Xử lý yêu cầu cung cấp toàn bộ dữ liệu doanh nghiệp đang lưu

Khái quát yêu cầu và phạm vi dữ liệu cần xem xét

Trong thực tiễn kinh doanh, “toàn bộ dữ liệu doanh nghiệp đang lưu” thường được khách hàng hiểu theo nghĩa rất rộng, bao gồm hồ sơ định danh, lịch sử giao dịch, nội dung trao đổi, dữ liệu kỹ thuật, bản ghi chăm sóc khách hàng và cả các tài liệu nội bộ có liên quan đến quan hệ hợp đồng. Cách hiểu này không đồng nhất với phạm vi dữ liệu mà doanh nghiệp có nghĩa vụ phải cung cấp. Khi xử lý yêu cầu, bước đầu tiên là phân loại dữ liệu theo tính chất pháp lý: dữ liệu cá nhân của chính khách hàng, dữ liệu của người khác, bí mật kinh doanh, bí mật nhà nước, dữ liệu do bên thứ ba sở hữu và tài liệu nội bộ phục vụ quản trị.

Theo khoản 1 Điều 5 Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu có quyền được biết, quyền đồng ý, quyền truy cập để xem, chỉnh sửa hoặc yêu cầu cung cấp dữ liệu cá nhân của mình trong phạm vi pháp luật cho phép. Tuy nhiên, quyền này không đồng nghĩa với quyền nhận toàn bộ dữ liệu doanh nghiệp đang nắm giữ. Doanh nghiệp phải đối chiếu yêu cầu với phạm vi quyền của chủ thể dữ liệu và các giới hạn bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân khác.

Cơ sở pháp lý chi phối việc cung cấp dữ liệu

Trọng tâm điều chỉnh hiện nay là Luật Bảo vệ dữ liệu cá nhân 2025, có hiệu lực từ ngày 01/01/2026, cùng các quy định hướng dẫn và quy định chuyển tiếp liên quan. Về nguyên tắc, việc xử lý dữ liệu cá nhân phải có căn cứ hợp pháp, đúng mục đích, minh bạch, tối thiểu hóa dữ liệu và bảo đảm an toàn dữ liệu. Theo các nguyên tắc này, doanh nghiệp không được cung cấp tràn lan toàn bộ kho dữ liệu chỉ vì có yêu cầu, mà phải kiểm tra tính hợp pháp của yêu cầu và loại dữ liệu được yêu cầu.

Song song, Bộ luật Dân sự 2015 bảo vệ quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình và quyền bảo vệ thông tin cá nhân theo Điều 38 Bộ luật Dân sự 2015. Luật Thương mại 2005 và Luật Sở hữu trí tuệ 2005 cũng đặt ra yêu cầu bảo vệ bí mật kinh doanh, bí mật công nghệ trong quá trình giao dịch và thực hiện hợp đồng. Vì vậy, nếu một phần dữ liệu mà khách hàng yêu cầu đồng thời là bí mật kinh doanh hoặc chứa thông tin của bên thứ ba, doanh nghiệp phải loại trừ hoặc che mờ trước khi cung cấp.

Nguyên tắc xử lý: cung cấp theo phạm vi, không cung cấp theo cảm tính

Doanh nghiệp chỉ nên cung cấp dữ liệu đúng với mục đích hợp pháp của yêu cầu và chỉ trong phạm vi cần thiết. Nếu khách hàng yêu cầu bản sao dữ liệu cá nhân của chính họ, doanh nghiệp có thể cung cấp các trường dữ liệu định danh, lịch sử giao dịch, nội dung tương tác liên quan trực tiếp đến họ, trừ phần bị hạn chế bởi pháp luật hoặc quyền của người khác. Nếu yêu cầu bao trùm toàn bộ hệ thống, bao gồm dữ liệu tài chính nội bộ, công thức, báo cáo phân tích, nhật ký hệ thống, thông tin của nhân sự hoặc khách hàng khác, doanh nghiệp phải từ chối phần vượt phạm vi.

