Startup mới thành lập quản lý dữ liệu khách hàng thế nào để giảm rủi ro pháp lý?

Một startup có thể có khách hàng trước khi có phòng pháp chế hoặc bộ phận IT: vài trăm số điện thoại từ form tư vấn, email gửi báo giá, hợp đồng trên Google Drive và lịch sử trao đổi trong CRM. Nhiều rủi ro không nằm ở công nghệ phức tạp mà ở câu hỏi rất giản dị: dữ liệu này đến từ đâu, ai được truy cập, dùng để làm gì và khi nào cần xóa?

Bài viết hướng dẫn xây dựng quy trình kiểm soát ngay từ giai đoạn đầu. Đây là hướng dẫn thực hành, không phải tuyên bố rằng mọi bước bên dưới đều là nghĩa vụ bắt buộc cho mọi startup theo Nghị định 363/2026/NĐ-CP.

Tóm tắt nhanh cho founder

• Kiểm kê các nhóm dữ liệu: khách tiềm năng, khách hàng, nhân viên, nhà cung cấp và dữ liệu hoạt động.
• Tách dữ liệu cá nhân khỏi dữ liệu không phải cá nhân để đối chiếu đúng khung pháp luật.
• Ghi nhận căn cứ xử lý, mục đích, người phụ trách và bên nhận dữ liệu.
• Phân quyền theo công việc, bật xác thực đa yếu tố, kiểm tra việc chia sẻ file.
• Chuẩn bị cách xử lý yêu cầu của chủ thể dữ liệu và sự cố trong nội bộ.

Ba lớp quy định cần phân biệt

Luật Dữ liệu số 60/2024/QH15 có hiệu lực từ ngày 01/07/2025, điều chỉnh các vấn đề về dữ liệu số, quản trị, xử lý và sử dụng dữ liệu số trong phạm vi luật. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực ngày 01/01/2026, tập trung vào dữ liệu cá nhân và các quyền, nghĩa vụ liên quan. Nghị định 363/2026/NĐ-CP có hiệu lực từ ngày 11/11/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Không được hiểu Nghị định 363 là văn bản thay thế mọi chế tài chuyên ngành về bảo vệ dữ liệu cá nhân.

Một bảng Excel ghi giá thuê theo tháng có thể khác về tính chất với danh sách chứa tên, số điện thoại, email người liên hệ. Có những tập dữ liệu kết hợp cả thông tin kinh doanh lẫn thông tin nhận diện cá nhân. Cách phân loại giúp startup không lấy một quy trình duy nhất áp đặt cho tất cả.

Bước 1: Lập bản đồ dữ liệu trên một trang

Bắt đầu bằng những hệ thống đang dùng thật, không cần mua phần mềm mới. Người điều hành có thể mở một bảng theo cấu trúc:

Trường kiểm kê	Câu hỏi cần trả lời	Ví dụ
Nguồn	Dữ liệu đến từ đâu?	Form website, trao đổi tại sự kiện
Mục đích	Tại sao phải sử dụng?	Gửi báo giá, thực hiện hợp đồng
Người phụ trách	Ai quyết định và kiểm soát?	Founder, trưởng nhóm kinh doanh
Nơi lưu	Dữ liệu ở đâu?	CRM, email, kho lưu trữ
Người được xem	Những vai trò nào có quyền?	Sales, kế toán
Bên ngoài	Có đối tác nào nhận dữ liệu?	Nhà cung cấp CRM, kế toán dịch vụ
Vòng đời	Khi nào rà soát, lưu hoặc xóa?	Theo mục đích và nghĩa vụ pháp luật

Đừng liệt kê số lượng trường cho đẹp. Nếu đội sales lưu thêm bảng riêng ngoài CRM, bảng đó cũng cần có trong kiểm kê. Dữ liệu không được quản lý thường nằm trong các file cá nhân chứ không phải hệ thống chính thức.

Bước 2: Kiểm tra nguồn thu thập và phạm vi sử dụng

Khi khách để lại thông tin để nhận báo giá, doanh nghiệp cần xem xét thông tin đã cung cấp cho họ về mục đích xử lý và căn cứ pháp lý phù hợp. Không nên coi việc có một số điện thoại là quyền liên hệ không giới hạn, mua bán lại hay nhập vào nhiều chiến dịch khác mục đích ban đầu.

Điều 8 Nghị định 363 đề cập hành vi vi phạm liên quan thu thập, tạo lập dữ liệu trong lĩnh vực mà nghị định điều chỉnh. Khi thông tin đồng thời là dữ liệu cá nhân, cần đối chiếu Luật Bảo vệ dữ liệu cá nhân và quy định chuyên ngành; không suy diễn rằng mọi tình huống thu thập dữ liệu cá nhân đều bị xử phạt trực tiếp theo Điều 8 Nghị định 363.

Thực hành có ích: lưu phiên bản nội dung form, thời điểm thu thập, nguồn và trạng thái lựa chọn của khách, trong giới hạn cần thiết. Khi thay đổi mục đích sử dụng, phải đánh giá lại cơ sở xử lý thay vì mặc định chuyển dữ liệu sang mục đích mới.

Bước 3: Thiết lập phân quyền tối thiểu

Một startup năm người chưa cần quy trình dài 40 trang, nhưng không nên có một tài khoản quản trị CRM dùng chung cho tất cả. Hãy phân vai: người tạo lead, người xử lý lead, người xuất dữ liệu, người có quyền xóa và người quản trị cấu hình.

