Một doanh nghiệp FDI thuê nhóm tư vấn vận hành vào phân tích dữ liệu sản xuất và một công ty nghiên cứu thị trường vào xem số liệu bán hàng theo vùng. Sau dự án, bộ phận IT phát hiện tài khoản truy cập của tư vấn vẫn hoạt động, và một file dữ liệu thô đã được tải xuống máy cá nhân của trưởng nhóm tư vấn. Ban giám đốc hỏi: với người không phải nhân viên, doanh nghiệp lấy gì để ràng buộc bảo mật, và sự cố tải dữ liệu phải xử lý ra sao.
Văn bản gốc cần đối chiếu
Tư vấn bên ngoài không chịu nội quy lao động, nên toàn bộ ràng buộc bảo mật nằm ở hợp đồng dịch vụ theo Bộ luật Dân sự 2015 và Luật Thương mại 36/2005: điều khoản bảo mật là điều khoản hợp đồng thuần túy, muốn có răng phải ghi rõ phạm vi thông tin, cấm sao chép và tải xuống ngoài hệ thống được duyệt, nghĩa vụ với từng cá nhân trong nhóm tư vấn, và mức bồi thường khi vi phạm. Lớp luật bổ trợ là Luật Sở hữu trí tuệ: số liệu đáp ứng Điều 84 vẫn là bí mật kinh doanh, hành vi bộc lộ hoặc dùng trái phép bị xử lý theo Điều 127 bất kể người vi phạm là ai. Nếu số liệu chứa dữ liệu cá nhân của khách hàng hay nhân viên, doanh nghiệp còn phải tuân thủ Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP khi giao cho bên xử lý bên ngoài.
Phân tích áp dụng vào tình huống
Sai lầm thường gặp là ký một điều khoản bảo mật chung chung rồi cấp quyền truy cập toàn bộ hệ thống. Cách làm an toàn gồm ba vòng: vòng dữ liệu — chỉ mở đúng tập dữ liệu dự án cần, ưu tiên dữ liệu đã ẩn danh hoặc tổng hợp, phòng dữ liệu ảo không cho tải xuống nếu tư vấn chỉ cần xem; vòng con người — từng cá nhân tư vấn ký cam kết bảo mật riêng, danh sách người được cấp quyền đính kèm hợp đồng và cập nhật khi thay người; vòng kỹ thuật — tài khoản có thời hạn tự hết hiệu lực khi dự án đóng, nhật ký truy cập được lưu và rà soát. Khi phát hiện tải dữ liệu trái phép, doanh nghiệp cần khóa tài khoản ngay, yêu cầu giải trình và chứng nhận xóa bằng văn bản, đồng thời đánh giá dữ liệu đã tải có chứa dữ liệu cá nhân phải thông báo theo quy định bảo vệ dữ liệu hay không.
Về trách nhiệm khi tư vấn làm lộ dữ liệu, nguyên tắc là công ty tư vấn chịu trách nhiệm chính theo hợp đồng dịch vụ về hành vi của nhân sự do mình cử, kể cả khi cá nhân đó đã nghỉ việc tại công ty tư vấn; cá nhân trực tiếp tiết lộ có thể bị đòi bồi thường liên đới nếu chứng minh được hành vi. Doanh nghiệp FDI nên tránh bẫy ngược: nếu hợp đồng im lặng về tải dữ liệu và doanh nghiệp chưa từng giới hạn kỹ thuật, việc đòi bồi thường thiệt hại lớn sẽ vấp lập luận doanh nghiệp tự mở cửa không kiểm soát. Vì vậy hồ sơ dự án phải lưu: hợp đồng có điều khoản bảo mật chi tiết, danh sách cấp quyền, nhật ký truy cập và biên bản đóng dự án kèm chứng nhận trả hoặc xóa dữ liệu.
Checklist xử lý an toàn
- Trước khi cấp quyền: ký hợp đồng dịch vụ có điều khoản bảo mật chi tiết và cam kết bảo mật cá nhân của từng tư vấn viên.
- Mở dữ liệu theo nguyên tắc tối thiểu: đúng tập dữ liệu, ưu tiên ẩn danh hoặc tổng hợp, tắt tải xuống nếu chỉ cần xem.
- Cấp tài khoản đích danh có thời hạn, bật nhật ký truy cập và rà soát giữa dự án thay vì chờ đến cuối.
- Đóng dự án bằng biên bản: thu hồi tài khoản, chứng nhận xóa dữ liệu, rà soát nhật ký lần cuối.
Câu hỏi thường gặp
Thuê tư vấn vào xem số liệu nội bộ thì bảo mật thế nào?
Bảo mật bằng hợp đồng và kỹ thuật, không bằng nội quy: hợp đồng dịch vụ phải có điều khoản bảo mật ghi rõ phạm vi dữ liệu, cấm tải xuống và sao chép ngoài hệ thống được duyệt, nghĩa vụ trả hoặc xóa dữ liệu khi kết thúc; từng cá nhân tư vấn ký cam kết bảo mật riêng. Về kỹ thuật, chỉ mở đúng tập dữ liệu dự án cần, cấp tài khoản đích danh có thời hạn và ghi nhật ký truy cập. Số liệu đáp ứng Điều 84 Luật Sở hữu trí tuệ còn được bảo hộ như bí mật kinh doanh, nên kể cả khi hợp đồng có kẽ hở, hành vi tiết lộ trái phép vẫn bị xử lý theo Điều 127.
Hợp đồng tư vấn cần điều khoản bảo mật gì?
Một điều khoản dùng được phải có bốn thành phần: định danh thông tin mật theo nhóm dữ liệu cụ thể của dự án; hành vi bị cấm — tiết lộ, sao chép, tải xuống máy cá nhân, dùng cho khách hàng khác; nghĩa vụ chảy xuống nhân sự của bên tư vấn kèm danh sách người được tiếp cận; và chế tài — mức bồi thường thỏa thuận, quyền chấm dứt hợp đồng ngay khi vi phạm, nghĩa vụ chứng nhận xóa dữ liệu sau dự án. Điều khoản chỉ ghi một câu chung chung về giữ bí mật gần như không có giá trị thực thi khi xảy ra sự cố.
Tư vấn làm lộ thì ai chịu?
Công ty tư vấn chịu trách nhiệm chính theo hợp đồng dịch vụ về hành vi của người do mình cử, kể cả trưởng nhóm tự tải dữ liệu xuống máy cá nhân — đó là hành vi trong quá trình thực hiện dự án của họ. Cá nhân trực tiếp làm lộ có thể chịu trách nhiệm bồi thường liên đới nếu doanh nghiệp chứng minh được hành vi và thiệt hại. Doanh nghiệp FDI cần làm ngay ba việc: khóa quyền truy cập, yêu cầu giải trình và chứng nhận xóa bằng văn bản, và bảo lưu quyền đòi bồi thường theo mức đã thỏa thuận trong hợp đồng; nếu dữ liệu chứa thông tin cá nhân, phải đánh giá thêm nghĩa vụ thông báo theo khung bảo vệ dữ liệu cá nhân.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng