I. Bảo vệ dữ liệu cá nhân – Không chỉ là vấn đề công nghệ

Trước đây, khi đề cập đến bảo vệ dữ liệu, nhiều doanh nghiệp thường tập trung vào các giải pháp kỹ thuật như cài đặt phần mềm bảo mật, sử dụng mật khẩu hoặc kiểm soát quyền truy cập hệ thống. Tuy nhiên, những biện pháp này chỉ giải quyết một phần vấn đề. Một hệ thống có khả năng bảo mật tốt vẫn có thể phát sinh vi phạm nếu dữ liệu được thu thập không đúng mục đích, sử dụng vượt quá phạm vi cần thiết hoặc cung cấp cho bên thứ ba không phù hợp với quy định pháp luật.

Về bản chất, bảo vệ dữ liệu cá nhân gắn liền với quyền và lợi ích hợp pháp của cá nhân có dữ liệu được thu thập, xử lý. Đối với doanh nghiệp, đây đồng thời là yêu cầu trong quá trình tổ chức hoạt động kinh doanh, xây dựng quan hệ lao động và duy trì niềm tin với khách hàng, đối tác.

Khung pháp lý hiện hành đã xác lập những yêu cầu cụ thể đối với hoạt động này. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026, cùng với Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật, là những căn cứ quan trọng để doanh nghiệp rà soát quy trình xử lý dữ liệu của mình.

Theo đó, doanh nghiệp cần quan tâm không chỉ đến việc dữ liệu có được bảo vệ về mặt kỹ thuật hay không, mà còn phải xem xét cơ sở xử lý dữ liệu, mục đích sử dụng, phạm vi thông tin được thu thập, quyền của chủ thể dữ liệu và trách nhiệm của các bên liên quan. Việc tuân thủ vì vậy cần được thực hiện xuyên suốt quá trình xử lý dữ liệu, thay vì chỉ tập trung khắc phục khi sự cố đã xảy ra.

II. Thực tiễn xử lý dữ liệu cá nhân tại doanh nghiệp và những rủi ro pháp lý

Mặc dù nhận thức về bảo mật thông tin ngày càng được nâng cao, việc xử lý dữ liệu cá nhân trong thực tế vẫn có thể phát sinh những bất cập từ các hoạt động quản lý thường ngày. Đáng chú ý, rủi ro không chỉ xuất hiện trong những giao dịch phức tạp mà còn có thể bắt nguồn từ các quy trình nội bộ tưởng chừng đơn giản.

Thứ nhất, doanh nghiệp có thể thu thập thông tin vượt quá nhu cầu thực tế. Trong quá trình tuyển dụng, chẳng hạn, việc yêu cầu ứng viên cung cấp nhiều loại thông tin không thực sự cần thiết hoặc tiếp tục lưu giữ hồ sơ của những người không được tuyển dụng mà không có căn cứ phù hợp có thể làm phát sinh vấn đề về tuân thủ. Điều 25 Luật Bảo vệ dữ liệu cá nhân quy định trách nhiệm của cơ quan, tổ chức, cá nhân trong tuyển dụng, quản lý và sử dụng người lao động, trong đó đặt ra yêu cầu về phạm vi thông tin được yêu cầu, mục đích sử dụng, sự đồng ý của người dự tuyển và việc xóa, hủy thông tin trong những trường hợp luật định.

Thứ hai, dữ liệu có thể bị sử dụng sai mục đích hoặc chia sẻ không phù hợp. Ví dụ, thông tin khách hàng được thu thập để thực hiện giao dịch nhưng sau đó được sử dụng cho hoạt động tiếp thị khác mà không đáp ứng các điều kiện pháp luật có liên quan. Tương tự, việc chuyển danh sách khách hàng, thông tin nhân viên hoặc hồ sơ ứng viên cho đối tác, đơn vị cung cấp dịch vụ cần được xem xét trên cơ sở mục đích xử lý, vai trò của các bên và căn cứ pháp lý tương ứng. Việc một doanh nghiệp đang nắm giữ dữ liệu không đồng nghĩa với việc doanh nghiệp được tự do sử dụng dữ liệu đó cho mọi mục đích.

