Nghị định 356/2025: Doanh nghiệp phải siết dữ liệu

Dữ liệu khách hàng và nhân sự bước vào giai đoạn quản lý chặt hơn

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được ban hành ngày 26/6/2025 và có hiệu lực từ ngày 01/01/2026. Luật điều chỉnh hoạt động xử lý dữ liệu cá nhân và áp dụng không chỉ với tổ chức, cá nhân Việt Nam mà còn với tổ chức, cá nhân nước ngoài tại Việt Nam hoặc có liên quan trực tiếp đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam trong phạm vi luật quy định.

Trên cơ sở đó, Chính phủ ban hành Nghị định 356/2025/NĐ-CP ngày 31/12/2025 để quy định chi tiết nhiều nội dung của Luật Bảo vệ dữ liệu cá nhân. Nghị định có hiệu lực từ ngày 01/01/2026 và thay thế Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.

Điểm đáng chú ý là cách tiếp cận mới không chỉ tập trung vào việc “giữ kín” dữ liệu. Doanh nghiệp phải nhìn toàn bộ vòng đời dữ liệu: dữ liệu được thu thập từ đâu, vì mục đích gì, ai được quyền truy cập, lưu giữ trong bao lâu, chuyển cho đơn vị nào, có chuyển ra nước ngoài hay không, khi không còn nhu cầu thì được xóa hoặc hủy thế nào và phải xử lý ra sao nếu xảy ra sự cố.

Đây là lý do doanh nghiệp cần chuyển từ tư duy xử lý sự cố sang quản trị rủi ro dữ liệu ngay từ đầu.

Dữ liệu nào doanh nghiệp cần đặc biệt lưu ý?

Nghị định 356/2025/NĐ-CP phân chia dữ liệu cá nhân thành dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.

Dữ liệu cơ bản có thể xuất hiện thường xuyên trong hồ sơ khách hàng và người lao động như họ tên, ngày sinh, địa chỉ, quốc tịch, hình ảnh, số điện thoại, số định danh cá nhân, thông tin tài khoản số, tình trạng hôn nhân và thông tin về quan hệ gia đình.

Trong khi đó, phạm vi dữ liệu nhạy cảm được quy định rộng hơn, bao gồm thông tin sức khỏe, dữ liệu sinh trắc học, đặc điểm di truyền, thông tin về đời sống riêng tư, dữ liệu vị trí, thông tin đăng nhập và mật khẩu tài khoản định danh điện tử, dữ liệu tài chính – ngân hàng, lịch sử giao dịch tài chính, cũng như dữ liệu theo dõi hành vi sử dụng dịch vụ trên môi trường mạng.

Điều này có ý nghĩa rất lớn đối với bộ phận nhân sự.

Một doanh nghiệp tưởng rằng mình chỉ đang quản lý “hồ sơ nhân viên” nhưng thực tế có thể đang xử lý rất nhiều dữ liệu nhạy cảm: hồ sơ sức khỏe, thông tin chấm công bằng sinh trắc học, hình ảnh, dữ liệu định vị, thông tin tài khoản ngân hàng để trả lương hoặc những thông tin khác liên quan đến đời sống riêng tư.

Vì vậy, dữ liệu nhân sự cần được xem là một nhóm dữ liệu có rủi ro cao, thay vì chỉ coi đó là tài liệu hành chính nội bộ.

HR không thể tùy tiện thu thập và sử dụng dữ liệu người lao động

Một thay đổi quan trọng nằm ở nguyên tắc xử lý dữ liệu.

Luật yêu cầu dữ liệu cá nhân phải được thu thập, xử lý trong phạm vi và mục đích cụ thể, rõ ràng; đồng thời phải bảo đảm tính chính xác và chỉ lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ trường hợp pháp luật có quy định khác. Chủ thể dữ liệu cũng có nhiều quyền như được biết về hoạt động xử lý, đồng ý hoặc rút lại sự đồng ý, yêu cầu xem, chỉnh sửa, xóa, hạn chế xử lý hoặc phản đối xử lý dữ liệu trong những trường hợp pháp luật quy định.

Do đó, bộ phận nhân sự nên rà soát lại toàn bộ biểu mẫu và quy trình đang sử dụng.

Ví dụ, khi tuyển dụng, doanh nghiệp cần xác định thông tin nào thực sự cần thiết để đánh giá ứng viên. Khi tiếp nhận nhân viên, cần xác định dữ liệu nào phục vụ quan hệ lao động, dữ liệu nào phục vụ tiền lương, bảo hiểm, phúc lợi và dữ liệu nào được cung cấp cho bên thứ ba.

Không nên hình thành thói quen “cứ có thông tin là thu thập”, bởi việc lưu giữ một lượng lớn dữ liệu không cần thiết cũng đồng nghĩa doanh nghiệp tự tạo thêm điểm yếu bảo mật.

Đặc biệt, nếu doanh nghiệp sử dụng phần mềm quản lý nhân sự, đơn vị cung cấp dịch vụ chấm công, tuyển dụng, lưu trữ hồ sơ, tính lương hoặc các nền tảng công nghệ khác, cần xác định rõ vai trò và trách nhiệm của từng bên trong hoạt động xử lý dữ liệu.

