Ông Garen Ling, Phó Chủ tịch khu vực ASEAN phụ trách mảng Bảo mật Dữ liệu và Ứng dụng tại Thales, giải thích cách Luật Bảo vệ Dữ liệu Cá nhân của Việt Nam chuyển trọng tâm tuân thủ từ các thủ tục giấy tờ sang trách nhiệm giải trình có thể chứng minh được; đồng thời, ông kêu gọi các tổ chức tăng cường khả năng hiển thị dữ liệu, công tác quản trị và sự tin cậy trong vận hành.

Trong môi trường kinh doanh dựa trên sự tin cậy, việc chuẩn bị cho Luật Bảo vệ Dữ liệu Cá nhân nên được xem là vấn đề về quản trị, khả năng phục hồi và sự tin cậy, thay vì chỉ là một danh mục các yêu cầu pháp lý cần hoàn tất.

Đối với nền kinh tế số của Việt Nam, vấn đề hiện nay không còn chỉ là tốc độ chuyển đổi số của doanh nghiệp, mà quan trọng hơn là liệu quá trình đó có đảm bảo được sự tin cậy hay không. Khi ngày càng nhiều dịch vụ chuyển sang nền tảng trực tuyến, dữ liệu cá nhân trở thành yếu tố cốt lõi trong quan hệ khách hàng, quy trình thanh toán, quản lý nhân sự và các hoạt động vận hành thường nhật. Việc bảo vệ dữ liệu đang dần trở thành một điều kiện tiên quyết để doanh nghiệp số được phép hoạt động.

Luật Bảo vệ Dữ liệu Cá nhân đã làm nổi bật sự thay đổi này. Một trong những nghĩa vụ quan trọng của luật là quy định về thời hạn: tùy thuộc vào tình huống và các yêu cầu pháp lý, doanh nghiệp có thể phải thông báo về những vi phạm bảo vệ dữ liệu cá nhân có nguy cơ gây hại trong vòng 72 giờ kể từ khi phát hiện sự cố.

Từ khóa quan trọng ở đây là "phát hiện". Doanh nghiệp không thể báo cáo rõ ràng về những gì mình chưa phát hiện ra, cũng như không thể đánh giá mức độ ảnh hưởng đối với dữ liệu nếu không nắm rõ vị trí lưu trữ của chúng. Nhiều tổ chức sẽ gặp khó khăn trong vấn đề này, không phải do thiếu thiện chí, mà do thiếu khả năng quan sát và nắm bắt dữ liệu (thiếu khả năng hiển thị dữ liệu). Luật pháp đánh giá dựa trên những gì tổ chức có thể chứng minh thực tế, chứ không chỉ dựa trên ý định ban đầu của họ.

Tuân thủ quy định: Chuyển từ cam kết sang bằng chứng thực tế

Luật Bảo vệ Dữ liệu Cá nhân (PDPL) của Việt Nam (Luật số 91/2025/QH15) đã có hiệu lực từ ngày 1 tháng 1, kế thừa khuôn khổ của Nghị định 13 trước đó và mang lại nền tảng pháp lý rõ ràng hơn cho công tác bảo vệ dữ liệu cá nhân tại Việt Nam.

Đối với hội đồng quản trị, ban điều hành và các Giám đốc An toàn Thông tin (CISO), sự thay đổi thực sự không chỉ nằm ở việc các quy định đã được mở rộng. Vấn đề cốt lõi là công tác tuân thủ giờ đây cần chuyển từ những cam kết trên văn bản sang các bằng chứng thực tế trong vận hành. Chính sách quyền riêng tư thể hiện ý định; nội dung về sự đồng ý ghi nhận sự cho phép; các hướng dẫn nội bộ xác định trách nhiệm. Tất cả những yếu tố này vẫn rất quan trọng. Tuy nhiên, PDPL đặt ra một câu hỏi mang tính lãnh đạo và thực tiễn hơn: liệu tổ chức có thể chứng minh rằng dữ liệu cá nhân đang được xử lý đúng quy định trong các hoạt động thường nhật hay không?

Điều đó đồng nghĩa với việc phải nắm rõ dữ liệu cá nhân được lưu trữ ở đâu, ai có quyền truy cập, dữ liệu được bảo vệ như thế nào, khi nào dữ liệu được chia sẻ và tổ chức có thể phản ứng nhanh chóng ra sao nếu xảy ra sự cố.

Trong môi trường kinh doanh dựa trên sự tin cậy, một sự cố liên quan đến dữ liệu cá nhân không chỉ dẫn đến các biện pháp xử lý từ cơ quan quản lý. Nó còn có thể làm suy giảm niềm tin của khách hàng, gây lo ngại cho đối tác, gia tăng sự giám sát từ các bên liên quan và làm gián đoạn đà phát triển của doanh nghiệp. Đối với các tổ chức xử lý dữ liệu về người tiêu dùng, nhân viên, thông tin tài chính, sức khỏe, vị trí hoặc danh tính, một khi niềm tin đã mất thì rất khó để khôi phục.

