Checklist 10 việc doanh nghiệp nên rà soát trước khi Nghị định 363 có hiệu lực

Vì sao nên làm checklist trước ngày 11/11/2026?

Nghị định 363/2026/NĐ-CP bắt đầu có hiệu lực từ ngày 11/11/2026. Việc chuẩn bị không nên bắt đầu bằng việc mua ngay một công cụ bảo mật hoặc sao chép mẫu quy chế trên mạng. Trước hết, doanh nghiệp cần hiểu các hoạt động dữ liệu mình thực sự đang làm, rồi đối chiếu với Luật Dữ liệu và những điều khoản xử phạt có liên quan.

Checklist dưới đây là gợi ý quản trị rủi ro, không phải biểu mẫu bắt buộc thống nhất theo Nghị định 363. Mức độ thực hiện phải dựa trên quy mô, loại dữ liệu và nghĩa vụ pháp lý cụ thể của tổ chức.

10 việc cần rà soát

1. Lập danh mục hệ thống đang dùng

Ghi lại website, email, CRM, phần mềm kế toán, quản lý nhân sự, kho lưu trữ và công cụ phân tích. Với mỗi hệ thống, ghi rõ người chịu trách nhiệm và đơn vị cung cấp. Chỉ một bảng tổng hợp cũng giúp startup nhìn thấy nơi dữ liệu được tạo, lưu và sử dụng.

2. Xác định loại dữ liệu và nguồn

Phân biệt dữ liệu vận hành nội bộ, dữ liệu đối tác, dữ liệu cá nhân, hoặc dữ liệu thuộc nhóm pháp luật có yêu cầu đặc thù. Nếu có dấu hiệu liên quan dữ liệu cốt lõi, dữ liệu quan trọng thì cần rà soát định nghĩa và cơ chế phân loại tương ứng, không tự kết luận.

3. Ghi lại mục đích sử dụng và quyền xử lý

Với mỗi tập dữ liệu quan trọng đối với hoạt động công ty, trả lời: dữ liệu đến từ đâu, công ty được làm gì, có điều kiện nào trong hợp đồng hoặc pháp luật, ai có quyền quyết định chia sẻ? Kiểm tra đặc biệt các danh sách nhận từ nhà cung cấp hay đối tác.

4. Rà soát quyền truy cập

Kiểm tra quyền quản trị, tài khoản chia sẻ, tài khoản cũ và quyền của nhân viên đã nghỉ việc. Điều 12 Nghị định 363 đề cập tới truy cập, truy xuất dữ liệu trái quy định. Tuy nhiên, việc thiếu một tính năng kỹ thuật riêng lẻ không tự động cấu thành vi phạm; đánh giá phải dựa trên quy định áp dụng.

5. Rà soát kết nối và chia sẻ

Lập sơ đồ đơn giản các luồng dữ liệu giữa trụ sở, chi nhánh, CRM, website, kế toán và nhà cung cấp. Đối chiếu điều khoản về kết nối, chia sẻ dữ liệu khi có hoạt động liên quan; xác định trách nhiệm mỗi bên.

6. Rà soát lưu trữ và sao lưu

Xác định vị trí lưu, quy trình khôi phục, thời hạn lưu và quyền xóa dữ liệu. Điều 10 có các quy định xử phạt đối với một số hành vi lưu trữ dữ liệu trái quy định; không suy diễn rằng cứ dùng cloud nước ngoài là bị phạt. Các trường hợp đặc thù cần kiểm tra đầy đủ điều kiện pháp lý.

7. Kiểm tra hợp đồng với bên thứ ba

Đọc điều khoản về quyền dữ liệu, phạm vi xử lý, bảo mật, trả lại/xóa dữ liệu và thông báo sự cố trong hợp đồng với nhà cung cấp. Nếu đang thiếu thỏa thuận, ghi thành đầu việc để pháp chế đánh giá.

