Trong nhiều năm, khi nhắc đến tuân thủ pháp luật trong doanh nghiệp, người ta thường nghĩ đến các vấn đề như thuế, lao động, phòng cháy chữa cháy, an toàn sản xuất hoặc kiểm soát nội bộ. Tuy nhiên, trong bối cảnh chuyển đổi số diễn ra mạnh mẽ, dữ liệu cá nhân đã trở thành một loại “tài sản đặc biệt” của doanh nghiệp và đồng thời là đối tượng được pháp luật bảo vệ ngày càng chặt chẽ.
Luật sư Thành viên Nguyễn Ngọc Trà My tập huấn cho gần 100 doanh nghiệp về BVDLCN do Tạp chí Kinh tế Sài Gòn phối hợp với Sở Công Thương TP. Hồ Chí Minh tổ chức
Tại Việt Nam, cùng với sự xuất hiện của Nghị định 13/2023/NĐ-CP, Luật Dữ liệu 2024 và đặc biệt là Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ ngày 01/01/2026, nghĩa vụ bảo vệ dữ liệu cá nhân không còn là một lựa chọn mang tính đạo đức hay hình ảnh thương hiệu, mà đã trở thành yêu cầu tuân thủ pháp lý bắt buộc đối với doanh nghiệp.
Trong bối cảnh đó, nhiều doanh nghiệp tập trung đầu tư vào hệ thống công nghệ, phần mềm bảo mật hoặc thuê tư vấn pháp lý để xây dựng chính sách bảo vệ dữ liệu. Tuy nhiên, một yếu tố quan trọng nhưng thường bị xem nhẹ là: đào tạo pháp luật về bảo vệ dữ liệu cá nhân cho người lao động.
Thực tế cho thấy, trong rất nhiều vụ rò rỉ dữ liệu, nguyên nhân không xuất phát từ hacker tinh vi hay lỗ hổng công nghệ phức tạp, mà bắt nguồn từ chính hành vi của nhân sự nội bộ: gửi nhầm email, chia sẻ sai quyền truy cập, sử dụng dữ liệu khách hàng trái mục đích, lưu trữ dữ liệu không an toàn hoặc thiếu nhận thức về nghĩa vụ bảo mật.
Nói cách khác, nếu dữ liệu là “tài sản”, thì người lao động chính là những người trực tiếp “cầm chìa khóa” của tài sản đó.
Rủi ro dữ liệu cá nhân ngày càng đến từ yếu tố con người
Trong thực tiễn, nhiều doanh nghiệp vẫn đang nhìn nhận bảo vệ dữ liệu cá nhân chủ yếu dưới góc độ kỹ thuật công nghệ. Khi xảy ra sự cố dữ liệu, phản ứng đầu tiên thường là nâng cấp hệ thống IT, mua thêm firewall, mã hóa dữ liệu hoặc tăng cường an ninh mạng.
Tuy nhiên, kinh nghiệm quốc tế cho thấy yếu tố con người mới là một trong những nguyên nhân phổ biến nhất dẫn đến vi phạm dữ liệu cá nhân.
Một nhân viên nhân sự vô tình gửi file lương của toàn công ty cho sai người nhận. Một nhân viên kinh doanh sử dụng dữ liệu khách hàng cũ để phục vụ công việc cá nhân sau khi nghỉ việc. Một nhân viên marketing tự ý chia sẻ danh sách khách hàng cho bên thứ ba để chạy quảng cáo. Một quản lý tải dữ liệu nội bộ về máy tính cá nhân nhưng không áp dụng biện pháp bảo mật phù hợp.
Những hành vi này có thể không xuất phát từ mục đích xấu, nhưng vẫn đủ để khiến doanh nghiệp đối mặt với nguy cơ vi phạm pháp luật về bảo vệ dữ liệu cá nhân.
Điều đáng lưu ý là trong môi trường doanh nghiệp hiện đại, gần như mọi bộ phận đều có khả năng tiếp cận dữ liệu cá nhân ở các mức độ khác nhau. Bộ phận nhân sự xử lý hồ sơ lao động; kế toán nắm thông tin tài khoản ngân hàng; marketing quản lý dữ liệu khách hàng; IT vận hành hệ thống dữ liệu; kinh doanh lưu giữ thông tin đối tác; chăm sóc khách hàng tiếp nhận thông tin phản hồi và lịch sử giao dịch.
Điều này đồng nghĩa với việc rủi ro vi phạm dữ liệu cá nhân không còn là vấn đề riêng của bộ phận công nghệ thông tin hay pháp chế, mà là vấn đề của toàn bộ doanh nghiệp.
Trong nhiều trường hợp, doanh nghiệp có thể đã xây dựng đầy đủ quy trình nội bộ nhưng người lao động lại không hiểu hoặc không nhận thức được mức độ nghiêm trọng của hành vi vi phạm. Khi đó, chính khoảng trống về nhận thức và đào tạo sẽ trở thành điểm yếu lớn nhất trong hệ thống tuân thủ.
