Ứng dụng pháp lý nhận hồ sơ vụ việc từ người dùng là bên xử lý dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân năm 2025, có hiệu lực từ 1/1/2026: phải có căn cứ xử lý (thường là sự đồng ý), giới hạn mục đích, bảo đảm an toàn, tôn trọng quyền của chủ thể dữ liệu và tuân thủ nghĩa vụ riêng khi chuyển dữ liệu ra nước ngoài. Điểm khó riêng của mảng này là một hồ sơ vụ việc hầu như luôn chứa dữ liệu của người khác ngoài người dùng, và nhiều loại thuộc nhóm nhạy cảm.
Một hợp đồng vay kèm tin nhắn đòi nợ có tên, số giấy tờ, số tài khoản của cả hai bên. Một hồ sơ ly hôn có thông tin về con cái, sức khoẻ, tài sản. Một câu hỏi về vụ án hình sự có thông tin về hành vi phạm tội của một người chưa bị kết án. Bài này giúp đội sản phẩm lập bản đồ dữ liệu, xử lý dữ liệu người thứ ba, làm việc với nhà cung cấp và phản hồi yêu cầu của chủ thể dữ liệu. Đây là thông tin phổ thông; chi tiết thủ tục cần đối chiếu nghị định hướng dẫn hiện hành.
Khung pháp lý đang áp dụng và điểm chuyển tiếp
Trước khi có luật, khung chính về bảo vệ dữ liệu cá nhân ở Việt Nam là Nghị định 13/2023/NĐ-CP. Luật Bảo vệ dữ liệu cá nhân năm 2025 nâng các nguyên tắc lên tầm luật, có hiệu lực từ 1/1/2026, đi kèm các văn bản hướng dẫn của Chính phủ. Những doanh nghiệp đã làm theo nghị định cũ có nền tảng tốt, nhưng cần rà lại tài liệu, mẫu xin đồng ý, quy trình đánh giá tác động và mức chế tài theo luật mới.
Song song là Luật Dữ liệu năm 2024, có hiệu lực từ 1/7/2025, điều chỉnh rộng hơn về dữ liệu số nói chung: phân loại dữ liệu, quản trị, chia sẻ, cơ sở dữ liệu quốc gia. Với một ứng dụng pháp lý, Luật Dữ liệu chủ yếu liên quan khi kho dữ liệu có quy mô lớn, có dữ liệu quan trọng hoặc có kết nối với hệ thống của cơ quan nhà nước. Còn nghĩa vụ hằng ngày với hồ sơ người dùng chủ yếu nằm trong Luật Bảo vệ dữ liệu cá nhân.
Ngoài ra, nếu nền tảng có luật sư cung cấp dịch vụ, nghĩa vụ giữ bí mật thông tin khách hàng của luật sư theo Luật Luật sư tồn tại song song. Nền tảng vận hành kênh trao đổi giữa luật sư và khách vì vậy phải thiết kế để không trở thành điểm rò rỉ của bí mật nghề nghiệp đó.
Bản đồ dữ liệu của một ứng dụng pháp lý điển hình
Bước đầu tiên luôn là biết mình đang giữ gì. Bảng dưới gom các nhóm dữ liệu thường gặp; mỗi ứng dụng cần lập bản riêng theo tính năng thật.
| Nhóm dữ liệu | Ví dụ trong ứng dụng pháp lý | Điều cần lưu ý |
|---|---|---|
| Dữ liệu tài khoản | Họ tên, thư điện tử, số điện thoại, mật khẩu đã mã hoá | Chỉ thu những gì cần cho tài khoản |
| Nội dung câu hỏi | Mô tả tình huống, câu hỏi gõ vào ô chat | Thường chứa dữ liệu nhạy cảm dù người dùng không chủ ý |
| Tệp tải lên | Ảnh giấy tờ tuỳ thân, hợp đồng, bản án, tin nhắn chụp màn hình | Chứa dữ liệu của người thứ ba; cần phân quyền xem chặt |
| Dữ liệu về tranh chấp và vi phạm | Thông tin về hành vi vi phạm, vụ án, người bị tố cáo | Có thể thuộc nhóm nhạy cảm; dù thuộc hay không, rủi ro khi lộ rất cao nên cần biện pháp bảo vệ cao hơn |
| Dữ liệu sức khoẻ, gia đình, tài chính | Hồ sơ tai nạn, ly hôn, nuôi con, nợ | Thường thuộc nhóm nhạy cảm; đối chiếu danh mục trong văn bản hướng dẫn |
| Nhật ký hệ thống | Lịch sử truy cập, thiết bị, địa chỉ mạng | Dùng cho an ninh; công bố thời hạn lưu |
| Trao đổi với luật sư | Tin nhắn, cuộc gọi qua nền tảng | Gắn với bí mật nghề nghiệp của luật sư; hạn chế tối đa người của nền tảng tiếp cận |
Danh mục dữ liệu nhạy cảm cụ thể do văn bản hướng dẫn luật xác định. Trước đây Nghị định 13/2023/NĐ-CP đã xếp các nhóm như sức khoẻ, đời sống tình dục, thông tin về tội phạm, hành vi phạm tội do cơ quan thực thi pháp luật thu thập, một số thông tin tài chính vào nhóm nhạy cảm; hãy kiểm tra danh mục theo văn bản mới thay vì giả định.
