Hồ sơ vụ việc của văn phòng luật là kho dữ liệu cá nhân, không chỉ của khách hàng mà của cả bên đối phương, nhân chứng, người lao động, người thân. Khi đưa hồ sơ vào AI, văn phòng đang xử lý dữ liệu cá nhân của những người chưa bao giờ ký gì với mình. Khung pháp lý về dữ liệu cá nhân, từ Nghị định 13/2023/NĐ-CP đến Luật Bảo vệ dữ liệu cá nhân 2025, áp vào việc đó bên cạnh nghĩa vụ bảo mật nghề nghiệp.
Bài này giúp luật sư và chuyên viên pháp chế nhìn hồ sơ của mình bằng con mắt bảo vệ dữ liệu: văn phòng đóng vai trò gì, dữ liệu nào thuộc loại nhạy cảm, chuyển dữ liệu qua công cụ đặt máy chủ ở nước ngoài cần lưu ý gì, và giữ hồ sơ bao lâu. Bài nêu nguyên lý; các yêu cầu cụ thể như hồ sơ đánh giá tác động, thủ tục thông báo, bạn cần đối chiếu văn bản hướng dẫn hiện hành. Phần giải thích luật dữ liệu cho người dùng phổ thông có ở trang AI Bảo Mật.
Văn phòng luật đứng ở vai trò nào
Pháp luật về dữ liệu cá nhân phân biệt bên quyết định mục đích và phương tiện xử lý dữ liệu với bên chỉ xử lý theo yêu cầu của người khác. Trong phần lớn công việc, văn phòng luật tự quyết định thu thông tin gì, dùng thế nào để thực hiện dịch vụ pháp lý, nên thường đứng ở vai trò bên quyết định, ít nhất với dữ liệu trong hồ sơ do văn phòng lập. Khi văn phòng dùng một công cụ AI bên ngoài, nhà cung cấp công cụ thường đứng ở vai trò bên xử lý cho văn phòng.
Ý nghĩa thực tế của việc này: văn phòng chịu trách nhiệm về việc chọn bên xử lý có biện pháp bảo vệ phù hợp, và về việc dữ liệu được dùng đúng mục đích. Chọn công cụ AI không có cam kết dữ liệu rõ ràng không chỉ là rủi ro bảo mật nghề nghiệp, mà còn có thể là thiếu sót theo khung bảo vệ dữ liệu cá nhân.
Cách phân vai cụ thể cho từng tình huống, ví dụ khi văn phòng làm theo chỉ đạo chi tiết của khách hàng doanh nghiệp về một bộ dữ liệu nhân sự, có thể khác. Với các trường hợp không rõ, nên ghi lại cách văn phòng hiểu và lý do, rồi đối chiếu văn bản hướng dẫn hiện hành.
Dữ liệu của ai đang nằm trong hồ sơ
Một hồ sơ tranh chấp thông thường chứa dữ liệu cá nhân của nhiều nhóm người. Mỗi nhóm có quan hệ khác nhau với văn phòng, nên mức thận trọng cũng khác.
| Nhóm người | Dữ liệu thường gặp | Điểm cần lưu ý khi dùng AI |
|---|---|---|
| Khách hàng | Danh tính, liên hệ, tài chính, gia đình, đôi khi sức khoẻ | Có quan hệ hợp đồng, có thể hỏi ý; vẫn ẩn danh trước khi đưa vào công cụ |
| Bên đối phương | Danh tính, tài sản, giao dịch, lời khai | Không có quan hệ với văn phòng, không hỏi ý được; chỉ đưa phần thật sự cần, ẩn danh kỹ |
| Nhân chứng, người liên quan | Danh tính, lời khai, quan hệ với các bên | Thường là người dễ bị tổn thương nhất nếu lộ; ưu tiên che hoàn toàn |
| Người lao động trong hồ sơ doanh nghiệp | Lương, kỷ luật, đánh giá, sức khoẻ | Thường có dữ liệu nhạy cảm; xem quy định nội bộ của khách về dữ liệu nhân sự |
| Trẻ em | Danh tính, học tập, sức khoẻ trong vụ ly hôn, cấp dưỡng | Mặc định không đưa vào công cụ AI bên ngoài |
Nhóm bên đối phương và nhân chứng là chỗ người làm luật hay quên. Thói quen nghề nghiệp là bảo vệ khách hàng; nhưng dữ liệu của người không phải khách cũng được pháp luật bảo vệ, và văn phòng là bên đang giữ nó.
Dữ liệu nhạy cảm thường xuất hiện trong hồ sơ luật
Sức khoẻ. Giấy khám bệnh trong tranh chấp lao động, hồ sơ bệnh án trong yêu cầu bồi thường, giám định thương tật. Đây là loại dữ liệu nhạy cảm điển hình.
