Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ 1/1/2026, và kho hồ sơ của văn phòng luật, phòng pháp chế là một trong những nơi tập trung dữ liệu cá nhân dày đặc nhất của một tổ chức. Một hồ sơ ly hôn có thông tin con cái, tài sản, sức khoẻ; một hồ sơ lao động có lương, kỷ luật; một hồ sơ hình sự có lý lịch. Trước đây, việc bảo vệ dữ liệu cá nhân được quy định chủ yếu ở cấp nghị định; nay được nâng lên thành luật, kèm các văn bản hướng dẫn.
Bài này không tóm tắt toàn bộ luật, mà chỉ ra những điểm cụ thể trong kho hồ sơ cần rà: dữ liệu của ai đang nằm trong kho, loại nào nhạy cảm, ai được xem, giữ đến bao giờ, xử lý thế nào khi có người yêu cầu, và làm gì khi có sự cố. Chi tiết nghĩa vụ, thời hạn thông báo và chế tài cần đối chiếu văn bản luật và hướng dẫn hiện hành.
Kho hồ sơ chứa dữ liệu của những ai
Khi nghĩ về dữ liệu cá nhân, văn phòng luật thường chỉ nghĩ đến khách hàng. Thực tế, một hồ sơ vụ việc chứa dữ liệu của nhiều nhóm người hơn thế: khách hàng và người thân của họ, đối phương, người làm chứng, người lao động của doanh nghiệp khách hàng, những người có tên trong hợp đồng, biên bản, bản án được thu thập. Nhiều người trong số đó không hề biết văn phòng đang giữ thông tin của họ.
Điều này không có nghĩa văn phòng làm sai. Thu thập và lưu thông tin để thực hiện dịch vụ pháp lý, bảo vệ quyền lợi hợp pháp của khách hàng trong tranh chấp, là một hoạt động có cơ sở. Nhưng nó có nghĩa văn phòng cần biết rõ mình đang giữ gì, vì sao, và bảo vệ ở mức tương xứng, kể cả với dữ liệu của người không phải khách hàng.
Phòng pháp chế doanh nghiệp cũng ở tình thế tương tự: hồ sơ hợp đồng có dữ liệu của người ký, hồ sơ tranh chấp lao động có dữ liệu nhân viên, hồ sơ xử lý khiếu nại có dữ liệu khách hàng của doanh nghiệp. Kho pháp chế thường được bảo vệ kém hơn kho nhân sự hay kế toán, dù độ nhạy cảm không kém.
Rà kho theo nhóm dữ liệu
Bước đầu tiên là một bản kê ở mức nhóm, không cần đến từng hồ sơ. Bảng dưới là ví dụ giả định về cách lập bản kê:
| Nhóm hồ sơ | Dữ liệu cá nhân thường có | Của ai | Mức nhạy cảm cần lưu ý |
|---|---|---|---|
| Hôn nhân, gia đình | Thông tin con cái, tài sản, có khi sức khoẻ | Khách hàng, vợ hoặc chồng, con | Cao |
| Lao động | Lương, kỷ luật, lý do chấm dứt | Người lao động, người quản lý | Cao |
| Hình sự | Lý lịch, hành vi bị cáo buộc | Bị can, bị hại, người làm chứng | Rất cao |
| Doanh nghiệp, hợp đồng | Thông tin định danh, chữ ký, chức vụ | Người đại diện, người ký | Trung bình |
| Đất đai, thừa kế | Thông tin định danh, quan hệ gia đình, tài sản | Nhiều thế hệ trong gia đình | Cao |
| Hồ sơ tiếp nhận ban đầu | Mô tả sự việc do khách kể | Khách và người được nhắc đến | Tuỳ nội dung |
Luật phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, với yêu cầu bảo vệ cao hơn cho nhóm nhạy cảm. Danh mục cụ thể thuộc nhóm nhạy cảm do luật và văn bản hướng dẫn quy định; khi lập bản kê, nên đối chiếu danh mục đó thay vì tự đánh giá cảm tính.
Năm điểm rà trong kho lưu trữ
Thu đúng mức cần. Phiếu tiếp nhận khách hàng, mẫu yêu cầu cung cấp hồ sơ thường hỏi thừa: số định danh của người thân, ảnh giấy tờ không cần cho vụ việc. Nguyên tắc giảm thiểu dữ liệu yêu cầu chỉ thu những gì cần cho mục đích. Rà lại các mẫu này là việc nhanh nhất mà có tác dụng ngay.
Quyền truy cập theo vụ việc. Dữ liệu nhạy cảm chỉ nên được xem bởi người làm vụ việc đó. Một ổ chung ai cũng mở được khó chứng minh là biện pháp bảo vệ phù hợp.