Sự đồng ý phải có khả năng chứng minh

Một trong những vấn đề doanh nghiệp không nên xem nhẹ là bằng chứng về sự đồng ý.

Nghị định 356/2025/NĐ-CP quy định phương thức xin sự đồng ý phải có khả năng kiểm chứng được chủ thể dữ liệu đã đồng ý vào thời điểm nào và đồng ý với nội dung gì. Hình thức có thể được thể hiện bằng văn bản, cuộc gọi ghi âm, tin nhắn, thư điện tử, website, nền tảng, ứng dụng hoặc phương thức phù hợp khác có thể kiểm chứng. Đặc biệt, doanh nghiệp phải lưu trữ sự đồng ý và khi có tranh chấp thì bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải chứng minh được sự đồng ý đó.

Như vậy, một ô “Tôi đồng ý” được thiết kế sơ sài chưa chắc đã đủ để doanh nghiệp kiểm soát rủi ro.

Doanh nghiệp cần quan tâm đến nội dung đồng ý, thời điểm đồng ý, mục đích xử lý, phạm vi dữ liệu và khả năng truy xuất bằng chứng.

Đồng thời, không được thiết kế cơ chế khiến người dùng hiểu nhầm giữa lựa chọn đồng ý và không đồng ý.

Quyền của khách hàng và người lao động phải được biến thành quy trình thực tế

Một điểm rất đáng chú ý là Nghị định không dừng ở việc ghi nhận quyền của chủ thể dữ liệu mà yêu cầu bên kiểm soát dữ liệu phải xây dựng quy trình, thủ tục và biểu mẫu để thực hiện các quyền này.

Điều đó có nghĩa doanh nghiệp cần trả lời được những câu hỏi rất thực tế:

Nếu khách hàng yêu cầu xem dữ liệu của mình thì ai tiếp nhận?

Nếu khách hàng yêu cầu chỉnh sửa thì bộ phận nào xác minh?

Nếu người lao động yêu cầu xóa dữ liệu thì dữ liệu đang nằm ở những hệ thống nào?

Nếu dữ liệu đã được chuyển cho nhà cung cấp dịch vụ thì ai chịu trách nhiệm yêu cầu bên đó xử lý tiếp?

Theo Nghị định, nhiều loại yêu cầu của chủ thể dữ liệu có thời hạn phản hồi và thực hiện cụ thể. Chẳng hạn, đối với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý, bên kiểm soát dữ liệu phải phản hồi trong 02 ngày làm việc và thực hiện trong thời hạn 15 ngày trong trường hợp áp dụng; yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu có thời hạn thực hiện 10 ngày; yêu cầu xóa dữ liệu có thời hạn thực hiện 20 ngày, với cơ chế kéo dài trong những trường hợp được quy định.

Vì vậy, doanh nghiệp nên xây dựng một đầu mối tiếp nhận và cơ chế phối hợp giữa pháp chế, công nghệ thông tin, nhân sự, chăm sóc khách hàng và các bộ phận liên quan.

Bắt buộc phải nhìn lại việc chia sẻ dữ liệu nội bộ và cho bên thứ ba

Rủi ro dữ liệu không chỉ xuất hiện khi hệ thống bị hacker tấn công.

Một nhân viên gửi file khách hàng qua email cá nhân, bộ phận kinh doanh chia sẻ danh sách khách hàng cho đối tác, HR chuyển hồ sơ nhân viên cho đơn vị cung cấp dịch vụ, hoặc nhiều phòng ban cùng truy cập một kho dữ liệu mà không có phân quyền rõ ràng đều có thể tạo ra nguy cơ.

Nghị định yêu cầu tổ chức phải xây dựng quy trình kiểm soát việc chia sẻ dữ liệu giữa các bộ phận và có biện pháp phòng ngừa việc nhân sự nội bộ chia sẻ trái phép dữ liệu cho bên thứ ba. Đối với hoạt động chuyển giao dữ liệu, thỏa thuận giữa các bên cần làm rõ mục đích, loại dữ liệu, thời hạn xử lý, căn cứ pháp lý, trách nhiệm bảo vệ dữ liệu và trách nhiệm phối hợp khi xảy ra vi phạm.

Đây là cơ sở để doanh nghiệp rà soát lại hợp đồng với các nhà cung cấp dịch vụ.

Không nên chỉ ký hợp đồng dịch vụ thông thường mà bỏ qua điều khoản về dữ liệu cá nhân.

Chuyển dữ liệu ra nước ngoài cần được kiểm soát riêng

Với doanh nghiệp sử dụng hệ thống điện toán đám mây, phần mềm quản trị nhân sự quốc tế, hệ thống chăm sóc khách hàng hoặc nền tảng của tập đoàn đặt máy chủ ở nước ngoài, vấn đề chuyển dữ liệu xuyên biên giới cần được đặc biệt lưu ý.

