Khi văn phòng luật hay phòng pháp chế dùng phần mềm chạy trên đám mây, dữ liệu khách hàng nằm trên máy chủ của bên khác, nhưng trách nhiệm giữ bí mật vẫn ở người làm luật. Vì vậy trước khi đưa hồ sơ lên, cần hỏi nhà cung cấp ba nhóm câu: dữ liệu được bảo vệ thế nào, nằm ở đâu và ai xem được, và khi thôi dùng thì lấy dữ liệu về bằng cách nào.
Bài này đưa ra danh mục câu hỏi cụ thể cho từng nhóm, giải thích vì sao mỗi câu quan trọng với nghề luật, và nhắc các khung pháp luật liên quan ở mức nguyên lý. Bài không đi vào kỹ thuật bảo mật đám mây nói chung, và không bàn riêng việc đưa hồ sơ vào công cụ AI, vốn đã có nhiều hướng dẫn chuyên biệt.
Vì sao câu hỏi với nghề luật khác các ngành khác
Mọi doanh nghiệp đều lo lộ dữ liệu, nhưng dữ liệu của văn phòng luật có ba đặc điểm làm rủi ro nặng hơn. Thứ nhất, Luật Luật sư đặt nghĩa vụ giữ bí mật thông tin của khách hàng, và vi phạm không chỉ là sự cố kỹ thuật mà là vấn đề đạo đức nghề nghiệp. Thứ hai, hồ sơ thường chứa thông tin mà chính khách hàng còn chưa muốn người thân biết: tranh chấp gia đình, nợ, vi phạm. Thứ ba, hồ sơ tranh tụng có giá trị với bên đối lập, nên văn phòng luật là mục tiêu có động cơ rõ ràng.
Thêm vào đó, từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực. Văn phòng luật xử lý dữ liệu cá nhân của khách hàng, của bên đối lập, của nhân chứng, và khi thuê phần mềm đám mây thì nhà cung cấp là bên xử lý dữ liệu thay mặt văn phòng. Quan hệ đó cần được thể hiện trong hợp đồng: nhà cung cấp chỉ xử lý theo chỉ dẫn, áp dụng biện pháp bảo vệ, thông báo khi có sự cố.
Những điều trên không có nghĩa là văn phòng luật không nên dùng đám mây. Một nhà cung cấp có năng lực thường bảo vệ dữ liệu tốt hơn chiếc máy chủ đặt dưới gầm bàn không ai cập nhật. Điều cần là chọn có căn cứ và ghi lại căn cứ đó.
Phân loại dữ liệu trước khi đưa lên đám mây
Không phải mọi dữ liệu của văn phòng đều nhạy cảm như nhau. Phân loại trước giúp đặt biện pháp tương xứng thay vì một chuẩn chung cho tất cả:
| Mức | Ví dụ | Cách xử lý gợi ý |
|---|---|---|
| Công khai | Bài viết chuyên môn, mẫu đơn trống, thông tin giới thiệu văn phòng | Lưu bình thường, không cần hạn chế |
| Nội bộ | Quy trình làm việc, lịch họp, thư viện điều khoản | Chỉ người trong văn phòng xem |
| Mật | Hồ sơ vụ việc thông thường, hợp đồng của khách, trao đổi với khách | Phân quyền theo vụ việc, nhật ký truy cập |
| Tối mật | Hồ sơ hình sự, hôn nhân gia đình, sức khoẻ, bí mật kinh doanh lớn của khách | Khoá riêng nhóm nhỏ, cân nhắc lưu tách, hạn chế chia sẻ ra ngoài |
Mức phân loại nên được gắn ngay khi mở vụ việc và có thể nâng lên khi tình tiết thay đổi. Ba nhóm câu hỏi dưới đây nên được đặt với mức "tối mật" trong đầu: nhà cung cấp đáp ứng được mức cao nhất thì các mức dưới cũng ổn.
Nhóm câu hỏi về bảo mật
Những câu nên gửi bằng văn bản cho nhà cung cấp và lưu câu trả lời:
- Dữ liệu có được mã hoá khi truyền và khi lưu không; ai giữ khoá mã hoá.
- Có bắt buộc hoặc cho phép bật đăng nhập hai lớp cho mọi tài khoản không.
- Phân quyền có tới mức từng vụ việc, từng thư mục không, hay chỉ theo vai trò chung.
- Có nhật ký ghi ai xem, tải, sửa, xoá tài liệu nào, lúc nào; văn phòng có tự xem và xuất nhật ký được không.
- Nhân viên của nhà cung cấp có truy cập được nội dung tài liệu không, trong trường hợp nào, có được ghi lại không.
- Sao lưu bao lâu một lần, giữ trong bao lâu, khôi phục mất bao lâu khi có sự cố.
