Từ dữ liệu đến trách nhiệm: Chuẩn hóa bảo vệ dữ liệu cá nhân

Bước chuyển từ “có dữ liệu” sang “có trách nhiệm với dữ liệu”

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực, đồng thời Nghị định 356/2025/NĐ-CP được áp dụng để quy định chi tiết một số nội dung và biện pháp thi hành Luật. Nghị định 356 cũng thay thế Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.

Điểm đáng chú ý không nằm ở việc doanh nghiệp phải “lưu trữ dữ liệu an toàn” theo nghĩa kỹ thuật đơn thuần, mà ở việc toàn bộ vòng đời của dữ liệu phải được đặt trong một khuôn khổ quản trị có mục đích, có căn cứ, có trách nhiệm và có khả năng kiểm soát.

Trong môi trường kinh doanh hiện đại, một doanh nghiệp có thể đồng thời nắm giữ số điện thoại, địa chỉ email, thông tin tài khoản, lịch sử giao dịch, thông tin định danh, dữ liệu tuyển dụng, hồ sơ nhân sự, dữ liệu chấm công, lương thưởng hoặc thông tin liên quan đến người phụ thuộc. Khi những dữ liệu này được đưa vào CRM, phần mềm quản trị nhân sự, hệ thống chăm sóc khách hàng, nền tảng điện toán đám mây hoặc các công cụ AI, số lượng điểm có nguy cơ phát sinh rủi ro cũng tăng lên đáng kể.

Vì vậy, câu hỏi doanh nghiệp cần đặt ra không còn là “dữ liệu đang nằm ở đâu?”, mà phải rộng hơn: Dữ liệu được thu thập vì mục đích gì, ai được quyền truy cập, được sử dụng trong bao lâu, được chia sẻ cho ai và doanh nghiệp sẽ làm gì nếu xảy ra sự cố?

Dữ liệu khách hàng: giá trị kinh doanh đi cùng nghĩa vụ pháp lý

Dữ liệu khách hàng thường được xem là tài sản quan trọng phục vụ marketing, bán hàng và chăm sóc sau giao dịch. Tuy nhiên, giá trị thương mại càng lớn thì yêu cầu quản trị rủi ro càng cao.

Một biểu mẫu đăng ký đơn giản có thể chứa nhiều thông tin cá nhân. Khi dữ liệu từ biểu mẫu đó tiếp tục được đồng bộ sang hệ thống CRM, phần mềm marketing, nền tảng gửi email hoặc đối tác vận hành, doanh nghiệp đã tạo ra một chuỗi xử lý dữ liệu gồm nhiều chủ thể và nhiều điểm kiểm soát.

Điều này đặt ra yêu cầu doanh nghiệp phải xác định rõ vai trò của từng bên trong hoạt động xử lý. Đặc biệt, khi sử dụng nhà cung cấp dịch vụ bên ngoài, việc ký hợp đồng thương mại thông thường chưa chắc đã đủ để kiểm soát rủi ro dữ liệu. Quan hệ giữa các bên cần được thiết kế với những điều khoản cụ thể về phạm vi xử lý, mục đích sử dụng, trách nhiệm bảo mật, quyền truy cập, xử lý khi chấm dứt hợp tác và phương án ứng phó khi xảy ra sự cố.

Nghị định 356/2025/NĐ-CP cũng đặt ra yêu cầu về hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, trong đó có các nội dung liên quan đến mục đích, loại dữ liệu, các bên tham gia xử lý, mức độ rủi ro và biện pháp giảm thiểu nguy cơ.

Như vậy, quản trị dữ liệu khách hàng cần được nhìn nhận như một quy trình xuyên suốt thay vì một thao tác riêng lẻ của bộ phận IT.

Dữ liệu nhân sự: “vùng dữ liệu nội bộ” nhưng không hề ít rủi ro

Một sai lầm phổ biến là doanh nghiệp thường chú trọng bảo vệ dữ liệu khách hàng nhưng xem nhẹ dữ liệu của chính người lao động.

Hồ sơ tuyển dụng, căn cước, thông tin liên hệ, hợp đồng lao động, tài khoản ngân hàng, dữ liệu lương thưởng, bảo hiểm, thông tin người phụ thuộc hay các dữ liệu phục vụ quản lý nhân sự đều có thể liên quan trực tiếp đến quyền riêng tư của cá nhân.

Rủi ro có thể xuất hiện ngay trong những hoạt động rất quen thuộc: gửi nhầm bảng lương qua email, chia sẻ file nhân sự trong nhóm không đúng đối tượng, cấp quyền truy cập rộng hơn nhu cầu thực tế hoặc sử dụng chung một thư mục cho nhiều phòng ban.

Đáng chú ý, Nghị định 356 quy định về việc chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức và xác định các nhiệm vụ như xây dựng chính sách, hỗ trợ thực hiện quyền của chủ thể dữ liệu, đánh giá tuân thủ, lập hồ sơ đánh giá tác động, đào tạo và triển khai biện pháp bảo mật.

Điều này cho thấy bảo vệ dữ liệu cần được đưa vào cơ cấu trách nhiệm của tổ chức. Không thể kỳ vọng một phần mềm bảo mật có thể giải quyết toàn bộ vấn đề nếu quy trình nội bộ thiếu kiểm soát hoặc nhân sự chưa được đào tạo.

Những điểm doanh nghiệp cần ưu tiên trong quản trị dữ liệu

• Kiểm kê và phân loại: Xác định doanh nghiệp đang sở hữu những loại dữ liệu nào, dữ liệu xuất hiện ở bộ phận nào và được lưu trữ trên hệ thống nào.
• Kiểm soát vòng đời: Xác định rõ mục đích thu thập, thời gian lưu giữ, quyền truy cập, phương thức chia sẻ và thời điểm cần xóa hoặc hủy dữ liệu.
• Chuẩn bị trước khi có sự cố: Xây dựng đầu mối chịu trách nhiệm, quy trình phát hiện – khoanh vùng – xử lý – báo cáo và khắc phục hậu quả khi dữ liệu bị xâm phạm.

Không chỉ phòng ngừa rò rỉ, doanh nghiệp phải quản trị cả “đường đi” của dữ liệu

Một trong những vấn đề phức tạp nhất hiện nay là dữ liệu không còn nằm cố định trong hệ thống nội bộ. Doanh nghiệp có thể sử dụng dịch vụ cloud, thuê nền tảng SaaS, triển khai công cụ phân tích dữ liệu hoặc sử dụng các ứng dụng AI của bên thứ ba.

Khi dữ liệu được đưa ra khỏi hệ thống ban đầu, doanh nghiệp cần quan tâm đến toàn bộ chuỗi xử lý tiếp theo. Đặc biệt, Nghị định 356 có quy định riêng về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, bao gồm việc xem xét bên chuyển, bên nhận, thỏa thuận giữa các bên, mức độ bảo vệ và rủi ro có thể phát sinh.

Đây là lý do việc lựa chọn nhà cung cấp công nghệ không nên chỉ dựa trên giá thành, tính năng hoặc tốc độ triển khai. Khía cạnh bảo vệ dữ liệu phải trở thành một tiêu chí trong quá trình thẩm định đối tác.

Một doanh nghiệp có thể đầu tư hệ thống an ninh mạng rất lớn nhưng vẫn đối diện rủi ro nếu nhân viên có quyền tải dữ liệu lên một công cụ bên ngoài mà chưa được đánh giá về mức độ an toàn. Tương tự, một hợp đồng dịch vụ có thể hoàn chỉnh về mặt thương mại nhưng vẫn tạo ra khoảng trống nếu không xác định rõ trách nhiệm đối với dữ liệu cá nhân.

Tuân thủ hiệu quả phải bắt đầu từ quản trị, không phải từ hồ sơ

Một trong những thay đổi quan trọng về tư duy là doanh nghiệp không nên xem việc lập hồ sơ hay ban hành chính sách là “đích đến” của tuân thủ.

Hồ sơ đánh giá tác động chỉ thực sự có giá trị khi phản ánh đúng cách dữ liệu đang được xử lý trên thực tế. Chính sách bảo mật chỉ có ý nghĩa khi nhân viên hiểu và thực hiện đúng. Quy trình thực hiện quyền của chủ thể dữ liệu chỉ hiệu quả khi doanh nghiệp có đầu mối tiếp nhận, xác minh và phản hồi rõ ràng.

Nghị định 356 yêu cầu hồ sơ đánh giá tác động xử lý dữ liệu cá nhân được lập và lưu giữ từ thời điểm bắt đầu xử lý; đồng thời đặt ra cơ chế cập nhật trong những trường hợp có thay đổi về mục đích hoặc các bên tham gia xử lý.