Tội phạm và vi phạm. Thông tin về việc bị điều tra, truy tố, xét xử, tiền án tiền sự. Hồ sơ bào chữa hình sự gần như toàn bộ thuộc nhóm này, kèm theo những giới hạn riêng của tố tụng hình sự.
Đời sống riêng tư và gia đình. Chuyện hôn nhân, quan hệ ngoài hôn nhân, con chung, nợ nần trong vụ ly hôn. Bộ luật Dân sự 2015 bảo vệ quyền về đời sống riêng tư, bí mật cá nhân và bí mật gia đình, độc lập với luật về dữ liệu.
Tài chính. Sao kê tài khoản, khoản vay, tài sản bảo đảm trong tranh chấp tín dụng hay chia tài sản.
Sinh trắc học và vị trí. Ảnh chụp, đoạn ghi âm, ghi hình làm chứng cứ, dữ liệu định vị trong tranh chấp. Đoạn ghi âm chứa giọng nói là thứ không nên đưa vào công cụ AI để chép lời nếu chưa đánh giá kỹ.
Chuyển dữ liệu ra nước ngoài qua công cụ AI
Phần lớn công cụ AI phổ biến xử lý dữ liệu trên máy chủ đặt ngoài Việt Nam. Khi đưa dữ liệu cá nhân chưa ẩn danh vào những công cụ đó, về bản chất văn phòng đang chuyển dữ liệu cá nhân ra nước ngoài. Khung pháp lý về dữ liệu cá nhân của Việt Nam có yêu cầu riêng cho việc chuyển dữ liệu xuyên biên giới, như lập hồ sơ đánh giá và các nghĩa vụ thông báo; phạm vi áp dụng, ngoại lệ và thủ tục cụ thể nằm trong luật và văn bản hướng dẫn mà bạn cần đọc bản hiện hành.
Với văn phòng luật nhỏ, cách thực tế nhất để giảm gánh nặng này là không đưa dữ liệu cá nhân nhận diện được vào công cụ bên ngoài. Dữ liệu đã ẩn danh đúng cách, tức không còn xác định được người cụ thể, nằm ở vị trí khác hẳn dữ liệu cá nhân. Đây là thêm một lý do để quy trình ẩn danh không bị làm qua loa.
Nếu văn phòng có nhu cầu thật sự phải xử lý dữ liệu cá nhân bằng công cụ AI, ví dụ rà hàng nghìn hồ sơ nhân sự trong một thương vụ, hãy coi đó là một dự án riêng: đánh giá công cụ, xem nghĩa vụ hồ sơ theo quy định, thoả thuận với khách hàng, và ghi chép đầy đủ, thay vì để từng người tự làm.
Quy trình gọn cho văn phòng nhỏ
Không phải văn phòng nào cũng có bộ phận tuân thủ. Quy trình sáu bước dưới đây giúp văn phòng nhỏ xử lý dữ liệu cá nhân trong hồ sơ có trật tự khi bắt đầu dùng AI.
- Lập danh sách các loại hồ sơ văn phòng thường làm và loại dữ liệu cá nhân trong mỗi loại, đánh dấu loại có dữ liệu nhạy cảm.
- Quy định cho từng loại hồ sơ: được dùng AI ở mức nào, sau khi ẩn danh ra sao, qua công cụ nào. Hồ sơ có dữ liệu nhạy cảm mặc định không dùng công cụ bên ngoài.
- Rà phiếu tiếp nhận khách hàng và hợp đồng dịch vụ: đã có nội dung về mục đích xử lý dữ liệu, việc dùng công cụ công nghệ và quyền của khách chưa.
- Định thời hạn lưu hồ sơ sau khi vụ việc kết thúc, phù hợp quy định về lưu trữ hồ sơ hành nghề và nhu cầu thực tế, và cách huỷ khi hết hạn.
- Định một người phụ trách nhận và xử lý yêu cầu liên quan đến dữ liệu cá nhân, kể cả từ người không phải khách hàng.
- Có kế hoạch xử lý khi lộ dữ liệu: ai báo ai, trong bao lâu, theo quy định nào. Đối chiếu yêu cầu thông báo trong văn bản hiện hành.
Sáu bước này không biến văn phòng thành chuyên gia dữ liệu, nhưng đủ để trả lời khi khách hàng doanh nghiệp, cơ quan quản lý hoặc chính Đoàn luật sư hỏi văn phòng xử lý dữ liệu thế nào.
Khi khách hàng doanh nghiệp giao cả bộ dữ liệu
Chuyên viên pháp chế và luật sư tư vấn doanh nghiệp hay nhận những bộ dữ liệu lớn: danh sách người lao động cần chấm dứt hợp đồng trong đợt tái cấu trúc, danh sách khách hàng trong thương vụ mua bán doanh nghiệp, bảng công nợ trong vụ đòi nợ hàng loạt. Đây là lúc dùng AI hấp dẫn nhất, vì việc đọc hàng trăm dòng rất tốn công, và cũng là lúc rủi ro dữ liệu lớn nhất.