Nghị định 356/2025/NĐ-CP quy định hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và ban hành mẫu hồ sơ tương ứng. Nội dung đánh giá phải xem xét sự cần thiết của việc chuyển dữ liệu, thực trạng xử lý, rủi ro có thể phát sinh, hậu quả và các biện pháp giảm thiểu rủi ro.

Điều này cho thấy doanh nghiệp không nên chỉ hỏi “dữ liệu có được chuyển hay không”, mà phải quản lý cả đường đi của dữ liệu.

Đặc biệt với doanh nghiệp có khách hàng quốc tế, sử dụng hệ thống HR toàn cầu hoặc thuê nhà cung cấp dịch vụ xử lý dữ liệu ở nước ngoài, việc lập bản đồ dữ liệu sẽ trở thành một công việc rất quan trọng.

Doanh nghiệp cần chủ động xây dựng bộ phận hoặc nhân sự phụ trách dữ liệu

Nghị định 356/2025/NĐ-CP quy định việc chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức.

Nhân sự được chỉ định phải đáp ứng các điều kiện về trình độ, kinh nghiệm và được đào tạo kiến thức pháp luật, kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân. Trong đó, Nghị định quy định trình độ từ cao đẳng trở lên và ít nhất 02 năm kinh nghiệm kể từ khi tốt nghiệp trong một số lĩnh vực liên quan như pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc quản lý nhân sự.

Đây là điểm doanh nghiệp nên chủ động chuẩn bị, bởi bảo vệ dữ liệu không thể chỉ giao cho một nhân viên công nghệ thông tin xử lý khi có sự cố.

Người phụ trách dữ liệu cần có khả năng phối hợp giữa pháp lý, vận hành, công nghệ, nhân sự và quản trị rủi ro.

Một số việc doanh nghiệp nên thực hiện ngay

• Lập danh mục dữ liệu: Xác định doanh nghiệp đang thu thập những dữ liệu nào của khách hàng, người lao động, đối tác và ứng viên.
• Phân loại mức độ nhạy cảm: Đặc biệt nhận diện dữ liệu sức khỏe, sinh trắc học, tài chính, thông tin tài khoản, dữ liệu vị trí và dữ liệu hành vi.
• Kiểm tra mục đích sử dụng: Đối chiếu dữ liệu đang thu thập với mục đích thực tế, tránh thu thập vượt quá nhu cầu.
• Rà soát quyền truy cập: Xác định nhân sự nào được xem, sửa, tải xuống hoặc chuyển dữ liệu.
• Kiểm tra hợp đồng với bên thứ ba: Bổ sung trách nhiệm xử lý, bảo mật, thông báo sự cố, xóa dữ liệu và phối hợp khi có yêu cầu từ chủ thể dữ liệu.
• Xây dựng quy trình xử lý yêu cầu: Chuẩn bị đầu mối và thời hạn phản hồi đối với yêu cầu xem, sửa, xóa, hạn chế hoặc phản đối xử lý dữ liệu.
• Chuẩn bị phương án sự cố: Có quy trình phát hiện, cô lập, đánh giá và thông báo khi xảy ra mất, lộ hoặc truy cập trái phép dữ liệu.

Tuân thủ dữ liệu cần trở thành một phần của quản trị doanh nghiệp

Điểm đáng chú ý nhất của Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP không nằm ở việc doanh nghiệp phải có thêm một vài biểu mẫu. Vấn đề cốt lõi là thay đổi cách doanh nghiệp quản lý dữ liệu.

Dữ liệu khách hàng là tài sản gắn với hoạt động kinh doanh. Dữ liệu nhân sự lại đi xuyên suốt vòng đời của người lao động, từ tuyển dụng, ký hợp đồng, chấm công, trả lương, quản lý phúc lợi cho đến khi chấm dứt quan hệ lao động. Nếu không kiểm soát tốt, chỉ một điểm yếu trong chuỗi xử lý cũng có thể dẫn đến rủi ro cho cả doanh nghiệp và chủ thể dữ liệu.

Đặc biệt, Nghị định yêu cầu tổ chức phải có chính sách, quy trình, biện pháp kỹ thuật, đào tạo và cơ chế kiểm soát phù hợp. Với hoạt động xử lý dữ liệu lớn, doanh nghiệp còn phải chú trọng phân quyền, xác thực mạnh, mã hóa, ẩn danh và các biện pháp phòng chống thất thoát dữ liệu.

Vì vậy, thay vì chờ đến khi có kiểm tra, khiếu nại hoặc xảy ra sự cố mới xử lý, doanh nghiệp nên thực hiện đánh giá rủi ro ngay từ bây giờ.

Tuân thủ dữ liệu cá nhân không còn là việc riêng của bộ phận công nghệ thông tin hay pháp chế. Đây là trách nhiệm liên phòng ban, liên quan trực tiếp đến lãnh đạo doanh nghiệp, HR, kinh doanh, chăm sóc khách hàng, công nghệ thông tin và mọi cá nhân có quyền truy cập dữ liệu.