Thứ ba, doanh nghiệp có thể chưa kiểm soát đầy đủ việc lưu trữ và truy cập dữ liệu. Hồ sơ nhân sự được lưu trên các thiết bị dùng chung, bảng thông tin khách hàng được gửi qua nhiều nhóm trao đổi hoặc tài khoản nội bộ vẫn có quyền truy cập dữ liệu sau khi nhân sự nghỉ việc đều có thể làm tăng nguy cơ lộ lọt thông tin. Nếu không có quy trình phân quyền, lưu trữ và xử lý dữ liệu phù hợp, doanh nghiệp sẽ gặp khó khăn khi xác định trách nhiệm, kiểm soát sự cố và chứng minh việc tuân thủ.

Những tình huống trên cho thấy rủi ro pháp lý về dữ liệu cá nhân không chỉ phụ thuộc vào mức độ hiện đại của hệ thống công nghệ mà còn gắn với cách doanh nghiệp thiết kế và thực hiện các quy trình quản trị. Vì vậy, việc rà soát hoạt động xử lý dữ liệu cần được tiến hành trên cả phương diện pháp lý, tổ chức và kỹ thuật. 

III. Tuân thủ pháp luật về dữ liệu cá nhân – Lợi ích lâu dài cho doanh nghiệp

Tuân thủ pháp luật về bảo vệ dữ liệu cá nhân không chỉ nhằm hạn chế nguy cơ vi phạm mà còn đem lại những lợi ích thiết thực đối với hoạt động quản trị và phát triển của doanh nghiệp.

Về phương diện pháp lý, việc xây dựng quy trình xử lý dữ liệu phù hợp giúp doanh nghiệp chủ động nhận diện nghĩa vụ cần thực hiện, kiểm soát phạm vi sử dụng thông tin và hạn chế các hành vi có nguy cơ xâm phạm quyền, lợi ích hợp pháp của cá nhân. Khi có sự cố phát sinh, hồ sơ và quy trình được xây dựng bài bản cũng hỗ trợ doanh nghiệp xác định nguyên nhân, trách nhiệm và biện pháp khắc phục phù hợp. Tuy nhiên, việc có đầy đủ văn bản nội bộ không đồng nghĩa với việc doanh nghiệp đương nhiên đã tuân thủ pháp luật; hiệu quả thực tế còn phụ thuộc vào cách các quy trình được triển khai.

Về phương diện kinh doanh, dữ liệu cá nhân thường gắn trực tiếp với niềm tin của khách hàng và đối tác. Một doanh nghiệp minh bạch về cách thu thập, sử dụng và bảo vệ thông tin sẽ có điều kiện thuận lợi hơn trong việc duy trì quan hệ với khách hàng, nâng cao uy tín và xây dựng hình ảnh chuyên nghiệp. Ngược lại, việc để xảy ra tình trạng lộ lọt hoặc sử dụng thông tin không phù hợp có thể làm suy giảm niềm tin, ảnh hưởng đến quan hệ thương mại và phát sinh chi phí xử lý hậu quả.

Về phương diện quản trị nội bộ, việc thiết lập quy trình bảo vệ dữ liệu giúp phân định rõ trách nhiệm giữa các bộ phận, từ nhân sự, kinh doanh đến công nghệ thông tin và bộ phận pháp chế. Nhờ đó, doanh nghiệp có thể hạn chế tình trạng thu thập trùng lặp, lưu trữ thiếu kiểm soát hoặc chia sẻ thông tin tùy tiện giữa các bộ phận.

Có thể thấy, tuân thủ pháp luật về bảo vệ dữ liệu cá nhân không nên được nhìn nhận đơn thuần như một khoản chi phí phát sinh. Đây còn là hoạt động đầu tư cho năng lực quản trị, khả năng kiểm soát rủi ro và sự phát triển ổn định của doanh nghiệp trong dài hạn.

IV. Kinh nghiệm thực tiễn và bài học cho doanh nghiệp Việt Nam

Từ những rủi ro có thể phát sinh trong hoạt động xử lý dữ liệu, một trong những vấn đề đáng quan tâm là khoảng cách giữa việc ban hành quy định nội bộ và việc thực hiện các quy định đó trên thực tế.

