Một nhân viên kinh doanh tải file Excel danh sách khách hàng về máy cá nhân. Một nhân viên nhân sự gửi nhầm bảng lương có số căn cước công dân vào nhóm chat. Cả hai đều là rò rỉ dữ liệu, và không có tường lửa nào chặn được. Quy chế bảo mật chỉ có tác dụng khi nhân viên biết việc mình làm là sai. Bài viết hướng dẫn cách xây dựng quy trình đào tạo nhận thức PDPD cho nhân viên theo từng phòng ban Sales, HR, Marketing và Chăm sóc khách hàng, từ nội dung bài học đến diễn tập phishing, lưu hồ sơ và xây dựng văn hóa an toàn dữ liệu. Nếu cần một chương trình có sẵn, xem đào tạo nhận thức bảo vệ dữ liệu cá nhân cho doanh nghiệp.
1. Vì sao cần đào tạo nhận thức PDPD cho nhân viên: căn cứ pháp lý#
Luật 91/2025/QH15 yêu cầu thực hiện đồng bộ các biện pháp về thể chế, kỹ thuật và con người để bảo vệ dữ liệu cá nhân (khoản 4 Điều 3). Nghị định 356/2025/NĐ-CP cụ thể hóa phần "con người" ở một số chỗ:
- Bộ phận bảo vệ dữ liệu cá nhân có nhiệm vụ xây dựng kế hoạch và triển khai đào tạo định kỳ về bảo vệ dữ liệu cá nhân trong tổ chức (điểm đ khoản 1 Điều 14).
- Khi chia sẻ dữ liệu giữa các bộ phận, tổ chức phải có biện pháp phòng, chống việc nhân sự nội bộ chia sẻ trái phép dữ liệu cá nhân với bên thứ ba (khoản 4 Điều 7).
- Tổ chức xử lý dữ liệu lớn phải đào tạo, nâng cao nhận thức định kỳ cho nhân viên, đặc biệt là người trực tiếp xử lý dữ liệu (điểm d khoản 2 Điều 9). Không tổ chức đào tạo có thể bị phạt từ 20 đến 30 triệu đồng đối với tổ chức (điểm c khoản 1 Điều 66 Nghị định 330/2026/NĐ-CP).
- Riêng nhân sự bảo vệ dữ liệu cá nhân (DPO) phải được đào tạo, bồi dưỡng (khoản 6 Điều 13); không đào tạo có thể bị cảnh cáo hoặc phạt từ 10 đến 20 triệu đồng (điểm b khoản 1 Điều 57 Nghị định 330).
2. 5 thói quen sơ suất phổ biến của nhân viên văn phòng gây rò rỉ dữ liệu#
- Nhập dữ liệu nhạy cảm của khách hàng hoặc hồ sơ nhân sự vào công cụ AI công khai (như ChatGPT, Claude bản miễn phí) để xử lý công việc.
- Xuất file Excel danh sách khách hàng rồi gửi qua Zalo hoặc email cá nhân để mang về nhà làm.
- Đặt mật khẩu dễ đoán và dùng chung tài khoản CRM/ERP với đồng nghiệp.
- Mở email phishing giả danh đối tác hoặc ngân hàng có tệp đính kèm độc hại.
- Không khóa màn hình (Win + L) khi rời bàn làm việc.
3. Xây dựng chương trình đào tạo nhận thức PDPD cho nhân viên theo từng phòng ban#
Marketing và Sales: quy tắc xin sự đồng ý (opt-in), cấm mua bán tệp dữ liệu, cách xử lý yêu cầu hủy nhận tin (unsubscribe) và quy định về cuộc gọi rác.
HR và Kế toán: bảo vệ dữ liệu sinh trắc học chấm công, mã hóa bảng lương và xóa hồ sơ ứng viên không trúng tuyển.
IT và Chăm sóc khách hàng: quy trình ứng phó rò rỉ dữ liệu trong 72 giờ và cách xác thực đúng người khi tiếp nhận yêu cầu xóa, sửa dữ liệu.
4. Diễn tập phishing và kiểm tra trắc nghiệm định kỳ#
- Diễn tập email phishing giả lập: gửi email lừa đảo thử nghiệm, ai bấm vào link sẽ học lại phần liên quan.
- Kiểm tra trắc nghiệm hằng năm: khoảng 20 câu tình huống trên hệ thống LMS nội bộ, đặt ngưỡng đạt (ví dụ 80%).
- Cam kết bảo mật: nhân viên mới ký cam kết tuân thủ quy chế bảo vệ dữ liệu cá nhân nội bộ.
- Khen thưởng nhân viên phát hiện và báo cáo sớm nguy cơ, để văn hóa an toàn dữ liệu được khuyến khích chứ không chỉ bị kiểm tra.
5. Lưu hồ sơ đào tạo nhận thức PDPD cho nhân viên#
Mỗi đợt đào tạo nên để lại một bộ hồ sơ: kế hoạch đào tạo năm, danh sách người tham dự, tài liệu đã dùng, kết quả kiểm tra và cam kết đã ký. Đây là bằng chứng cho thấy doanh nghiệp đã thực hiện biện pháp về con người khi làm việc với cơ quan chức năng. Kế hoạch đào tạo cũng nên được đưa vào bộ chính sách, quy trình kèm theo hồ sơ DPIA (điểm c khoản 2 Điều 19 Nghị định 356).
