Thu thập
Nhận thông tin qua form, hợp đồng, hồ sơ ứng viên, camera, tổng đài, cookie, API, thiết bị hoặc nguồn khác.
Xử lý dữ liệu cá nhân là bất kỳ hoạt động nào tác động đến dữ liệu có thể xác định hoặc giúp xác định một người cụ thể. Thu thập thông tin qua biểu mẫu chỉ là một ví dụ. Phân tích hành vi, mã hóa, lưu trên cloud, cho nhân viên truy cập, chuyển cho đối tác, khử nhận dạng và cả xóa dữ liệu đều có thể thuộc quá trình xử lý.
Điều cần xác định không chỉ là “doanh nghiệp có thu thập dữ liệu hay không”, mà còn gồm: dữ liệu nào đang bị tác động; mục đích cụ thể là gì; ai quyết định mục đích và phương tiện; ai xử lý theo chỉ dẫn; hoạt động dựa trên sự đồng ý hay trường hợp pháp luật cho phép khác. Năm câu hỏi này giúp doanh nghiệp nhận diện đúng vai trò và nghĩa vụ trước khi đưa dữ liệu vào CRM, phần mềm nhân sự, hệ thống AI hoặc nhà cung cấp cloud.
Câu trả lời nhanh: thế nào được coi là xử lý dữ liệu cá nhân?
Một hoạt động được coi là xử lý dữ liệu cá nhân khi có đủ hai yếu tố: đối tượng bị tác động là dữ liệu cá nhân và có hành động tác động đến dữ liệu đó. Hành động có thể do con người thực hiện, do phần mềm tự động thực hiện hoặc do nhà cung cấp dịch vụ thực hiện thay doanh nghiệp.
Không cần chờ đến lúc sử dụng hoặc chia sẻ thông tin. Việc nhận hồ sơ ứng viên, ghi hình camera, sao lưu danh sách khách hàng, phân quyền xem dữ liệu, mã hóa tệp hoặc xóa một bản ghi đã có thể là một phần của hoạt động xử lý.
Xử lý dữ liệu cá nhân là gì theo Luật Bảo vệ dữ liệu cá nhân?
Khoản 6 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 xác định xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân. Luật liệt kê các hoạt động gồm thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao và các hoạt động khác tác động đến dữ liệu cá nhân.
Định nghĩa này cần được đọc cùng khoản 1 Điều 2: dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác có thể xác định hoặc giúp xác định một con người cụ thể. Vì vậy, một tệp không ghi đầy đủ họ tên vẫn có thể chứa dữ liệu cá nhân nếu số điện thoại, email, mã khách hàng, định danh thiết bị, hình ảnh hoặc dữ liệu kết hợp trong hệ thống giúp nhận ra người đó.
Điểm cần nhớ: pháp luật nhìn vào khả năng xác định con người và tác động thực tế lên dữ liệu, không chỉ nhìn vào tên của tệp, phần mềm hay quy trình. Đổi tên cột “số điện thoại” thành “mã liên hệ” không làm dữ liệu mất tính chất cá nhân nếu người dùng hệ thống vẫn có thể liên kết mã đó với một người cụ thể.
Luật số 91/2025/QH15 được ban hành ngày 26/06/2025 và có hiệu lực từ ngày 01/01/2026. Bạn có thể đối chiếu toàn văn Luật Bảo vệ dữ liệu cá nhân trên Cổng Thông tin điện tử Chính phủ.
