Thu thập dữ liệu trước khi thành lập công ty: xác định nghĩa vụ hồ sơ thế nào?

Thu thập dữ liệu trước khi thành lập công ty: xác định nghĩa vụ hồ sơ thế nào?

Chưa thành lập công ty không có nghĩa là hoạt động thu thập dữ liệu chưa phát sinh trách nhiệm. Cần xác định người đang thu thập, căn cứ chuyển dữ liệu cho công ty mới và ngày bắt đầu xử lý của từng chủ thể để xem xét nghĩa vụ hồ sơ.

Dữ liệu được thu thập trước khi công ty ra đời phải được xem xét theo người thực sự quyết định và thực hiện việc thu thập ở thời điểm đó. Khi công ty mới tiếp nhận dữ liệu, cần đánh giá tiếp căn cứ chuyển giao và hoạt động xử lý của công ty; không lấy ngày cấp đăng ký doanh nghiệp làm mốc duy nhất cho cả hai giai đoạn. Nếu thuộc diện phải lập, gửi hồ sơ đánh giá tác động, thời hạn 60 ngày gắn với ngày bắt đầu xử lý của chủ thể có nghĩa vụ. Vì vậy, việc cần làm trước tiên là dựng lại lịch sử dữ liệu, thay vì điền tên công ty mới vào toàn bộ tài liệu cũ.

Chưa có công ty, ai chịu trách nhiệm với dữ liệu đã thu thập?

Một người sáng lập lập biểu mẫu nhận CV, tải danh sách khách đăng ký hoặc giữ số điện thoại người quan tâm đã thực hiện hoạt động xử lý dữ liệu cá nhân. Khái niệm xử lý tại khoản 6 Điều 2 Luật Bảo vệ dữ liệu cá nhân bao gồm thu thập, lưu trữ và nhiều hoạt động khác; không phải chờ bán hàng hoặc ký hợp đồng với khách hàng mới tính là xử lý. Luật cũng áp dụng đối với cá nhân thuộc phạm vi điều chỉnh, không chỉ doanh nghiệp. Điều 1, Điều 2 Luật số 91/2025/QH15.

Muốn xác định trách nhiệm, cần hỏi ai quyết định mục đích nhận thông tin, ai chọn các trường thu thập, ai có quyền xem và sử dụng danh sách. Người tạo tài khoản biểu mẫu có thể là người quyết định hoạt động, cũng có thể chỉ làm theo yêu cầu của một tổ chức đang tồn tại. Tên thương hiệu dự kiến trên trang giới thiệu chưa đủ để xác định một pháp nhân đã thu thập dữ liệu.

Ví dụ, nếu người sáng lập P tự quyết định nhận CV để xây dựng nhóm kinh doanh tương lai, cần xem xét vai trò của P trong hoạt động đó. Nếu P làm theo hợp đồng với một công ty đang hoạt động, phải đọc hợp đồng và cách vận hành để xác định vai trò của các bên. Cách nhận diện này dựa trên quyền quyết định mục đích, phương tiện và việc trực tiếp xử lý theo khoản 7–9 Điều 2 Luật, không dựa riêng vào chức danh “người sáng lập”.

Không nên ghi lùi rằng công ty mới là bên thu thập toàn bộ dữ liệu từ trước ngày công ty được thành lập. Hồ sơ phải giải thích đúng chủ thể theo từng giai đoạn; phần nào chưa đủ bằng chứng cần được xác minh trước khi ký.

Có giấy đăng ký doanh nghiệp, dữ liệu cũ có tự chuyển sang công ty không?

