Tuân thủ quy định bảo vệ dữ liệu cá nhân với Công ty cung ứng dịch vụ bảo vệ

Đối với các doanh nghiệp hoạt động trong lĩnh vực cung ứng dịch vụ bảo vệ, dữ liệu người lao động, các đối tác, khách hàng… là tài sản vận hành cốt lõi nhưng cũng chứa đựng nhiều rủi ro pháp lý. Việc thường xuyên thu thập, quản lý và chuyển giao dữ liệu cá nhân đã đặt ra yêu cầu tuân thủ vô cùng khắt khe. 

Bài viết dưới đây VDPC sẽ phân tích toàn diện các quy định hiện hành, giúp doanh nghiệp chủ động nhận diện rủi ro và xây dựng phương án tuân thủ an toàn nhất.

1. Công ty cung ứng dịch vụ bảo vệ

Căn cứ pháp lý: 

• Điều 3, 11 Nghị định số 96/2016/NĐ-CP
• Phụ lục IV ban hành kèm Luật Đầu tư 2020
• Quyết định số 36/2025/QĐ-TTg

Hoạt động cung ứng dịch vụ bảo vệ là một trong số hoạt động kinh doanh dịch vụ bảo vệ, với đối tượng bảo vệ là con người, tài sản, mục tiêu và các hoạt động hợp pháp của cơ quan, tổ chức, cá nhân. Đây là ngành nghề kinh doanh có điều kiện (mã ngành nghề: 8011) do đó để Công ty có thể hoạt động trên thực tế cần các giấy phép sau:

1. Giấy chứng nhận đăng ký doanh nghiệp
2. Giấy chứng nhận đủ điều kiện về an ninh, trật tự
3. Các loại giấy phép khác có liên quan tùy thuộc tình hình hoạt động thực tế của Công ty.

2. Dữ liệu cá nhân và bảo vệ dữ liệu cá nhân

Căn cứ pháp lý:

• Điều 2 Luật Bảo vệ dữ liệu cá nhân năm 2025 
• Điều 3, 4 Nghị định số 356/2025/NĐ-CP

Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, gồm:

2.1. Dữ liệu cá nhân cơ bản, gồm:

1. Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có);
2. Ngày, tháng, năm sinh; 
3. Giới tính;
4. Nơi ở hiện tại, địa chỉ liên hệ;
5. Quốc tịch;
6. Hình ảnh của cá nhân;
7. Số điện thoại, số định danh cá nhân, số giấy phép lái xe, số biển số xe;
8. Tình trạng hôn nhân;
9. Các thông tin khác có liên quan theo quy định pháp luật.

2.2. Dữ liệu cá nhân nhạy cảm

1. Tình trạng sức khỏe;
2. Dữ liệu sinh trắc học;
3. Dữ liệu khác có liên quan.

Bảo vệ dữ liệu cá nhân là việc Công ty sử dụng lực lượng, phương tiện, biện pháp để phòng, chống hoạt động xâm phạm dữ liệu cá nhân

3. Chủ thể dữ liệu cá nhân

Chủ thể dữ liệu cá nhân: là người được dữ liệu cá nhân phản ánh, gồm:

1. Nhân viên
2. Đối tác
3. Bên sử dụng dịch vụ
4. Cơ quan, tổ chức, cá nhân khác có liên quan

4. Vai trò của Công ty cung ứng dịch vụ bảo vệ

1. Là Bên Kiểm soát dữ liệu cá nhân khi tổ chức, cá nhân đó quyết định mục đích và phương tiện xử lý dữ liệu cá nhân của người dùng;
2. Là Bên Xử lý dữ liệu cá nhân khi thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của Bên Kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát và xử lý dữ liệu cá nhân.
3. Là Bên Kiểm soát và xử lý dữ liệu cá nhân khi quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân. Ví dụ: Công ty có bộ phận riêng đảm nhận việc xử lý dữ liệu cá nhân (ví dụ như Bộ phận IT, bộ phận kỹ thuật…)
4. Là Bên thứ ba khi tham gia vào việc xử lý dữ liệu cá nhân nhưng không phải là chủ thể dữ liệu cá nhân, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân 

Như vậy, Công ty sẽ có vai trò là Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân; Bên Kiểm soát và xử lý dữ liệu cá nhân.

