Mỗi mùa đại hội, file danh sách cổ đông đi qua rất nhiều tay: VSDC, phòng pháp chế, Thư ký HĐQT, đơn vị in thư mời, đơn vị tổ chức sự kiện, nhà cung cấp phần mềm biểu quyết. File này thường được gửi qua email, không mã hóa.

Từ 01/01/2026, cách làm đó có rủi ro pháp lý rất cao. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP đã có hiệu lực. Nghị định xử phạt 330/2026/NĐ-CP có hiệu lực từ 19/08/2026. Mùa ĐHĐCĐ 2027 sẽ là mùa đại hội đầu tiên diễn ra khi đã có đủ cả luật, nghị định hướng dẫn và nghị định xử phạt.

Tải Checklist tuân thủ dữ liệu cổ đông (PDF)

Danh sách cổ đông là dữ liệu cá nhân

Với cổ đông cá nhân, danh sách cổ đông chứa nhiều loại dữ liệu cá nhân:

Trong mùa đại hội, doanh nghiệp thường là bên kiểm soát dữ liệu (quyết định mục đích và cách xử lý). Đơn vị in ấn, tổ chức sự kiện, nhà cung cấp phần mềm là bên xử lý dữ liệu thay mặt doanh nghiệp. Vai trò này quyết định ai chịu trách nhiệm chính khi có sự cố.

Những điểm chính của Luật 91/2025 và Nghị định 356/2025 liên quan đến đại hội

• Mục đích rõ ràng: dữ liệu cổ đông chỉ dùng cho mục đích đã xác định, ví dụ tổ chức đại hội theo Luật Doanh nghiệp. Dùng danh sách để gửi nội dung quảng cáo là mục đích khác, cần cơ sở pháp lý riêng.
• Sự đồng ý phải kiểm chứng được: khi cần xin đồng ý (ví dụ thu thập thêm số điện thoại, ảnh eKYC), không được thiết lập sẵn ô đồng ý. Coi im lặng là đồng ý có thể bị phạt 50–70 triệu đồng theo Nghị định 330/2026.
• Hồ sơ đánh giá tác động xử lý dữ liệu (DPIA): chuyển sang cơ chế tiền kiểm, nộp cho Bộ Công an và cập nhật định kỳ.
• Chuyển dữ liệu xuyên biên giới: dùng máy chủ hoặc điện toán đám mây đặt ở nước ngoài để lưu trữ, xử lý dữ liệu vẫn được xem là chuyển dữ liệu ra nước ngoài. Khi đó phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (CTIA).
• Thỏa thuận bằng văn bản khi chuyển giao dữ liệu: nêu rõ mục đích, loại dữ liệu, thời hạn xử lý, việc xóa dữ liệu và trách nhiệm các bên. Dữ liệu nhạy cảm phải được mã hóa hoặc bảo vệ khi chuyển giao.
• Quyền của cổ đông với dữ liệu của mình: được biết, xem, chỉnh sửa, yêu cầu xóa, hạn chế xử lý. Nghị định 356 quy định thời hạn phản hồi cụ thể cho từng loại yêu cầu.
• Nhân sự bảo vệ dữ liệu: doanh nghiệp chỉ định bộ phận hoặc nhân sự đủ tiêu chuẩn, hoặc thuê tổ chức bên ngoài.

Mức phạt đáng chú ý

Cá nhân vi phạm chịu mức phạt tối đa bằng một nửa mức của tổ chức (khoản 6 Điều 8). Với công ty niêm yết, thiệt hại uy tín khi lộ dữ liệu cổ đông thường còn lớn hơn khoản phạt.

