Quy chế bảo vệ dữ liệu cá nhân nội bộ (internal data protection policy) là văn bản doanh nghiệp ban hành để quy định ai trong công ty được làm gì với dữ liệu cá nhân, theo quy trình nào, và bị xử lý ra sao khi vi phạm. Khác với chính sách bảo mật (privacy policy) đăng trên website cho khách hàng (xem mẫu chính sách bảo mật cho website và ứng dụng), quy chế nội bộ hướng vào nhân viên, phòng ban và cấp quản lý, từ lúc thu thập, lưu trữ, sử dụng đến khi xóa dữ liệu.
1. Căn cứ pháp lý của quy chế bảo vệ dữ liệu cá nhân nội bộ#
Luật 91/2025/QH15 không dùng tên gọi "quy chế nội bộ", nhưng nhiều nghĩa vụ chỉ thực hiện được bằng văn bản nội bộ:
- Bên kiểm soát dữ liệu phải thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân, rà soát và cập nhật khi cần thiết (điểm c khoản 1 Điều 37 Luật).
- Bên kiểm soát phải xây dựng quy trình, thủ tục, biểu mẫu để thực hiện quyền của chủ thể dữ liệu (khoản 1 Điều 5 Nghị định 356/2025/NĐ-CP).
- Khi xử lý dữ liệu nhạy cảm, tổ chức phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật (khoản 2 Điều 4 Nghị định 356).
- Chính sách, quy trình, quy định nội bộ là thành phần của hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (điểm c khoản 2 Điều 19 Nghị định 356).
Khi Cục A05 (Bộ Công an) kiểm tra định kỳ hoặc đột xuất, quy chế nội bộ thường là tài liệu được yêu cầu đầu tiên. Nếu xảy ra sự cố mà doanh nghiệp không có quy chế, hoặc có nhưng không áp dụng, doanh nghiệp có thể bị xem là không thực hiện các biện pháp quản lý, kỹ thuật phù hợp. Các mức phạt cụ thể theo từng hành vi có tại mức phạt vi phạm dữ liệu cá nhân.
2. Cấu trúc 7 phần của quy chế bảo vệ dữ liệu cá nhân nội bộ#
- Phần I. Quy định chung: phạm vi, đối tượng áp dụng (từ lãnh đạo đến nhân viên thử việc), giải thích dữ liệu cá nhân cơ bản và nhạy cảm.
- Phần II. Nguyên tắc xử lý: hợp pháp, đúng mục đích, tối thiểu hóa, chính xác, giới hạn thời hạn lưu trữ.
- Phần III. Trách nhiệm của từng bộ phận: nhân sự bảo vệ dữ liệu, nhân sự (HR), CNTT, kinh doanh và marketing, kế toán, pháp chế.
- Phần IV. Tiếp nhận yêu cầu của chủ thể dữ liệu: rút lại sự đồng ý, xem, chỉnh sửa, xóa dữ liệu. Nghị định 356 yêu cầu phản hồi trong 02 ngày làm việc và thực hiện trong 10 đến 20 ngày tùy loại yêu cầu (khoản 2 đến khoản 4 Điều 5). Quy chế nên ghi rõ các mốc này và người chịu trách nhiệm.
- Phần V. Biện pháp an toàn thông tin: mã hóa, mật khẩu, thiết bị cá nhân dùng cho công việc (BYOD), sao lưu và khôi phục.
- Phần VI. Ứng phó sự cố: kế hoạch ứng phó (incident response plan) và quy trình thông báo cho Cục A05 trong 72 giờ khi thuộc diện (khoản 1 Điều 23 Luật).
- Phần VII. Xử lý vi phạm: kỷ luật lao động, bồi thường thiệt hại, điều khoản thi hành.
3. Phân định trách nhiệm giữa các phòng ban#
Quy chế chỉ có tác dụng khi nghĩa vụ pháp lý được chuyển thành việc cụ thể cho từng phòng ban:
a) Phòng nhân sự (HR)#
Xin sự đồng ý của ứng viên và người lao động khi cần; bảo mật hồ sơ nhân sự, kết quả khám sức khỏe, lương thưởng, mã số thuế và thông tin người phụ thuộc. Xóa, hủy hồ sơ ứng viên không trúng tuyển, trừ khi có thỏa thuận khác với ứng viên (điểm c khoản 1 Điều 25 Luật).
b) Phòng CNTT và an ninh mạng#
Phân quyền truy cập cơ sở dữ liệu theo nguyên tắc cần biết (need-to-know); mã hóa dữ liệu nhạy cảm khi lưu trữ và khi truyền; lưu nhật ký thao tác hệ thống (audit log); cài phần mềm phòng chống mã độc và giám sát an toàn thông tin trên máy trạm.
c) Phòng kinh doanh và marketing#
Chỉ thu thập thông tin khách hàng qua kênh chính thức có biểu mẫu xin đồng ý; không mua dữ liệu từ nguồn trôi nổi (Luật cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác, theo khoản 6 Điều 7); quản lý danh sách khách hàng từ chối nhận quảng cáo (opt-out list); không chia sẻ dữ liệu khách hàng ra ngoài phạm vi đã thỏa thuận.
d) Bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân (DPO)#
Được chỉ định bằng văn bản chính thức của doanh nghiệp (khoản 2 Điều 33 Luật 91/2025/QH15; khoản 1 Điều 13 Nghị định 356/2025/NĐ-CP). Doanh nghiệp cũng có thể thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân, tức DPO thuê ngoài. DPO giám sát việc tuân thủ, làm đầu mối tiếp nhận khiếu nại của chủ thể dữ liệu, phối hợp lập hồ sơ đánh giá tác động nộp cho Cục A05 và chủ trì xử lý sự cố. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc chưa thực hiện nghĩa vụ chỉ định này trong 5 năm kể từ ngày 01/01/2026, trừ khi kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể (khoản 2 Điều 38 Luật). Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện nghĩa vụ này, với cùng các ngoại lệ trên (khoản 3 Điều 38 Luật).
4. Quy trình 4 bước ban hành quy chế bảo vệ dữ liệu cá nhân nội bộ#
- Khảo sát hiện trạng và soạn thảo: pháp chế, IT và HR cùng rà soát luồng dữ liệu thực tế, rồi soạn dự thảo khớp với cách công ty đang vận hành.
- Ban hành: người có thẩm quyền ký quyết định ban hành quy chế, đăng trên cổng thông tin nội bộ và gửi thông báo đến toàn bộ nhân viên.
- Đào tạo và ký cam kết: tổ chức đào tạo nhận thức về bảo vệ dữ liệu cá nhân cho toàn bộ nhân sự; nhân viên ký cam kết tuân thủ quy chế.
- Rà soát định kỳ: ít nhất mỗi năm một lần, hoặc khi thay đổi cơ cấu tổ chức, quy định pháp luật hay hệ thống công nghệ, DPO rà soát và đề xuất sửa đổi.
Nếu doanh nghiệp đã có quy chế bảo vệ dữ liệu cá nhân nội bộ, việc cần làm trước tiên là đối chiếu Phần IV và Phần VI với các thời hạn tại Điều 5 Nghị định 356 và Điều 23 Luật 91/2025/QH15. Đây là những mốc thời gian cụ thể mà cơ quan chuyên trách có thể kiểm tra trên hồ sơ thực tế.