Dữ liệu của người thứ ba: câu hỏi khó nhất
Đồng ý của người dùng không phải đồng ý của bên kia. Khi người dùng tải lên hợp đồng có tên đối phương, họ đồng ý cho nền tảng xử lý dữ liệu của chính họ, không thể đồng ý thay đối phương. Nền tảng cần xác định căn cứ xử lý phù hợp cho phần dữ liệu này và giới hạn chặt mục đích: chỉ để giải quyết yêu cầu của người dùng.
Thu tối thiểu ngay từ giao diện. Giao diện có thể nhắc người dùng che số giấy tờ, số tài khoản của người khác trước khi tải lên nếu chi tiết đó không cần cho câu hỏi. Một dòng nhắc đặt đúng chỗ giảm được lượng lớn dữ liệu không cần thiết.
Không dùng sang mục đích khác. Dữ liệu của người thứ ba trong hồ sơ tuyệt đối không nên được dùng cho tiếp thị, phân tích hành vi hay huấn luyện mô hình. Nếu nền tảng muốn dùng nội dung hồ sơ để cải thiện sản phẩm, cách an toàn hơn là ẩn danh hoá trước, và vẫn cần cân nhắc với căn cứ pháp lý của từng mục đích.
Xoá khi xong việc. Khi người dùng đóng vụ việc hoặc xoá tài khoản, tệp chứa dữ liệu người thứ ba nên bị xoá theo thời hạn đã công bố, kể cả bản sao lưu theo chu kỳ hợp lý.
Quy trình tuân thủ cho đội sản phẩm nhỏ
Một đội vài người vẫn làm được nếu đi đúng thứ tự. Mỗi bước nên có một người chịu trách nhiệm và một tài liệu ghi lại.
- Lập bản đồ dữ liệu như bảng ở trên cho từng tính năng: thu gì, ở đâu, ai xem, lưu bao lâu.
- Ghi mục đích xử lý cho từng nhóm dữ liệu và kiểm tra mỗi mục đích có căn cứ xử lý phù hợp.
- Thiết kế màn hình xin đồng ý tách theo mục đích, không gộp tất cả vào một ô đánh dấu duy nhất.
- Phân quyền nội bộ: nhân viên vận hành không tự xem nội dung hồ sơ; mọi lượt xem được ghi nhật ký.
- Mã hoá dữ liệu khi lưu và khi truyền; tách khoá mã hoá khỏi máy chủ lưu dữ liệu.
- Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo yêu cầu của luật và văn bản hướng dẫn, cập nhật khi thêm tính năng.
- Viết quy trình xử lý sự cố: phát hiện, khoanh vùng, thông báo cho cơ quan chuyên trách và người bị ảnh hưởng theo thời hạn quy định.
- Công bố chính sách dữ liệu bằng ngôn ngữ dễ hiểu, khớp với những gì hệ thống thực sự làm.
Thời hạn thông báo sự cố và mẫu hồ sơ đánh giá tác động được quy định trong văn bản hướng dẫn; hãy lấy theo văn bản hiện hành tại thời điểm làm, không theo bài viết cũ.
Nhà cung cấp dịch vụ và dữ liệu đi ra nước ngoài
Rất ít ứng dụng pháp lý tự vận hành mọi thứ. Máy chủ đám mây, dịch vụ gửi thư, công cụ phân tích, và đặc biệt là dịch vụ mô hình AI thường do bên khác cung cấp, nhiều bên đặt máy chủ ở nước ngoài. Mỗi bên như vậy là một mắt xích xử lý dữ liệu, và doanh nghiệp vẫn chịu trách nhiệm với người dùng về việc lựa chọn và giám sát họ.
Hợp đồng với bên xử lý cần ghi rõ: chỉ xử lý theo chỉ dẫn, không dùng dữ liệu cho mục đích riêng (kể cả huấn luyện mô hình của họ), biện pháp bảo mật, thông báo khi có sự cố, xoá hoặc trả dữ liệu khi chấm dứt. Với dịch vụ AI, hãy đọc kỹ phần dữ liệu đầu vào có được lưu không, lưu bao lâu, có được dùng cải thiện mô hình không, và chọn cấu hình phù hợp.
