Một thoả thuận bảo mật (NDA) dùng được phải trả lời rõ năm câu: thông tin nào là thông tin mật, những gì không bị coi là thông tin mật, bên nhận được làm gì và không được làm gì với thông tin đó, nghĩa vụ kéo dài bao lâu, và khi quan hệ kết thúc thì thông tin được hoàn trả hay tiêu huỷ thế nào. Từ khi công cụ AI phổ biến, nhiều NDA cần thêm câu thứ sáu: bên nhận có được đưa thông tin mật vào công cụ AI của bên thứ ba không.
Bài này dành cho chuyên viên pháp chế và luật sư soạn hoặc rà NDA trước các cuộc trao đổi kinh doanh: đàm phán hợp tác, chào thầu, thẩm định trước khi mua bán doanh nghiệp, thuê đối tác phát triển phần mềm. Nguyên lý pháp lý về bí mật kinh doanh và bảo vệ dữ liệu được nhắc ở mức chung; đối chiếu văn bản hiện hành khi áp dụng.
Khi nào cần NDA riêng thay vì điều khoản bảo mật trong hợp đồng chính
NDA riêng thường cần khi thông tin bắt đầu được trao đổi trước khi có hợp đồng chính: hai bên đang tìm hiểu nhau, đang đàm phán, hoặc một bên đang thẩm định bên kia. Ở giai đoạn này chưa có văn bản nào ràng buộc nghĩa vụ giữ bí mật, và thông tin trao đổi thường nhạy cảm nhất — kế hoạch kinh doanh, số liệu tài chính, danh sách khách hàng, thiết kế sản phẩm.
Khi hợp đồng chính được ký, điều khoản bảo mật trong hợp đồng chính sẽ điều chỉnh thông tin trao đổi trong quá trình thực hiện. Người soạn cần quyết định quan hệ giữa hai văn bản: hợp đồng chính thay thế NDA, hay NDA tiếp tục áp dụng cho thông tin trao đổi trước đó. Nếu không nói rõ, có thể xuất hiện khoảng trống hoặc chồng chéo, nhất là khi hai văn bản có thời hạn bảo mật khác nhau.
Một tình huống thường gặp: NDA được ký vội từ mẫu của bên kia trước buổi họp đầu tiên, không ai đọc kỹ vì "chỉ là NDA". Sau đó mẫu này điều chỉnh cả quá trình thẩm định kéo dài nhiều tháng. Dù NDA thường ngắn, nó đáng được rà như một hợp đồng thật, với chú ý đặc biệt tới vai của khách hàng: bên tiết lộ hay bên nhận, hay cả hai.
Định nghĩa thông tin mật: rộng hay hẹp tuỳ vai
Bên tiết lộ muốn định nghĩa rộng. Mọi thông tin được cung cấp dưới bất kỳ hình thức nào, kể cả thông tin trao đổi bằng lời trong cuộc họp và thông tin bên nhận tự quan sát được khi tham quan cơ sở. Định nghĩa rộng bảo vệ tốt nhưng có thể khó thi hành nếu quá mơ hồ.
Bên nhận muốn định nghĩa hẹp và đánh dấu được. Chỉ thông tin được đánh dấu "mật" khi cung cấp bằng văn bản, và thông tin trao đổi bằng lời chỉ được tính khi được xác nhận bằng văn bản trong một thời hạn ngắn sau đó. Cách này giúp bên nhận biết chính xác mình đang giữ gì.
NDA hai chiều cần định nghĩa cân bằng. Khi cả hai bên cùng tiết lộ, một định nghĩa quá rộng ràng buộc cả hai như nhau. Đây thường là lý do NDA hai chiều dễ thoả thuận hơn: mỗi bên đều vừa là bên tiết lộ vừa là bên nhận.