Trước khi xử lý, nên hỏi khách hàng ba điều. Thứ nhất, dữ liệu này khách thu thập với mục đích gì, và việc giao cho văn phòng xử lý có nằm trong mục đích đó không. Thứ hai, quy định nội bộ của khách có cho phép dữ liệu đi qua công cụ AI bên ngoài không. Thứ ba, khách muốn văn phòng xử lý ở mức nào: chỉ đọc mẫu, hay rà toàn bộ.
Trong nhiều trường hợp, cách hợp lý là yêu cầu khách cung cấp bộ dữ liệu đã bỏ cột nhận diện, hoặc chỉ dùng AI để dựng cách phân loại trên một mẫu nhỏ đã ẩn danh, rồi áp cách phân loại đó cho toàn bộ dữ liệu bằng bảng tính trong máy của văn phòng. Cách này giữ được phần lớn lợi ích về thời gian mà không đưa cả bộ dữ liệu ra ngoài.
Những việc không nên làm
Một số thói quen phổ biến trong văn phòng luật trở nên rủi ro hơn nhiều khi có AI:
- Chụp ảnh giấy tờ của khách bằng điện thoại cá nhân rồi đưa vào ứng dụng AI để đọc chữ.
- Chuyển đoạn ghi âm buổi làm việc vào dịch vụ chép lời trực tuyến chưa được duyệt.
- Dán danh sách nhân viên, bảng lương của khách hàng doanh nghiệp vào chatbot để nhờ tính toán trong tranh chấp lao động.
- Giữ lịch sử trò chuyện AI chứa thông tin vụ việc vô thời hạn sau khi vụ việc đã đóng.
- Dùng dữ liệu từ hồ sơ của khách này làm ví dụ trong câu lệnh khi làm việc cho khách khác, kể cả đã đổi tên.
Mỗi thói quen trên đều có cách làm thay thế không mất nhiều công hơn: gõ lại phần cần dùng, dùng công cụ chạy trên máy, đổi số liệu sang ví dụ giả định, đặt lịch xoá. Phần khó là thay thói quen, nên văn phòng cần nhắc đi nhắc lại trong vài tháng đầu.
Câu hỏi thường gặp
Văn phòng luật nhỏ có phải tuân thủ đầy đủ quy định bảo vệ dữ liệu cá nhân như doanh nghiệp lớn không?
Khung pháp lý có thể có quy định riêng hoặc ngoại lệ cho doanh nghiệp nhỏ, siêu nhỏ, nhưng thường không áp dụng khi xử lý dữ liệu nhạy cảm hoặc khi hoạt động chính là xử lý dữ liệu. Hồ sơ luật thường chứa dữ liệu nhạy cảm, nên đừng mặc định được miễn. Kiểm văn bản hiện hành cho trường hợp của văn phòng.
Nghĩa vụ bảo mật nghề nghiệp và nghĩa vụ bảo vệ dữ liệu cá nhân khác nhau thế nào?
Nghĩa vụ bảo mật nghề nghiệp bảo vệ thông tin về vụ việc và khách hàng, theo Luật Luật sư và quy tắc đạo đức. Bảo vệ dữ liệu cá nhân bảo vệ mọi người có dữ liệu trong hồ sơ, kể cả người không phải khách. Hai nghĩa vụ chồng lên nhau nhiều, nhưng không trùng hoàn toàn.
Bên đối phương có quyền yêu cầu văn phòng cho biết đang giữ dữ liệu gì của họ không?
Khung pháp lý về dữ liệu cá nhân trao cho chủ thể dữ liệu một số quyền, nhưng cũng có giới hạn khi việc thực hiện quyền ảnh hưởng đến quyền lợi hợp pháp của người khác hoặc quá trình giải quyết vụ việc. Đây là câu hỏi cần xem xét theo từng trường hợp và văn bản hiện hành; đừng trả lời vội.
Đã ẩn danh dữ liệu thì có còn là dữ liệu cá nhân không?
Dữ liệu đã được xử lý đến mức không còn xác định được người cụ thể, kể cả khi kết hợp thông tin khác, thường không còn được coi là dữ liệu cá nhân. Nhưng việc thay tên bằng ký hiệu trong khi vẫn giữ bảng mã có thể chưa đạt mức đó. Cách nhìn an toàn là coi đó là dữ liệu đã giảm rủi ro, không phải hết rủi ro.
Hồ sơ vụ việc nên giữ bao lâu sau khi kết thúc?
Thời hạn phụ thuộc quy định về lưu trữ hồ sơ của tổ chức hành nghề luật sư, thời hiệu có thể phát sinh khiếu nại, và nhu cầu thực tế của khách. Không có con số chung cho mọi loại hồ sơ; văn phòng nên định thời hạn theo từng loại và áp dụng nhất quán, kể cả với bản sao trong công cụ AI.