Nhân viên nghỉ việc mang theo dữ liệu khách hàng: làm gì?

Chuyện rất thường gặp

Nhân viên kinh doanh nghỉ việc, sang công ty đối thủ, và tuần sau khách cũ bắt đầu nhận cuộc gọi từ họ. Danh sách đi theo nhiều đường: danh bạ Zalo cá nhân, file Excel gửi về email riêng, ảnh chụp màn hình phần mềm bán hàng.

Doanh nghiệp thường coi đây là chuyện "mất khách". Theo luật dữ liệu cá nhân, đó còn là chuyện dữ liệu của khách mà doanh nghiệp giữ, với tư cách bên kiểm soát dữ liệu, đã ra khỏi tay doanh nghiệp. Bài lộ dữ liệu khách hàng: làm gì trong 72 giờ có quy trình chung cho mọi kiểu lộ dữ liệu; bài này đi riêng vào trường hợp nhân viên nghỉ việc.

Luật nói gì

Việc một người cụ thể có vi phạm hay không, xử lý hành chính hay hình sự, do cơ quan có thẩm quyền xác định. Bài này không đi vào phần hình sự.

Phát hiện rồi thì làm gì

Lấy một cửa hàng nội thất tưởng tượng. Một nhân viên kinh doanh nghỉ việc, mang theo danh bạ Zalo khoảng 600 khách, và bắt đầu gọi mời khách sang cửa hàng mới.

1. Ghi lại thời điểm phát hiện. Mốc 72 giờ tính từ lúc phát hiện (Luật 91/2025/QH15, Điều 23 khoản 1).
2. Thu hồi quyền ngay. Đổi mật khẩu phần mềm bán hàng, bảng tính, trang Facebook, Zalo của cửa hàng mà người đó từng vào.
3. Xác định cái gì bị mang đi. Loại dữ liệu nào, bao nhiêu người, có dữ liệu nhạy cảm (ảnh CCCD, thông tin tài chính) không.
4. Xét xem có phải báo không. Nếu vi phạm có thể gây tổn hại tới tính mạng, sức khoẻ, danh dự, nhân phẩm, tài sản của khách, phải báo cơ quan chuyên trách trong 72 giờ. Một danh sách tên và số điện thoại, hay một danh sách có dữ liệu nhạy cảm, có tới ngưỡng đó không thì chưa có hướng dẫn chi tiết. Hỏi luật sư ngay trong ngày.
5. Lập biên bản xác nhận sự việc (Luật 91/2025/QH15, Điều 23 khoản 2).
6. Yêu cầu bằng văn bản người đó xoá và ngừng dùng dữ liệu. Giữ bằng chứng: tin nhắn khách báo bị gọi, nhật ký truy cập.
7. Báo cho khách bị ảnh hưởng, để họ cảnh giác. Trong các điều chúng tôi đã đối chiếu, nghĩa vụ báo cho chính người bị ảnh hưởng được nêu rõ với dữ liệu vị trí, sinh trắc học (Nghị định 356/2025/NĐ-CP, Điều 29); với dữ liệu khác, báo khách ít nhất là thực hành tốt.

Công cụ xử lý lộ dữ liệu trong 72 giờ đi lần lượt các bước và soạn thông báo.

Công ty mới cũng có rủi ro

Nếu bạn là bên tuyển người mới và người đó mang theo "tệp khách" của chỗ cũ, đừng nhận. Dùng danh sách đó để đổi lấy lợi ích có thể bị coi là mua, bán trái phép dữ liệu cá nhân (Nghị định 330/2026/NĐ-CP, Điều 53). Xem mua bán dữ liệu cá nhân bị phạt thế nào.

Phòng từ ngày nhân viên vào làm

Cũng vào ngày cuối, nhớ phần ngược lại: dữ liệu của chính người lao động phải được xoá, huỷ khi chấm dứt hợp đồng, trừ khi có thoả thuận hoặc pháp luật quy định khác (Luật 91/2025/QH15, Điều 25 khoản 2 điểm c). Xem dữ liệu nhân viên và ứng viên.

Bạn cần làm gì

• Chuyển việc liên lạc với khách sang tài khoản của công ty.
• Chia quyền theo việc; hạn chế xuất file danh sách khách.
• Thêm điều khoản bảo mật dữ liệu vào hợp đồng hoặc nội quy, nhờ luật sư xem.
• Có danh sách việc cho ngày cuối của mỗi nhân viên.
• Viết sẵn quy trình khi phát hiện dữ liệu bị mang đi, có tên người chịu trách nhiệm.
• Không nhận "tệp khách" từ nhân viên mới.

Khi nhận người mới, bộ mẫu văn bản cho người lao động có văn bản đồng ý xử lý dữ liệu của người lao động để bạn sửa theo doanh nghiệp.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 7, 8, 23, 25.
• Nghị định 356/2025/NĐ-CP, Điều 29.
• Nghị định 330/2026/NĐ-CP: Điều 7, 53, 54: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.