Nguyên tắc tối thiểu hóa đòi hỏi chỉ tiết lộ phần cần thiết và thích hợp. Cách làm phù hợp là tách bạch từng nhóm dữ liệu, ẩn thông tin nhận diện của bên thứ ba, loại bỏ nội dung mật, và chỉ bàn giao theo định dạng phù hợp với mục đích chính đáng của người yêu cầu. Việc cung cấp “toàn bộ” mà không rà soát sẽ tạo rủi ro vi phạm pháp luật về dữ liệu cá nhân, bí mật kinh doanh và nghĩa vụ bảo mật theo hợp đồng.

Quy trình xử lý yêu cầu trong doanh nghiệp

1. Tiếp nhận và xác minh người yêu cầu

Trước tiên, cần xác minh người yêu cầu có phải là chủ thể dữ liệu, người đại diện hợp pháp hay người được ủy quyền hợp lệ hay không. Nếu có dấu hiệu giả mạo, doanh nghiệp phải yêu cầu bổ sung tài liệu chứng minh. Việc xác minh này nhằm bảo đảm dữ liệu chỉ được cung cấp cho đúng người có quyền tiếp cận.

2. Xác định căn cứ và phạm vi yêu cầu

Doanh nghiệp phải làm rõ khách hàng đang yêu cầu dữ liệu nào, dùng cho mục đích gì và dựa trên quyền nào. Nếu yêu cầu quá chung chung, cần đề nghị họ cụ thể hóa: hồ sơ giao dịch, hợp đồng, lịch sử thanh toán, nhật ký hỗ trợ, email trao đổi hay các tài liệu khác. Việc cụ thể hóa giúp doanh nghiệp xác định phần dữ liệu có thể cung cấp và phần phải loại trừ.

3. Rà soát, phân loại và loại trừ dữ liệu bị hạn chế

Sau khi xác định phạm vi, bộ phận phụ trách pháp chế hoặc bảo vệ dữ liệu cần rà soát toàn bộ tập dữ liệu liên quan. Phải loại trừ dữ liệu của người khác, dữ liệu mật nội bộ, bí mật kinh doanh, dữ liệu thuộc diện hạn chế tiếp cận, dữ liệu phục vụ điều tra, tranh chấp, kiểm toán hoặc tuân thủ pháp luật. Nếu trong cùng tài liệu có cả phần được cung cấp và phần không được cung cấp, doanh nghiệp nên che mờ hoặc tách trang.

4. Lập văn bản trả lời và thời hạn xử lý

Doanh nghiệp nên phản hồi bằng văn bản, nêu rõ dữ liệu nào sẽ được cung cấp, dữ liệu nào bị từ chối và căn cứ pháp lý của việc từ chối. Trường hợp cần thêm thời gian rà soát, nên thông báo lý do và thời hạn dự kiến hoàn tất. Cách phản hồi minh bạch giúp giảm tranh chấp và chứng minh doanh nghiệp đã xử lý yêu cầu một cách thiện chí, có kiểm soát.

Khi nào được từ chối hoặc cung cấp có điều kiện

Doanh nghiệp có quyền từ chối phần yêu cầu nếu việc cung cấp xâm phạm quyền, lợi ích hợp pháp của người khác; làm lộ bí mật kinh doanh, bí mật công nghệ; tiết lộ dữ liệu thuộc diện bảo mật theo luật chuyên ngành; hoặc vượt quá phạm vi quyền truy cập của chủ thể dữ liệu. Việc từ chối cũng phù hợp khi yêu cầu không xác định được danh tính người yêu cầu, không có căn cứ pháp lý rõ ràng hoặc đòi hỏi bản sao trọn vẹn hệ thống dữ liệu. Trong các trường hợp này, thay vì bác bỏ toàn bộ, doanh nghiệp nên cung cấp phần hợp lệ và nêu rõ phần bị loại trừ.

Đối với dữ liệu chứa thông tin của nhiều chủ thể, doanh nghiệp cần áp dụng biện pháp xử lý kỹ thuật như ẩn danh, che mờ, trích xuất theo trường dữ liệu hoặc chia tách hồ sơ. Đây là giải pháp cân bằng giữa nghĩa vụ minh bạch và nghĩa vụ bảo vệ dữ liệu. Chỉ khi các biện pháp này không đủ để loại trừ rủi ro, việc từ chối mới trở thành lựa chọn phù hợp.

Rủi ro pháp lý nếu cung cấp sai cách

Cung cấp quá mức dữ liệu cho khách hàng có thể dẫn đến vi phạm quy định về bảo vệ dữ liệu cá nhân, xâm phạm quyền riêng tư của người khác và phát sinh trách nhiệm bồi thường thiệt hại theo Bộ luật Dân sự 2015. Nếu dữ liệu bị lộ là bí mật kinh doanh hoặc thông tin mật, doanh nghiệp còn đối mặt với rủi ro thương mại và tranh chấp nội bộ. Trong môi trường quản trị số, một yêu cầu xử lý thiếu kiểm soát cũng có thể kéo theo sự cố an ninh dữ liệu và nghĩa vụ báo cáo theo quy định chuyên ngành.

Ngược lại, từ chối không có căn cứ hoặc trì hoãn vô lý có thể làm phát sinh tranh chấp với khách hàng, nhất là khi dữ liệu đó gắn với việc thực hiện hợp đồng, giải quyết khiếu nại hoặc bảo vệ quyền lợi tiêu dùng. Do đó, doanh nghiệp cần có quy trình chuẩn, mẫu phản hồi thống nhất và cơ chế phê duyệt nội bộ trước khi bàn giao dữ liệu.

Khuyến nghị thực hành cho doanh nghiệp

Doanh nghiệp nên ban hành quy chế nội bộ về tiếp nhận và xử lý yêu cầu cung cấp dữ liệu, phân công rõ bộ phận pháp chế, công nghệ thông tin và chăm sóc khách hàng. Mọi yêu cầu cần được ghi nhận, đánh số, xác minh và lưu vết xử lý để phục vụ kiểm tra sau này. Với dữ liệu nhạy cảm hoặc khối lượng lớn, nên áp dụng cơ chế phê duyệt hai bước trước khi xuất dữ liệu.

Hợp đồng và chính sách bảo mật nên quy định trước phạm vi cung cấp dữ liệu cho khách hàng, cách thức yêu cầu, thời hạn phản hồi, phí sao chép nếu có và các trường hợp từ chối hợp lệ. Khi hệ thống dữ liệu phức tạp, doanh nghiệp cần thiết kế cơ chế phân quyền truy cập và công cụ trích xuất dữ liệu theo chủ thể để giảm nguy cơ lộ lọt. Cách tiếp cận này vừa bảo đảm tuân thủ pháp luật, vừa duy trì niềm tin của khách hàng và tính an toàn của hoạt động kinh doanh.

Kết luận

Khi khách hàng yêu cầu cung cấp toàn bộ dữ liệu doanh nghiệp đang lưu, doanh nghiệp không nên hiểu đó là nghĩa vụ bàn giao toàn bộ kho dữ liệu. Cách xử lý đúng là xác minh chủ thể, xác định phạm vi quyền, rà soát dữ liệu, loại trừ phần bị hạn chế và phản hồi có căn cứ pháp lý rõ ràng. Nếu tổ chức thực hiện theo nguyên tắc cung cấp theo phạm vi, tối thiểu hóa dữ liệu và bảo vệ quyền của bên thứ ba, doanh nghiệp vừa tuân thủ pháp luật vừa giảm đáng kể rủi ro tranh chấp.

Tài liệu tham khảo

• Luật Bảo vệ dữ liệu cá nhân 2025, số 91/2025/QH15.
• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
• Bộ luật Dân sự 2015.
• Luật Thương mại 2005.
• Luật Sở hữu trí tuệ 2005, sửa đổi bổ sung các năm liên quan.
• Luật An ninh mạng 2018.