Trong nhiều trường hợp, doanh nghiệp có thể đã xây dựng chính sách bảo mật hoặc các văn bản liên quan nhưng chưa xác định đầy đủ loại dữ liệu đang xử lý, mục đích xử lý và những cá nhân, tổ chức có quyền tiếp cận dữ liệu. Khi hoạt động kinh doanh mở rộng, doanh nghiệp sử dụng thêm phần mềm quản lý khách hàng, dịch vụ lưu trữ trực tuyến hoặc đơn vị cung cấp dịch vụ nhân sự, phạm vi xử lý dữ liệu cũng có thể thay đổi. Nếu các thay đổi này không được rà soát kịp thời, những quy trình vốn phù hợp trước đây có thể không còn đáp ứng đầy đủ yêu cầu pháp lý.

Một ví dụ khác là việc doanh nghiệp lưu giữ hồ sơ ứng viên sau khi kết thúc quá trình tuyển dụng. Nếu không có quy định rõ ràng về thời hạn lưu trữ và mục đích tiếp tục sử dụng, dữ liệu có thể được giữ lại trong thời gian dài mà không có sự kiểm soát phù hợp. Điều 25 Luật Bảo vệ dữ liệu cá nhân đặt ra yêu cầu xóa, hủy thông tin của người dự tuyển không được tuyển dụng, trừ trường hợp có thỏa thuận khác; đồng thời quy định việc lưu trữ, xóa và hủy dữ liệu của người lao động theo thời hạn pháp luật hoặc thỏa thuận, cùng các ngoại lệ được pháp luật ghi nhận.

Bên cạnh đó, việc sử dụng các công cụ công nghệ để giám sát nhân viên, ghi nhận hình ảnh hoặc theo dõi hoạt động làm việc cũng đòi hỏi doanh nghiệp xem xét kỹ tính hợp pháp, sự minh bạch và quyền, lợi ích của người lao động. Không phải mọi biện pháp giám sát phục vụ quản lý đều mặc nhiên phù hợp với pháp luật. Doanh nghiệp cần xác định mục đích, phạm vi và phương thức thực hiện, đồng thời bảo đảm các yêu cầu pháp lý tương ứng.

Từ những tình huống trên, bài học đặt ra là doanh nghiệp không nên chỉ xử lý từng vấn đề khi có yêu cầu hoặc sự cố. Thay vào đó, cần tiếp cận bảo vệ dữ liệu cá nhân như một phần của hệ thống quản trị tuân thủ, được rà soát định kỳ và điều chỉnh khi mô hình kinh doanh, công nghệ hoặc quy định pháp luật thay đổi.

V. Kiến nghị hoàn thiện quy trình bảo vệ dữ liệu cá nhân trong doanh nghiệp

Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP đã có hiệu lực, vấn đề đặt ra đối với doanh nghiệp không chỉ là nhận diện các quy định cần tuân thủ mà còn là chuyển hóa những yêu cầu đó thành quy trình thực hiện cụ thể. Để nâng cao hiệu quả bảo vệ dữ liệu cá nhân, doanh nghiệp cần chú trọng một số định hướng sau:

Thứ nhất, rà soát toàn bộ hoạt động thu thập và xử lý dữ liệu cá nhân. Doanh nghiệp cần xác định dữ liệu được thu thập từ đâu, phục vụ mục đích gì, được lưu trữ ở đâu, ai có quyền truy cập và có được chia sẻ với bên thứ ba hay không. Trên cơ sở đó, doanh nghiệp đánh giá tính cần thiết, phạm vi và căn cứ pháp lý của từng hoạt động xử lý, tránh thu thập hoặc sử dụng dữ liệu vượt quá nhu cầu hợp pháp.

Thứ hai, xây dựng và hoàn thiện hệ thống văn bản, quy trình nội bộ phù hợp. Tùy theo hoạt động và nghĩa vụ pháp lý áp dụng, doanh nghiệp có thể cần rà soát thông báo về xử lý dữ liệu, cơ chế ghi nhận sự đồng ý khi cần thiết, quy định phân quyền truy cập, quy trình lưu trữ và xóa, hủy dữ liệu, cũng như thỏa thuận với các bên tham gia xử lý dữ liệu. Các tài liệu này cần phản ánh đúng hoạt động thực tế, thay vì chỉ được xây dựng để hoàn thiện hồ sơ trên giấy tờ.

