Theo Luật An ninh mạng 2025, dịch vụ xác minh thông tin cho doanh nghiệp có giới hạn pháp lý nào?

Xác minh đối tác kinh doanh là nhu cầu chính đáng, nhưng có ranh giới rõ ràng. Bài viết chỉ ra đâu là giới hạn không được vượt qua.

Doanh nghiệp có nhu cầu chính đáng khi muốn xác minh đối tác trước khi ký hợp đồng lớn, hoặc kiểm tra thông tin ứng viên cho vị trí nhạy cảm. Nhưng nhu cầu chính đáng không mở rộng thành quyền thu thập mọi thông tin bằng mọi cách. Bài viết này chỉ ra ranh giới.

Lưu ý trước: một số hoạt động điều tra, thu thập thông tin thuộc thẩm quyền riêng của cơ quan nhà nước và không được phép thực hiện bởi tổ chức, cá nhân. Đây là nhóm quy định phải tra kỹ trước khi cung cấp bất kỳ dịch vụ nào liên quan.

Ranh giới cốt lõi

Điều 15 Luật 116/2025/QH15 liệt kê các hành vi xâm phạm bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng.

Tám hành vi không được thực hiện trong bất kỳ hoàn cảnh nào:

• Truy cập trái phép tài khoản thư điện tử, mạng xã hội, điện thoại của người khác;
• Cài phần mềm theo dõi lên thiết bị của người khác;
• Nghe lén, ghi âm lén cuộc trao đổi riêng tư;
• Định vị, theo dõi vị trí người khác mà họ không biết;
• Mua thông tin từ nguồn không hợp pháp — sao kê ngân hàng, dữ liệu viễn thông, hồ sơ y tế;
• Mạo danh để moi thông tin;
• Chụp ảnh, quay phim lén trong không gian riêng tư;
• Đột nhập nơi ở, nơi làm việc.

Điểm thứ năm là thị trường ngầm cần nhận diện rõ: dữ liệu sao kê tài khoản, lịch sử cuộc gọi, thông tin cư trú được rao bán, và việc mua chúng là tham gia vào chuỗi vi phạm — người mua không thể viện lý do "chỉ mua lại từ người khác".

Điểm thứ tư đáng lưu ý vì có công cụ dễ mua: thiết bị định vị gắn lén lên xe của người khác là hành vi xâm phạm nghiêm trọng, và ở nhiều trường hợp liên quan tới bạo lực gia đình, rình rập.

Những gì được phép

Bảy nguồn và cách thức hợp pháp:

• Thông tin công bố công khai theo quy định — đăng ký doanh nghiệp, báo cáo tài chính đã công bố;
• Cơ sở dữ liệu tra cứu chính thức theo đúng trình tự;
• Thông tin đối tượng tự công khai trên kênh công cộng, dùng ở mức hợp lý;
• Thông tin do chính đối tượng cung cấp với sự đồng ý;
• Kiểm chứng thông tin mà đối tượng đã khai, với sự đồng ý của họ;
• Quan sát tại nơi công cộng, không theo dõi có hệ thống;
• Hỏi bên thứ ba một cách trung thực, không mạo danh.

Điểm thứ ba cần thận trọng: việc một người đăng ảnh lên mạng xã hội không có nghĩa họ đồng ý cho việc tổng hợp thành hồ sơ về mình. Thu thập rời rạc khác với việc dựng hồ sơ có hệ thống.

Xác minh ứng viên tuyển dụng

Đây là trường hợp phổ biến nhất và cũng dễ vượt ranh giới nhất. Tám nguyên tắc:

• Thông báo trước cho ứng viên và có sự đồng ý;
• Phạm vi giới hạn ở những gì liên quan tới công việc;
• Kiểm chứng thông tin đã khai, không đi tìm thông tin ứng viên chưa cung cấp;
• Không tìm hiểu đời sống riêng tư, quan hệ tình cảm, tình trạng sức khỏe không liên quan;
• Không thu thập thông tin về tôn giáo, quan điểm chính trị;
• Không liên hệ nơi làm việc hiện tại khi ứng viên chưa đồng ý;
• Cho ứng viên biết kết quả và quyền giải trình nếu thông tin bất lợi;
• Xóa dữ liệu sau khi hoàn tất.