Phân biệt xử lý dữ liệu cá nhân với các khái niệm dễ nhầm
| Khái niệm | Cách nhận diện | Ví dụ | Ý nghĩa pháp lý |
|---|---|---|---|
| Dữ liệu cá nhân | Dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một người cụ thể. | Họ tên gắn với số điện thoại; hồ sơ ứng viên; hình ảnh camera; tài khoản khách hàng. | Là đối tượng được bảo vệ. Chưa cần có hành động xử lý mới xác định được tính chất của dữ liệu. |
| Xử lý dữ liệu cá nhân | Một hoặc nhiều hoạt động tác động đến dữ liệu cá nhân. | Thu thập form, phân tích giao dịch, lưu hồ sơ, chia sẻ với bên vận chuyển, xóa tài khoản. | Làm phát sinh yêu cầu về mục đích, vai trò, căn cứ xử lý, quyền của cá nhân và biện pháp bảo vệ. |
| Bảo vệ dữ liệu cá nhân | Sử dụng lực lượng, phương tiện và biện pháp để phòng, chống hành vi xâm phạm dữ liệu cá nhân. | Phân quyền, mã hóa, quản lý nhà cung cấp, ứng phó sự cố, kiểm tra tuân thủ. | Là hệ thống biện pháp xuyên suốt quá trình xử lý, không chỉ là cài phần mềm bảo mật. |
| Dữ liệu đã khử nhận dạng | Dữ liệu đã được biến đổi hoặc xóa thông tin để không thể xác định hoặc giúp xác định một người cụ thể. | Bộ dữ liệu thống kê không còn khóa liên kết và không thể tái nhận dạng bằng nguồn dữ liệu hợp lý. | Sau khi khử nhận dạng đúng nghĩa, dữ liệu không còn là dữ liệu cá nhân. Che một phần thông tin nhưng vẫn có thể liên kết lại chưa chắc đã đạt yêu cầu này. |
Nếu bạn cần các biện pháp dành cho cá nhân thay vì cách nhận diện hoạt động của doanh nghiệp, xem bài bảo vệ dữ liệu cá nhân là gì. Hai nội dung có liên quan nhưng giải quyết hai nhu cầu khác nhau.
Những hoạt động nào được coi là xử lý dữ liệu cá nhân?
Danh sách trong Luật không phải một quy trình bắt buộc phải đi qua theo thứ tự. Chỉ cần thực hiện một hoạt động tác động đến dữ liệu cá nhân, cơ quan, tổ chức hoặc cá nhân đã tham gia xử lý dữ liệu.
Phân tích và tổng hợp
Nhóm khách hàng, chấm điểm, dự đoán hành vi, lập báo cáo, nhận diện xu hướng hoặc tạo hồ sơ người dùng.
Mã hóa và giải mã
Chuyển dữ liệu sang dạng được bảo vệ hoặc khôi phục dữ liệu để hệ thống, nhân sự có thẩm quyền sử dụng.
Chỉnh sửa
Cập nhật địa chỉ, sửa hồ sơ, bổ sung thông tin, chuẩn hóa định dạng hoặc hợp nhất bản ghi của cùng một người.
Cung cấp, công khai, chuyển giao
Gửi dữ liệu cho đối tác, hiển thị công khai, cho bên vận chuyển, kế toán, cloud hoặc nhà thầu khác tiếp nhận.
Xóa, hủy, khử nhận dạng
Xóa tài khoản, hủy hồ sơ giấy, loại khóa định danh hoặc biến đổi dữ liệu để không còn nhận diện được cá nhân.
Điều 18 Luật Bảo vệ dữ liệu cá nhân còn điều chỉnh việc lưu trữ, truy cập, truy xuất, kết nối, điều phối, xác nhận và xác thực dữ liệu. Vì vậy, việc một hành động không xuất hiện nguyên văn trong danh sách tại khoản 6 Điều 2 không có nghĩa là hành động đó nằm ngoài phạm vi xử lý.
Xóa dữ liệu cũng là xử lý dữ liệu. Điều này có ý nghĩa thực tế khi doanh nghiệp dùng công cụ xóa tự động, thuê nhà cung cấp tiêu hủy hồ sơ hoặc nhận yêu cầu xóa từ khách hàng. Quy trình xóa cần xác định người phê duyệt, phạm vi bản sao, dữ liệu sao lưu, bằng chứng thực hiện và trường hợp pháp luật vẫn yêu cầu lưu giữ.