5. Tuân thủ pháp luật

Tuân thủ pháp luật là việc Công ty không làm những điều mà pháp luật cấm. Trên thực tế, để tuân thủ đầy đủ quy định pháp luật về bảo vệ dữ liệu cá nhân, Công ty cần nhận thức rõ trách nhiệm của mình và hậu quả pháp lý của các hành vi vi phạm pháp luật trong việc bảo vệ dữ liệu cá nhân đó.

6. Các hành vi bị nghiêm cấm trong lĩnh vực bảo vệ dữ liệu cá nhân

Căn cứ pháp lý:

• Điều 7 Luật Bảo vệ dữ liệu cá nhân năm 2025 
• Điều 5 Luật Việc làm năm 2025

1. Xử lý dữ liệu cá nhân nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam, gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.
2. Cản trở hoạt động bảo vệ dữ liệu cá nhân.
3. Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật.
4. Xử lý dữ liệu cá nhân trái quy định của pháp luật.
5. Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật.
6. Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác.
7. Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.
8. Khai thác, chia sẻ, mua bán, trao đổi, chiếm đoạt, sử dụng trái phép thông tin, dữ liệu trong cơ sở dữ liệu về người lao động và thông tin về thị trường lao động.

7. Trách nhiệm chung về bảo vệ dữ liệu cá nhân của Công ty cung ứng dịch vụ bảo vệ

Căn cứ pháp lý:  Điều 3, 6 Luật Bảo vệ dữ liệu cá nhân năm 2025 

7.3. Đảm bảo tuân thủ đầy đủ nguyên tắc bảo vệ dữ liệu cá nhân:

1. Tuân thủ quy định của Hiến pháp, quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025 và quy định khác của pháp luật có liên quan;
2. Chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật;
3. Bảo đảm tính chính xác của dữ liệu cá nhân và được chỉnh sửa, cập nhật, bổ sung khi cần thiết; được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác;
4. Thực hiện đồng bộ có hiệu quả các biện pháp, giải pháp về thể chế, kỹ thuật, con người phù hợp để bảo vệ dữ liệu cá nhân;
5. Chủ động phòng ngừa, phát hiện, ngăn chặn, đấu tranh, xử lý kịp thời, nghiêm minh mọi hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
6. Bảo vệ dữ liệu cá nhân gắn với bảo vệ lợi ích quốc gia, dân tộc, phục vụ phát triển kinh tế xã hội, bảo đảm quốc phòng, an ninh và đối ngoại; bảo đảm hài hòa giữa bảo vệ dữ liệu cá nhân với bảo vệ quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

7.2. Có trách nhiệm tuân thủ pháp luật Việt Nam, điều ước quốc tế mà nước Cộng hòa xã hội chủ nghĩa Việt Nam là thành viên và thỏa thuận quốc tế về bảo vệ dữ liệu cá nhân trên cơ sở bình đẳng, cùng có lợi, tôn trọng độc lập, chủ quyền và toàn vẹn lãnh thổ;

8. Trách nhiệm với vai trò là Bên Kiểm soát dữ liệu cá nhân

Căn cứ pháp lý: Điều 37 Luật Bảo vệ dữ liệu cá nhân năm 2025 

1. Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân;
2. Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung quy định tại Luật Bảo vệ dữ liệu cá nhân năm 2025;
3. Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân theo quy định của pháp luật, rà soát và cập nhật các biện pháp này khi cần thiết;
4. Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân;
5. Lựa chọn Bên Xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân;
6. Bảo đảm các quyền của chủ thể dữ liệu cá nhân;
7. Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
8. Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
9. Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
10. Thực hiện các trách nhiệm khác theo quy định của  Luật Bảo vệ dữ liệu cá nhân năm 2025 và quy định khác của pháp luật có liên quan.