Liên hệ với khái niệm bí mật kinh doanh theo luật. Luật Sở hữu trí tuệ bảo vệ bí mật kinh doanh khi đáp ứng điều kiện luật định, trong đó có yêu cầu chủ sở hữu áp dụng biện pháp bảo mật cần thiết. Một NDA chặt là một phần của các biện pháp đó. Điều kiện cụ thể kiểm theo văn bản hiện hành.
Ngoại lệ: những gì không bị coi là thông tin mật
Gần như mọi NDA đều có danh sách ngoại lệ. Bên nhận cần chúng để không bị ràng buộc với những thông tin vốn không bí mật; bên tiết lộ cần viết chúng chặt để không thành kẽ hở. Các ngoại lệ thường gặp:
- Thông tin đã công khai không do lỗi của bên nhận.
- Thông tin bên nhận đã có hợp pháp trước khi được tiết lộ, và chứng minh được bằng tài liệu.
- Thông tin bên nhận nhận được hợp pháp từ bên thứ ba không có nghĩa vụ bảo mật.
- Thông tin bên nhận tự phát triển độc lập mà không dùng thông tin mật.
- Thông tin phải tiết lộ theo yêu cầu của cơ quan nhà nước có thẩm quyền, kèm nghĩa vụ thông báo trước cho bên tiết lộ nếu luật cho phép và chỉ tiết lộ phần bắt buộc.
Với bên tiết lộ, chú ý nghĩa vụ chứng minh: bên nhận viện dẫn ngoại lệ phải là bên chứng minh. Với ngoại lệ "tự phát triển độc lập", đặc biệt trong lĩnh vực công nghệ, bên tiết lộ có thể muốn yêu cầu bằng chứng bằng văn bản về quá trình phát triển. Một ngoại lệ viết lỏng ở đây có thể làm vô nghĩa cả thoả thuận.
Nghĩa vụ của bên nhận, thời hạn và hoàn trả
Phần thân của NDA là danh sách việc bên nhận phải làm và không được làm. Bảng dưới tóm tắt các nhóm nghĩa vụ và điểm cần cân nhắc khi rà.
| Nhóm | Nội dung thường có | Điểm cần cân nhắc |
|---|---|---|
| Mục đích sử dụng | Chỉ dùng thông tin cho mục đích đã nêu, ví dụ đánh giá khả năng hợp tác | Mục đích viết càng cụ thể, càng dễ chứng minh vi phạm |
| Người được tiếp cận | Nhân viên, cố vấn cần biết để thực hiện mục đích, có nghĩa vụ bảo mật tương đương | Bên nhận chịu trách nhiệm cho vi phạm của những người này |
| Mức độ bảo vệ | Không thấp hơn mức bên nhận bảo vệ thông tin của chính mình, và không thấp hơn mức hợp lý | Tránh chỉ ghi "mức hợp lý" mà không có chuẩn so sánh |
| Thời hạn bảo mật | Một số năm kể từ ngày tiết lộ hoặc từ khi thoả thuận chấm dứt | Bí mật kinh doanh lõi có thể cần thời hạn dài hơn hoặc tới khi thông tin không còn là bí mật |
| Hoàn trả và tiêu huỷ | Khi kết thúc hoặc khi được yêu cầu, hoàn trả hoặc tiêu huỷ, có xác nhận bằng văn bản | Bản sao lưu tự động khó xoá hết; thường cho phép giữ theo nghĩa vụ lưu trữ luật định nhưng vẫn bảo mật |
Phần hoàn trả và tiêu huỷ ngày càng khó viết vì thông tin không còn chỉ nằm trên giấy hay một máy tính. Nó có thể nằm trong hộp thư, trong dịch vụ lưu trữ đám mây, và trong lịch sử trò chuyện với công cụ AI. Đây là lý do NDA hiện đại cần điều khoản riêng về AI.