5 điểm rủi ro trong một mùa đại hội

1. Gửi danh sách qua email không mã hóa cho đơn vị in ấn, đơn vị tổ chức hoặc nhà cung cấp phần mềm.
2. Lưu dữ liệu trên nền tảng đặt máy chủ ở nước ngoài mà chưa có hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới.
3. Thiếu thỏa thuận xử lý dữ liệu với bên thứ ba, hoặc thỏa thuận không nêu thời hạn xóa.
4. Thu thập thêm dữ liệu (ảnh CCCD khi ủy quyền, ảnh khuôn mặt khi eKYC) mà không thông báo mục đích, không xin đồng ý kiểm chứng được.
5. Không xóa dữ liệu sau đại hội: file danh sách còn nằm trong email, máy tính cá nhân, hệ thống của nhà cung cấp nhiều năm sau.

Checklist tuân thủ cho mùa ĐHĐCĐ 2027

Trước khi nhận danh sách cổ đông

• ☐ Xác định mục đích xử lý và cơ sở pháp lý cho từng loại dữ liệu
• ☐ Lập sơ đồ luồng dữ liệu: ai nhận, lưu ở đâu, khi nào xóa
• ☐ Ký thỏa thuận xử lý dữ liệu với mọi bên thứ ba
• ☐ Hỏi nhà cung cấp nền tảng: dữ liệu lưu ở quốc gia nào; nếu ở nước ngoài, hồ sơ chuyển dữ liệu xuyên biên giới đã có chưa
• ☐ Kiểm tra hồ sơ đánh giá tác động của doanh nghiệp đã bao gồm hoạt động tổ chức đại hội chưa

Trong quá trình chuẩn bị và tổ chức

• ☐ Chuyển danh sách qua kênh mã hóa, không đính kèm email thường
• ☐ Phân quyền truy cập theo vai trò, ghi nhật ký mọi lượt xem, tải xuống
• ☐ Thông báo mục đích và xin đồng ý kiểm chứng được khi thu thập thêm dữ liệu (eKYC, ảnh giấy tờ)
• ☐ Không dùng dữ liệu cổ đông cho mục đích khác

Sau đại hội

• ☐ Lưu hồ sơ bắt buộc theo Luật Doanh nghiệp (biên bản, phiếu, ủy quyền)
• ☐ Yêu cầu bên thứ ba xóa dữ liệu và xác nhận bằng văn bản
• ☐ Xóa bản sao trong email, máy tính cá nhân, thư mục chia sẻ
• ☐ Ghi nhận sự cố (nếu có) và quy trình thông báo vi phạm

Tiêu chí chọn nền tảng đại hội theo góc nhìn bảo vệ dữ liệu

Câu hỏi thường gặp

Tổ chức đại hội có cần xin đồng ý của từng cổ đông không? Không hẳn. Doanh nghiệp xử lý danh sách cổ đông để thực hiện nghĩa vụ theo Luật Doanh nghiệp. Tuy nhiên, khi thu thập thêm dữ liệu ngoài phạm vi đó (ảnh eKYC, số điện thoại để nhận tin quảng bá), cần xác định cơ sở pháp lý riêng. Doanh nghiệp nên nhờ pháp chế xác định cơ sở pháp lý cho từng trường hợp.

Dùng phần mềm có máy chủ ở nước ngoài có vi phạm không? Không tự động vi phạm, nhưng được xem là chuyển dữ liệu ra nước ngoài. Doanh nghiệp phải thực hiện đủ thủ tục đánh giá tác động chuyển dữ liệu xuyên biên giới. Mức phạt tối đa cho vi phạm quy định này là 5% doanh thu năm trước.

Doanh nghiệp nhỏ có được miễn trừ không? Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được miễn một số nghĩa vụ trong 5 năm từ 01/01/2026. Miễn trừ không áp dụng nếu doanh nghiệp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên. Phần lớn công ty niêm yết lớn khó thuộc diện này.

Cổ đông yêu cầu xóa dữ liệu thì xử lý thế nào? Doanh nghiệp phản hồi và thực hiện trong thời hạn Nghị định 356 quy định, trừ phần dữ liệu phải lưu theo luật khác (ví dụ sổ đăng ký cổ đông, biên bản đại hội).

Bài viết mang tính tham khảo, không phải tư vấn pháp lý. Doanh nghiệp nên đối chiếu văn bản gốc và tham khảo ý kiến luật sư.