Bảo vệ dữ liệu cá nhân cho doanh nghiệp phần mềm: Case study Justix rà soát hợp đồng và chính sách

Khách hàng là doanh nghiệp cung cấp phần mềm phục vụ hoạt động kinh doanh và quản trị. Trong quá trình sử dụng dịch vụ, thông tin có thể được tạo lập trực tiếp trên nền tảng, nhập từ tệp hoặc đồng bộ từ hệ thống mà khách hàng chủ động kết nối. Người có dữ liệu được xử lý có thể là người đăng ký tài khoản, nhân viên của đơn vị sử dụng phần mềm hoặc khách hàng của đơn vị đó.

Vì vậy, cùng một nền tảng có thể tham gia nhiều quan hệ xử lý dữ liệu. Với thông tin đăng ký và vận hành tài khoản, nhà cung cấp có mục đích sử dụng riêng. Với dữ liệu do khách hàng đưa lên để quản lý công việc, mục đích xử lý lại có thể do khách hàng quyết định. Chính sách, hợp đồng và cách vận hành phải thể hiện được sự khác biệt này.

Doanh nghiệp cần rà soát các tài liệu đang sử dụng theo từng dịch vụ, bổ sung nội dung bảo vệ dữ liệu cá nhân và chuẩn bị thông tin cho hồ sơ đánh giá tác động. Yêu cầu đặt ra là tài liệu pháp lý phải bám sát sản phẩm, đủ rõ để các bộ phận kinh doanh, chăm sóc khách hàng và kỹ thuật phối hợp thực hiện.

Vấn đề đầu tiên là xác định vai trò theo từng hoạt động. Việc gọi chung doanh nghiệp là “nhà cung cấp phần mềm” chưa đủ để xác định nghĩa vụ. Cần làm rõ bên nào quyết định mục đích, phương tiện xử lý; bên nào xử lý theo thỏa thuận; và khi nào nhà cung cấp tự quyết định việc sử dụng dữ liệu. Đây là cơ sở để phân định trách nhiệm trong hợp đồng theo Điều 2 và Điều 37 Luật Bảo vệ dữ liệu cá nhân.

Vấn đề tiếp theo là căn cứ xử lý và sự đồng ý. Việc người dùng chấp nhận điều khoản dịch vụ không tự động cho phép sử dụng dữ liệu vào mọi mục đích. Đối với hoạt động cần sự đồng ý, nội dung xin đồng ý phải đủ rõ, gắn với từng mục đích và có thể kiểm chứng; đồng thời phải xem xét riêng các trường hợp luật cho phép xử lý không cần sự đồng ý theo Điều 19. Căn cứ trực tiếp gồm Điều 9, Điều 10 Luật Bảo vệ dữ liệu cá nhân và Điều 6 Nghị định 356/2025/NĐ-CP.

Một vấn đề khác nằm ở vòng đời dữ liệu: ai được xem hoặc xuất tệp, dữ liệu được chia sẻ cho bên nào, xử lý ra sao khi người dùng yêu cầu xóa hoặc khi hợp đồng kết thúc. Những nội dung này cần được thể hiện nhất quán trong hợp đồng, chính sách và quy trình tiếp nhận yêu cầu, phù hợp với Điều 3, Điều 4, Điều 14, Điều 17 và Điều 37 của Luật.