- Đã có đánh giá hoặc chứng nhận an toàn thông tin độc lập nào chưa, và văn phòng có xem được tóm tắt kết quả không.
- Khi xảy ra sự cố lộ lọt, nhà cung cấp thông báo cho văn phòng trong bao lâu và cung cấp thông tin gì.
Câu trả lời mơ hồ kiểu "hệ thống đạt chuẩn bảo mật cao" không có giá trị. Câu trả lời tốt nêu biện pháp cụ thể và chấp nhận đưa vào hợp đồng.
Nhóm câu hỏi về nơi lưu dữ liệu
Dữ liệu được lưu ở đâu có hệ quả pháp lý và thực tế. Về pháp lý, Luật Bảo vệ dữ liệu cá nhân 2025 có quy định riêng về chuyển dữ liệu cá nhân ra nước ngoài, thường đi kèm nghĩa vụ đánh giá tác động và lưu hồ sơ; pháp luật về an ninh mạng cũng đặt yêu cầu lưu trữ dữ liệu tại Việt Nam với một số loại doanh nghiệp và dữ liệu. Chi tiết thủ tục phụ thuộc văn bản hướng dẫn, nên đối chiếu quy định hiện hành khi ra quyết định.
Về thực tế, nơi lưu ảnh hưởng tới việc cơ quan nhà nước nước ngoài có thể yêu cầu nhà cung cấp cung cấp dữ liệu theo luật của nước đó hay không, và tới tốc độ truy cập. Câu hỏi cụ thể nên đặt: máy chủ chính và máy chủ sao lưu đặt ở quốc gia nào; nhà cung cấp có dùng bên thứ ba để lưu trữ, xử lý không và đó là ai; khi luật nước sở tại buộc cung cấp dữ liệu thì nhà cung cấp có thông báo cho văn phòng không.
Với hồ sơ đặc biệt nhạy cảm, một số văn phòng chọn cách lai: phần mềm quản lý chạy trên đám mây nhưng tài liệu của một số vụ việc được lưu trên hệ thống riêng, chỉ ghi tham chiếu trong phần mềm. Cách này phức tạp hơn nhưng giảm rủi ro cho đúng nhóm hồ sơ cần bảo vệ nhất. Với tình huống cụ thể về chuyển dữ liệu khách hàng ra nước ngoài, có thể hỏi luật sư trên AI Cố Vấn hoặc người làm nghề chuyên về dữ liệu để được tư vấn theo hồ sơ thật.
Nhóm câu hỏi về rút dữ liệu khi thôi dùng
Đây là nhóm câu bị bỏ qua nhiều nhất lúc ký và quan trọng nhất lúc muốn đổi. Một quy trình kiểm tra trước khi ký:
- Hỏi văn phòng xuất được những gì: dữ liệu có cấu trúc (khách hàng, vụ việc, hạn, giờ làm), tài liệu đính kèm, nhật ký truy cập, lịch sử phiên bản.
- Hỏi định dạng xuất: bảng tính, tệp dữ liệu mở, hay chỉ định dạng riêng của nhà cung cấp.
- Trong thời gian dùng thử, tự xuất dữ liệu của một vụ việc thử và mở bằng công cụ phổ thông để xem có đọc được không, tài liệu có giữ đúng tên và thư mục không.
- Đọc điều khoản về thời gian được xuất dữ liệu sau khi chấm dứt hợp đồng, và điều gì xảy ra nếu văn phòng chậm thanh toán.
- Hỏi cách nhà cung cấp xoá dữ liệu sau khi chấm dứt, kể cả bản sao lưu, và có văn bản xác nhận xoá không.
- Ghi tất cả vào một trang "kế hoạch rời đi" và cất cùng hợp đồng.
Kế hoạch rời đi nghe như bi quan khi vừa mới chọn, nhưng nó cũng là phép thử tốt về thiện chí của nhà cung cấp. Bên nào làm khó việc xuất dữ liệu ngay từ đầu thường sẽ còn khó hơn khi văn phòng thật sự muốn đi.
Trách nhiệm phía văn phòng: những việc nhà cung cấp không làm thay
Quản lý tài khoản. Tạo, khoá, xoá tài khoản khi người vào làm, đổi vị trí, nghỉ việc. Tài khoản của người đã nghỉ còn mở là một trong những lỗ hổng phổ biến nhất.
Thiết bị đầu cuối. Máy tính, điện thoại dùng để truy cập phải có mật khẩu màn hình, được cập nhật, và có cách xoá dữ liệu từ xa khi mất máy.
Chia sẻ ra ngoài. Nhiều phần mềm cho tạo đường dẫn chia sẻ tài liệu. Văn phòng cần quy tắc: ai được tạo, có hạn dùng, có mật khẩu, và rà soát định kỳ các đường dẫn còn mở.