Thứ ba, phân định trách nhiệm và nâng cao nhận thức của người lao động. Doanh nghiệp cần xác định bộ phận hoặc cá nhân phụ trách các công việc liên quan đến bảo vệ dữ liệu, quy định rõ trách nhiệm của từng bộ phận và tổ chức hướng dẫn nhân viên về cách tiếp nhận, sử dụng, chia sẻ và bảo vệ thông tin. Đặc biệt, những người trực tiếp làm việc với hồ sơ nhân sự, dữ liệu khách hàng và hệ thống thông tin cần được phổ biến quy trình phù hợp với công việc của mình.

Thứ tư, tăng cường các biện pháp kiểm soát và xử lý sự cố. Doanh nghiệp cần xem xét việc phân quyền theo vị trí công việc, bảo vệ tài khoản, kiểm soát việc sao chép và truyền dữ liệu, rà soát quyền truy cập khi nhân sự thay đổi vị trí hoặc chấm dứt công việc. Đồng thời, cần có quy trình tiếp nhận thông tin, đánh giá mức độ ảnh hưởng, xử lý và thực hiện nghĩa vụ thông báo theo quy định khi xảy ra sự cố liên quan đến dữ liệu cá nhân.

Thứ năm, thường xuyên cập nhật quy định pháp luật và đánh giá mức độ tuân thủ. Nghĩa vụ cụ thể có thể khác nhau tùy thuộc vào loại dữ liệu, vai trò của doanh nghiệp trong hoạt động xử lý và các trường hợp áp dụng theo luật. Vì vậy, doanh nghiệp cần xác định chính xác các yêu cầu áp dụng đối với mình, bao gồm nghĩa vụ lập hồ sơ đánh giá tác động, yêu cầu đối với hoạt động chuyển dữ liệu cá nhân xuyên biên giới và các trường hợp được áp dụng cơ chế đặc thù hoặc miễn trừ theo quy định pháp luật.

Việc thực hiện đồng bộ những giải pháp trên sẽ giúp doanh nghiệp chủ động hơn trong việc kiểm soát dữ liệu, giảm thiểu rủi ro và nâng cao hiệu quả quản trị. Quan trọng hơn, quá trình này cần được xem là hoạt động thường xuyên, gắn với sự thay đổi của mô hình kinh doanh và không ngừng được hoàn thiện theo yêu cầu pháp luật.

Kết luận

Bảo vệ dữ liệu cá nhân không đơn thuần là yêu cầu kỹ thuật mà còn là một nội dung quan trọng trong quản trị rủi ro và tuân thủ pháp luật của doanh nghiệp. Khi dữ liệu ngày càng giữ vai trò thiết yếu trong hoạt động kinh doanh, trách nhiệm bảo vệ thông tin cũng cần được đặt đúng vị trí trong chiến lược phát triển của mỗi tổ chức.

Việc chủ động rà soát hoạt động xử lý dữ liệu, hoàn thiện quy trình nội bộ và nâng cao nhận thức của người lao động sẽ giúp doanh nghiệp từng bước xây dựng môi trường kinh doanh minh bạch, an toàn và có trách nhiệm. Đây không chỉ là cách thức hạn chế những rủi ro pháp lý có thể phát sinh mà còn là nền tảng để củng cố niềm tin của khách hàng, đối tác và hướng tới sự phát triển bền vững trong dài hạn.

Trên đây là toàn bộ tư vấn của chúng tôi, hy vọng rằng, những ý kiến tư vấn này, sẽ giúp làm sáng tỏ các vấn đề mà Quý vị đang quan tâm. Để có thể làm rõ hơn và chi tiết từng vấn đề nêu trên cũng như các vấn đề pháp lý mà Quý vị đang cần tham khảo thêm ý kiến chuyên môn. Xin vui lòng liên hệ ngay cho chúng tôi theo địa chỉ email: luatsaosang@gmail.com hoặc qua tổng đài tư vấn: 0936.65.3636 để nhận được sự tư vấn, giải đáp và hỗ trợ từ Luật Sao Sáng. Trân trọng cảm ơn!