Nghị định 337/2026/NĐ-CP siết ranh giới minh bạch: Doanh nghiệp phải bảo vệ bí mật kinh doanh thế nào?

Minh bạch thông tin luôn có một mặt đối diện: quyền được bảo vệ bí mật kinh doanh, đời sống riêng tư và dữ liệu cá nhân. Nghị định 337/2026/NĐ-CP vì thế không xây dựng cơ chế “mở kho dữ liệu” vô điều kiện; ngược lại, nó đặt cơ quan cung cấp thông tin trước nghĩa vụ phải phân loại trước khi công khai hoặc chuyển giao.

Nghị định 337/2026/NĐ-CP siết ranh giới minh bạch: Doanh nghiệp phải bảo vệ bí mật kinh doanh thế nào?

Không phải hồ sơ có nội dung mật là có thể từ chối toàn bộ

Khoản 1 Điều 8 Nghị định 337 yêu cầu đơn vị tạo ra thông tin rà soát, xác định phần nội dung thuộc thông tin công dân không được tiếp cận hoặc chỉ được tiếp cận có điều kiện theo Điều 15, Điều 16 Luật Tiếp cận thông tin, đồng thời áp dụng biện pháp kỹ thuật để loại bỏ những phần này trước khi chuyển cho đầu mối cung cấp.

Đáng chú ý hơn, khoản 2 Điều 8 đặt ra cơ chế phân tách thông tin: khi một hồ sơ chứa cả phần được tiếp cận và phần không được tiếp cận nhưng có thể phân tách hợp lý, phần được phép tiếp cận phải được tách ra. Nguyên tắc tương tự được ghi nhận tại khoản 4 Điều 10 Luật Tiếp cận thông tin 2026.

Đây là thay đổi có ý nghĩa đối với doanh nghiệp. Một bộ hồ sơ chứa bí mật của bên thứ ba không mặc nhiên biến toàn bộ hồ sơ thành “vùng cấm”. Khi làm yêu cầu, doanh nghiệp nên xác định chính xác trường dữ liệu cần lấy thay vì yêu cầu cả tập hồ sơ. Cách tiếp cận này vừa làm tăng khả năng được giải quyết, vừa giảm nguy cơ yêu cầu bị đánh giá là vượt quá khả năng đáp ứng của cơ quan.

Bí mật kinh doanh không phải nhãn “mật” do doanh nghiệp tự gắn

Khoản 3 Điều 15 Luật Tiếp cận thông tin xếp bí mật kinh doanh vào nhóm công dân không được tiếp cận, trừ trường hợp đáp ứng khoản 2 Điều 16. Theo đó, thông tin liên quan đến bí mật kinh doanh chỉ được tiếp cận khi chủ sở hữu bí mật kinh doanh đồng ý, ngoại trừ trường hợp đặc biệt vì lợi ích công cộng, sức khỏe cộng đồng theo khoản 4 Điều 16.

Nhưng doanh nghiệp cũng cần nhìn vấn đề theo chiều ngược lại. Điều 84 Luật Sở hữu trí tuệ đặt ra những điều kiện để bí mật kinh doanh được bảo hộ, trong đó có yêu cầu chủ sở hữu phải thực hiện các biện pháp cần thiết để bảo mật. Nói cách khác, doanh nghiệp khó có thể coi mọi tài liệu nội bộ là bí mật kinh doanh nếu chính mình không có cơ chế kiểm soát truy cập, phân loại và bảo mật tương ứng.

Điều này đặc biệt đáng lưu ý với startup. Công thức sản phẩm, thuật toán, dữ liệu khách hàng, chiến lược giá hay mô hình vận hành có thể là tài sản cốt lõi, nhưng việc bảo vệ pháp lý không nên bắt đầu khi tranh chấp phát sinh. Phân quyền dữ liệu, NDA, quy trình bàn giao nhân sự và nhật ký truy cập cần trở thành một phần của quản trị doanh nghiệp.

Dữ liệu cá nhân tạo thêm một lớp kiểm soát

Luật Tiếp cận thông tin 2026 quy định việc tiếp cận dữ liệu cá nhân phải tuân thủ pháp luật về bảo vệ dữ liệu cá nhân. Nghị định 337 tiếp tục nhấn mạnh yêu cầu này tại khoản 2 Điều 8 và khoản 2 Điều 12 khi xử lý, phân tách và cung cấp thông tin trên môi trường số. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã có hiệu lực từ 01/01/2026.

Phụ lục Nghị định 337 vì thế có một biểu mẫu đáng chú ý: Mẫu số 06 – Văn bản chấp thuận. Trong trường hợp yêu cầu thông tin thuộc khoản 1, khoản 2 Điều 16 Luật Tiếp cận thông tin, khoản 2 Điều 10 Nghị định yêu cầu phải kèm văn bản chấp thuận. Với cá nhân, Phụ lục còn quy định chữ ký phải được xác nhận bởi UBND cấp xã hoặc Văn phòng công chứng; với tổ chức thì không cần xác nhận này.

Đối với doanh nghiệp nhỏ, đây vừa là “hàng rào thủ tục”, vừa là lời cảnh báo: đừng xây dựng hoạt động thẩm định đối tác bằng cách thu gom dữ liệu cá nhân một cách tùy tiện.

Minh bạch và bảo mật, xét cho cùng, không loại trừ nhau. Doanh nghiệp hiểu đúng ranh giới này sẽ có hai lợi thế cùng lúc: biết cách yêu cầu Nhà nước cung cấp phần thông tin hợp pháp cần cho quyết định kinh doanh, và biết cách bảo vệ phần dữ liệu của chính mình không nên trở thành tài sản của người khác.