Nhân sự nghỉ việc: thu hồi quyền truy cập dữ liệu khách hàng có kiểm chứng

Từ vai trò của nhân sự, xác định hệ thống đang dùng, dữ liệu có thể xem, quyền xuất tệp và các kênh chia sẻ ra ngoài. Có thể gồm phần mềm bán hàng, thư mục chung, nhóm trao đổi, thiết bị được giao và quyền quản trị của nhà cung cấp. Ghi rõ chủ hệ thống và người đủ quyền thay đổi truy cập.

Khung pháp lý hiện hành gồm Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Checklist trong bài là đề xuất vận hành để hỗ trợ kiểm soát; phạm vi nghĩa vụ phải được đối chiếu với loại dữ liệu, mục đích xử lý và điều kiện cụ thể của doanh nghiệp, không phải mọi đơn vị đều có cùng một bộ hệ thống.

Người quản lý xác định hồ sơ nào cần chuyển cho đầu mối tiếp nhận để công việc không bị gián đoạn. Việc bàn giao nên diễn ra trên nơi lưu được doanh nghiệp quản lý với người tiếp nhận được phân quyền phù hợp. Không yêu cầu gửi toàn bộ dữ liệu khách hàng sang email cá nhân của người quản lý để tiện theo dõi.

Nếu có dữ liệu trên thiết bị hoặc tài khoản cá nhân, cần xác định phạm vi và cách xử lý phù hợp thay vì tự ý truy cập mọi thông tin riêng tư. Tách hồ sơ công việc cần bàn giao khỏi dữ liệu cá nhân không liên quan. Quy trình lao động, bảo mật và quản lý tài sản của doanh nghiệp phải được xem xét cùng các yêu cầu bảo vệ dữ liệu.

Thống nhất mốc chấm dứt truy cập theo tình trạng nhân sự và nhu cầu công việc; giao kỹ thuật thực hiện việc thu hồi quyền, phiên truy cập hoặc liên kết chia sẻ trong phạm vi được quản lý. Với quyền do nhà cung cấp nắm giữ, cần có đầu mối gửi yêu cầu và theo dõi xác nhận. Không để trạng thái đã gửi yêu cầu được coi là đã hoàn tất.

Đối với tài khoản dùng chung, doanh nghiệp cần xem lại người còn sử dụng và cơ chế kiểm soát phù hợp. Việc chia sẻ tài khoản làm khó xác định ai đã xem hoặc xuất dữ liệu. Đây là cơ hội tổ chức lại phân quyền theo cá nhân, nhưng cần triển khai có kế hoạch để không làm gián đoạn hoạt động hoặc cấp quyền rộng hơn mức cần thiết.

Giả định nhân sự bán hàng A nghỉ việc, email đã đóng nhưng tài khoản trên hệ thống khách hàng vẫn hoạt động. Người kiểm tra không nên kết luận có vi phạm hoặc thất thoát chỉ từ tình trạng tài khoản. Cần thu hồi đúng thẩm quyền, bảo toàn dấu vết liên quan và kiểm tra quyền đã dùng, dữ liệu đã xuất nếu có căn cứ và phạm vi phù hợp.

Nếu xuất hiện dấu hiệu sự cố dữ liệu, chuyển sang quy trình xử lý sự cố riêng và kiểm tra nghĩa vụ thông báo, phối hợp theo quy định áp dụng. Không dùng checklist nghỉ việc để bỏ qua đánh giá sự cố. Các kết luận về trách nhiệm phải dựa trên thông tin kiểm chứng, tránh gán hành vi cho cá nhân khi chưa đủ hồ sơ.

Biên bản đóng việc cần ghi hệ thống đã xử lý, người thực hiện, thời điểm và bằng chứng kiểm tra quyền còn lại. Người nhận bàn giao xác nhận khả năng tiếp tục công việc trong phạm vi được giao. Các bản dữ liệu còn lưu phải có người quản lý, mục đích phù hợp và điều kiện tiếp cận rõ ràng.

Không đồng nhất việc nhân sự nghỉ việc với yêu cầu xóa ngay mọi hồ sơ. Một số dữ liệu có thể cần lưu theo căn cứ hợp pháp và quy định liên quan; ngược lại, việc từng có dữ liệu không cho phép giữ và sử dụng vô thời hạn. DVT Venture đề xuất xem xét riêng mục đích, thời gian và cách kết thúc lưu trữ để hồ sơ phản ánh đúng thực tế.