Tuân thủ bảo vệ dữ liệu cá nhân: kế hoạch 8 bước cho doanh nghiệp vừa và nhỏ

Bảo vệ dữ liệu cá nhân không còn là chuyện riêng của công ty công nghệ. Doanh nghiệp nào cũng xử lý dữ liệu cá nhân: danh sách khách hàng, số điện thoại trong nhóm chat bán hàng, hồ sơ ứng viên, bảng lương, camera tại cửa hàng. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026, cùng ngày với Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết. Mức phạt tối đa với vi phạm chuyển dữ liệu xuyên biên giới lên tới 5% doanh thu năm liền trước, mua bán dữ liệu trái phép tới 10 lần khoản thu có được; xem tin về Luật Bảo vệ dữ liệu cá nhân.

Bài viết đưa ra kế hoạch tám bước thực tế cho doanh nghiệp vừa và nhỏ. Đây là hướng dẫn chung; khi gặp tình huống cụ thể, đặc biệt với dữ liệu nhạy cảm hoặc chuyển dữ liệu ra nước ngoài, doanh nghiệp nên hỏi ý kiến luật sư.

Bước 1: Lập danh mục dữ liệu cá nhân

Không thể bảo vệ thứ mình không biết đang có. Đi qua từng bộ phận và ghi lại:

Danh mục này là nền tảng cho mọi bước sau, và thường làm lộ ra những chỗ không ngờ: bảng tính khách hàng trên máy cá nhân, nhóm chat chứa ảnh căn cước công dân, dữ liệu ứng viên lưu vô thời hạn.

Bước 2: Xác định dữ liệu nhạy cảm

Một số loại dữ liệu được bảo vệ chặt hơn, như dữ liệu về sức khỏe, tài chính, sinh trắc học, vị trí, tình trạng tội phạm và một số loại khác theo quy định. Doanh nghiệp trong ngành y tế, giáo dục, tài chính, bảo hiểm, thẩm mỹ, tuyển dụng thường xử lý dữ liệu nhạy cảm và cần quan tâm đặc biệt. Luật có điều khoản miễn trừ một số nghĩa vụ cho doanh nghiệp nhỏ, siêu nhỏ và khởi nghiệp trong thời gian nhất định, nhưng miễn trừ không áp dụng khi xử lý dữ liệu nhạy cảm hoặc dữ liệu của số lượng lớn chủ thể.

Bước 3: Rà soát cơ sở xử lý và sự đồng ý

Với mỗi mục đích sử dụng, xác định cơ sở pháp lý. Trong hoạt động thương mại, sự đồng ý của chủ thể dữ liệu là cơ sở phổ biến nhất. Sự đồng ý hợp lệ cần:

• Tự nguyện, rõ ràng, gắn với mục đích cụ thể.
• Thể hiện được, lưu lại được (form có ô đánh dấu, tin nhắn xác nhận).
• Không được chọn sẵn, không gộp nhiều mục đích vào một ô.
• Có cách rút lại sự đồng ý dễ dàng.

Marketing là nơi rủi ro nhất. Xem email marketing không thành thư rác và marketing qua kênh nhắn tin. Tuyệt đối không mua bán danh sách khách hàng.

Bước 4: Viết chính sách và thông báo

Doanh nghiệp cần một chính sách bảo vệ dữ liệu cá nhân công khai trên website, viết bằng ngôn ngữ dễ hiểu, cho biết: thu thập gì, để làm gì, lưu bao lâu, chia sẻ với ai, quyền của chủ thể dữ liệu và cách liên hệ. Tại các điểm thu thập (form, quầy, hội chợ), có thông báo ngắn kèm đường dẫn đến chính sách đầy đủ. Xem cách ThuongHieu.vn trình bày tại chính sách dữ liệu.

Nội bộ, cần quy định về xử lý dữ liệu cho nhân viên: được làm gì, không được làm gì, báo cáo sự cố cho ai.