Ví dụ xử lý dữ liệu cá nhân thường gặp trong doanh nghiệp
| Tình huống | Dữ liệu có thể phát sinh | Hoạt động xử lý | Câu hỏi doanh nghiệp cần đặt ra |
|---|---|---|---|
| Tuyển dụng | CV, số điện thoại, email, ảnh, học vấn, lịch sử làm việc. | Thu thập, đánh giá, chia sẻ cho quản lý tuyển dụng, lưu hoặc xóa hồ sơ. | Có dùng lại hồ sơ cho đợt tuyển dụng sau không và ứng viên đã được biết mục đích đó chưa? |
| Website và ứng dụng | Tài khoản, địa chỉ IP, định danh thiết bị, vị trí, lịch sử thao tác. | Ghi nhận, xác thực, phân tích, cá nhân hóa, chia sẻ cho công cụ phân tích. | Mỗi công cụ nhúng đang nhận dữ liệu nào và máy chủ hoặc bên nhận đặt ở đâu? |
| Bán hàng và CRM | Thông tin liên hệ, lịch sử giao dịch, nhu cầu, nội dung tư vấn. | Nhập liệu, phân nhóm, chấm điểm cơ hội, gửi thông tin và tạo báo cáo. | Dữ liệu được dùng để thực hiện giao dịch hay được mở rộng sang quảng cáo và phân tích hành vi? |
| Camera tại văn phòng | Hình ảnh, thời gian, vị trí và hành vi của người xuất hiện. | Ghi hình, lưu trữ, truy xuất, cung cấp hoặc xóa dữ liệu. | Phạm vi ghi hình, thời hạn lưu và người được xem có phù hợp với mục đích an ninh không? |
| Nhân sự và tiền lương | Hồ sơ lao động, tài khoản ngân hàng, chấm công, thuế, bảo hiểm. | Thu thập, xác nhận, tính toán, chuyển cho ngân hàng, cơ quan nhà nước hoặc nhà cung cấp. | Vai trò và trách nhiệm giữa doanh nghiệp với phần mềm nhân sự, kế toán và ngân hàng đã rõ chưa? |
| AI và phân tích dữ liệu | Dữ liệu huấn luyện, prompt, lịch sử hội thoại, hồ sơ hoặc đầu ra có thể nhận diện cá nhân. | Tổng hợp, phân tích, gắn nhãn, suy luận, tạo đầu ra, lưu và tái sử dụng. | Có thực sự cần dữ liệu thật, có thể khử nhận dạng và nhà cung cấp có dùng dữ liệu cho mục đích riêng không? |
Đối với hoạt động làm sạch, chuẩn hóa, gắn nhãn hoặc chuẩn bị dữ liệu cho phân tích và AI, bài tiền xử lý dữ liệu là gì trình bày sâu hơn về quy trình kỹ thuật và các điểm pháp lý đi kèm.
Mục đích xử lý dữ liệu cá nhân là gì?
Mục đích xử lý là kết quả cụ thể mà cơ quan, tổ chức hoặc cá nhân muốn đạt được khi tác động đến dữ liệu. Mục đích trả lời câu hỏi “vì sao cần xử lý?”, còn hoạt động xử lý trả lời câu hỏi “dữ liệu bị tác động như thế nào?”.