9. Trách nhiệm với vai trò là Bên Xử lý dữ liệu cá nhân

Căn cứ pháp lý: Điều 37 Luật Bảo vệ dữ liệu cá nhân năm 2025 

1. Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân;
2. Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với Bên Kiểm soát dữ liệu cá nhân;
3. Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân quy định tại Luật Bảo vệ dữ liệu cá nhân năm 2025 và các văn bản pháp luật khác có liên quan;
4. Chịu trách nhiệm trước Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
5. Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
6. Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
7. Thực hiện các trách nhiệm khác theo quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025 và quy định khác của pháp luật có liên quan.

10. Trách nhiệm với vai trò là Bên Kiểm soát và  Xử lý dữ liệu cá nhân

Căn cứ pháp lý: Điều 37 Luật Bảo vệ dữ liệu cá nhân năm 2025 

Do Bên Kiểm soát và xử lý có thể thực hiện cả hoạt động quyết định mục đích, phương tiện xử lý dữ liệu cá nhân đồng thời trực tiếp xử lý dữ liệu cá nhân, nên doanh nghiệp khi đóng vai trò này sẽ có trách nhiệm của cả Bên Kiểm soát dữ liệu cá nhân và Bên Xử lý dữ liệu cá nhân như đã nêu ở trên.

11. Trách nhiệm với vai trò là Bên thứ ba

Có trách nhiệm chung liên quan đến việc xử lý dữ liệu cá nhân

12. Trách nhiệm trong tuyển dụng, quản lý và sử dụng người lao động

Căn cứ pháp lý: Điều 25 Luật Bảo vệ dữ liệu cá nhân năm 2025 

12.1. Trong tuyển dụng lao động:

1. Chỉ được yêu cầu cung cấp các thông tin phục vụ cho mục đích tuyển dụng của cơ quan, tổ chức, cá nhân tuyển dụng phù hợp với quy định của pháp luật; thông tin được cung cấp chỉ được sử dụng vào mục đích tuyển dụng và mục đích khác theo thỏa thuận phù hợp với quy định của pháp luật;
2. Thông tin cung cấp phải được xử lý theo quy định của pháp luật và phải được sự đồng ý của người dự tuyển;
3. Phải xóa, hủy thông tin đã cung cấp của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người đã dự tuyển;

12.2. Trong quản lý, sử dụng người lao động:

1. Tuân thủ quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác của pháp luật có liên quan;
2. Dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;
3. Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác.

12.3. Trường hợp xử lý dữ liệu cá nhân của người lao động được thu thập bằng biện pháp công nghệ, kỹ thuật trong quản lý người lao động:

1. Chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó;
2. Không được xử lý, sử dụng dữ liệu cá nhân thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.

13. Hậu quả pháp lý

Căn cứ pháp lý: Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025

14.1. Xử phạt hành chính: căn cứ vào tính chất, mức độ, hậu quả của hành vi vi phạm

1. Thực hiện hành vi mua, bán dữ liệu cá nhân và có khoản thu từ hành vi vi phạm có thể bị phạt tiền tối đa bằng 10 lần khoản thu có được từ  hành vi vi phạm đó
2. Thực hiện hành vi mua, bán dữ liệu cá nhân nhưng không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn 03 tỷ đồng thì có thể bị phạt tiền tối đa 03 tỷ đồng
3. Thực hiện hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới và năm trước liền kề công ty có doanh thu thì có thể bị phạt tiền bằng 5% doanh thu  của năm trước liền kề
4. Thực hiện hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới mà năm trước liền kề công ty không có doanh thu hoặc mức phạt tính theo doanh thu thấp hơn 03 tỷ đồng thì có thể bị phạt tiền tối đa là 03 tỷ đồng

14.2. Truy cứu trách nhiệm hình sự tùy thuộc vào hành vi vi phạm và tính chất, mức độ, hậu quả của hành vi vi phạm

14.3. Bồi thường thiệt hại

Kết luận

Như vậy, đối với các doanh nghiệp hoạt động trong lĩnh vực cung ứng dịch vụ bảo vệ, bảo vệ dữ liệu cá nhân không chỉ là nghĩa vụ tuân thủ pháp luật khắt khe mà còn là nền tảng cốt lõi để xây dựng uy tín thương hiệu đối với người lao động và đối tác tuyển dụng. 

Trên đây là Tuân thủ quy định bảo vệ dữ liệu cá nhân với Công ty cung ứng dịch vụ bảo vệ. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: