Pháp chế ở công ty công nghệ và startup làm việc sát với nhóm sản phẩm: bảo vệ dữ liệu cá nhân, sở hữu trí tuệ với mã nguồn và nhãn hiệu, điều khoản sử dụng và chính sách cho người dùng, hợp đồng phần mềm với khách hàng doanh nghiệp, và các thủ tục khi gọi vốn. Nhịp làm việc nhanh hơn hẳn các ngành khác, vì sản phẩm thay đổi theo tuần chứ không theo năm.
Bài dành cho người học luật muốn làm pháp chế trong ngành công nghệ. Bài mô tả việc thật ở từng mảng, những văn bản thay đổi gần đây cần theo dõi, cái khó khi pháp chế là người duy nhất hiểu luật trong một nhóm toàn kỹ sư, rồi gợi ý chuẩn bị. Bài nói về con người và nghề; câu chuyện dùng công cụ AI trong công việc pháp chế đã được nhiều trang khác bàn, ở đây chỉ nhắc khi cần.
Nhịp làm việc khác các ngành truyền thống
Ở ngân hàng hay nhà máy, pháp chế thường được hỏi ý kiến khi một việc đã gần chốt. Ở công ty công nghệ, cách làm hiệu quả là pháp chế ngồi cùng nhóm sản phẩm từ lúc lên ý tưởng. Một tính năng mới có thu thập dữ liệu vị trí không, có cho người dùng đăng nội dung không, có thanh toán không, có trẻ em dùng không: mỗi câu trả lời kéo theo một nhóm nghĩa vụ pháp lý. Phát hiện sớm thì sửa thiết kế rẻ; phát hiện khi sản phẩm đã ra mắt thì sửa rất đắt.
Điều đó đòi pháp chế đọc được bản mô tả sản phẩm, hiểu luồng dữ liệu ở mức sơ đồ, và trả lời trong vài ngày chứ không phải vài tuần. Câu trả lời cũng phải ở dạng nhóm kỹ thuật dùng được: một danh sách yêu cầu cụ thể (thêm bước xin đồng ý ở màn hình nào, lưu bao lâu, ai được truy cập) chứ không phải bản ghi nhớ năm trang trích dẫn điều luật.
Startup còn có thêm đặc điểm: nguồn lực ít, ưu tiên thay đổi liên tục, và người sáng lập thường muốn "làm trước, xin phép sau". Pháp chế phải giúp phân biệt rủi ro nào chấp nhận được trong giai đoạn đầu, rủi ro nào có thể làm sập công ty, và nói điều đó thẳng thắn.
Dữ liệu cá nhân: mảng nặng nhất hiện nay
Gần như mọi sản phẩm công nghệ đều xử lý dữ liệu cá nhân. Trước đây khung pháp lý chính là Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân; nay Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ 1/1/2026 nâng khung này lên tầm luật, kèm các văn bản hướng dẫn. Người làm pháp chế công nghệ phải nắm các khái niệm cơ bản: dữ liệu cá nhân cơ bản và nhạy cảm, bên kiểm soát và bên xử lý, sự đồng ý của chủ thể dữ liệu, đánh giá tác động, chuyển dữ liệu ra nước ngoài.
Việc cụ thể gồm soạn và cập nhật chính sách quyền riêng tư, thiết kế màn hình xin đồng ý cùng nhóm sản phẩm, lập hồ sơ đánh giá tác động khi pháp luật yêu cầu, soạn điều khoản xử lý dữ liệu trong hợp đồng với nhà cung cấp dịch vụ đám mây hoặc đối tác, và xây quy trình xử lý khi có sự cố lộ lọt. Nhiều khách hàng doanh nghiệp còn gửi bảng câu hỏi dài về bảo mật và dữ liệu trước khi ký hợp đồng; pháp chế phối hợp với nhóm bảo mật để trả lời đúng sự thật.
Vì văn bản hướng dẫn còn đang được ban hành và hoàn thiện, đây là mảng đòi theo dõi liên tục. Người mới nên tạo thói quen đọc văn bản gốc thay vì chỉ đọc bài tóm tắt.
Sở hữu trí tuệ: mã nguồn, nhãn hiệu và người làm ra sản phẩm
Ai sở hữu mã nguồn. Phần mềm được bảo hộ theo quyền tác giả trong Luật Sở hữu trí tuệ. Với mã do nhân viên viết trong công việc, hoặc do công ty thuê ngoài viết, pháp chế phải bảo đảm hợp đồng lao động, hợp đồng dịch vụ quy định rõ quyền thuộc về ai. Startup thường hụt ở chỗ người sáng lập viết mã trước khi lập công ty mà chưa chuyển quyền cho công ty.