Bảng quyền có thể rất ngắn:

Vai trò	Xem	Xuất dữ liệu	Xóa	Quản trị
Nhân viên kinh doanh	Dữ liệu được giao	Khi được phép	Không mặc định	Không
Trưởng nhóm	Theo phạm vi phụ trách	Theo phê duyệt	Có kiểm soát	Không mặc định
Quản trị hệ thống	Theo nhiệm vụ	Có ghi nhận	Theo quy trình	Có

Đây là mẫu kiểm soát nội bộ, không phải ma trận quyền do pháp luật ấn định. Việc phân quyền cần phù hợp quy mô và khả năng của hệ thống.

Bước 4: Quy trình tiếp nhận yêu cầu và sự cố

Chủ thể dữ liệu cá nhân có các quyền theo Luật Bảo vệ dữ liệu cá nhân, tùy điều kiện và ngoại lệ pháp luật. Startup nên có một đầu mối tiếp nhận yêu cầu, xác thực người yêu cầu, ghi nhận thời điểm, phối hợp bộ phận xử lý và lưu bằng chứng phản hồi. Không nên tự hứa rằng mọi yêu cầu xóa đều phải thực hiện ngay, bởi có thể tồn tại nghĩa vụ lưu trữ hoặc trường hợp luật quy định khác.

Nếu phát hiện tài khoản bị chiếm quyền, cần ưu tiên cô lập quyền truy cập, bảo toàn chứng cứ, đánh giá dữ liệu ảnh hưởng và xác định các nghĩa vụ thông báo theo khung pháp luật áp dụng. Đừng xóa nhật ký vì muốn “dọn sạch” sự cố.

Tình huống: startup mở hai điểm tiếp khách

Một công ty đang làm việc từ xa thuê văn phòng ảo của 5SOffice làm điểm liên hệ, thỉnh thoảng sử dụng phòng họp. Sales nhận lead trên website, bộ phận tư vấn gọi lại, lễ tân của đơn vị cung cấp văn phòng tiếp nhận một số thư từ theo hợp đồng. Trong trường hợp này cần phân biệt dữ liệu do startup quản lý và thông tin nhà cung cấp dịch vụ văn phòng tiếp nhận theo phạm vi thỏa thuận. Thuê một địa chỉ giao dịch không chuyển toàn bộ trách nhiệm quản trị dữ liệu khách hàng sang bên cho thuê.

Startup cần kiểm tra hợp đồng dịch vụ, đầu mối nhận thư, thông tin nào được chia sẻ và quy trình bàn giao. Không nên mặc nhiên coi một dịch vụ văn phòng là dịch vụ tư vấn bảo vệ dữ liệu cá nhân.

Checklist triển khai trong 30 ngày

1. Liệt kê tất cả nơi chứa dữ liệu khách hàng, kể cả file riêng của nhân viên.
2. Xác định nhóm dữ liệu cá nhân và dữ liệu khác.
3. Viết mục đích sử dụng và rà soát thông tin cung cấp khi thu thập.
4. Kiểm tra bên thứ ba được quyền nhận, xử lý hay truy cập dữ liệu.
5. Bật MFA và bỏ tài khoản quản trị chia sẻ.
6. Lập bảng quyền theo vị trí công việc.
7. Có quy trình thu hồi quyền khi nhân viên nghỉ việc.
8. Xác định thời hạn lưu trữ dựa trên mục đích và nghĩa vụ liên quan.
9. Chỉ định đầu mối tiếp nhận yêu cầu và xử lý sự cố.
10. Lên lịch rà soát sau khi thay đổi công cụ hoặc mở chi nhánh.

Câu hỏi thường gặp

Startup có bắt buộc thuê nhân sự bảo vệ dữ liệu chuyên trách?

Không thể trả lời chung cho mọi startup. Luật Bảo vệ dữ liệu cá nhân có quy định về điều khoản chuyển tiếp và trường hợp áp dụng khác nhau theo quy mô, loại hình xử lý. Đặc biệt, các trường hợp xử lý dữ liệu cá nhân nhạy cảm, dữ liệu của số lượng lớn chủ thể hoặc kinh doanh dịch vụ xử lý dữ liệu cần được rà soát riêng. Không nên xem ngoại lệ hay thời gian chuyển tiếp là miễn toàn bộ nghĩa vụ bảo vệ dữ liệu.

Không có dữ liệu khách hàng lưu trên máy chủ riêng thì có cần quản lý?

Có. Dùng nền tảng của bên thứ ba không làm biến mất việc doanh nghiệp đang quyết định mục đích và sử dụng dữ liệu. Cần kiểm tra vai trò từng bên, hợp đồng và quyền truy cập.

Startup nhỏ có bị phạt tự động khi chưa có checklist?

Không. Checklist là công cụ quản trị. Xử phạt chỉ có thể xác định dựa trên chủ thể, hành vi và các yếu tố pháp luật cụ thể.

Có thể dùng một form chung cho tất cả chiến dịch marketing?

Cần xem mục đích và cách thông tin được cung cấp cho người dùng. Không nên mở rộng mục đích sử dụng dữ liệu từ một form khi chưa kiểm tra căn cứ pháp lý.

Văn bản đối chiếu và giới hạn áp dụng

• Luật Dữ liệu 60/2024/QH15 – Cổng văn bản Chính phủ.
• Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 – Bộ Công an.
• Nghị định 363/2026/NĐ-CP – Chính phủ, chú ý Điều 1 và Điều 8.

Bài viết cung cấp thông tin pháp lý phổ biến và biện pháp quản trị tham khảo; doanh nghiệp cần đối chiếu trường hợp thực tế trước khi quyết định tuân thủ.