Tổng đài & ghi âm cuộc gọi dưới Luật Bảo vệ dữ liệu cá nhân: Doanh nghiệp cần làm gì?

Mỗi ngày, tổng đài của doanh nghiệp xử lý hàng trăm số điện thoại, hàng giờ ghi âm và rất nhiều ghi chú về khách hàng. Tất cả đều là dữ liệu cá nhân. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân năm 2025 có hiệu lực, nâng nhiều quy định của Nghị định 13/2023/NĐ-CP lên thành luật và tăng mạnh chế tài. Bài viết này tóm tắt những việc doanh nghiệp cần làm khi vận hành tổng đài, từ góc nhìn thực tế của người làm viễn thông.

1. Trong tổng đài, đâu là dữ liệu cá nhân?#

• Thông tin liên hệ: số điện thoại, họ tên, email, địa chỉ của khách hàng trong danh bạ và CRM.

• Lịch sử cuộc gọi (CDR): ai gọi cho ai, vào lúc nào, trong bao lâu.

• File ghi âm: giọng nói và toàn bộ nội dung trao đổi. Với phòng khám, ngân hàng, bảo hiểm, ghi âm có thể chứa dữ liệu nhạy cảm như tình trạng sức khoẻ hay thông tin tài chính.

• Dữ liệu nhân viên: tài khoản máy nhánh, lịch sử đăng nhập, ghi âm cuộc gọi của chính nhân viên.

2. 7 việc doanh nghiệp nên làm khi vận hành tổng đài#

• Thông báo ghi âm ngay đầu cuộc gọi: Dùng lời chào IVR như "Cuộc gọi có thể được ghi âm để bảo đảm chất lượng dịch vụ" và nêu rõ mục đích. Với cuộc gọi ra, nhân viên nên thông báo ở câu đầu tiên.

• Có căn cứ hợp pháp cho danh sách khách hàng: Dữ liệu dùng để gọi điện phải được thu thập có sự đồng ý hoặc căn cứ khác mà luật cho phép. Không mua, bán danh sách số điện thoại — đây là hành vi bị cấm.

• Chỉ lưu đủ lâu cho mục đích: Quy định thời hạn lưu ghi âm theo từng nghiệp vụ (ví dụ CSKH 6–12 tháng, telesales ngắn hơn) và xoá định kỳ phần đã hết hạn.

• Phân quyền truy cập: Chỉ người cần thiết mới được nghe ghi âm hoặc xuất danh sách khách hàng; thu hồi quyền ngay khi nhân viên nghỉ việc.

• Bảo mật tài khoản: Mật khẩu mạnh, bật xác thực 2 lớp cho tài khoản quản trị, không dùng chung tài khoản giữa nhiều người.

• Đáp ứng quyền của khách hàng: Có quy trình tiếp nhận khi khách yêu cầu xem, chỉnh sửa hoặc xoá dữ liệu của họ. Việc giám sát cuộc gọi (nghe xen) cần được công bố trong quy định nội bộ với nhân viên.

• Lập và lưu hồ sơ đánh giá tác động xử lý dữ liệu cá nhân: Ghi lại doanh nghiệp xử lý những dữ liệu gì, để làm gì, ai được truy cập, lưu bao lâu và biện pháp bảo vệ — sẵn sàng cung cấp khi cơ quan chức năng yêu cầu.

3. Rủi ro thường gặp ở tổng đài truyền thống#

• Nhân viên gọi bằng SIM cá nhân: dữ liệu khách hàng và lịch sử trao đổi nằm trên điện thoại riêng, đi theo nhân viên khi nghỉ việc.

• Danh sách khách hàng nằm rải rác trong nhiều file Excel, gửi qua lại bằng chat.

• Ghi âm lưu trên ổ cứng của tủ tổng đài, không phân quyền, không mã hoá, không có lịch xoá.

Tổng đài đám mây tập trung dữ liệu về một nơi nên dễ kiểm soát hơn. Tuy vậy, doanh nghiệp vẫn là bên kiểm soát dữ liệu và chịu trách nhiệm chính; nhà cung cấp tổng đài là bên xử lý dữ liệu theo thoả thuận.

4. VitaPBX hỗ trợ tuân thủ như thế nào?#

• Lời chào IVR thông báo ghi âm: Cấu hình riêng cho từng số hotline, hàng đợi và khung giờ.

• Phân quyền theo vai trò: Quản trị viên, giám sát viên và tổng đài viên có quyền khác nhau; chỉ người được cấp quyền mới nghe được ghi âm.

• Mã hoá: Kết nối tới trang quản trị và ứng dụng được mã hoá TLS; thoại trên trình duyệt và ứng dụng được mã hoá SRTP; mật khẩu máy nhánh và mã xác thực 2 lớp được mã hoá AES-256 khi lưu trữ.

• Thời hạn lưu ghi âm theo gói: Ghi âm vượt thời hạn lưu trữ của gói được khoá truy cập; doanh nghiệp chủ động xoá theo chính sách nội bộ.

• Tách biệt dữ liệu giữa các doanh nghiệp: Mỗi khách hàng có không gian dữ liệu riêng trên nền tảng.

5. Checklist nhanh trước khi bật ghi âm#

1. Đã có lời chào thông báo ghi âm và mục đích ghi âm.

2. Đã quy định thời hạn lưu và người chịu trách nhiệm xoá ghi âm hết hạn.

3. Đã rà lại ai đang có quyền nghe ghi âm, xuất dữ liệu.

4. Đã có quy trình xử lý yêu cầu xem/xoá dữ liệu của khách hàng.

5. Đã cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.

Bài viết mang tính tham khảo từ kinh nghiệm vận hành, không thay thế tư vấn pháp lý. Doanh nghiệp xử lý dữ liệu nhạy cảm (y tế, tài chính) nên tham vấn luật sư để xây dựng quy trình phù hợp.