Quy trình bảo vệ dữ liệu cá nhân của doanh nghiệp

Trong nền kinh tế số phát triển vượt bậc, dữ liệu cá nhân đã trở thành nguồn tài sản chiến lược nhưng cũng đi kèm với trách nhiệm pháp lý đối với mọi tổ chức đặc biệt là trong thời điểm sự ra đời của Luật Bảo vệ dữ liệu cá nhân và các văn bản hướng dẫn liên quan.

Bài viết dưới đây VDPC sẽ hệ thống hóa chi tiết về quy trình bảo vệ dữ liệu cá nhân dành cho doanh nghiệp.

1. Tổng quan

Căn cứ pháp lý: 

• • Điều 2 Luật Bảo vệ dữ liệu cá nhân năm 2025
  • Điều 3, 4 Nghị định 356/2025/NĐ-CP
• Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.
• Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, bao gồm: Họ tên, Ngày tháng năm sinh, Địa chỉ, Thư điện tử, Số điện thoại, Giới tính, Hình ảnh cá nhân, …
• Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, bao gồm:  Dân tộc, Chủng tộc, Quan điểm tôn giáo, tín ngưỡng, chính trị, Tình trạng sức khỏe, Dữ liệu sinh trắc học, đặc điểm di truyền, Dữ liệu tiết lộ xu hướng tính dục, Dữ liệu về tội phạm, hành vi phạm tội, Vị trí của cá nhân qua dịch vụ định vị, Danh tính điện tử của cá nhân, …
• Chủ thể dữ liệu cá nhân là người được dữ liệu cá nhân phản ánh.
• Xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân.
• Bên kiểm soát dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.
• Bên kiểm soát và xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.
• Đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân.

2. Các nội dung mà doanh nghiệp cần thực hiện

Căn cứ pháp lý: Điều 20 Nghị định 356/2025/NĐ-CP

2.1. Rà soát, kiểm tra, thống kê các thông tin về Bảo vệ dữ liệu cá nhân như sau:

• Loại dữ liệu cá nhân xử lý;
• Chủ thể dữ liệu cá nhân;
• Phương tiện thu thập dữ liệu cá nhân;
• Phương tiện, địa chỉ lưu trữ dữ liệu cá nhân;
• Mục đích sử dụng dữ liệu cá nhân;
• Bộ phận/nhân sự liên quan đến xử lý dữ liệu cá nhân;
• Luồng xử lý dữ liệu cá nhân.

2.2. Xin sự đồng ý của chủ thể dữ liệu, Thông báo về việc xử lý dữ liệu cá nhân.

2.3. Thiết lập và xây dựng Quy chế, chính sách nội bộ về Bảo vệ dữ liệu cá nhân:

• Thiết lập, chỉ định bộ phận/nhân sự Bảo vệ dữ liệu cá nhân;
• Chính sách bảo mật;
• Điều khoản sử dụng;
• Cam kết bảo vệ dữ liệu cá nhân;
• Thỏa thuận với khách hàng/đối tác/nhà cung cấp về bảo vệ dữ liệu cá nhân;
• Quy trình thu thập, lưu trữ, chia sẻ, hủy, xóa;
• Quy trình xử lý dữ liệu cá nhân, xử lý vi phạm dữ liệu cá nhân.

2.4. Tuân thủ nghĩa vụ lập và nộp hồ sơ báo cáo đánh giá tác động xử lý dữ liệu cá nhân, đánh giá tác động chuyển dữ liệu cá nhân qua biên giới đến cơ quan Bảo vệ dữ liệu cá nhân.

• Thời điểm thực hiện: Trong vòng 60 ngày kể từ ngày bắt đầu hoạt động xử lý hoặc chuyển dữ liệu.

Lưu ý: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được bổ sung, cập nhật định kỳ 06 tháng/lần; nếu doanh nghiệp tổ chức lại, chấm dứt hoạt động, giải thể, phá sản theo quy định của pháp luật và các trường hợp khác được pháp luật quy định thì cần cập nhật ngay trong thời hạn 10 ngày.