Mã nguồn mở. Sản phẩm thường dùng nhiều thư viện mã nguồn mở với các loại giấy phép khác nhau. Pháp chế cần hiểu ở mức cơ bản giấy phép nào cho dùng thoải mái, giấy phép nào kèm nghĩa vụ công bố mã khi phân phối, để cùng kỹ sư rà trước khi phát hành.
Nhãn hiệu và tên miền. Tên sản phẩm cần được tra cứu và nộp đơn đăng ký nhãn hiệu sớm, cả ở các thị trường định vào. Tên miền, tên ứng dụng trên kho ứng dụng cũng cần quản lý tập trung.
Bí mật kinh doanh. Thuật toán, dữ liệu huấn luyện, danh sách khách hàng thường được bảo vệ như bí mật kinh doanh. Việc của pháp chế là thoả thuận bảo mật, phân quyền truy cập và quy trình khi nhân viên nghỉ việc.
Điều khoản sử dụng, giao dịch điện tử và người tiêu dùng
Sản phẩm dành cho người dùng cá nhân đặt lên pháp chế một nhóm việc riêng:
- Soạn điều khoản sử dụng và chính sách cho người dùng bằng ngôn ngữ dễ hiểu, cập nhật khi tính năng thay đổi, có cách thông báo thay đổi hợp lý.
- Bảo đảm việc giao kết hợp đồng trên ứng dụng phù hợp Luật Giao dịch điện tử 2023 (có hiệu lực từ 1/7/2024): người dùng đồng ý bằng cách nào, lưu bằng chứng ra sao.
- Rà theo Luật Bảo vệ quyền lợi người tiêu dùng 2023 (có hiệu lực từ 1/7/2024): điều khoản bất lợi, gia hạn gói tự động, hoàn tiền, thông tin phải cung cấp trước khi mua.
- Quản lý nội dung do người dùng đăng: cơ chế báo cáo vi phạm, gỡ nội dung, phối hợp khi có yêu cầu của cơ quan có thẩm quyền.
- Chương trình khuyến mại, quảng cáo trong ứng dụng, giới thiệu bạn bè nhận thưởng: kiểm tra theo pháp luật về thương mại và quảng cáo.
- Sản phẩm có trẻ em sử dụng: thêm yêu cầu về đồng ý của cha mẹ, người giám hộ và nội dung phù hợp.
Một nguyên tắc dễ nhớ: điều khoản sử dụng không phải chỗ để giấu những điều người dùng không thích. Viết rõ ràng và công bằng vừa đúng luật, vừa giảm khiếu nại về sau.
Hợp đồng với khách hàng doanh nghiệp và nhà cung cấp
Hợp đồng cung cấp phần mềm, dịch vụ trên nền tảng. Công ty bán phần mềm cho doanh nghiệp thường có bộ hợp đồng gồm điều khoản chung, thoả thuận mức dịch vụ (cam kết thời gian hoạt động, thời gian xử lý sự cố) và phụ lục xử lý dữ liệu. Khách hàng lớn như ngân hàng, tập đoàn thường gửi mẫu của họ, và pháp chế phải đàm phán lại phần trách nhiệm.
Giới hạn trách nhiệm là điều khoản nóng nhất. Bên mua muốn bên bán chịu trách nhiệm không giới hạn khi lộ dữ liệu; bên bán muốn đặt trần. Pháp chế cần hiểu mô hình kinh doanh để biết trần nào công ty chịu được, và phối hợp với bên mua bảo hiểm nếu có.
Hợp đồng với nhà cung cấp hạ tầng. Dịch vụ đám mây, dịch vụ gửi tin nhắn, cổng thanh toán thường dùng điều khoản mẫu không đàm phán được. Việc của pháp chế là đọc kỹ để biết công ty đang chấp nhận rủi ro gì, và phản ánh lại đúng điều đó trong hợp đồng với khách hàng của mình.
Hợp đồng thuê ngoài phát triển. Khi thuê nhóm bên ngoài viết một phần sản phẩm, hợp đồng phải rõ về quyền sở hữu mã, bảo mật, nghiệm thu, bảo hành lỗi và việc bàn giao mã nguồn khi kết thúc.
Gọi vốn và cấu trúc công ty
Startup gọi vốn là lúc pháp chế bận nhất. Việc gồm chuẩn bị phòng dữ liệu cho nhà đầu tư thẩm định, rà lại toàn bộ hồ sơ doanh nghiệp, sở hữu trí tuệ, hợp đồng lớn; làm việc với luật sư hai bên về thoả thuận đầu tư và thoả thuận cổ đông; sửa điều lệ; làm thủ tục tăng vốn, thay đổi đăng ký doanh nghiệp. Nếu nhà đầu tư nước ngoài góp vốn, còn có thủ tục theo Luật Đầu tư 2020, và nhiều trường hợp công ty mẹ được đặt ở nước ngoài, khiến cấu trúc phức tạp hơn.
Chương trình cổ phần cho nhân viên cũng thường qua tay pháp chế: thiết kế ở mức pháp lý, soạn văn bản, giải thích cho nhân viên quyền của họ. Phần thuế liên quan nên để chuyên gia thuế; pháp chế giữ vai trò điều phối.
Ở giai đoạn này, pháp chế nội bộ hiếm khi làm một mình. Vai trò đúng là người hiểu công ty nhất, chuẩn bị dữ liệu sạch, và giúp người sáng lập hiểu điều khoản họ sắp ký, trong khi luật sư bên ngoài soạn và đàm phán văn bản chính.
Ai hợp với pháp chế công nghệ và chuẩn bị gì
Hợp với người tò mò về sản phẩm. Bạn không cần biết lập trình, nhưng phải chịu ngồi nghe kỹ sư giải thích hệ thống hoạt động thế nào, và hỏi lại tới khi hiểu. Tự dùng thử sản phẩm của công ty như một người dùng bình thường là bài tập đầu tiên nên làm trong tuần đầu.
Hợp với người chịu được sự mơ hồ. Nhiều câu hỏi về công nghệ mới chưa có câu trả lời rõ trong luật. Bạn phải đưa ra ý kiến dựa trên nguyên tắc, ghi rõ mức độ chắc chắn, và cập nhật khi có hướng dẫn mới.
Học thêm về bảo mật thông tin ở mức khái niệm. Mã hoá, phân quyền, nhật ký truy cập, sự cố bảo mật là những từ bạn sẽ gặp hằng ngày khi làm dữ liệu cá nhân.
Rèn tiếng Anh và tiếng Việt viết gọn. Hợp đồng với đối tác nước ngoài, nhà đầu tư thường bằng tiếng Anh; còn điều khoản cho người dùng Việt Nam phải viết tiếng Việt đơn giản, ai cũng đọc được.
Câu hỏi thường gặp
Làm pháp chế công nghệ có cần biết lập trình không?
Không bắt buộc. Điều cần là hiểu khái niệm: dữ liệu đi từ đâu tới đâu, được lưu ở đâu, ai truy cập được, phần mềm được phân phối thế nào. Biết đọc sơ đồ hệ thống và hỏi đúng câu với kỹ sư quan trọng hơn biết viết mã.
Startup nhỏ có cần tuyển pháp chế không hay chỉ thuê luật sư ngoài?
Giai đoạn rất sớm, nhiều startup dùng luật sư bên ngoài theo vụ việc. Khi sản phẩm có nhiều người dùng, xử lý nhiều dữ liệu hoặc chuẩn bị gọi vốn lớn, việc có một người pháp chế nội bộ hiểu sản phẩm thường hiệu quả hơn. Mỗi công ty tự cân nhắc theo khối lượng việc.
Pháp chế công nghệ và chuyên viên bảo vệ dữ liệu khác nhau ra sao?
Pháp chế lo toàn bộ vấn đề pháp lý của công ty, dữ liệu là một phần. Vị trí chuyên trách bảo vệ dữ liệu tập trung vào việc tuân thủ quy định về dữ liệu cá nhân, có thể do pháp chế kiêm hoặc do người riêng đảm nhận tuỳ quy mô và yêu cầu của pháp luật.
Người học luật nên học thêm chứng chỉ gì để làm pháp chế công nghệ?
Có các chứng chỉ quốc tế về quyền riêng tư và bảo vệ dữ liệu, các khoá về sở hữu trí tuệ, về hợp đồng công nghệ. Chứng chỉ giúp hệ thống kiến thức, nhưng nhà tuyển dụng thường đánh giá cao hơn khả năng áp dụng vào sản phẩm thật; nên chọn học khi đã biết mình cần gì.
Công ty công nghệ nước ngoài cung cấp dịch vụ vào Việt Nam có cần pháp chế ở Việt Nam không?
Nhiều công ty dùng luật sư bên ngoài tại Việt Nam, một số tuyển pháp chế địa phương khi khối lượng đủ lớn. Pháp chế ở vị trí này thường làm việc từ xa với nhóm pháp lý khu vực, tập trung vào quy định về dữ liệu, nội dung số, thuế và giấy phép áp dụng cho dịch vụ.