Đào tạo. Người dùng cần nhận biết thư lừa đảo đánh cắp mật khẩu, vì kẻ xấu thường vào bằng tài khoản thật chứ không phá được lớp mã hoá.
Rà soát định kỳ. Mỗi quý xem nhật ký truy cập bất thường, danh sách tài khoản, quyền theo vụ việc. Ghi lại việc rà soát như một phần hồ sơ tuân thủ của văn phòng.
Ghi lại quyết định: hồ sơ lựa chọn nhà cung cấp
Một văn bản ngắn ghi lại vì sao văn phòng chọn nhà cung cấp này, đã hỏi những gì, nhận câu trả lời ra sao, và đã đánh giá rủi ro thế nào, có ích theo nhiều cách. Khi khách hàng doanh nghiệp hỏi văn phòng bảo vệ dữ liệu của họ thế nào, văn phòng có sẵn câu trả lời. Khi có sự cố, văn bản cho thấy văn phòng đã thận trọng hợp lý. Khi đổi người quản trị, người mới hiểu được lựa chọn trước đó.
Văn bản không cần dài. Một đến hai trang gồm: mục đích dùng phần mềm, loại dữ liệu đưa lên, câu trả lời của nhà cung cấp cho ba nhóm câu hỏi, các biện pháp văn phòng tự áp dụng, rủi ro còn lại và lý do chấp nhận. Nên xem lại mỗi năm một lần hoặc khi nhà cung cấp thay đổi điều khoản đáng kể.
Với khách hàng có yêu cầu riêng, chẳng hạn ngân hàng hay doanh nghiệp nước ngoài có chính sách nhà cung cấp chặt chẽ, văn phòng có thể phải điều chỉnh cách lưu hồ sơ của riêng khách đó. Hỏi khách từ khi ký hợp đồng dịch vụ pháp lý giúp tránh phải chuyển dữ liệu giữa chừng.
Câu hỏi thường gặp
Văn phòng luật có được lưu hồ sơ khách hàng trên đám mây không?
Pháp luật không cấm chung việc này. Điều cần là bảo đảm nghĩa vụ giữ bí mật thông tin khách hàng và các nghĩa vụ về dữ liệu cá nhân vẫn được thực hiện: chọn nhà cung cấp có biện pháp bảo vệ phù hợp, có hợp đồng rõ ràng, và văn phòng tự quản lý tốt tài khoản, thiết bị.
Máy chủ đặt ở nước ngoài thì có vi phạm quy định không?
Không mặc nhiên vi phạm, nhưng có thể phát sinh nghĩa vụ liên quan tới chuyển dữ liệu cá nhân ra nước ngoài và yêu cầu lưu trữ trong nước với một số trường hợp. Cần đối chiếu quy định hiện hành theo loại dữ liệu và loại tổ chức, hoặc hỏi người làm nghề chuyên về dữ liệu.
Có nên thông báo cho khách hàng rằng hồ sơ được lưu trên đám mây không?
Nên, ở mức phù hợp. Có thể đưa vào hợp đồng dịch vụ pháp lý hoặc thông báo xử lý dữ liệu cá nhân của văn phòng một đoạn mô tả cách lưu trữ và biện pháp bảo vệ. Với khách hàng có chính sách riêng, nên hỏi trước khi đưa hồ sơ lên.
Tự đặt máy chủ trong văn phòng có an toàn hơn đám mây không?
Không chắc. Máy chủ riêng cho văn phòng kiểm soát vật lý, nhưng đòi hỏi người quản trị có năng lực cập nhật, sao lưu, phòng chống tấn công liên tục. Văn phòng nhỏ không có người như vậy thường an toàn hơn với một nhà cung cấp đám mây được chọn kỹ.
Nếu nhà cung cấp phần mềm phá sản thì dữ liệu ra sao?
Đây là lý do cần kế hoạch rời đi từ đầu. Nên xuất dữ liệu định kỳ, chẳng hạn mỗi quý, và lưu bản xuất ở nơi văn phòng kiểm soát. Khi nhà cung cấp gặp khó khăn, văn phòng vẫn có dữ liệu gần nhất để chuyển sang công cụ khác.
Nhân viên nghỉ việc mang theo dữ liệu từ phần mềm đám mây thì xử lý thế nào?
Phòng ngừa trước bằng phân quyền theo vụ việc, khoá tài khoản ngay ngày nghỉ, và theo dõi nhật ký tải xuống bất thường. Khi có dấu hiệu dữ liệu bị mang đi, giữ nguyên nhật ký làm chứng cứ và hỏi luật sư về các biện pháp theo hợp đồng lao động và quy định về bảo vệ dữ liệu.