8. Thiết lập kênh báo cáo sự cố

Nhân viên cần biết báo ai nếu gửi nhầm tệp, thất lạc thiết bị hoặc nhận thấy quyền truy cập bất thường. Kênh tiếp nhận nội bộ không thay thế nghĩa vụ thông báo đến cơ quan chức năng nếu luật yêu cầu, nhưng giúp doanh nghiệp phản ứng nhanh hơn.

9. Rà soát tài liệu và bằng chứng vận hành

Kiểm tra chính sách nội bộ, danh sách phân quyền, biên bản bàn giao tài khoản, nhật ký quản trị và bằng chứng phối hợp với nhà cung cấp. Mục tiêu là chứng minh được cách hoạt động thực tế, không chỉ có một file quy chế chưa từng được áp dụng.

10. Phân công người theo dõi cập nhật pháp luật

Chỉ định một người phụ trách lưu nguồn văn bản, ghi lại thời điểm rà soát và chuyển các vấn đề chưa rõ cho chuyên gia phù hợp. Đây là hoạt động liên tục, bởi một sự cố có thể đồng thời chạm tới pháp luật về dữ liệu cá nhân, an ninh mạng, hợp đồng và các quy định khác.

Bảng ưu tiên cho doanh nghiệp ít nguồn lực

Ưu tiên	Công việc	Kết quả có thể kiểm tra
Ngay	Hệ thống, tài khoản, luồng chia sẻ	Danh mục hệ thống và chủ quản
Sớm	Nguồn dữ liệu, quyền xử lý, hợp đồng	Danh sách điểm cần làm rõ
Theo kế hoạch	Sao lưu, thông báo, diễn tập	Quy trình phù hợp năng lực
Liên tục	Cập nhật luật, kiểm tra thay đổi	Nhật ký rà soát định kỳ

Tình huống: nhóm kinh doanh làm việc ở ba thành phố

Một đội sales có nhân sự ở Hà Nội, Đà Nẵng và TP.HCM, dùng chung kho báo giá. Nếu tài khoản của một nhân viên cũ vẫn truy cập được sau khi nghỉ việc, đây là vấn đề quản trị cần xử lý ngay. Điều cần làm gồm thu hồi quyền, kiểm tra lịch sử chia sẻ, xác định dữ liệu có bị sử dụng ngoài phạm vi hay không và đánh giá nghĩa vụ pháp lý tương ứng. Không tự suy đoán rằng một sự cố kỹ thuật đã cấu thành vi phạm một điều khoản cụ thể.

FAQ

SME có bắt buộc mua phần mềm mới trước 11/11 không?

Không có căn cứ để suy diễn một yêu cầu mua phần mềm chung chỉ từ ngày hiệu lực của Nghị định 363. Hãy đánh giá hệ thống hiện tại và quy định cụ thể.

Checklist này đã đủ để kết luận tuân thủ chưa?

Chưa. Đây là bước sàng lọc nội bộ; việc xác nhận tuân thủ cần xem đầy đủ dữ liệu, hoạt động, quy định hiện hành và hồ sơ.

Thuê văn phòng trọn gói có thay việc quản lý dữ liệu không?

Không. Bên cung cấp dịch vụ có thể hỗ trợ những hạng mục theo hợp đồng, còn trách nhiệm liên quan dữ liệu của khách thuê phải xác định độc lập.

Văn bản và nguồn tham khảo

• Nghị định 363/2026/NĐ-CP – Cổng văn bản Chính phủ.
• Nghị định 363/2026/NĐ-CP – Công báo Chính phủ.
• Thông tin giới thiệu Nghị định 363 – Cổng thông tin Kiểm toán nhà nước.

Lưu ý biên tập: Bài viết nhằm phổ biến kiến thức pháp luật tại ngày 20/10/2026; chưa thay thế việc đối chiếu hồ sơ, hành vi và văn bản hiện hành khi xử lý vụ việc thực tế. Các checklist được đề xuất theo góc độ quản trị, không mặc nhiên là danh sách nghĩa vụ luật định áp dụng giống nhau cho mọi doanh nghiệp.