Điểm thứ sáu là vi phạm gây hậu quả trực tiếp: liên hệ công ty hiện tại của ứng viên có thể khiến họ mất việc trước khi có việc mới.

Điểm thứ bảy là nguyên tắc công bằng: thông tin xác minh có thể sai, nhầm người, hoặc thiếu bối cảnh — ứng viên cần được nói lại trước khi bị loại.

Thẩm định đối tác kinh doanh

Sáu nguyên tắc: tập trung vào thông tin pháp nhân và năng lực tài chính công khai; kiểm tra tư cách pháp lý qua cơ sở dữ liệu chính thức; không điều tra đời tư của người đại diện; báo cáo phân biệt rõ dữ kiện với suy đoán; nêu nguồn thông tin; và không kết luận vượt quá dữ liệu có được.

Điểm thứ tư và thứ sáu là chất lượng nghề nghiệp cốt lõi: một báo cáo trộn lẫn tin đồn với dữ kiện có thể khiến khách hàng ra quyết định sai và gây thiệt hại cho người bị nhắc tới.

Trách nhiệm với dữ liệu đã thu thập

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Bảy nguyên tắc: mã hóa dữ liệu; phân quyền hẹp theo từng vụ việc; không lưu trên thiết bị cá nhân; xóa sau khi bàn giao và hết thời hạn thỏa thuận; không tái sử dụng cho khách hàng khác; không xây dựng cơ sở dữ liệu cá nhân để bán; và cam kết bảo mật với nhân sự.

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Điểm thứ sáu là ranh giới quan trọng: tích lũy hồ sơ từ các vụ việc rồi bán lại là hành vi biến dịch vụ xác minh thành hoạt động kinh doanh dữ liệu cá nhân.

Từ chối yêu cầu không phù hợp

Đây là phần quan trọng nhất của đạo đức nghề nghiệp. Sáu loại yêu cầu nên từ chối:

• Theo dõi vợ, chồng, người yêu;
• Tìm địa chỉ của một người mà họ đang tránh mặt;
• Thu thập thông tin phục vụ đe dọa, gây sức ép;
• Điều tra người tố cáo, nhà báo, người khiếu nại;
• Lấy thông tin về trẻ em;
• Bất kỳ yêu cầu nào đòi hỏi vi phạm pháp luật.

Điểm thứ hai đặc biệt nghiêm trọng: một người chủ động cắt liên lạc và giấu địa chỉ thường có lý do liên quan tới an toàn của họ. Việc cung cấp địa chỉ đó có thể dẫn tới hậu quả nghiêm trọng và người cung cấp không thể coi mình vô can.

Điểm thứ tư cũng cần khẳng định rõ: điều tra người tố cáo tiêu cực là hành vi tiếp tay cho việc trù dập.

An ninh nội bộ

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Năm biện pháp: xác thực nhiều lớp; ghi nhật ký truy cập hồ sơ vụ việc; thu hồi quyền ngay khi nhân sự nghỉ; kiểm soát việc xuất tài liệu; và cam kết bảo mật có hiệu lực sau khi nghỉ việc.

Danh sách kiểm tra

• Có mua thông tin từ nguồn không hợp pháp không?
• Có dùng thiết bị định vị, phần mềm theo dõi không?
• Ứng viên có biết và đồng ý trước khi bị xác minh không?
• Có liên hệ nơi làm việc hiện tại khi chưa được phép không?
• Báo cáo có phân biệt rõ dữ kiện với suy đoán không?
• Có tích lũy hồ sơ từ các vụ việc để bán lại không?
• Có quy trình từ chối yêu cầu không phù hợp không?

Đọc thêm cùng chủ đề

• Doanh nghiệp có nghĩa vụ đào tạo năng lực số cho nhân viên không?
• Doanh nghiệp công nghệ số theo luật là doanh nghiệp nào?
• Doanh nghiệp nước ngoài cung cấp AI tại Việt Nam có chịu điều chỉnh?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 15
• Luật 148/2025/QH15 Điều 5
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 26

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.