Bước 5: Phân công người phụ trách

Doanh nghiệp cần chỉ định bộ phận hoặc nhân sự phụ trách bảo vệ dữ liệu cá nhân. Theo tóm tắt Nghị định 356/2025 của LuatVietnam và EY, nhân sự này cần có trình độ từ cao đẳng trở lên và ít nhất hai năm kinh nghiệm trong một trong các lĩnh vực như pháp luật, công nghệ thông tin, an ninh mạng, quản trị rủi ro, tuân thủ hoặc nhân sự. Doanh nghiệp có thể thuê tổ chức, cá nhân bên ngoài cung cấp dịch vụ này. Với doanh nghiệp nhỏ thuộc diện miễn trừ, nên kiểm tra kỹ điều kiện và thời hạn được miễn.

Dù có người phụ trách, trách nhiệm cuối cùng vẫn thuộc về ban lãnh đạo.

Bước 6: Đánh giá tác động và hợp đồng với bên thứ ba

Luật yêu cầu lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong các trường hợp theo quy định, và hồ sơ đánh giá tác động khi chuyển dữ liệu ra nước ngoài. Lưu ý: dùng dịch vụ đám mây, email, phần mềm có máy chủ đặt ở nước ngoài có thể là chuyển dữ liệu xuyên biên giới.

Với bên thứ ba xử lý dữ liệu thay doanh nghiệp (đơn vị vận chuyển, phần mềm, agency quảng cáo, kế toán thuê ngoài), hợp đồng cần quy định rõ phạm vi xử lý, nghĩa vụ bảo mật, xóa dữ liệu khi kết thúc. Khi chọn đối tác, xem thẩm định đối tác kinh doanh.

Bước 7: Biện pháp an toàn

Những biện pháp tối thiểu, không tốn nhiều chi phí:

• Phân quyền: nhân viên chỉ truy cập dữ liệu cần cho công việc.
• Xác thực hai lớp cho email, phần mềm bán hàng, quản lý khách hàng.
• Thu hồi tài khoản ngay khi nhân viên nghỉ việc.
• Không lưu dữ liệu khách hàng trên tài khoản cá nhân, ổ USB không mã hóa.
• Xóa dữ liệu khi hết thời hạn lưu (ví dụ hồ sơ ứng viên không trúng tuyển).
• Sao lưu và kiểm tra khôi phục.

Các biện pháp này là một phần của lộ trình chuyển đổi số.

Bước 8: Quy trình xử lý yêu cầu và sự cố

Yêu cầu của chủ thể dữ liệu

Khách hàng, nhân viên có quyền yêu cầu xem, sửa, xóa dữ liệu, rút lại sự đồng ý. Chỉ định một đầu mối nhận yêu cầu (email riêng), ghi nhận và phản hồi trong thời hạn luật định.

Sự cố dữ liệu

Khi bị lộ, mất dữ liệu: khoanh vùng, đánh giá phạm vi, thông báo cho cơ quan có thẩm quyền theo thời hạn quy định, và thông báo cho người bị ảnh hưởng khi cần. Chuẩn bị kịch bản trước, vì sự cố dữ liệu cũng là khủng hoảng truyền thông.

Lịch triển khai gợi ý

Tuân thủ là lợi thế thương hiệu

Khách hàng ngày càng quan tâm dữ liệu của họ được dùng thế nào. Doanh nghiệp minh bạch về dữ liệu tạo được niềm tin, một tài sản quan trọng của thương hiệu. Ngược lại, một vụ lộ dữ liệu có thể xóa đi nhiều năm xây dựng uy tín.

Các hướng dẫn khác có tại chuyên mục Cẩm nang doanh nghiệp.

Nguồn

• Cổng Pháp luật quốc gia: Luật Bảo vệ dữ liệu cá nhân 2025
• LuatVietnam: Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân
• EY Việt Nam: Nghị định số 356/2025/NĐ-CP