| Hoạt động | Mục đích có thể phù hợp | Điểm cần làm rõ |
|---|---|---|
| Thu thập số điện thoại | Xác thực tài khoản hoặc liên hệ giao hàng. | Nếu muốn dùng thêm cho quảng cáo, cần nhận diện đó là một mục đích khác. |
| Lưu hồ sơ ứng viên | Đánh giá cho vị trí đang tuyển. | Giữ hồ sơ cho cơ hội tương lai cần được xác định rõ về mục đích và thời gian. |
| Phân tích lịch sử mua hàng | Phát hiện gian lận, dự báo nhu cầu hoặc đề xuất sản phẩm. | Các mục đích có mức độ tác động khác nhau và không nên gộp thành một mô tả chung. |
| Ghi hình camera | Bảo đảm an ninh, kiểm soát ra vào. | Không tự động mở rộng sang đánh giá năng suất hoặc nhận diện sinh trắc học. |
Khoản 2 Điều 3 Luật Bảo vệ dữ liệu cá nhân yêu cầu dữ liệu chỉ được thu thập, xử lý đúng phạm vi và mục đích cụ thể, rõ ràng. Các mô tả như “nâng cao trải nghiệm”, “phục vụ hoạt động kinh doanh” hoặc “các mục đích hợp pháp khác” thường chưa đủ để người đọc hiểu dữ liệu sẽ được dùng vào việc gì nếu không có giải thích cụ thể đi kèm.
Khi hoạt động dựa trên sự đồng ý, Điều 9 yêu cầu sự đồng ý được thể hiện đối với từng mục đích. Doanh nghiệp vì vậy nên tách mục đích cần thiết để cung cấp dịch vụ khỏi quảng cáo, cá nhân hóa, chia sẻ cho đối tác hoặc huấn luyện hệ thống nếu các hoạt động này không cùng một căn cứ.
Ai là bên xử lý dữ liệu cá nhân?
Tên gọi trong hợp đồng không quyết định vai trò; quyền quyết định và cách vận hành thực tế mới là yếu tố cần xem xét. Luật năm 2025 phân biệt các vai trò chính sau:
Bên kiểm soát dữ liệu cá nhân
Cơ quan, tổ chức hoặc cá nhân quyết định mục đích và phương tiện xử lý. Ví dụ, doanh nghiệp quyết định thu thập thông tin khách hàng để giao hàng và lựa chọn hệ thống CRM.
Bên xử lý dữ liệu cá nhân
Cơ quan, tổ chức hoặc cá nhân xử lý theo yêu cầu của bên kiểm soát hoặc bên kiểm soát và xử lý thông qua hợp đồng. Ví dụ, nhà cung cấp phần mềm vận hành dữ liệu theo chỉ dẫn đã thỏa thuận.
Bên kiểm soát và xử lý
Chủ thể vừa quyết định mục đích, phương tiện, vừa trực tiếp thực hiện việc xử lý dữ liệu cá nhân.
Bên thứ ba
Tổ chức hoặc cá nhân ngoài chủ thể dữ liệu và các bên nêu trên nhưng tham gia xử lý theo quy định pháp luật.
Ví dụ về ranh giới vai trò: nhà cung cấp email chỉ gửi thư theo danh sách và nội dung do khách hàng quyết định có thể là bên xử lý. Nếu nhà cung cấp tự dùng danh sách đó để xây dựng hồ sơ quảng cáo cho mục đích riêng, vai trò và trách nhiệm phải được đánh giá lại theo hoạt động thực tế.
Doanh nghiệp cung cấp dịch vụ xử lý dữ liệu cho khách hàng còn có thể phát sinh điều kiện kinh doanh chuyên ngành. Phần này được trình bày riêng tại bài mở công ty xử lý dữ liệu năm 2026.
Xử lý dữ liệu cá nhân có luôn cần sự đồng ý không?
Không phải mọi hoạt động xử lý đều dựa trên sự đồng ý, nhưng doanh nghiệp cũng không được tự chọn một lý do chung chung để bỏ qua sự đồng ý. Điều 9 Luật Bảo vệ dữ liệu cá nhân coi sự đồng ý là việc chủ thể cho phép xử lý dữ liệu của mình, trừ trường hợp pháp luật có quy định khác.
Để có hiệu lực, sự đồng ý phải dựa trên sự tự nguyện và người đồng ý phải biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát hoặc bên kiểm soát và xử lý, cùng các quyền và nghĩa vụ của mình. Sự đồng ý phải được thể hiện rõ ràng, cụ thể, có thể in hoặc sao chép, kể cả dưới dạng điện tử hoặc định dạng kiểm chứng được. Im lặng hoặc không phản hồi không được coi là đồng ý.