Pháp luật hiện nay không chỉ yêu cầu doanh nghiệp “có chính sách”, mà còn phải tổ chức thực thi
Một thực tế phổ biến tại nhiều doanh nghiệp là xây dựng khá đầy đủ các tài liệu như chính sách bảo vệ dữ liệu cá nhân, quy chế nội bộ, cam kết bảo mật thông tin hoặc điều khoản xử lý dữ liệu trong hợp đồng lao động. Tuy nhiên, các tài liệu này đôi khi chỉ tồn tại trên giấy hoặc được ban hành mang tính hình thức để “đủ hồ sơ”.
Trong khi đó, xu hướng pháp luật hiện nay ngày càng nhấn mạnh đến tính thực chất của hoạt động tuân thủ.
Theo yêu cầu của Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp không chỉ cần ban hành quy chế mà còn phải áp dụng các biện pháp quản lý phù hợp nhằm bảo đảm dữ liệu cá nhân được xử lý đúng mục đích, đúng phạm vi, đúng đối tượng và an toàn trong suốt quá trình xử lý dữ liệu.
Trên thực tế, rất khó để doanh nghiệp chứng minh mình đã áp dụng “biện pháp cần thiết và phù hợp” nếu người lao động, đặc biệt những người trực tiếp xử lý dữ liệu, hoàn toàn không được đào tạo hoặc không hiểu nghĩa vụ pháp lý liên quan.
Trong nhiều hệ thống pháp luật quốc tế như GDPR của Liên minh Châu Âu, đào tạo nhân sự được xem là một phần quan trọng trong chương trình tuân thủ dữ liệu cá nhân. Khi đánh giá mức độ tuân thủ của doanh nghiệp, cơ quan quản lý không chỉ xem xét doanh nghiệp có chính sách hay không, mà còn xem xét nhân sự có được đào tạo định kỳ hay không, có quy trình xử lý vi phạm nội bộ hay không, và doanh nghiệp có thực sự xây dựng văn hóa bảo vệ dữ liệu hay không.
Xu hướng này cũng đang ngày càng hiện diện rõ hơn tại Việt Nam.
Trong trường hợp xảy ra sự cố dữ liệu cá nhân, việc doanh nghiệp có chương trình đào tạo bài bản, có hồ sơ đào tạo, có quy trình hướng dẫn nhân sự và có cơ chế kiểm soát nội bộ phù hợp có thể trở thành yếu tố quan trọng để chứng minh thiện chí tuân thủ cũng như giảm thiểu rủi ro pháp lý.
Hơn nữa, pháp luật bảo vệ dữ liệu cá nhân hiện hành yêu cầu phải doanh nghiệp phải xây dựng kế hoạch và triển khai đào tạo, bồi dưỡng định kỳ về bảo vệ dữ liệu cá nhân cho hệ thống nhân sự trong đơn vị của mình[1].
Luật sư Cộng sự Phạm Thanh Huy tham gia đào tạo BVDLCN cho khách hàng
Đào tạo giúp doanh nghiệp giảm thiểu rủi ro pháp lý và trách nhiệm bồi thường
Một trong những hệ quả lớn nhất của vi phạm dữ liệu cá nhân là nguy cơ doanh nghiệp phải chịu trách nhiệm pháp lý, bao gồm xử phạt hành chính, bồi thường thiệt hại dân sự hoặc thậm chí trách nhiệm hình sự trong một số trường hợp nghiêm trọng.
Đáng chú ý, trong nhiều tình huống, dù hành vi vi phạm được thực hiện bởi cá nhân người lao động, doanh nghiệp vẫn có thể bị xem là chủ thể chịu trách nhiệm chính do là bên quản lý và kiểm soát hoạt động xử lý dữ liệu.
Ví dụ, nếu nhân viên tự ý sử dụng dữ liệu khách hàng trái mục đích nhưng doanh nghiệp không có cơ chế phân quyền phù hợp, không đào tạo nội bộ hoặc không giám sát việc xử lý dữ liệu, doanh nghiệp có thể gặp khó khăn khi chứng minh mình đã thực hiện đầy đủ nghĩa vụ quản lý.
Ngoài trách nhiệm pháp lý trực tiếp, các sự cố dữ liệu còn có thể dẫn đến nhiều hệ quả gián tiếp như mất uy tín thương hiệu, rủi ro tranh chấp với đối tác; ảnh hưởng hoạt động vận hành nội bộ,...
Đối với các doanh nghiệp có hoạt động xuyên biên giới hoặc làm việc với khách hàng nước ngoài, yêu cầu về đào tạo dữ liệu cá nhân thậm chí còn trở thành điều kiện thương mại. Nhiều tập đoàn quốc tế hiện yêu cầu đối tác tại Việt Nam phải chứng minh có chương trình đào tạo bảo vệ dữ liệu cá nhân định kỳ cho nhân sự, đặc biệt trong các lĩnh vực như công nghệ, tài chính, thương mại điện tử, giáo dục, y tế,....
