Mục lục bài viết
Một email đề nghị xóa dữ liệu và một dấu hiệu rò rỉ đều cần người chịu trách nhiệm, nhưng cách xử lý khác nhau. Doanh nghiệp nên chuẩn bị hai quy trình riêng, nối với công nghệ và pháp chế, để tránh mất thời gian tìm đầu mối khi yêu cầu hoặc sự cố đã phát sinh.
ĐIỂM CẦN NHỚPhản ứng đúng bắt đầu bằng việc ghi nhận đủ thông tin và biết ai phải ra quyết định.
Thiết lập kênh tiếp nhận và sổ theo dõi
Công bố một đầu mối có thể nhận yêu cầu và phân công người dự phòng khi vắng mặt. Sổ theo dõi nên có mã việc, thời điểm nhận, loại yêu cầu, hệ thống liên quan và người xử lý. Tách yêu cầu thực hiện quyền khỏi phản ánh sự cố, nhưng cho phép liên kết khi có cùng nguồn thông tin. Thống nhất cách chuyển email hoặc tin nhắn từ bộ phận bán hàng vào đầu mối để yêu cầu không nằm lại trong hộp thư của một nhân viên.
Xác minh vừa đủ trước khi cung cấp thông tin
Kiểm tra người yêu cầu và phạm vi họ đề nghị, đặc biệt khi yêu cầu gửi dữ liệu cho địa chỉ khác hoặc thông qua người đại diện. Chọn phương thức xác minh phù hợp với rủi ro và thông tin đang có; tránh yêu cầu thêm nhiều dữ liệu nhạy cảm một cách mặc định. Ghi lý do cần bổ sung và chỉ thu phần cần thiết. Nếu hồ sơ gồm thông tin của người khác, đội xử lý cần đánh giá cách tách, che hoặc giới hạn phạm vi trả lời trước khi gửi.
Đánh giá yêu cầu xóa, sửa hoặc ngừng xử lý
Tra cứu dữ liệu ở các hệ thống và bản sao có liên quan. Pháp chế kiểm tra phạm vi quyền, căn cứ lưu giữ, trường hợp hạn chế hoặc ngoại lệ theo hồ sơ cụ thể. Không trả lời rằng xóa toàn bộ ngay khi chưa kiểm tra chứng từ cần lưu, nhưng cũng không dùng nghĩa vụ lưu một nhóm chứng từ để giữ mọi dữ liệu cho mọi mục đích. Đối chiếu thời hạn và điều kiện hiện hành của từng loại yêu cầu theo Nghị định 356/2025/NĐ-CP, rồi giao bước thực hiện và kiểm tra kết quả.
Phản ứng khi có dấu hiệu bị xâm phạm
Đội kỹ thuật cần bảo toàn dấu vết và hạn chế tiếp tục truy cập trái phép; nhóm điều phối ghi thời điểm phát hiện, loại dữ liệu và hành động đã làm. Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân, bên kiểm soát dữ liệu phải thông báo cơ quan chuyên trách chậm nhất 72 giờ từ khi phát hiện nếu vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm hoặc tài sản của chủ thể. Cần kiểm tra thêm vai trò và quy định theo lĩnh vực. Nội dung chưa chắc chắn nên được ghi rõ, không tự xóa dấu vết để kết thúc nhanh.
Nếu sự cố liên quan đến thông tin người tiêu dùng, cần kiểm tra thêm nghĩa vụ thông báo trong 24 giờ theo khoản 3 Điều 19 Luật Bảo vệ quyền lợi người tiêu dùng. Hai nghĩa vụ có căn cứ và điều kiện khác nhau; việc áp dụng mốc 72 giờ không loại trừ một nghĩa vụ 24 giờ đã phát sinh.
Ví dụ giả định: danh sách khách hàng được chia sẻ công khai
Giả định một nhân viên gửi nhầm đường dẫn bảng khách hàng có quyền truy cập công khai. Người phát hiện cần báo đầu mối, ghi lại thời điểm và phạm vi đường dẫn, phối hợp giới hạn quyền trong khi bảo toàn bằng chứng. Nhóm xử lý xác minh ai có thể truy cập, thông tin nào xuất hiện và nguy cơ đối với người liên quan. Từ đó đánh giá nghĩa vụ thông báo, người phê duyệt và biện pháp hỗ trợ; không kết luận không có sự cố chỉ vì chưa thấy khách hàng phản ánh.
Đóng việc bằng bằng chứng và cải tiến
Một yêu cầu dữ liệu chỉ nên được đóng khi kết quả thực hiện đã được kiểm tra và phản hồi phù hợp. Với sự cố, lưu bản diễn biến, quyết định, thông báo và kế hoạch khắc phục theo yêu cầu áp dụng. Sau đó xem nguyên nhân: quyền chia sẻ quá rộng, hướng dẫn thiếu rõ hay công cụ không ghi nhật ký. Tổ chức diễn tập bằng dữ liệu giả để thử đầu mối, khả năng truy xuất và việc phê duyệt. Quy trình cần có người cập nhật khi thay đổi hệ thống hoặc nhân sự phụ trách.
TỪ BÀI VIẾT ĐẾN HỒ SƠ
Checklist trước khi thực hiện.
- Chỉ định đầu mối và người dự phòng.
- Ghi thời điểm, phạm vi và mã yêu cầu.
- Xác minh người yêu cầu bằng cách phù hợp.
- Đối chiếu quyền, ngoại lệ và thời hạn hiện hành.
- Bảo toàn chứng cứ và đánh giá nghĩa vụ thông báo sự cố.
- Kiểm tra kết quả trước khi đóng việc.
Câu hỏi thường gặp.
Khách hàng yêu cầu xóa thì phải xóa mọi chứng từ không?
Cần phân loại dữ liệu và đối chiếu căn cứ lưu giữ của từng nhóm. Một số hồ sơ có nghĩa vụ lưu hoặc điều kiện xử lý riêng; phần giữ lại cần được giải thích và giới hạn phù hợp.
Chưa đủ thông tin về sự cố có thể chờ điều tra xong mới xem nghĩa vụ thông báo không?
Nên đánh giá nghĩa vụ và thời điểm phát sinh ngay khi phát hiện, song song với xác minh. Đừng mặc định việc chưa biết toàn bộ chi tiết cho phép bỏ qua thời hạn áp dụng.
ĐỂ TIẾP TỤC TRA CỨU
Nguồn đối chiếu.
- Nghị định 356/2025/NĐ-CP
Đối chiếu điều kiện và thời hạn theo từng quyền, vai trò, lĩnh vực.
- Bộ Công an: Cảnh báo nguy cơ vi phạm pháp luật về an ninh mạng trong chuyển đổi số
Giải thích điều kiện thông báo 72 giờ theo Điều 23; cần đánh giá từng sự kiện.
ÁP DỤNG VÀO CÔNG VIỆC CỤ THỂ
Trao đổi về bối cảnh của anh, chị.
Mô tả mục tiêu, tài liệu hiện có và thời hạn cần xử lý để làm rõ phạm vi hỗ trợ.