Điều 19 quy định một số trường hợp xử lý không cần sự đồng ý, như bảo vệ khẩn cấp tính mạng, sức khỏe, danh dự, nhân phẩm hoặc quyền và lợi ích hợp pháp; giải quyết tình trạng khẩn cấp và một số yêu cầu về an ninh, phòng chống tội phạm; phục vụ hoạt động của cơ quan nhà nước; thực hiện thỏa thuận của chủ thể dữ liệu theo quy định; và trường hợp khác do pháp luật quy định.
Không cần sự đồng ý không có nghĩa là không cần tuân thủ. Tổ chức vẫn phải chứng minh trường hợp áp dụng khi pháp luật yêu cầu, thiết lập cơ chế giám sát, có quy trình và trách nhiệm rõ ràng, triển khai biện pháp bảo vệ, đánh giá rủi ro và tiếp nhận phản ánh liên quan.
Các nguyên tắc cần tuân thủ khi xử lý dữ liệu cá nhân
Điều 3 Luật Bảo vệ dữ liệu cá nhân đặt ra sáu nhóm nguyên tắc. Với doanh nghiệp, có thể chuyển thành các câu hỏi kiểm tra thực tế sau:
Hoạt động có tuân thủ Luật Bảo vệ dữ liệu cá nhân và pháp luật chuyên ngành liên quan không?
Phạm vi và mục đích có cụ thể, rõ ràng, phù hợp với thông tin đã cung cấp cho chủ thể dữ liệu không?
Dữ liệu có chính xác và có cơ chế chỉnh sửa, cập nhật hoặc bổ sung khi cần không?
Thời gian lưu trữ có phù hợp với mục đích và nghĩa vụ lưu giữ theo pháp luật không?
Biện pháp về quản trị, kỹ thuật và con người có được triển khai đồng bộ theo rủi ro không?
Doanh nghiệp có cơ chế chủ động phát hiện, ngăn chặn và xử lý hành vi vi phạm kịp thời không?
Nguyên tắc “đúng mục đích” cần được nối xuyên suốt từ biểu mẫu thu thập, chính sách bảo mật, quyền truy cập, hợp đồng với nhà cung cấp đến thời hạn xóa. Nếu mỗi tài liệu mô tả một mục đích khác nhau, doanh nghiệp khó chứng minh rằng hoạt động thực tế nằm trong phạm vi đã xác lập.
Sau khi nhận diện có xử lý dữ liệu cá nhân, doanh nghiệp cần làm gì?
Không cần bắt đầu bằng một bộ tài liệu dài. Doanh nghiệp nên bắt đầu từ dữ liệu và hệ thống thật đang vận hành, sau đó mới xác định tài liệu và thủ tục tương ứng.
Lập danh mục dữ liệu
Ghi nhận dữ liệu khách hàng, nhân sự, ứng viên, người dùng, đối tác và người liên hệ; phân biệt dữ liệu cơ bản, nhạy cảm và dữ liệu của nhóm cần bảo vệ đặc biệt.
Lập bản đồ hoạt động xử lý
Với từng dữ liệu, xác định nguồn thu thập, thao tác thực hiện, hệ thống lưu trữ, người truy cập, bên nhận, thời hạn lưu và cách xóa.
Xác định mục đích, căn cứ và vai trò
Gắn mỗi hoạt động với mục đích cụ thể; xác định doanh nghiệp là bên kiểm soát, bên xử lý hay giữ vai trò khác; kiểm tra sự đồng ý hoặc trường hợp pháp luật cho phép.
Đồng bộ tài liệu và hợp đồng
Rà soát thông báo hoặc chính sách bảo mật, hợp đồng xử lý dữ liệu, quy trình thực hiện quyền, quy định phân quyền, quản lý nhà cung cấp và ứng phó sự cố.