NDA trong thẩm định trước khi mua bán, đầu tư: điều khoản bổ sung
Không lôi kéo nhân viên và khách hàng. Khi bên mua tiềm năng được tiếp cận danh sách nhân sự chủ chốt và khách hàng lớn, bên bán thường muốn thêm cam kết không mời làm việc nhân viên và không tiếp cận khách hàng của mình trong một thời gian. Điều khoản này cần phạm vi và thời hạn hợp lý, và cần kiểm giới hạn của luật lao động và luật cạnh tranh hiện hành.
Quy tắc phòng dữ liệu. Thẩm định thường diễn ra qua một kho tài liệu trực tuyến. NDA nên dẫn chiếu quy tắc sử dụng kho đó: ai được cấp quyền, có được tải về không, có được in không, nhật ký truy cập được lưu thế nào. Quy tắc phòng dữ liệu cũng nên nói rõ có được đưa tài liệu trong kho vào công cụ AI để tóm tắt hay không.
Dữ liệu cá nhân trong tài liệu thẩm định. Hợp đồng lao động, bảng lương, hồ sơ khách hàng chứa dữ liệu cá nhân của người không tham gia giao dịch. Việc chia sẻ chúng trong thẩm định phải tuân thủ quy định về bảo vệ dữ liệu cá nhân hiện hành, bao gồm Luật Bảo vệ dữ liệu cá nhân 2025; cách an toàn thường là ẩn danh hoặc tổng hợp trước khi đưa vào kho.
Không cam kết giao dịch. NDA ở giai đoạn này nên nói rõ việc ký không tạo nghĩa vụ phải tiến tới giao dịch, và không bên nào được dựa vào thông tin đã cung cấp như một cam kết về tính chính xác, trừ khi hợp đồng chính quy định. Câu này bảo vệ bên tiết lộ khỏi những khiếu nại về thông tin trong giai đoạn đàm phán.
Điều khoản mới: đưa thông tin mật vào công cụ AI
Một nhân viên bên nhận dán bản kế hoạch kinh doanh của bên tiết lộ vào một chatbot miễn phí để nhờ tóm tắt. Theo câu chữ của nhiều NDA cũ, đây có thể là tiết lộ thông tin cho bên thứ ba — nhà cung cấp công cụ AI — nhưng không phải NDA nào cũng nói rõ, và nhân viên làm việc đó thường không nghĩ mình đang vi phạm. Thông tin có thể được lưu trên máy chủ của nhà cung cấp theo điều khoản sử dụng của tài khoản đó, và bên nhận không có cách nào thu hồi.
Điều khoản về AI có thể viết theo vài hướng, tuỳ vai và mức nhạy cảm. Hướng chặt: cấm đưa thông tin mật vào bất kỳ công cụ AI nào do bên thứ ba vận hành. Hướng trung gian: chỉ cho phép công cụ có thoả thuận dữ liệu cam kết không dùng dữ liệu để huấn luyện mô hình và có biện pháp bảo mật tương đương, và bên nhận chịu trách nhiệm như với cố vấn được tiếp cận thông tin. Hướng nào cũng nên đi kèm nghĩa vụ xoá lịch sử trò chuyện liên quan khi hoàn trả và tiêu huỷ thông tin.
Với văn phòng luật, điều khoản này còn có chiều ngược lại: khi chính bạn rà NDA hay hồ sơ của khách bằng AI, bạn cũng đang xử lý thông tin mật của khách và của đối tác của khách. Quy định nội bộ của văn phòng về dùng AI phải nhất quán với những gì bạn đề xuất trong NDA cho khách; nếu không, văn phòng có thể đang vi phạm đúng chuẩn mà mình khuyên khách áp dụng.
Soạn và rà NDA với AI theo vai của khách
NDA ngắn và có cấu trúc khá ổn định, nên là loại văn bản AI hỗ trợ được nhiều. Trình tự gợi ý, trên công cụ đã được duyệt và bản đã che thông tin:
- Xác định vai của khách: bên tiết lộ, bên nhận, hay hai chiều. Xác định mục đích trao đổi và loại thông tin sẽ trao đổi.
