Hỏi – đáp theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP: quyền của chủ thể dữ liệu, sự đồng ý, hồ sơ đánh giá tác động, chuyển dữ liệu xuyên biên giới, nhân sự bảo vệ dữ liệu và chế tài.
Ba thành phần: báo cáo theo Mẫu số 10, bản sao hợp đồng xử lý dữ liệu, và bộ chính sách quy trình nội bộ. Thành phần thứ ba là phần tốn thời gian nhất.
Không quá 72 giờ kể từ thời điểm phát hiện, thông báo trực tiếp cho chủ thể dữ liệu bị ảnh hưởng — với sáu nội dung tối thiểu và nghĩa vụ lưu hồ sơ 5 năm.
Bốn nhóm nội dung bắt buộc và một biểu mẫu cụ thể. Chuẩn bị sẵn khung này trước khi sự cố xảy ra là cách duy nhất để kịp thời hạn.
Điểm c khoản 2 Điều 25 nói phải xóa khi chấm dứt hợp đồng, trừ trường hợp có thỏa thuận hoặc pháp luật quy định khác. Ngoại lệ này rộng hơn nhiều người nghĩ.
Phải xóa, trừ khi có thỏa thuận khác với chính người đã dự tuyển. Kho hồ sơ ứng viên tích lũy nhiều năm của phòng nhân sự vì thế cần được rà lại.
Chỉ được yêu cầu thông tin phục vụ mục đích tuyển dụng. Nguyên tắc nghe đơn giản nhưng loại bỏ khá nhiều trường thông tin quen thuộc trong mẫu hồ sơ xin việc.
Được ghi hình mà không cần xin đồng ý trong một số trường hợp, nhưng vẫn có nghĩa vụ thông báo. Kèm theo là giới hạn về mục đích sử dụng và thời gian lưu trữ.
Năm phương thức được liệt kê, từ văn bản đến cuộc gọi ghi âm và cú pháp tin nhắn. Điểm chung bắt buộc là phải kiểm chứng được ba yếu tố.
Con số là 100 nghìn chủ thể dữ liệu, tính theo tích lũy chứ không phải theo số khách đang hoạt động. Cách tính này khiến ngưỡng đến sớm hơn nhiều doanh nghiệp dự tính.
Có — nhưng được miễn ba nghĩa vụ nặng nhất, và miễn vĩnh viễn chứ không phải trong 05 năm như doanh nghiệp nhỏ.
Bảy nhóm nhiệm vụ cho bộ phận, và một bộ nhiệm vụ song song nhưng ở vai trò tham mưu cho cá nhân được chỉ định. Khác biệt giữa hai vai này rất đáng lưu ý.
Ba điều kiện năng lực được liệt kê cụ thể: trình độ, số năm kinh nghiệm và việc đã được đào tạo. Không phải ai trong công ty cũng chỉ định được.