Đánh giá tác động và luồng xuyên biên giới
Kiểm tra nghĩa vụ lập, lưu giữ và gửi hồ sơ đánh giá tác động; xác định cloud, CRM, email, công cụ phân tích hoặc quyền truy cập từ nước ngoài có tạo luồng dữ liệu xuyên biên giới hay không.
Duy trì bằng chứng tuân thủ
Lưu quyết định phân công, nhật ký xử lý, bằng chứng đồng ý, yêu cầu của chủ thể dữ liệu, đánh giá nhà cung cấp, đào tạo, kiểm tra và tài liệu ứng phó sự cố.
Hướng dẫn chi tiết về tài liệu quản trị được trình bày tại bài quy chế bảo vệ dữ liệu cá nhân. Trường hợp cần lập và nộp hồ sơ tác động, xem dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
Rủi ro khi nhận diện sai hoạt động xử lý dữ liệu cá nhân
Bỏ sót hệ thống và nhà cung cấp
Doanh nghiệp chỉ kiểm tra dữ liệu trong phần mềm chính nhưng bỏ qua email, chatbot, camera, file chia sẻ, môi trường thử nghiệm hoặc tài khoản của nhà thầu.
Gộp nhiều mục đích thành một câu
Mục đích quá rộng khiến phạm vi thu thập, thời gian lưu và sự đồng ý không phản ánh đúng từng cách dữ liệu được sử dụng.
Nhầm mã hóa với khử nhận dạng
Dữ liệu mã hóa có thể được giải mã bằng khóa nên thường vẫn là dữ liệu cá nhân. Khử nhận dạng đòi hỏi không thể xác định hoặc giúp xác định một người cụ thể.
Cho rằng dữ liệu công khai được dùng tự do
Thông tin công khai vẫn có thể là dữ liệu cá nhân nếu xác định được một người. Nguồn công khai không tự động xóa bỏ yêu cầu về mục đích, căn cứ và trách nhiệm bảo vệ.
Luật Bảo vệ dữ liệu cá nhân quy định khung phạt tối đa đối với tổ chức có thể lên tới 03 tỷ đồng cho các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân; vi phạm chuyển dữ liệu cá nhân xuyên biên giới có thể lên tới 5% doanh thu của năm trước liền kề. Mức áp dụng cụ thể còn phụ thuộc hành vi, hậu quả, quy mô và quy định xử phạt liên quan.
Căn cứ pháp lý áp dụng từ năm 2026
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 ngày 26/06/2025, có hiệu lực từ ngày 01/01/2026: quy định khái niệm, nguyên tắc, quyền, vai trò, hoạt động xử lý, đánh giá tác động và trách nhiệm pháp lý;
- Nghị định 356/2025/NĐ-CP ngày 31/12/2025, có hiệu lực từ ngày 01/01/2026: quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;
- Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ ngày 01/01/2026. Văn bản này chỉ còn giá trị tham chiếu lịch sử; căn cứ hiện hành từ năm 2026 là Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
Câu hỏi thường gặp về xử lý dữ liệu cá nhân
1. Chỉ lưu dữ liệu mà không sử dụng có được coi là xử lý không?
Có. Lưu trữ là hoạt động tác động đến dữ liệu và được Điều 18 Luật Bảo vệ dữ liệu cá nhân điều chỉnh. Doanh nghiệp vẫn cần xác định mục đích lưu, thời hạn, quyền truy cập và biện pháp bảo vệ.
2. Dữ liệu lưu trong file Excel ngoại tuyến có thuộc phạm vi xử lý không?
Có thể. Pháp luật không giới hạn xử lý ở hệ thống online hoặc phần mềm chuyên dụng. Nếu file chứa thông tin xác định hoặc giúp xác định người cụ thể, các thao tác nhập, lưu, sửa, chia sẻ hoặc xóa đều có thể là xử lý dữ liệu cá nhân.