- Nếu soạn: lấy mẫu NDA của văn phòng hoặc kho điều khoản, yêu cầu AI điều chỉnh theo vai và mục đích, không viết thêm điều khoản mới ngoài kho.
- Nếu rà NDA của đối tác: yêu cầu AI lập bảng theo sáu câu hỏi — định nghĩa, ngoại lệ, nghĩa vụ, thời hạn, hoàn trả, công cụ AI — trích nguyên văn và ghi KHÔNG CÓ cho phần thiếu.
- Yêu cầu AI đánh dấu những câu nghiêng về bên kia so với vai của khách, kèm lý do dựa trên câu chữ.
- Người rà tự kiểm phần chế tài khi vi phạm: có phạt vi phạm không, có quy định về bồi thường, có biện pháp yêu cầu ngừng sử dụng thông tin không, luật áp dụng và nơi giải quyết tranh chấp.
- Viết ghi chú đề xuất sửa và trao đổi với khách trước khi gửi đối tác.
Đừng bỏ qua bước năm vì nghĩ NDA chỉ cần có là đủ. Khi vi phạm xảy ra, thiệt hại do lộ bí mật kinh doanh thường rất khó chứng minh từng đồng, và một điều khoản phạt vi phạm rõ ràng, trong giới hạn luật cho phép, có thể là công cụ thực tế duy nhất để bên tiết lộ đòi được gì đó.
Câu hỏi thường gặp
NDA có cần công chứng để có hiệu lực không?
Thông thường không. NDA là thoả thuận dân sự hoặc thương mại giữa các bên, có hiệu lực khi đáp ứng điều kiện chung về giao dịch theo Bộ luật Dân sự 2015. Ký bởi người có thẩm quyền và lập thành văn bản hoặc thông điệp dữ liệu hợp lệ là cách làm phổ biến.
Thời hạn bảo mật bao lâu là hợp lý?
Không có con số chuẩn. Thông tin về một cuộc đàm phán có thể chỉ cần bảo mật vài năm; bí mật công nghệ hay công thức sản xuất có thể cần bảo mật tới khi thông tin không còn là bí mật. NDA có thể đặt thời hạn khác nhau cho từng loại thông tin.
NDA một chiều hay hai chiều tốt hơn?
Tuỳ dòng thông tin thực tế. Nếu chỉ một bên tiết lộ, NDA một chiều rõ ràng hơn. Nếu cả hai bên đều chia sẻ thông tin nhạy cảm, NDA hai chiều cân bằng và thường dễ được chấp nhận hơn vì ràng buộc cả hai như nhau.
Nhân viên bên nhận dán thông tin mật vào chatbot có vi phạm NDA không?
Tuỳ câu chữ của NDA. Nhiều NDA cấm tiết lộ cho bên thứ ba, và đưa thông tin vào công cụ do bên thứ ba vận hành có thể bị coi là tiết lộ. Để tránh tranh cãi, NDA mới nên có điều khoản riêng về công cụ AI, và bên nhận nên phổ biến cho nhân viên.
Ký NDA rồi có cần điều khoản bảo mật trong hợp đồng chính nữa không?
Nên có, và nên nói rõ quan hệ giữa hai văn bản: hợp đồng chính thay thế NDA hay NDA tiếp tục áp dụng cho thông tin đã trao đổi trước. Thiếu câu này có thể tạo khoảng trống hoặc chồng chéo về thời hạn và phạm vi bảo mật.
Có nên đưa nguyên NDA của khách vào AI để rà không?
Chỉ khi văn phòng dùng công cụ có thoả thuận dữ liệu phù hợp và quy định nội bộ cho phép. Nên che tên các bên và thông tin nhận diện trước khi đưa vào, vì bản thân việc hai bên đang đàm phán có thể đã là thông tin mật.