Theo Luật Chuyển đổi số 2025, doanh nghiệp tái chế thiết bị điện tử cần tuân thủ những gì?

Thiết bị cũ mang theo toàn bộ dữ liệu của chủ trước. Bài viết bàn về nghĩa vụ xóa dữ liệu và hồ sơ chứng minh việc hủy.

Doanh nghiệp tái chế thiết bị điện tử tiếp nhận một dòng chảy dữ liệu khổng lồ mà ít ai nghĩ tới: máy tính cũ của doanh nghiệp, điện thoại thanh lý, ổ cứng hỏng, máy chủ hết khấu hao. Mỗi thiết bị mang theo dữ liệu của chủ trước, và phần lớn chưa được xóa đúng cách.

Lưu ý trước: xử lý chất thải điện tử chịu điều chỉnh của pháp luật chuyên ngành về bảo vệ môi trường. Bài viết bàn về khía cạnh dữ liệu.

Vì sao đây là vấn đề nghiêm trọng

Một máy tính văn phòng thanh lý có thể chứa: hồ sơ nhân sự, dữ liệu kế toán, hợp đồng, thông tin khách hàng, mật khẩu lưu trong trình duyệt. Một điện thoại cũ chứa ảnh, tin nhắn, danh bạ, ứng dụng ngân hàng.

Điểm quan trọng về kỹ thuật: xóa tệp thông thường và định dạng nhanh không xóa dữ liệu thật — nó chỉ đánh dấu vùng đĩa là trống, và dữ liệu vẫn khôi phục được bằng công cụ phổ thông.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Mười nghĩa vụ về xóa dữ liệu

• Coi mọi thiết bị tiếp nhận là có chứa dữ liệu cho tới khi chứng minh ngược lại;
• Xóa bằng phương pháp không khôi phục được — ghi đè nhiều lần hoặc hủy vật lý;
• Hủy vật lý với ổ cứng hỏng không xóa được bằng phần mềm;
• Xử lý cả bộ nhớ trong của máy in, máy photocopy, thiết bị mạng — nơi hay bị bỏ sót;
• Ghi nhận từng thiết bị theo số sê-ri;
• Nhật ký không sửa được về việc đã xóa, ai thực hiện, phương pháp gì;
• Cấp chứng nhận hủy dữ liệu cho khách hàng;
• Không bán lại thiết bị chưa qua xử lý dữ liệu;
• Khu vực xử lý có kiểm soát, camera, cấm thiết bị lưu trữ cá nhân;
• Cam kết bảo mật với nhân sự, có chế tài nghiêm.

Điểm thứ tư là lỗ hổng bị bỏ qua nhiều nhất: máy photocopy văn phòng lưu lại bản quét của mọi tài liệu đã sao chụp trong nhiều năm, và ổ cứng bên trong nó thường được thanh lý nguyên vẹn.

Điểm thứ tám là hành vi cần chặn tuyệt đối: bán lại ổ cứng, điện thoại còn dữ liệu ra thị trường đồ cũ là con đường rò rỉ dữ liệu quy mô lớn nhất và rẻ nhất cho kẻ xấu.

Chứng nhận hủy dữ liệu

Khoản 1 Điều 19 Luật 20/2023/QH15 quy định:

Nội dung của thông điệp dữ liệu được bảo đảm toàn vẹn khi nội dung đó chưa bị thay đổi, trừ những thay đổi về hình thức phát sinh trong quá trình gửi, lưu trữ hoặc hiển thị thông điệp dữ liệu.

Bảy nội dung nên có trong chứng nhận: danh sách thiết bị theo số sê-ri; phương pháp xóa hoặc hủy áp dụng cho từng thiết bị; ngày giờ thực hiện; người thực hiện và người kiểm tra; ảnh hoặc video quá trình hủy vật lý; ký số của đơn vị; và cơ chế để khách xác minh tính hợp lệ.

Điểm thứ nhất quan trọng vì trách nhiệm: khách hàng cần đối chiếu được danh sách bàn giao với danh sách đã hủy, không để thiếu thiết bị nào.

