Thu thập dữ liệu cá nhân qua Google Form đúng luật
Thu thông tin cá nhân qua Google Form, Microsoft Forms và đúng Luật Bảo vệ dữ liệu cá nhân 2025: chỉ hỏi điều cần, xin đồng ý, phân quyền và xoá đúng hạn.
Form đăng ký, khảo sát, tuyển dụng đều thu thập dữ liệu cá nhân: họ tên, số điện thoại, email, có khi cả ảnh CCCD. Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực, nên người tạo form ở cơ quan, doanh nghiệp, trường học cần làm đúng ngay từ khâu thiết kế: chỉ hỏi điều cần thiết, nói rõ mục đích, xin đồng ý, giữ kín file kết quả và xoá khi hết dùng.
1. Căn cứ pháp lý hiện hành
| Văn bản | Hiệu lực | Ghi chú |
|---|---|---|
| Luật Bảo vệ dữ liệu cá nhân, số 91/2025/QH15 | Từ 01/01/2026 | Quốc hội thông qua ngày 26/6/2025 |
| Nghị định 356/2025/NĐ-CP hướng dẫn Luật | Từ 01/01/2026 | Thay thế Nghị định 13/2023/NĐ-CP |
| Nghị định 13/2023/NĐ-CP | Hết hiệu lực từ 01/01/2026 | Nhiều tài liệu cũ vẫn trích dẫn — cần cập nhật |
Tinh thần chung: dữ liệu chỉ được xử lý đúng mục đích đã thông báo, sự đồng ý phải rõ ràng và kiểm chứng được, không được mặc định là đồng ý. Theo hướng dẫn mới, thông tin tài khoản ngân hàng, thẻ ngân hàng và hình ảnh giấy tờ tuỳ thân được xếp vào nhóm dữ liệu cần bảo vệ chặt hơn (nhạy cảm).
2. Chỉ hỏi dữ liệu thật sự cần
Với mỗi câu hỏi, tự hỏi: “Nếu bỏ câu này, việc có làm được không?”. Nếu được, hãy bỏ.
| Mục đích | Đủ dùng | Không nên hỏi |
|---|---|---|
| Đăng ký hội thảo | Họ tên, SĐT hoặc email, đơn vị | Ngày sinh, địa chỉ nhà, CCCD |
| Khảo sát hài lòng | Ẩn danh, chỉ thông tin nhóm (khoá học, chi nhánh) | Họ tên bắt buộc |
| Hoàn tiền học phí | Họ tên, mã học viên, số tài khoản | Ảnh thẻ ngân hàng, mã OTP, mật khẩu |
3. Thông báo mục đích và xin đồng ý
Đặt ở phần mô tả form hoặc ngay trên câu đồng ý một đoạn ngắn, dễ hiểu:
Thông tin bạn cung cấp (họ tên, số điện thoại, email) được [Tên đơn vị]
dùng để xác nhận đăng ký và gửi tài liệu hội thảo ngày 15/11/2026.
Dữ liệu chỉ người phụ trách sự kiện truy cập, không chia sẻ cho bên thứ ba
và được xoá trong vòng 30 ngày sau sự kiện.
Liên hệ để xem, sửa, xoá dữ liệu: [email phụ trách]Sau đó thêm câu Checkboxes bắt buộc: “Tôi đồng ý cho [Tên đơn vị] xử lý dữ liệu cá nhân theo mục đích nêu trên”. Không tích sẵn, không gộp chung với điều khoản khác như đồng ý nhận quảng cáo — tách thành câu riêng, không bắt buộc.
4. Phân quyền file kết quả
- Bảng Sheets liên kết và thư mục tệp nộp: chỉ chia sẻ đích danh cho người phụ trách, không để “Anyone with the link”. Xem bài chia sẻ Google Drive an toàn.
- Hạn chế cộng tác viên của form — người chỉnh sửa form xem được toàn bộ câu trả lời.
- Không tải file kết quả về máy cá nhân, USB, hoặc gửi qua nhóm Zalo đông người. Khi cần gửi danh sách, chỉ gửi cột cần thiết.
- Tài khoản sở hữu form phải bật xác minh hai bước.
- Không bật View results summary cho người điền nếu có câu hỏi định danh.
5. Xoá khi hết mục đích
- Ghi lịch nhắc ngày xoá đã hứa trong thông báo (ví dụ 30 ngày sau sự kiện).
- Tắt Accepting responses, xuất số liệu thống kê tổng hợp (không có tên) nếu cần báo cáo.
- Xoá phản hồi trong form (thẻ Responses → ⋮ → Delete all responses), xoá bảng Sheets liên kết và thư mục tệp nộp trên Drive.
- Dọn cả thùng rác Drive và các bản tải về trong thư mục Downloads.
6. Khi có sự cố lộ dữ liệu
Nếu phát hiện file kết quả bị chia sẻ công khai hoặc gửi nhầm: thu hồi quyền chia sẻ ngay, ghi lại thời điểm và phạm vi, báo cấp quản lý/bộ phận pháp chế để xử lý và thông báo theo quy định, đồng thời cảnh báo người bị ảnh hưởng đề phòng cuộc gọi, tin nhắn lừa đảo.