghiệp tự đặt thời gian trả lời nội bộ không thay đổi thẩm quyền hay thời hạn của cơ quan giải quyết.

Với yêu cầu có nhiều nội dung, cần lập các việc và mốc riêng trong cùng hồ sơ. Phần đủ điều kiện thực hiện không nên bị giữ lại chỉ vì một phần khác còn chờ làm rõ. Trường hợp xóa có thể đối chiếu bài khách hàng yêu cầu xóa dữ liệu cá nhân, doanh nghiệp phải làm gì; không áp nguyên thời hạn xóa cho việc cung cấp hay chỉnh sửa.

Tình huống khách muốn nhận dữ liệu và sửa thông tin trên hai hệ thống

Tình huống giả định: Công ty A nhận yêu cầu từ tài khoản khách hàng đã được xác thực: khách muốn biết dữ liệu đang lưu về mình, nhận bản sao lịch sử yêu cầu dịch vụ và sửa một số điện thoại bị ghi sai. Thông tin nằm ở hệ thống bán hàng và nền tảng hỗ trợ thuê ngoài. Nhân viên ban đầu chỉ sửa trong hệ thống bán hàng rồi định đóng yêu cầu.

A cần tách việc cung cấp dữ liệu và việc chỉnh sửa, xác nhận phạm vi, ghi thời điểm nhận và thời hạn theo khoản 3 Điều 5 Nghị định 356. Bộ phận nghiệp vụ xác định số điện thoại đúng trên căn cứ phù hợp; người quản lý nhà cung cấp yêu cầu sửa tại nền tảng hỗ trợ và kiểm tra kết quả. Việc sửa trên một hệ thống chưa chứng minh dữ liệu sai đã được xử lý ở mọi nơi thuộc phạm vi.

Đối với bản sao lịch sử hỗ trợ, người chuẩn bị phải rà thông tin của nhân viên và khách khác nếu có trong cùng trao đổi, xác định phần được cung cấp. Việc cần bên ngoài chỉnh sửa có mốc riêng theo khoản 3; không vì vậy tự kéo dài toàn bộ yêu cầu cung cấp dữ liệu. Mỗi phần cần được theo dõi đúng nội dung và căn cứ.

Đầu ra gồm kết luận về phạm vi, bằng chứng sửa ở từng hệ thống, gói dữ liệu đã kiểm tra và phản hồi cho khách. Nếu một phần chưa thể hoàn tất, A phải xử lý nghĩa vụ thông báo, thời hạn hoặc gia hạn tương ứng, không ghi “đã giải quyết toàn bộ”. Đây là ví dụ tổ chức phối hợp, không phải vụ việc thực tế của Justix.

Câu hỏi thường gặp

Doanh nghiệp nhỏ có thể chỉ để một người tiếp nhận không?

Có thể tổ chức đầu mối phù hợp quy mô, nhưng người đó phải có cơ chế yêu cầu các bộ phận và bên cung cấp phối hợp. Việc gộp vai trò không thay nghĩa vụ có thủ tục rõ, thực hiện quyền và bảo vệ dữ liệu. Cần có người thay thế để yêu cầu không bị ngừng theo dõi khi đầu mối vắng mặt.

Khách không viện dẫn điều luật thì có cần xử lý không?

Cần đọc nội dung để nhận diện quyền mà khách muốn thực hiện và hướng dẫn phần còn thiếu. Khoản 1 Điều 5 yêu cầu doanh nghiệp làm rõ thủ tục cho cá nhân; việc người gửi không biết số điều luật không tự là căn cứ bỏ qua yêu cầu.

Có chính sách bảo mật trên website đã đủ chưa?

Chưa đủ nếu không có người và hệ thống thực hiện. Chính sách cần thống nhất với quy trình, biểu mẫu, phân công, hợp đồng và bằng chứng vận hành. Có thể liên kết hồ sơ thực hiện quyền với bộ tài liệu tuân thủ dữ liệu cá nhân trong doanh nghiệp để quản lý phiên bản và trách nhiệm.

Có thể bắt khách từ bỏ quyền khiếu nại để nhận dữ liệu không?

Không nên đặt điều kiện cản trở quyền được pháp luật ghi nhận. Điểm đ khoản 1 Điều 4 ghi nhận quyền khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường theo pháp luật; khoản 4 yêu cầu tạo điều kiện thuận lợi. Điều kiện giao nhận dữ liệu cần phục vụ xác minh, phạm vi và an toàn, không trở thành việc buộc từ bỏ quyền khác.

Justix hỗ trợ xây dựng quy trình thực hiện quyền

Doanh nghiệp nên chuẩn bị sơ đồ đầu mối, danh sách hệ thống, hợp đồng bên cung cấp và một số yêu cầu đã lược thông tin cá nhân. Trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, Justix hỗ trợ rà trách nhiệm, xây dựng thủ tục tiếp nhận, xác minh, phản hồi và biểu mẫu theo phạm vi thống nhất. Khả năng thao tác trên hệ thống cần được bộ phận kỹ thuật xác nhận. Có thể gửi mô tả nhu cầu qua trang liên hệ Justix.