Thời gian giữ có căn cứ. Luật đặt nguyên tắc lưu dữ liệu trong thời gian phù hợp với mục đích. Kho hồ sơ cần một lịch lưu giữ bằng văn bản, có căn cứ cho từng loại hồ sơ, và quy trình xử lý khi đến hạn.
Bản sao rải rác. Dữ liệu khách hàng không chỉ ở kho chính mà còn ở hộp thư, ứng dụng nhắn tin, máy tính cá nhân, ổ USB, bản in để trên bàn. Rà kho mà bỏ qua những nơi này là rà một nửa.
Bên thứ ba xử lý dữ liệu. Dịch vụ lưu trữ đám mây, đơn vị quét thuê, phần mềm quản lý hồ sơ đều là bên xử lý dữ liệu thay cho văn phòng. Hợp đồng với họ cần có điều khoản bảo vệ dữ liệu, giới hạn mục đích và việc xoá khi chấm dứt; nếu dữ liệu được lưu ở nước ngoài, cần xem thêm quy định về chuyển dữ liệu ra nước ngoài.
Khi có người yêu cầu xem, sửa, xoá dữ liệu
Luật trao cho chủ thể dữ liệu các quyền như được biết, được truy cập, yêu cầu chỉnh sửa, yêu cầu xoá trong những trường hợp nhất định. Với văn phòng luật, các yêu cầu này có thể đến từ khách hàng cũ, nhưng cũng có thể đến từ đối phương hay người có tên trong hồ sơ. Đây là tình huống khó, vì quyền của chủ thể dữ liệu phải được cân với nghĩa vụ bảo mật thông tin khách hàng và quyền của khách hàng được bảo vệ trong tranh chấp.
Luật và văn bản hướng dẫn có quy định các trường hợp quyền của chủ thể dữ liệu bị giới hạn, ví dụ khi việc xử lý dữ liệu phục vụ nghĩa vụ pháp lý hoặc giải quyết tranh chấp. Văn phòng không nên tự suy diễn mở rộng các ngoại lệ đó, cũng không nên tự động đáp ứng mọi yêu cầu mà bỏ qua bí mật của khách hàng. Cách làm thận trọng là: tiếp nhận bằng văn bản, xác minh người yêu cầu, xác định dữ liệu nào liên quan, đối chiếu quy định, và trả lời bằng văn bản có lý do.
Ở mức tổ chức, nên chỉ định một người đầu mối tiếp nhận các yêu cầu này, có mẫu sổ theo dõi và thời hạn xử lý nội bộ. Yêu cầu đến qua một luật sư bất kỳ rồi bị quên trong hộp thư là rủi ro lớn hơn bản thân yêu cầu.
Khi xảy ra sự cố lộ dữ liệu
Mất máy tính xách tay chưa mã hoá, gửi nhầm email chứa hồ sơ, tài khoản lưu trữ bị chiếm: với kho hồ sơ pháp lý, những sự cố này vừa là vi phạm dữ liệu cá nhân vừa là vấn đề bí mật nghề nghiệp. Trình tự xử lý gợi ý:
- Chặn ngay: khoá tài khoản, đổi mật khẩu, xoá từ xa thiết bị, đề nghị người nhận nhầm xoá và xác nhận.
- Ghi nhận sự việc: thời điểm phát hiện, phạm vi dữ liệu, số người có thể bị ảnh hưởng, những gì đã làm.
- Đánh giá theo quy định: sự cố có thuộc trường hợp phải thông báo cho cơ quan có thẩm quyền và cho chủ thể dữ liệu không, trong thời hạn nào; đối chiếu luật và hướng dẫn hiện hành.
- Thông báo cho khách hàng liên quan, vì đây cũng là thông tin về vụ việc của họ.
- Tìm nguyên nhân và sửa quy trình, không chỉ xử lý hậu quả lần này.
- Lưu toàn bộ hồ sơ sự cố, kể cả khi kết luận không phải thông báo, cùng lý do của kết luận đó.
Sự cố nhỏ được xử lý bài bản là bằng chứng tốt nhất cho thấy văn phòng có biện pháp bảo vệ thực chất. Sự cố bị giấu đi rồi lộ ra sau đó gây thiệt hại lớn hơn nhiều, cả về pháp lý lẫn uy tín.
Những chỗ dữ liệu hay bị quên khi rà kho
Kinh nghiệm rà soát ở các văn phòng nhỏ cho thấy dữ liệu cá nhân thường "trốn" ở những nơi không ai coi là kho hồ sơ:
- thư mục tải về trên máy tính của luật sư và trợ lý, nơi tệp khách gửi được mở ra rồi để đó;
- máy quét, máy in đa năng có bộ nhớ lưu bản quét gần nhất hoặc gửi bản quét vào một hộp thư chung;
- bản in hồ sơ mang đi phiên hoà giải, phiên toà, rồi để lại trong cặp hoặc trên xe;
- bảng tính theo dõi vụ việc có cột ghi chú chứa cả tình tiết nhạy cảm, được chia sẻ rộng hơn hồ sơ gốc;
- các bản sao lưu cũ trên ổ cứng ngoài không còn ai quản lý;
- tài khoản dùng thử của các phần mềm, dịch vụ đám mây mà nhân viên từng tải hồ sơ lên để thử rồi bỏ quên.
