Bảo vệ dữ liệu, từ nghĩa vụ pháp lý đến nền tảng niềm tin của doanh nghiệp số

Bảo vệ dữ liệu không còn là việc riêng của bộ phận công nghệ

Năm 2026 đánh dấu những thay đổi quan trọng trong khung pháp lý về an ninh mạng và bảo vệ dữ liệu cá nhân tại Việt Nam. Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026, Luật An ninh mạng 2025 từ ngày 1/7/2026. Nghị định 330/2026/NĐ-CP tiếp tục đặt ra các chế tài xử phạt vi phạm hành chính trong lĩnh vực này.

Yêu cầu bảo vệ dữ liệu hiện không chỉ dành cho ngân hàng hay doanh nghiệp công nghệ. Từ tuyển dụng, quản lý nhân sự đến tiếp thị, chăm sóc khách hàng, nhiều hoạt động thường nhật đều liên quan đến dữ liệu cá nhân. Doanh nghiệp phải xác định dữ liệu được thu thập, lưu trữ ở đâu, sử dụng vào mục đích gì, ai được tiếp cận và chịu trách nhiệm.

Thạc sĩ, Luật sư Lưu Xuân Vĩnh, Luật sư sáng lập và điều hành tại Công ty Luật Asia Legal cho biết những nghĩa vụ doanh nghiệp cần rà soát, gồm: căn cứ xử lý dữ liệu, sự đồng ý và quyền của chủ thể dữ liệu, nhân sự phụ trách, hồ sơ đánh giá tác động theo quy định. Một vướng mắc phổ biến là doanh nghiệp chưa có bản đồ dữ liệu đầy đủ để xác định các hoạt động xử lý và trách nhiệm liên quan.

Rủi ro không chỉ nằm ở mức xử phạt. Hãy hình dung một doanh nghiệp phát hiện mã độc tống tiền đã mã hóa máy chủ nhân sự, kèm dấu hiệu dữ liệu bị đánh cắp. Bên cạnh việc khôi phục hệ thống và điều tra sự cố, doanh nghiệp còn phải đánh giá nghĩa vụ thông báo theo quy định, phối hợp giữa các bộ phận và kiểm soát việc chia sẻ dữ liệu. Nếu chậm trễ hoặc xử lý không đúng quy trình, doanh nghiệp có thể đối mặt với tổn thất vận hành, chi phí khắc phục và suy giảm niềm tin từ khách hàng, người lao động, đối tác. Trong bối cảnh đó, tuân thủ không thể chỉ dừng ở việc nắm bắt quy định hay hoàn thiện hồ sơ khi có yêu cầu kiểm tra. Doanh nghiệp cần chủ động nhận diện rủi ro và chuẩn bị năng lực ứng phó trước khi sự cố xảy ra.

Từ tuân thủ bị động đến năng lực bảo vệ dữ liệu

Theo VNPT Cyber Immunity – VCI (Trung tâm An toàn thông tin VNPT thuộc Tập đoàn VNPT), năng lực bảo vệ dữ liệu đang trở thành một nền tảng quan trọng để kiểm soát rủi ro, duy trì hoạt động và củng cố niềm tin của khách hàng, đối tác.

Một trong những vướng mắc phổ biến là doanh nghiệp chưa xác định được điểm khởi đầu. Pháp chế phụ trách quy định, IT quản lý hệ thống, trong khi Nhân sự, Marketing và Kinh doanh trực tiếp xử lý dữ liệu mỗi ngày. Nếu thiếu cơ chế phối hợp, doanh nghiệp dễ bỏ sót nghĩa vụ hoặc không xác định rõ trách nhiệm khi phát sinh sự cố.

Theo ông Đặng Quốc Bình, Chuyên gia Quy trình – Tuân thủ đến từ VCI, các hệ thống cũ, dịch vụ bên ngoài và quyền truy cập chưa được kiểm soát đầy đủ là những thách thức đáng chú ý. Các biện pháp phân quyền, mã hóa, ghi nhật ký hoạt động và giám sát bất thường cần được triển khai phù hợp với mức độ rủi ro. Doanh nghiệp đồng thời phải xác định trước quy trình ứng phó, đầu mối phối hợp và người có thẩm quyền quyết định.

Theo định hướng tư vấn của VCI, tuân thủ nên được tích hợp vào hoạt động quản trị thường xuyên, với sự phối hợp đồng bộ giữa con người, quy trình và công nghệ dưới sự chỉ đạo của Ban lãnh đạo. Trước hết, doanh nghiệp cần xây dựng bản đồ dữ liệu, xác định dữ liệu đang được thu thập và lưu trữ ở đâu, ai có quyền truy cập, dữ liệu được chia sẻ với những bên nào và các rủi ro cần ưu tiên xử lý. Những tài liệu này không chỉ phục vụ công tác kiểm tra mà còn giúp doanh nghiệp chứng minh năng lực quản trị an toàn thông tin khi đối tác yêu cầu thẩm định trước hợp tác, đặc biệt trong các quan hệ kinh doanh có yếu tố nước ngoài.

Đại diện VNPT cho hay đã triển khai các dịch vụ tư vấn giúp doanh nghiệp tổ chức công tác an toàn thông tin bài bản hơn. Dịch vụ Tư vấn an toàn thông tin cũng hỗ trợ xây dựng mô hình bảo mật tổng thể, kết nối nhân sự, quy trình và công nghệ; tư vấn hệ thống quản lý theo ISO/IEC 27001, tham chiếu NIST, đánh giá mức độ trưởng thành và tích hợp bảo mật vào phát triển sản phẩm.

Cùng với đó, Dịch vụ Xây dựng chính sách an toàn thông tin hỗ trợ chuẩn hóa quy định nội bộ, phân định trách nhiệm và thiết lập cơ chế quản lý thống nhất. Phạm vi triển khai được xác định theo quy mô, đặc thù và mức độ rủi ro của từng doanh nghiệp, thay vì áp dụng một mô hình chung.

Tuân thủ không thể chỉ đo bằng số lượng văn bản hay hồ sơ đã hoàn thành. Khi bảo vệ dữ liệu trở thành một phần của quản trị và vận hành, doanh nghiệp có thêm năng lực kiểm soát rủi ro, bảo vệ hoạt động kinh doanh và duy trì niềm tin khách hàng.