# Nhân viên nghỉ việc mang theo dữ liệu khách hàng: làm gì?

## Trả lời nhanh

Luật 91/2025/QH15, Điều 7 cấm chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân và cấm mua bán dữ liệu cá nhân. Khi phát hiện nhân viên cũ mang danh sách khách đi, doanh nghiệp nên ghi lại thời điểm phát hiện, thu hồi mọi quyền truy cập, xác định dữ liệu gì của bao nhiêu người, và xét xem có phải báo cơ quan chuyên trách trong 72 giờ không (Điều 23). Cách rẻ nhất vẫn là phòng từ trước: tài khoản của công ty, chia quyền theo việc, bàn giao vào ngày cuối.

## Chuyện rất thường gặp

Nhân viên kinh doanh nghỉ việc, sang công ty đối thủ, và tuần sau khách cũ bắt đầu nhận cuộc gọi từ họ. Danh sách đi theo nhiều đường: danh bạ Zalo cá nhân, file Excel gửi về email riêng, ảnh chụp màn hình phần mềm bán hàng.

Doanh nghiệp thường coi đây là chuyện "mất khách". Theo luật dữ liệu cá nhân, đó còn là chuyện dữ liệu của khách mà doanh nghiệp giữ, với tư cách [bên kiểm soát dữ liệu](https://dulieucanhan.online/thuat-ngu/ben-kiem-soat), đã ra khỏi tay doanh nghiệp. Bài [lộ dữ liệu khách hàng: làm gì trong 72 giờ](https://dulieucanhan.online/bai-viet/lo-du-lieu-khach-hang-72-gio) có quy trình chung cho mọi kiểu lộ dữ liệu; bài này đi riêng vào trường hợp nhân viên nghỉ việc.

## Luật nói gì

| Nội dung | Căn cứ |
|---|---|
| Cấm chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân; cấm mua bán dữ liệu cá nhân | Luật 91, Điều 7 |
| Vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, kèm bồi thường nếu gây thiệt hại | Luật 91, Điều 8 |
| Báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện, khi vi phạm có thể gây tổn hại | Luật 91, Điều 23 khoản 1 |
| Bên kiểm soát lập biên bản xác nhận vi phạm, phối hợp với cơ quan chuyên trách | Luật 91, Điều 23 khoản 2 |
| Mua, bán trái phép dữ liệu: 02–10 lần khoản thu, hoặc từ 70 triệu đồng nếu không có khoản thu (tổ chức; cá nhân một nửa) | Nghị định 330, Điều 53; Điều 7 khoản 1 |
| Chậm thông báo vi phạm: 40–60 triệu đồng (tổ chức) | Nghị định 330, Điều 54 khoản 3 |

Việc một người cụ thể có vi phạm hay không, xử lý hành chính hay hình sự, do cơ quan có thẩm quyền xác định. Bài này không đi vào phần hình sự.

## Phát hiện rồi thì làm gì

Lấy một cửa hàng nội thất tưởng tượng. Một nhân viên kinh doanh nghỉ việc, mang theo danh bạ Zalo khoảng 600 khách, và bắt đầu gọi mời khách sang cửa hàng mới.