Do đó, đào tạo dữ liệu cá nhân không đơn thuần là chi phí tuân thủ, mà ngày càng trở thành một phần của quản trị rủi ro doanh nghiệp.
Đào tạo không chỉ dành cho bộ phận pháp chế hoặc IT
Một sai lầm phổ biến khác là doanh nghiệp cho rằng chỉ bộ phận pháp chế hoặc công nghệ thông tin mới cần hiểu pháp luật về dữ liệu cá nhân.
Thực tế, các vi phạm dữ liệu cá nhân thường xuất hiện ở những bộ phận “phi kỹ thuật” nhiều hơn doanh nghiệp nghĩ. Nhiều rủi ro có thể xảy ra nếu bộ phận tuyển dụng lưu CV ứng viên quá lâu mà không có căn cứ phù hợp; Marketing gửi email quảng cáo khi chưa có cơ chế đồng ý hợp lệ; Chăm sóc khách hàng ghi âm cuộc gọi nhưng không thông báo đầy đủ; hay Quản lý sử dụng camera hoặc thiết bị giám sát vượt quá phạm vi cần thiết,….
Nếu người lao động không được đào tạo, họ rất dễ xem dữ liệu cá nhân chỉ là “thông tin phục vụ công việc”, thay vì nhận thức rằng đây là đối tượng được pháp luật bảo vệ nghiêm ngặt.
Do đó, đào tạo dữ liệu cá nhân cần được tiếp cận theo hướng phổ quát trong toàn doanh nghiệp, với nội dung phù hợp theo từng nhóm vị trí.
Không phải mọi nhân sự đều cần hiểu sâu toàn bộ hệ thống pháp luật. Tuy nhiên, mỗi người lao động cần được trang bị các kiến thức căn bản nhất đối với việc bảo vệ dữ liệu cá nhân.
Bên cạnh đó, đối với các vị trí nhạy cảm như HR, marketing, IT, pháp chế hoặc quản lý cấp trung, doanh nghiệp nên có chương trình đào tạo chuyên sâu hơn do đây là các nhóm thường xuyên xử lý dữ liệu với phạm vi lớn.
Trong dài hạn, giá trị lớn nhất của hoạt động đào tạo không chỉ nằm ở việc “tránh bị phạt”, mà còn ở việc xây dựng văn hóa bảo vệ dữ liệu trong doanh nghiệp.
Tương tự như văn hóa tuân thủ hay văn hóa an toàn lao động, văn hóa bảo vệ dữ liệu chỉ có thể hình thành khi người lao động hiểu rằng dữ liệu cá nhân không đơn thuần là tài nguyên kinh doanh, mà còn gắn với quyền riêng tư và quyền con người.
Doanh nghiệp nên bắt đầu từ đâu?
Trên thực tế, không phải doanh nghiệp nào cũng cần triển khai ngay các chương trình đào tạo phức tạp hoặc tốn kém. Điều quan trọng hơn là bắt đầu đúng hướng và phù hợp với quy mô hoạt động.
Doanh nghiệp có thể cân nhắc các vấn đề như: (1) Đánh giá bộ phận nào đang xử lý nhiều dữ liệu cá nhân; (2) Xác định các rủi ro dữ liệu phổ biến trong hoạt động nội bộ; (3) Xây dựng quy chế và hướng dẫn xử lý dữ liệu dễ hiểu; (3) Tổ chức đào tạo và đánh giá định kỳ cho người lao động, đặc biệt là những vị trí quan trọng; (4) Yêu cầu cam kết bảo mật dữ liệu cá nhân trong quá trình làm việc; (5) Thiết lập cơ chế báo cáo sự cố dữ liệu nội bộ; (6) Đào tạo lại khi có thay đổi pháp luật hoặc quy trình.
Đặc biệt, doanh nghiệp không nên xem đào tạo dữ liệu cá nhân là hoạt động “một lần cho có”, mà cần duy trì thường xuyên cùng với quá trình cập nhật pháp luật và thay đổi công nghệ.
Trong nhiều trường hợp, chỉ một buổi đào tạo ngắn nhưng đúng trọng tâm cũng có thể giúp doanh nghiệp ngăn ngừa những rủi ro rất lớn trong tương lai.
Có thể thấy nếu công nghệ là “hàng rào kỹ thuật” bảo vệ dữ liệu, thì nhận thức của người lao động chính là “hàng rào con người”. Một hệ thống bảo mật mạnh vẫn có thể bị phá vỡ bởi một nhân sự thiếu hiểu biết hoặc bất cẩn. Do đó, đào tạo pháp luật về bảo vệ dữ liệu cá nhân cho người lao động không còn là hoạt động mang tính hình thức, mà cần được xem là một phần thiết yếu trong chiến lược quản trị rủi ro và phát triển bền vững của doanh nghiệp.