Hợp đồng trước thành lập và căn cứ xử lý dữ liệu là hai việc cần đối chiếu

Điều 18 Luật Doanh nghiệp cho phép người thành lập doanh nghiệp ký hợp đồng phục vụ việc thành lập, hoạt động của doanh nghiệp trước và trong quá trình đăng ký. Khi được cấp giấy chứng nhận đăng ký doanh nghiệp, doanh nghiệp tiếp tục thực hiện quyền, nghĩa vụ từ hợp đồng theo quy định; các bên thực hiện chuyển giao quyền, nghĩa vụ theo pháp luật dân sự, trừ trường hợp hợp đồng có thỏa thuận khác. Đây là căn cứ cần đọc khi xử lý hợp đồng thuê phần mềm, thuê tuyển dụng hoặc dịch vụ trước thành lập. Điều 18, văn bản hợp nhất Luật Doanh nghiệp số 67/VBHN-VPQH.

Tuy nhiên, việc tiếp tục một hợp đồng chưa đủ để kết luận mọi dữ liệu có trong tài khoản cá nhân đều được chuyển sang công ty và dùng cho mọi mục đích. Việc chuyển giao dữ liệu cần đối chiếu Điều 17 Luật Bảo vệ dữ liệu cá nhân; việc công ty sử dụng dữ liệu sau đó còn phải đáp ứng nguyên tắc xử lý và căn cứ phù hợp, bao gồm sự đồng ý hoặc trường hợp xử lý không cần sự đồng ý được pháp luật cho phép.

Khoản 1 Điều 17 quy định nhiều trường hợp chuyển giao: có sự đồng ý; chuyển nội bộ trong tổ chức; các trường hợp tổ chức lại được liệt kê; chuyển từ bên kiểm soát hoặc bên kiểm soát và xử lý cho bên xử lý, bên thứ ba để xử lý đúng quy định; cùng các trường hợp khác tại điều luật. Người sáng lập chuyển danh sách của mình cho một công ty mới không đương nhiên là “chuyển nội bộ”, cũng không tự động là một trường hợp tổ chức lại doanh nghiệp. Cần xác định đúng quan hệ và điều kiện áp dụng. Điều 3, Điều 9, Điều 17, Điều 19 Luật số 91/2025/QH15.

Kiểm tra nội dung người có dữ liệu đã được biết và đã đồng ý

Nếu việc thu thập ban đầu dựa vào sự đồng ý, cần kiểm tra chủ thể thu thập, sử dụng đã được thông báo, mục đích, loại dữ liệu và phạm vi hoạt động trong nội dung đồng ý đó. Một câu “để lại số điện thoại để P liên hệ về dự án” không tự chứng minh người đăng ký đã đồng ý để công ty mới sử dụng số điện thoại cho mọi chiến dịch bán hàng.

Trường hợp căn cứ cũ chưa bao quát việc chuyển giao hoặc mục đích mới, cần xác định cách bổ sung căn cứ hợp pháp trước khi chuyển, sử dụng. Nếu dựa vào sự đồng ý, phải đáp ứng điều kiện của Điều 9 Luật và có bằng chứng theo Điều 6 Nghị định 356; nếu viện dẫn trường hợp không cần sự đồng ý, phải chỉ ra trường hợp cụ thể và điều kiện thực tế. Không thể dùng một biên bản bàn giao nội bộ để thay cho phần căn cứ còn thiếu. Điều 9 Luật; Điều 6 Nghị định 356/2025/NĐ-CP.

Thời hạn 60 ngày tính từ lúc thu thập hay từ ngày thành lập?

Khoản 1 Điều 21 Luật quy định bên kiểm soát, bên kiểm soát và xử lý lập, lưu giữ hồ sơ và gửi một bản chính đến cơ quan chuyên trách trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ trường hợp được miễn theo quy định. Khoản 3 quy định trách nhiệm lập, lưu giữ của bên xử lý theo thỏa thuận; khi xác định thủ tục còn phải đọc Điều 19 Nghị định 356. Vì vậy, trước khi tính ngày cần xác định đúng chủ thể, vai trò, hoạt động và điều kiện miễn. Điều 21 Luật; Điều 19 Nghị định 356.