3. Email và số điện thoại có luôn là dữ liệu cá nhân không?
Cần xem chúng có xác định hoặc giúp xác định một người cụ thể hay không. Email cá nhân, số điện thoại gắn với hồ sơ khách hàng hoặc thông tin có thể liên kết đến một người thường đáp ứng dấu hiệu này.
4. Mã hóa dữ liệu có làm dữ liệu không còn là dữ liệu cá nhân không?
Thông thường không. Dữ liệu mã hóa vẫn có thể được khôi phục bằng khóa phù hợp. Chỉ khi dữ liệu đã được khử nhận dạng đến mức không thể xác định hoặc giúp xác định một người cụ thể thì dữ liệu mới không còn là dữ liệu cá nhân theo Luật.
5. Dữ liệu lấy từ nguồn công khai có cần tuân thủ pháp luật không?
Có. Việc thông tin xuất hiện công khai không tự động làm mất tính chất dữ liệu cá nhân. Tổ chức vẫn phải xác định mục đích, phạm vi, căn cứ xử lý và các nghĩa vụ tương ứng.
6. Doanh nghiệp xử lý dữ liệu nhân viên cho quản trị nội bộ có phải tuân thủ không?
Có. Hồ sơ lao động, chấm công, tiền lương, tài khoản ngân hàng, thuế và bảo hiểm đều có thể chứa dữ liệu cá nhân. Việc xử lý cho mục đích nội bộ không làm doanh nghiệp được miễn các nguyên tắc và trách nhiệm bảo vệ dữ liệu.
7. Có thể dùng một ô đồng ý cho tất cả mục đích không?
Không nên gộp các mục đích khác nhau vào một lựa chọn nếu người dùng không thể biết và quyết định riêng. Điều 9 yêu cầu sự đồng ý được thể hiện đối với từng mục đích, đồng thời không được buộc đồng ý với mục đích khác với nội dung thỏa thuận.
8. Nghị định 13/2023/NĐ-CP còn được áp dụng trong năm 2026 không?
Không còn là văn bản hiện hành. Nghị định 13 hết hiệu lực từ ngày 01/01/2026, cùng thời điểm Nghị định 356/2025/NĐ-CP có hiệu lực. Hoạt động trong năm 2026 cần được đối chiếu với Luật 91/2025/QH15 và Nghị định 356.
9. Xử lý dữ liệu cá nhân tiếng Anh là gì?
Thuật ngữ thường dùng là personal data processing hoặc processing of personal data. “Bên kiểm soát dữ liệu cá nhân” thường được diễn đạt là personal data controller, còn “bên xử lý dữ liệu cá nhân” là personal data processor. Khi soạn hợp đồng song ngữ, cần mô tả đúng vai trò và quyền quyết định thực tế thay vì chỉ dịch tên gọi.
10. Khi nào doanh nghiệp phải lập hồ sơ đánh giá tác động?
Bên kiểm soát và bên kiểm soát, xử lý phải lập, lưu giữ và gửi hồ sơ theo Điều 21 Luật Bảo vệ dữ liệu cá nhân, trừ trường hợp được miễn. Bên xử lý lập và lưu giữ theo thỏa thuận với bên kiểm soát. Phạm vi và cách thực hiện cần được xác định theo vai trò và mô hình cụ thể.
Nội dung liên quan
Cần xác định doanh nghiệp đang xử lý dữ liệu theo vai trò nào?
Bạn có thể gửi danh mục dữ liệu, mục đích sử dụng, sơ đồ hệ thống, nhà cung cấp, luồng chia sẻ và hợp đồng liên quan. Luật Dương Trí sẽ rà soát hoạt động thực tế, xác định vai trò của các bên và chỉ ra nhóm tài liệu hoặc thủ tục cần ưu tiên để doanh nghiệp xử lý dữ liệu đúng phạm vi và giảm rủi ro.