3. Quy trình xử lý dữ liệu cá nhân

Căn cứ pháp lý: Điều 9, 11, 12, 14, 15, 17, 19 Luật Bảo vệ dữ liệu cá nhân 2025

Bước 1: Xin sự đồng ý của chủ thể dữ liệu cá nhân và Thông báo

• Doanh nghiệp xin sự đồng ý của chủ thể dữ liệu bằng các hình thức như văn bản/phiếu lấy ý kiến/thư điện tử;
• Doanh nghiệp thông báo rõ về loại dữ liệu, mục đích xử lý, bên kiểm soát dữ liệu và các quyền/nghĩa vụ cho chủ thể dữ liệu;
• Trường hợp ngoại lệ: không cần đồng ý trong các tình huống khẩn cấp (bảo vệ tính mạng), phục vụ an ninh quốc gia, hoặc thực hiện thỏa thuận/hợp đồng theo quy định pháp luật.

Thời điểm thực hiện: Trước khi xử lý dữ liệu cá nhân

Bước 2: Thu thập, phân tích, tổng hợp, chỉnh sửa dữ liệu cá nhân

• Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập;
• Doanh nghiệp được phân tích, tổng hợp dữ liệu cá nhân từ nguồn dữ liệu cá nhân được phép xử lý;
• Chủ thể có quyền tự chỉnh sửa hoặc yêu cầu doanh nghiệp chỉnh sửa dữ liệu của mình.

Thời điểm thực hiện: Sau khi được chủ thể đồng ý

Bước 3: Mã hóa, giải mã dữ liệu cá nhân

• Mã hóa dữ liệu cá nhân là việc chuyển đổi dữ liệu cá nhân sang dạng không nhận biết được dữ liệu cá nhân nếu không được giải mã; dữ liệu cá nhân sau khi được mã hóa vẫn là dữ liệu cá nhân;
• Doanh nghiệp có quyền quyết định biện pháp mã hóa phù hợp để bảo vệ dữ liệu trong suốt quá trình truyền tải và lưu trữ.

Thời điểm thực hiện: Sau khi được chủ thể đồng ý

Bước 4: Cung cấp, chuyển giao dữ liệu cá nhân

• Việc chuyển giao phải được sự đồng ý của chủ thể;
• Phải có thỏa thuận rõ ràng về trách nhiệm bảo vệ giữa các bên

Thời điểm thực hiện: Sau khi được chủ thể đồng ý

Bước 5: Xóa, hủy, khử nhận dạng dữ liệu cá nhân

• Thời điểm thực hiện: Khi đã hoàn thành mục đích, hết thời hạn lưu trữ, hoặc khi chủ thể dữ liệu yêu cầu xóa dữ liệu (nếu không vi phạm các điều cấm khác);

• Khử nhận dạng: Là quá trình thay đổi dữ liệu để không thể định danh con người cụ thể; dữ liệu sau khi khử nhận dạng không còn được coi là dữ liệu cá nhân.

Thời điểm thực hiện: Khi đã hoàn thành mục đích xử lý, hết thời hạn lưu trữ theo pháp luật/thỏa thuận, hoặc khi có yêu cầu hợp lệ từ chủ thể dữ liệu

Kết luận

Tóm lại, việc thiết lập quy chế bảo mật nội bộ và tuân thủ nghĩa vụ nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không chỉ giúp doanh nghiệp đẩy lùi các rủi ro pháp lý mà còn là nền tảng cốt lõi để xây dựng niềm tin vững chắc nơi khách hàng và đối tác.  Doanh nghiệp phải đặc biệt lưu ý thời hạn theo đúng quy định.

Trên đây là Quy trình bảo vệ dữ liệu cá nhân của doanh nghiệp. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: