Mẫu cam kết bảo mật dữ liệu nhân viên theo PDPL

Mẫu cam kết bảo mật dữ liệu nhân viên là gì?

Mẫu cam kết bảo mật dữ liệu nhân viên là tài liệu nội bộ mà nhân viên ký khi nhận quyền truy cập vào dữ liệu cá nhân của khách hàng, đồng nghiệp, ứng viên hoặc dữ liệu nội bộ khác. Mục tiêu là giảm rủi ro rò rỉ, dùng sai mục đích và hỗ trợ doanh nghiệp chứng minh đã có biện pháp kiểm soát theo quy định.

Trong thực tế ở SME Việt Nam, mẫu này thường áp dụng cho HR, sales, CSKH, kế toán, IT, vận hành và bất kỳ ai có thể xem Excel, CRM, Google Drive, hệ thống chấm công, payroll, hồ sơ ứng viên.

Mẫu cam kết bảo mật dữ liệu nhân viên gồm những điều khoản nào?

Bạn nên có các điều khoản tối thiểu sau: phạm vi dữ liệu được tiếp cận, mục đích xử lý, cấm sao chép/chuyển tiếp trái phép, bảo mật thiết bị và mật khẩu, báo cáo sự cố, trả lại/xóa dữ liệu khi nghỉ việc, và chế tài nội bộ nếu vi phạm.

Dưới PDPL, việc có tracker, CRM, phần mềm chấm công hay công cụ lưu file không tự động là vấn đề; điều quan trọng là doanh nghiệp phải xác định vai trò, mục đích, căn cứ xử lý và kiểm soát truy cập theo quy định. Nếu có tình huống nhạy cảm hoặc chia sẻ ra bên ngoài, nên tham vấn luật sư.

Mẫu cam kết bảo mật dữ liệu nhân viên có thể dùng ngay

Bạn có thể dùng mẫu dưới đây và thay phần trong ngoặc vuông cho phù hợp với doanh nghiệp.

Mẫu văn bản cam kết điền sẵn

CAM KẾT BẢO MẬT DỮ LIỆU CÁ NHÂN NHÂN VIÊN

Tôi, [Họ và tên], sinh ngày [], số CCCD [], chức danh [___], thuộc [Phòng ban], cam kết như sau:

1. Tôi chỉ truy cập, thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân trong phạm vi công việc được giao và theo chỉ đạo hợp lệ của công ty.
2. Tôi không tự ý sao chép, chụp màn hình, chuyển tiếp email, gửi file qua ứng dụng cá nhân, tải lên cloud cá nhân hoặc tiết lộ dữ liệu cho bất kỳ bên thứ ba nào nếu chưa được phép.
3. Tôi bảo mật tài khoản, mật khẩu, thiết bị làm việc và không dùng chung tài khoản với người khác.
4. Tôi thông báo ngay cho [đầu mối phụ trách] khi phát hiện mất thiết bị, lộ mật khẩu, gửi nhầm dữ liệu, truy cập trái phép hoặc sự cố an ninh khác.
5. Khi chấm dứt hợp đồng lao động, tôi sẽ bàn giao đầy đủ và xóa/hoàn trả dữ liệu theo yêu cầu của công ty.
6. Tôi hiểu rằng vi phạm cam kết này có thể bị xử lý nội bộ và/hoặc theo quy định pháp luật hiện hành.

Ngày []/[]/[____] Người cam kết ký, ghi rõ họ tên

Doanh nghiệp cần lưu ý gì khi dùng mẫu này theo PDPL?

PDPL là Luật 91/2025/QH15, dự kiến có hiệu lực từ 01/01/2026 và thay thế Nghị định 13/2023/NĐ-CP. Doanh nghiệp không nên chỉ dừng ở việc cho nhân viên ký cam kết; cần kết hợp phân quyền truy cập, đào tạo nội bộ, log truy cập, quy trình xử lý sự cố và hồ sơ chứng minh đã thông báo/đồng ý khi cần.

Cơ quan thực thi là Bộ Công an, cụ thể Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). Nếu có vi phạm dữ liệu, doanh nghiệp phải đánh giá nhanh mức độ ảnh hưởng và thông báo trong 72 giờ kể từ khi phát hiện theo quy định. Mức phạt cụ thể sẽ theo nghị định hướng dẫn của Chính phủ; vi phạm nghiêm trọng có thể bị xử lý hình sự.

Với SME, nên thêm 3 lớp kiểm soát: (1) quy trình cấp quyền theo vai trò, (2) tài liệu hóa bàn giao khi nghỉ việc, (3) lưu bằng chứng cam kết và đào tạo. Nếu bạn đang dùng banner cookie, form lead, hoặc cần quản lý lưu bằng chứng đồng ý và DSAR, consent.vn có thể giúp chuẩn hóa phần này.

Khi nào nên cho nhân viên ký mẫu cam kết này?

Nên ký ngay khi onboarding, khi chuyển sang vị trí có quyền truy cập dữ liệu, và khi cập nhật chính sách bảo mật mới. Với nhân viên IT, HR, sales, chăm sóc khách hàng hoặc kế toán, đây nên là tài liệu bắt buộc đi kèm nội quy và chính sách bảo mật.

Nếu doanh nghiệp dùng nhiều công cụ như Google Workspace, Slack, CRM, HRM, chấm công, nền tảng tuyển dụng, hãy đồng bộ mẫu cam kết với quy chế sử dụng hệ thống để tránh "ký một kiểu, làm một kiểu".

Nguồn: Luật 91/2025/QH15: https://thuvienphapluat.vn; Nghị định 13/2023/NĐ-CP: https://thuvienphapluat.vn; Cơ quan thực thi A05: https://bocongan.gov.vn