Rà những chỗ này thường mất ít thời gian hơn rà kho chính, nhưng lại giảm được phần lớn rủi ro thực tế, vì sự cố lộ dữ liệu ở văn phòng nhỏ hay bắt đầu từ chính những góc khuất đó.
Bắt đầu từ đâu với nguồn lực ít
Văn phòng năm người không thể dựng một bộ máy tuân thủ như ngân hàng. Thứ tự ưu tiên hợp lý cho đơn vị nhỏ là: bản kê nhóm dữ liệu như ở trên; phân quyền theo vụ việc; mã hoá thiết bị di động và bật xác thực hai lớp cho mọi tài khoản; lịch lưu giữ bằng văn bản; mẫu thông báo về xử lý dữ liệu cho khách hàng; quy trình tiếp nhận yêu cầu và xử lý sự cố.
Thông báo cho khách hàng về việc xử lý dữ liệu có thể lồng vào hợp đồng dịch vụ pháp lý hoặc phiếu tiếp nhận: văn phòng thu thông tin gì, dùng làm gì, chia sẻ cho ai trong phạm vi công việc, giữ bao lâu, khách có quyền gì. Viết bằng lời thường, ngắn, đúng với những gì văn phòng thực sự làm.
Cuối cùng, ghi lại những gì đã làm. Phần lớn nghĩa vụ trong luật dữ liệu cá nhân là nghĩa vụ chứng minh: chứng minh có biện pháp bảo vệ, có căn cứ xử lý, có quy trình. Một thư mục tuân thủ nhỏ chứa bản kê, chính sách, biên bản rà soát hằng năm và hồ sơ sự cố thường có giá trị hơn nhiều so với một bộ quy chế dày không ai làm theo.
Câu hỏi thường gặp
Văn phòng luật có phải xin đồng ý của đối phương mới được lưu thông tin của họ trong hồ sơ không?
Không phải mọi trường hợp xử lý dữ liệu đều dựa trên sự đồng ý; luật có các căn cứ khác, trong đó có xử lý để thực hiện nghĩa vụ pháp lý hoặc bảo vệ quyền lợi hợp pháp. Văn phòng cần đối chiếu căn cứ cụ thể trong luật và hướng dẫn, và chỉ lưu dữ liệu của đối phương ở mức cần cho vụ việc.
Hồ sơ cũ từ trước năm 2026 có phải rà lại theo luật mới không?
Luật áp dụng cho việc xử lý dữ liệu đang diễn ra, mà lưu trữ cũng là một hoạt động xử lý. Vì vậy kho hồ sơ cũ vẫn nên được đưa vào bản kê, lịch lưu giữ và phân quyền, thay vì coi là vùng ngoài phạm vi.
Dữ liệu cá nhân trong bản án đã công bố có được lưu tuỳ ý không?
Bản án công bố thường đã được lược bớt một số thông tin, nhưng dữ liệu còn lại vẫn là dữ liệu cá nhân. Khi đưa vào hồ sơ để phục vụ vụ việc, nên lưu trong phạm vi cần thiết và theo cùng chế độ bảo vệ như các tài liệu khác.
Dùng dịch vụ lưu trữ đám mây đặt máy chủ ở nước ngoài có được không?
Có thể phát sinh vấn đề chuyển dữ liệu cá nhân ra nước ngoài theo luật và văn bản hướng dẫn. Trước khi chọn dịch vụ, nên xác định dữ liệu được lưu ở đâu, đối chiếu yêu cầu hồ sơ, thủ tục liên quan và hỏi người có chuyên môn nếu kho chứa nhiều dữ liệu nhạy cảm.
Phòng pháp chế có cần người phụ trách bảo vệ dữ liệu riêng không?
Tuỳ quy mô và loại dữ liệu doanh nghiệp xử lý; luật và hướng dẫn có quy định về bộ phận, nhân sự phụ trách trong một số trường hợp. Dù không bắt buộc, kho hồ sơ pháp chế vẫn nên có một người đầu mối về tiếp nhận yêu cầu và xử lý sự cố.
Ẩn danh hồ sơ có giúp giảm nghĩa vụ không?
Dữ liệu đã được ẩn danh triệt để, không còn xác định được người cụ thể, thường không còn là dữ liệu cá nhân. Nhưng ẩn danh phải thật sự triệt để; chỉ che tên mà giữ chi tiết đặc thù thì vẫn có thể nhận ra người liên quan.