Khi dữ liệu cá nhân được chuyển ra nước ngoài, luật đặt ra nghĩa vụ riêng, trong đó có việc lập hồ sơ đánh giá tác động chuyển dữ liệu theo quy định. Với hồ sơ vụ việc chứa dữ liệu nhạy cảm, nhiều doanh nghiệp chọn giữ phần lưu trữ chính trong nước và chỉ gửi ra ngoài phần đã được ẩn danh hoặc rút gọn tối đa. Lựa chọn kiến trúc này nên được quyết định từ đầu, vì đổi sau rất tốn kém.
Phản hồi yêu cầu của chủ thể dữ liệu và của cơ quan nhà nước
Nền tảng cần sẵn quy trình cho những yêu cầu dưới đây, kèm người phụ trách và thời hạn xử lý nội bộ:
- Người dùng yêu cầu xem dữ liệu nền tảng đang giữ về họ: chuẩn bị cách xuất dữ liệu đọc được.
- Người dùng yêu cầu sửa hoặc xoá: xác minh danh tính trước, xoá cả ở bên xử lý và bản sao lưu theo chu kỳ.
- Người dùng rút lại sự đồng ý: ngừng xử lý cho mục đích liên quan, giải thích rõ hệ quả với tính năng.
- Người thứ ba phát hiện dữ liệu của mình trong hồ sơ người khác và yêu cầu xử lý: cần cân nhắc quyền của họ và quyền của người dùng, nên có ý kiến pháp lý.
- Cơ quan nhà nước yêu cầu cung cấp dữ liệu: kiểm tra căn cứ, thẩm quyền và phạm vi yêu cầu bằng văn bản, chỉ cung cấp đúng phạm vi, lưu hồ sơ.
- Luật sư đối tác yêu cầu chuyển hồ sơ khách sang hệ thống riêng: chỉ làm khi khách hàng đồng ý.
Mỗi loại yêu cầu nên có một mẫu phản hồi và một nhật ký xử lý. Khi cơ quan chuyên trách kiểm tra, nhật ký này là bằng chứng tốt nhất cho thấy doanh nghiệp thực sự vận hành quy trình, không chỉ có văn bản trên giấy.
Câu hỏi thường gặp
Ứng dụng chỉ trả lời câu hỏi, không cho tải tệp, có cần lo về dữ liệu nhạy cảm không?
Có. Người dùng thường kể rất chi tiết trong ô câu hỏi: tên người, bệnh tình, khoản nợ, hành vi vi phạm. Nội dung gõ vào cũng là dữ liệu cá nhân. Nên nhắc người dùng không nhập thông tin định danh không cần thiết và áp dụng biện pháp bảo vệ như với tệp tải lên.
Có được dùng câu hỏi của người dùng để huấn luyện chatbot không?
Chỉ khi có căn cứ xử lý phù hợp cho mục đích đó, thường là sự đồng ý riêng, tách khỏi đồng ý dùng dịch vụ. Ngay cả khi có đồng ý, nên ẩn danh hoá trước vì câu hỏi chứa dữ liệu người thứ ba mà người dùng không có quyền đồng ý thay.
Doanh nghiệp nhỏ có phải chỉ định người phụ trách bảo vệ dữ liệu cá nhân không?
Luật và văn bản hướng dẫn có quy định về bộ phận, nhân sự bảo vệ dữ liệu cá nhân và một số trường hợp được miễn hoặc lùi thời hạn cho doanh nghiệp nhỏ, khởi nghiệp. Với ứng dụng xử lý dữ liệu nhạy cảm, nên kiểm tra kỹ vì các ưu đãi thường không áp dụng cho hoạt động xử lý dữ liệu nhạy cảm.
Người dùng xoá tài khoản thì nền tảng có được giữ lại hồ sơ không?
Nguyên tắc là xoá khi không còn mục đích xử lý, trừ trường hợp pháp luật yêu cầu lưu hoặc có căn cứ khác như giải quyết tranh chấp đang diễn ra. Nếu nền tảng giữ lại một phần, cần nêu rõ trong chính sách dữ liệu phần nào, vì sao và bao lâu.
Dùng dịch vụ đám mây đặt ở nước ngoài có bị cấm không?
Không bị cấm chung, nhưng chuyển dữ liệu cá nhân ra nước ngoài kéo theo nghĩa vụ riêng như hồ sơ đánh giá tác động. Ngoài ra một số loại dữ liệu có thể chịu yêu cầu lưu trữ trong nước theo luật chuyên ngành. Cần đối chiếu cả Luật Bảo vệ dữ liệu cá nhân, Luật Dữ liệu và quy định an ninh mạng hiện hành.
Khi bị lộ dữ liệu, nền tảng có phải báo cho người dùng không?
Luật đặt nghĩa vụ thông báo vi phạm bảo vệ dữ liệu cá nhân cho cơ quan chuyên trách và trong những trường hợp nhất định cho chủ thể dữ liệu, theo thời hạn quy định. Với hồ sơ pháp lý, thiệt hại khi lộ có thể rất nặng, nên báo sớm và hướng dẫn người dùng biện pháp tự bảo vệ là cách xử lý có trách nhiệm.