1. **Ghi lại thời điểm phát hiện.** Mốc 72 giờ tính từ lúc phát hiện (Luật 91/2025/QH15, Điều 23 khoản 1).
2. **Thu hồi quyền ngay.** Đổi mật khẩu phần mềm bán hàng, bảng tính, trang Facebook, Zalo của cửa hàng mà người đó từng vào.
3. **Xác định cái gì bị mang đi.** Loại dữ liệu nào, bao nhiêu người, có dữ liệu nhạy cảm (ảnh CCCD, thông tin tài chính) không.
4. **Xét xem có phải báo không.** Nếu vi phạm có thể gây tổn hại tới tính mạng, sức khoẻ, danh dự, nhân phẩm, tài sản của khách, phải báo cơ quan chuyên trách trong 72 giờ. Một danh sách tên và số điện thoại, hay một danh sách có dữ liệu nhạy cảm, có tới ngưỡng đó không thì chưa có hướng dẫn chi tiết. Hỏi luật sư ngay trong ngày.
5. **Lập biên bản** xác nhận sự việc (Luật 91/2025/QH15, Điều 23 khoản 2).
6. **Yêu cầu bằng văn bản** người đó xoá và ngừng dùng dữ liệu. Giữ bằng chứng: tin nhắn khách báo bị gọi, nhật ký truy cập.
7. **Báo cho khách** bị ảnh hưởng, để họ cảnh giác. Trong các điều chúng tôi đã đối chiếu, nghĩa vụ báo cho chính người bị ảnh hưởng được nêu rõ với dữ liệu vị trí, sinh trắc học (Nghị định 356/2025/NĐ-CP, Điều 29); với dữ liệu khác, báo khách ít nhất là thực hành tốt.

Công cụ [xử lý lộ dữ liệu trong 72 giờ](https://dulieucanhan.online/lo-du-lieu) đi lần lượt các bước và soạn thông báo.

## Công ty mới cũng có rủi ro

Nếu bạn là bên tuyển người mới và người đó mang theo "tệp khách" của chỗ cũ, đừng nhận. Dùng danh sách đó để đổi lấy lợi ích có thể bị coi là mua, bán trái phép dữ liệu cá nhân (Nghị định 330/2026/NĐ-CP, Điều 53). Xem [mua bán dữ liệu cá nhân bị phạt thế nào](https://dulieucanhan.online/bai-viet/mua-ban-du-lieu-ca-nhan-bi-phat).

## Phòng từ ngày nhân viên vào làm

| Lúc | Việc |
|---|---|
| Ngày đầu | Tạo tài khoản của công ty (email, Zalo công việc, phần mềm); không dùng tài khoản cá nhân cho khách |
| Khi làm việc | Chia quyền theo việc: nhân viên chỉ thấy khách mình phụ trách; tắt quyền xuất file nếu phần mềm cho phép |
| Hợp đồng, nội quy | Điều khoản bảo mật dữ liệu khách hàng (nội dung theo pháp luật lao động, bài này chưa đối chiếu) |
| Ngày cuối | Thu tài khoản, đổi mật khẩu dùng chung, chuyển khách sang người khác, nhắc bằng văn bản nghĩa vụ không mang dữ liệu đi |

Cũng vào ngày cuối, nhớ phần ngược lại: dữ liệu của chính người lao động phải được xoá, huỷ khi chấm dứt hợp đồng, trừ khi có thoả thuận hoặc pháp luật quy định khác (Luật 91/2025/QH15, Điều 25 khoản 2 điểm c). Xem [dữ liệu nhân viên và ứng viên](https://dulieucanhan.online/bai-viet/du-lieu-nguoi-lao-dong-ung-vien).

## Bạn cần làm gì

- Chuyển việc liên lạc với khách sang tài khoản của công ty.
- Chia quyền theo việc; hạn chế xuất file danh sách khách.
- Thêm điều khoản bảo mật dữ liệu vào hợp đồng hoặc nội quy, nhờ luật sư xem.
- Có danh sách việc cho ngày cuối của mỗi nhân viên.
- Viết sẵn quy trình khi phát hiện dữ liệu bị mang đi, có tên người chịu trách nhiệm.
- Không nhận "tệp khách" từ nhân viên mới.

Khi nhận người mới, bộ [mẫu văn bản cho người lao động](https://dulieucanhan.online/mau-nguoi-lao-dong) có văn bản đồng ý xử lý dữ liệu của người lao động để bạn sửa theo doanh nghiệp.

## Căn cứ pháp lý

- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 7, 8, 23, 25.
- Nghị định 356/2025/NĐ-CP, Điều 29.
- Nghị định 330/2026/NĐ-CP: Điều 7, 53, 54: [toàn văn trên Công báo](https://congbao.chinhphu.vn/van-ban/nghi-dinh-so-330-2026-nd-cp-470339.htm).

*Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.*