Điều đó cho thấy tuân thủ dữ liệu là một quá trình liên tục. Doanh nghiệp thay đổi sản phẩm, triển khai hệ thống mới, sử dụng nhà cung cấp mới hoặc mở rộng hoạt động kinh doanh thì hệ thống quản trị dữ liệu cũng phải được rà soát tương ứng.

Từ “chi phí tuân thủ” đến lợi thế cạnh tranh

Bảo vệ dữ liệu cá nhân thường được nhìn nhận trước tiên dưới góc độ chi phí: chi phí xây dựng chính sách, đào tạo nhân sự, nâng cấp hệ thống, đánh giá nhà cung cấp và xử lý hồ sơ pháp lý.

Tuy nhiên, nếu nhìn dài hạn, đây còn là một khoản đầu tư vào năng lực quản trị.

Một doanh nghiệp biết rõ dữ liệu của mình đang ở đâu sẽ dễ dàng kiểm soát hoạt động vận hành hơn. Một tổ chức phân quyền truy cập hợp lý sẽ hạn chế được nguy cơ lộ lọt từ bên trong. Một doanh nghiệp có quy trình ứng phó sự cố sẽ giảm thời gian phản ứng khi vấn đề xảy ra. Và một doanh nghiệp minh bạch trong việc sử dụng dữ liệu sẽ có nhiều cơ hội xây dựng niềm tin với khách hàng và người lao động.

Trong nền kinh tế số, niềm tin không chỉ được tạo dựng bằng sản phẩm tốt hay dịch vụ nhanh. Khách hàng ngày càng quan tâm đến việc doanh nghiệp đối xử với thông tin cá nhân của họ như thế nào.

Doanh nghiệp nên bắt đầu từ đâu?

Thay vì chờ đến khi xảy ra sự cố mới rà soát, doanh nghiệp nên triển khai một chương trình quản trị dữ liệu theo hướng chủ động. Trước hết cần lập bản đồ dữ liệu để xác định nguồn thu thập, mục đích sử dụng, hệ thống lưu trữ và các bên có quyền tiếp cận. Tiếp đó, doanh nghiệp cần đối chiếu hoạt động thực tế với yêu cầu pháp luật, hoàn thiện chính sách nội bộ và chuẩn hóa hợp đồng với các đối tác có tham gia xử lý dữ liệu.

Song song với đó, yếu tố con người cần được đặt ở vị trí trung tâm. Một nhân viên gửi nhầm file, cấp nhầm quyền hoặc sử dụng công cụ không được phê duyệt cũng có thể tạo ra rủi ro lớn dù doanh nghiệp sở hữu hệ thống công nghệ hiện đại.

Do đó, đào tạo nhận thức về dữ liệu cá nhân không nên được thực hiện một lần để “đủ hồ sơ”, mà cần trở thành một phần của văn hóa tuân thủ. Mỗi bộ phận cần hiểu loại dữ liệu mình đang xử lý, được phép làm gì và phải làm gì khi phát hiện dấu hiệu bất thường.

Chủ động trước rủi ro là chiến lược bền vững

Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP không đơn thuần tạo thêm một lớp nghĩa vụ pháp lý cho doanh nghiệp. Quan trọng hơn, các quy định này thúc đẩy doanh nghiệp thay đổi cách nhìn về dữ liệu: từ một nguồn tài nguyên phục vụ kinh doanh thành một đối tượng cần được quản trị có trách nhiệm.

Khi dữ liệu khách hàng và dữ liệu nhân sự ngày càng được kết nối với nhiều hệ thống, nền tảng và đối tác, ranh giới giữa rủi ro công nghệ và rủi ro pháp lý cũng ngày càng thu hẹp. Vì vậy, phương án hiệu quả không phải là chờ đến khi có yêu cầu kiểm tra hoặc xảy ra sự cố mới xử lý, mà là thiết lập cơ chế kiểm soát ngay từ đầu.

Doanh nghiệp càng sớm biết mình đang thu thập dữ liệu gì, sử dụng dữ liệu vào đâu, ai đang có quyền truy cập và rủi ro nằm ở điểm nào, doanh nghiệp càng có khả năng chuyển yêu cầu tuân thủ thành năng lực quản trị thực tế. Đây chính là nền tảng để bảo vệ quyền riêng tư, hạn chế tổn thất và duy trì niềm tin trong môi trường kinh doanh số.