Kiểm soát nội bộ

Đây là nơi rủi ro lớn nhất. Bảy biện pháp:

• Đối chiếu số lượng tiếp nhận và số lượng đã xử lý;
• Không cho nhân viên mang thiết bị ra khỏi khu vực xử lý;
• Kiểm soát vật dụng cá nhân vào khu vực nhạy cảm;
• Camera tại khu vực tiếp nhận và hủy;
• Phân tách nhiệm vụ — người tiếp nhận không phải người hủy;
• Kiểm tra đột xuất;
• Kênh báo cáo khi phát hiện bất thường.

Điểm thứ nhất và thứ năm là cơ chế kiểm soát cốt lõi: chênh lệch giữa số thiết bị nhận và số đã hủy chính là số thiết bị có thể đã ra thị trường cùng dữ liệu bên trong.

Không mua bán dữ liệu

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Năm hành vi cần loại bỏ: khôi phục và bán dữ liệu từ thiết bị; xem nội dung thiết bị của khách; sao chép dữ liệu trước khi hủy; bán thiết bị chưa xóa cho bên khôi phục dữ liệu; và tiết lộ thông tin về khách hàng nào thanh lý thiết bị gì.

Điểm cuối cũng đáng lưu ý: việc một doanh nghiệp thanh lý hàng loạt máy chủ là thông tin về hoạt động kinh doanh của họ.

Tư vấn cho khách hàng

Đây là giá trị gia tăng mà đơn vị tái chế có thể mang lại. Sáu khuyến nghị nên đưa ra cho khách:

• Xóa dữ liệu trước khi bàn giao nếu có điều kiện — không nên hoàn toàn phụ thuộc bên thứ ba;
• Lập danh sách thiết bị chi tiết trước khi giao;
• Yêu cầu chứng nhận hủy bằng văn bản;
• Chứng kiến quá trình hủy với thiết bị chứa dữ liệu nhạy cảm;
• Không quên máy in, máy photocopy, thiết bị mạng, điện thoại bàn thông minh;
• Tháo và giữ lại ổ cứng với dữ liệu đặc biệt nhạy cảm, tự hủy.

Điểm thứ sáu là lời khuyên thực tế nhất cho khách hàng có dữ liệu rất nhạy cảm: chi phí một ổ cứng nhỏ hơn nhiều so với rủi ro.

Thiết bị lưu trữ trong sản phẩm khác

Ngày càng nhiều thiết bị có bộ nhớ: ti vi thông minh, xe hơi, camera an ninh, thiết bị y tế, máy chấm công. Bốn nguyên tắc: nhận diện thiết bị có bộ nhớ trong quy trình tiếp nhận; xử lý bộ nhớ trước khi tháo dỡ; đặc biệt lưu ý thiết bị có dữ liệu sinh trắc; và ghi nhận riêng nhóm này.

Máy chấm công vân tay thanh lý là ví dụ điển hình: nó chứa dữ liệu sinh trắc của hàng trăm người lao động.

An ninh hệ thống nội bộ

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Năm biện pháp: máy dùng để xóa dữ liệu không nối internet; không cài phần mềm ngoài danh mục; ghi nhật ký thao tác; sao lưu hồ sơ chứng nhận; và kiểm soát chặt tài khoản có quyền sửa hồ sơ hủy.

Danh sách kiểm tra

• Có xóa bằng phương pháp không khôi phục được không?
• Có xử lý bộ nhớ máy in, máy photocopy không?
• Có đối chiếu số thiết bị nhận và số đã hủy không?
• Có bán lại thiết bị chưa xử lý dữ liệu không?
• Chứng nhận hủy có ghi số sê-ri từng thiết bị không?
• Có phân tách người tiếp nhận và người hủy không?
• Thiết bị có dữ liệu sinh trắc được xử lý riêng không?

Đọc thêm cùng chủ đề

• Hạ tầng số công cộng gồm những gì và doanh nghiệp khai thác ra sao?
• Tài khoản giao dịch điện tử là gì và có giá trị chứng minh ra sao?
• Nhân viên làm việc từ xa và dùng máy cá nhân cần kiểm soát ra sao?

Căn cứ pháp lý

• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 5
• Luật 20/2023/QH15 Điều 19

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.