Khuyến cáo doanh nghiệp chủ động trong bảo vệ bí mật kinh doanh, bí mật công nghệ và tài sản trí tuệ

Thu thập và sử dụng dữ liệu cá nhân phải đúng mục đích, phạm vi

Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, tại khoản 4, Điều 7 quy định: "Xử lý dữ liệu cá nhân trái quy định của pháp luật." Đồng thời, Điều 9 quy định về sự đồng ý của chủ thể dữ liệu cá nhân. Theo đó, sự đồng ý chỉ có hiệu lực khi được đưa ra trên cơ sở tự nguyện và chủ thể dữ liệu biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cá nhân; sự đồng ý phải được thể hiện rõ ràng, cụ thể và đối với từng mục đích.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã đặt ra trách nhiệm bảo vệ dữ liệu cá nhân trong nhiều hoạt động của cơ quan, tổ chức, cá nhân; riêng trong tuyển dụng, quản lý, sử dụng người lao động, doanh nghiệp chỉ được yêu cầu những thông tin phục vụ mục đích tuyển dụng phù hợp pháp luật và phải xử lý thông tin theo quy định. Đây là một trong những lĩnh vực doanh nghiệp rất dễ phát sinh vi phạm do dữ liệu cá nhân hiện diện trong hầu hết các hoạt động thường ngày: hồ sơ tuyển dụng, thông tin người lao động, số điện thoại khách hàng, địa chỉ giao hàng, thông tin tài khoản, lịch sử giao dịch, hình ảnh, thông tin sức khỏe, thông tin tài chính...

Ví dụ, doanh nghiệp thu thập quá nhiều thông tin của người lao động nhưng không xác định rõ mục đích; tiếp tục lưu giữ hồ sơ của người đã không được tuyển dụng; sử dụng số điện thoại khách hàng để quảng cáo khi chưa đáp ứng điều kiện pháp luật; chuyển danh sách khách hàng cho đối tác khác sử dụng vào mục đích không phù hợp; hoặc để nhân viên tự ý sao chép dữ liệu khách hàng ra khỏi hệ thống.

Đặc biệt, Luật Bảo vệ dữ liệu cá nhân quy định riêng về dữ liệu của người lao động: Dữ liệu phải được lưu trữ trong thời hạn theo pháp luật hoặc thỏa thuận và phải được xóa, hủy khi chấm dứt hợp đồng, trừ trường hợp pháp luật hoặc thỏa thuận có quy định khác. Do đó, doanh nghiệp cần rà soát lại toàn bộ quy trình từ thu thập – lưu trữ – sử dụng – chia sẻ – xóa, hủy dữ liệu, xác định rõ ai được tiếp cận dữ liệu, được sử dụng vào mục đích nào và trong thời gian bao lâu.

Đây không còn là vấn đề riêng của bộ phận công nghệ thông tin mà là trách nhiệm quản trị và tuân thủ pháp luật của doanh nghiệp. Quy định của pháp luật. Đặc biệt, doanh nghiệp không nên hiểu đơn giản rằng "Dữ liệu nằm trong hệ thống của doanh nghiệp là đều được toàn quyền sử dụng".

Như vậy, doanh nghiệp cần lập danh mục các loại dữ liệu cá nhân đang thu thập; xác định mục đích xử lý; xác định người được tiếp cận; quy định thời gian lưu giữ; kiểm soát việc chia sẻ và thực hiện xóa, hủy khi đủ điều kiện theo pháp luật. Mọi bộ phận trong doanh nghiệp, từ nhân sự, kinh doanh, chăm sóc khách hàng đến marketing và công nghệ thông tin, đều phải được phổ biến quy định về dữ liệu cá nhân.

Sử dụng trí tuệ nhân tạo phải đi đôi với trách nhiệm pháp lý

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định việc xử lý dữ liệu cá nhân trong môi trường dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo và điện toán đám mây phải tuân thủ pháp luật; hệ thống phải tích hợp biện pháp bảo mật, xác thực và phân quyền truy cập phù hợp.

Sự phát triển của trí tuệ nhân tạo đang tạo ra nhiều tiện ích cho doanh nghiệp. Tuy nhiên, việc đưa dữ liệu khách hàng, dữ liệu người lao động, tài liệu nội bộ, hợp đồng hoặc thông tin có tính bảo mật lên các công cụ AI cũng có thể làm phát sinh rủi ro pháp lý nếu doanh nghiệp không kiểm soát. Đặc biệt, khoản 2 Điều 29 Luật Trí tuệ nhân tạo quy định trường hợp hệ thống AI có rủi ro cao được quản lý, vận hành và sử dụng đúng quy định nhưng vẫn gây thiệt hại thì bên triển khai phải chịu trách nhiệm bồi thường cho người bị thiệt hại.

Ví dụ, một nhân viên có thể đưa danh sách khách hàng vào một công cụ AI để phân tích; sử dụng hồ sơ ứng viên để tạo nội dung tuyển dụng; tải hợp đồng chứa thông tin đối tác lên nền tảng trực tuyến; hoặc sử dụng hình ảnh, dữ liệu cá nhân của khách hàng để tạo nội dung quảng cáo mà không kiểm tra cơ sở pháp lý.

Những hành vi tưởng như chỉ là thao tác kỹ thuật đơn giản nhưng có thể liên quan trực tiếp đến nghĩa vụ bảo vệ dữ liệu cá nhân, bí mật kinh doanh, quyền sở hữu trí tuệ và các nghĩa vụ khác của doanh nghiệp. Vì vậy, doanh nghiệp cần ban hành quy định nội bộ về việc sử dụng AI, trong đó xác định rõ: dữ liệu được phép đưa vào hệ thống AI, dữ liệu tuyệt đối không được đưa lên nền tảng bên ngoài, cá nhân được quyền sử dụng, mục đích sử dụng dữ liệu, cách kiểm tra kết quả do AI tạo ra trước khi sử dụng. Công nghệ càng phát triển thì yêu cầu tuân thủ pháp luật càng phải được đặt ra sớm hơn.

Trong điều kiện kinh tế số phát triển nhanh, ranh giới giữa hoạt động sản xuất, kinh doanh truyền thống với môi trường số ngày càng thu hẹp. Một doanh nghiệp có thể đồng thời là đơn vị sử dụng dữ liệu cá nhân, chủ sở hữu tài sản trí tuệ, người sử dụng công nghệ, người bán hàng trên nền tảng thương mại điện tử và chủ quản nhiều tài khoản số. Vì vậy, chỉ một thiếu sót trong một khâu nhỏ cũng có thể kéo theo nhiều hệ quả pháp lý khác nhau.

Do đó, mỗi doanh nghiệp cần coi việc kiểm soát rủi ro pháp lý là một phần không thể thiếu trong hoạt động quản trị. Tuân thủ pháp luật không làm cản trở hoạt động kinh doanh. Ngược lại, tuân thủ đúng pháp luật giúp doanh nghiệp bảo vệ uy tín, tài sản, dữ liệu, công nghệ, quyền lợi của người lao động và khách hàng. Đồng thời, hạn chế nguy cơ bị xử phạt, tranh chấp, bồi thường hoặc phải chịu những hậu quả pháp lý nghiêm trọng hơn.