Với người sáng lập đã tự thu thập trước thành lập, phải đánh giá nghĩa vụ của người đó theo lịch sử thực tế. Với công ty mới, ngày bắt đầu xử lý có thể là ngày nhận và lưu dữ liệu bàn giao, nếu đó là hoạt động xử lý đầu tiên của công ty; cũng có thể sớm hơn ngày bàn giao nếu công ty đã xử lý dữ liệu khác sau khi thành lập. Ngày khai trương, phát sinh doanh thu hoặc thuê luật sư làm hồ sơ không tự thay thế mốc này.

Việc công ty lập hồ sơ sau khi nhận dữ liệu không xóa trách nhiệm của giai đoạn trước. Ngược lại, cũng không nên tự gán mọi hoạt động cá nhân trước thành lập thành hoạt động của công ty để suy ra công ty đã tồn tại và xử lý từ thời điểm đó. Hồ sơ cần thể hiện nguồn dữ liệu, sự tiếp nối hoạt động và căn cứ của từng lần chuyển giao.

Dòng thời gian chủ thể và dữ liệu: ví dụ áp dụng

Tình huống giả định, không phải khách hàng hoặc hồ sơ đã được cơ quan nhà nước tiếp nhận: P tự mở biểu mẫu nhận thông tin người quan tâm đến một dịch vụ dự kiến. Ngày 20/09/2026, Công ty A được thành lập. Ngày 23/09/2026, A dự kiến nhận danh sách của P để tiếp tục tư vấn. Ví dụ chỉ dùng để xác định việc cần kiểm tra, không kết luận P hoặc A được miễn hay đã tuân thủ.

Biên bản bàn giao nên ghi rõ bên giao, bên nhận, nhóm dữ liệu, nguồn, mục đích, căn cứ, thời điểm chuyển, tài khoản nhận và cách xử lý bản sao. Đây là đề xuất tổ chức chứng cứ, không phải một mẫu nhà nước bắt buộc chung. Không cần đính kèm toàn bộ danh sách có dữ liệu cá nhân vào mọi email xin duyệt; có thể dùng mã tệp, số lượng và nơi lưu có kiểm soát để đối chiếu.

Nếu không xác định được thông báo nào đã được hiển thị lúc thu thập, cần ghi nhận khoảng trống đó và tìm lại phiên bản biểu mẫu, email, nhật ký hệ thống. Không nên tự tạo một bản thông báo mới rồi ghi ngày cũ để chứng minh cho hoạt động đã xảy ra.

Công ty mới có được miễn lập hồ sơ không?

“Mới thành lập” chưa phải kết luận được miễn. Khoản 2 Điều 38 Luật có cơ chế lựa chọn cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp trong thời hạn 05 năm kể từ ngày Luật có hiệu lực, cùng các trường hợp loại trừ. Khoản 3 quy định phạm vi áp dụng đối với hộ kinh doanh, doanh nghiệp siêu nhỏ. Điều 41 Nghị định 356 cụ thể hóa, trong đó cần kiểm tra hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân, dữ liệu nhạy cảm và ngưỡng từ 100.000 chủ thể tính theo tích lũy. Không tính 05 năm lại từ ngày mỗi công ty được thành lập. Điều 38 Luật; Điều 41 Nghị định 356.

Cá nhân chuẩn bị thành lập công ty cũng không tự trở thành hộ kinh doanh hoặc doanh nghiệp siêu nhỏ để áp dụng các cơ chế này. Cần có tư cách và dữ kiện tương ứng. Bạn có thể đối chiếu thêm điều kiện doanh nghiệp siêu nhỏ được miễn hồ sơ và bài xác định nghĩa vụ đánh giá tác động trước khi kết luận cho từng giai đoạn.

Nếu dữ liệu còn được lưu trữ, truy cập hoặc xử lý qua luồng xuyên biên giới, cần đánh giá riêng Điều 20 Luật và các ngoại lệ liên quan. Hồ sơ xử lý không tự thay cho hồ sơ chuyển dữ liệu xuyên biên giới; xem bảng phân biệt hai loại hồ sơ.

Nên xử lý hồ sơ trước thành lập theo thứ tự nào?

Bước 1 — Người sáng lập dựng lại nguồn và lịch sử dữ liệu. Liệt kê biểu mẫu, CV, danh sách chờ, tài khoản lưu trữ và các lần chia sẻ. Đầu ra là dòng thời gian có bằng chứng, ghi rõ ai quyết định và ai thao tác; chưa cần sao chép toàn bộ dữ liệu vào một tệp mới.

Bước 2 — Người phụ trách pháp lý xác định căn cứ theo từng hoạt động. Đối chiếu nội dung thu thập, chuyển giao, mục đích của công ty mới và điều kiện đồng ý hoặc trường hợp khác. Đầu ra là danh mục luồng được tiếp tục, luồng cần bổ sung căn cứ và luồng cần dừng, hạn chế hoặc xử lý theo quy định.

Bước 3 — Người đại diện công ty và bên giao chốt việc bàn giao. Xác định hợp đồng cần tiếp tục theo Điều 18 Luật Doanh nghiệp, tài khoản nhận, người phụ trách và bản sao còn lại. Đầu ra là tài liệu chuyển giao phù hợp với căn cứ dữ liệu đã xác định; không dùng một điều khoản “bàn giao toàn bộ” để che phần chưa rõ nguồn.

Bước 4 — Từng chủ thể có nghĩa vụ xác định hồ sơ và thời hạn của mình. Người phụ trách đối chiếu vai trò, ngày đầu xử lý, điều kiện miễn và hồ sơ đã có. Đầu ra là kết luận có căn cứ cùng lịch thực hiện, không chỉ một ngày hạn tính từ giấy đăng ký doanh nghiệp.

Bước 5 — Bộ phận vận hành kiểm tra sau bàn giao. Kiểm tra quyền truy cập, bản sao, việc liên hệ người đăng ký và đầu mối tiếp nhận yêu cầu. Đầu ra là xác nhận bàn giao thực tế và danh sách vấn đề cần khắc phục, cập nhật hồ sơ khi có thay đổi thuộc diện phải cập nhật.

Câu hỏi thường gặp

Chỉ nhận CV, chưa ký hợp đồng lao động, có phải xem xét trách nhiệm dữ liệu không?

Có. Nhận, lưu và sử dụng CV đã là xử lý dữ liệu. Cần xem ai là chủ thể thực hiện, mục đích tuyển dụng, loại thông tin thu thập và nghĩa vụ tương ứng; không đợi đến khi ký hợp đồng mới đánh giá.

Công ty mới lập hồ sơ có giải quyết luôn phần thu thập trước đó không?

Hồ sơ của công ty cần phản ánh đúng nguồn và căn cứ nhận dữ liệu. Việc lập hồ sơ không tự hợp pháp hóa hoạt động trước đây hoặc loại bỏ trách nhiệm của người đã thu thập; phần thiếu căn cứ vẫn phải được xử lý.

Nếu dự án dừng và không thành lập công ty thì sao?

Khoản 3 Điều 18 Luật Doanh nghiệp quy định trách nhiệm đối với hợp đồng trước thành lập khi không được cấp đăng ký. Với dữ liệu, người đang giữ vẫn phải xem xét mục đích, thời hạn lưu và căn cứ xử lý, xóa hoặc hủy theo pháp luật; không để danh sách tồn tại vô thời hạn chỉ vì dự án chưa thành công.

Dùng email có tên thương hiệu dự kiến có chứng minh công ty đã thu thập không?

Không đủ. Cần đối chiếu tư cách chủ thể, nội dung biểu mẫu, người quyết định, quyền quản trị và lịch sử sử dụng. Email hoặc tên thương hiệu là một phần chứng cứ, không thay cho việc xác định chủ thể pháp lý.

Justix có thể hỗ trợ phần nào?

Nếu dữ liệu đã được thu thập qua nhiều giai đoạn, doanh nghiệp có thể trao đổi với Justix về dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Việc rà soát cần bắt đầu từ lịch sử dữ liệu, vai trò, căn cứ bàn giao và hồ sơ thực tế trước khi xác định phạm vi công việc.