Chính vì vậy, việc chuẩn bị sẵn sàng cho PDPL nên được xem là vấn đề về quản trị, khả năng phục hồi và niềm tin, thay vì chỉ coi đó là một danh sách các yêu cầu pháp lý cần hoàn tất.

Khoảng cách lớn nhất trong thực tế thường lại là vấn đề đơn giản nhất để mô tả: nhiều tổ chức không có cái nhìn toàn diện về nơi lưu trữ dữ liệu cá nhân.

Dữ liệu cá nhân hiếm khi nằm gọn trong một hệ thống duy nhất. Tại nhiều doanh nghiệp Việt Nam, dữ liệu này phân tán trên các hệ thống tại chỗ (on-premises), cơ sở dữ liệu cũ (legacy), máy chủ cục bộ, các ứng dụng nghiệp vụ, cũng như tại các chi nhánh và đơn vị kinh doanh.

Dữ liệu cũng nằm trong tay các bên thứ ba như: nhà cung cấp dịch vụ tính lương, nhà phân phối, công ty bảo hiểm và các nhà cung cấp dịch vụ khác. Dữ liệu liên tục luân chuyển giữa các môi trường tại chỗ, giữa các chi nhánh, đơn vị kinh doanh và ra bên ngoài cho các bên thứ ba. Câu hỏi đặt ra không chỉ là dữ liệu được lưu trữ ở đâu, mà còn là dữ liệu di chuyển đến những đâu.

Một tổ chức không thể bảo vệ những gì họ không nhìn thấy, xóa bỏ những gì họ không tìm thấy, hay hạn chế quyền truy cập vào dữ liệu mà họ chưa từng phân loại. Họ không thể phản ứng nhanh chóng trước một sự cố nếu không biết dữ liệu nào đã bị ảnh hưởng, và cũng không thể chứng minh sự tuân thủ nếu bản đồ dữ liệu của họ còn thiếu sót.

Vấn đề chuyển dữ liệu xuyên biên giới cũng làm nổi bật thực tế này. Khi dữ liệu được chuyển ra ngoài lãnh thổ Việt Nam, Luật Bảo vệ Dữ liệu Cá nhân (PDPL) và Nghị định số 356/2025/NĐ-CP yêu cầu các tổ chức phải nắm rõ và lập hồ sơ chi tiết về quy trình cũng như lý do thực hiện việc chuyển dữ liệu. Đây không đơn thuần là việc hoàn tất các thủ tục pháp lý, mà còn là phép thử về mức độ am hiểu của doanh nghiệp đối với các luồng dữ liệu, cũng như các nhà cung cấp và đối tác của chính mình. Việc thiếu khả năng giám sát chặt chẽ quá trình luân chuyển dữ liệu chính là điểm khởi đầu cho sự vi phạm các quy định tuân thủ mà đôi khi không bị phát hiện kịp thời.

Yêu cầu về thực thi đang gia tăng nhanh chóng

Định hướng của Việt Nam đã rất rõ ràng từ trước năm 2026, đặc biệt là sau khi Nghị định 13 đưa ra những nghĩa vụ đầu tiên. Tuy nhiên, Luật PDPL cùng với Nghị định số 356/2025/NĐ-CP đã đặt ra những yêu cầu khắt khe và cụ thể hơn. Hiện nay, các tổ chức đang chuyển từ giai đoạn nhận thức sang giai đoạn triển khai thực tế.

Trên phạm vi toàn cầu, Thales hỗ trợ các chính phủ, đơn vị vận hành cơ sở hạ tầng trọng yếu và các doanh nghiệp chịu sự quản lý chặt chẽ của pháp luật với cùng một yêu cầu: bảo vệ dữ liệu nhạy cảm theo tiêu chuẩn có thể chứng minh được.

Mục tiêu không phải là bổ sung thêm một lớp chính sách mới, mà là biến công tác bảo vệ dữ liệu thành một quy trình thực tế mà tổ chức có thể vận hành, giám sát và chứng minh hiệu quả.

Việt Nam sở hữu một trong những nền kinh tế số tăng trưởng nhanh nhất khu vực, và PDPL đóng vai trò quan trọng trong việc xây dựng niềm tin – yếu tố then chốt cho sự tăng trưởng đó.

Niềm tin không thể được xây dựng chỉ bằng giấy tờ. Nó được tạo dựng bởi những tổ chức thực sự am hiểu dữ liệu của mình, bảo vệ dữ liệu một cách nhất quán và có khả năng chứng minh năng lực kiểm soát vào những thời điểm quan trọng nhất.

Bước đầu tiên là xác định vị thế hiện tại của tổ chức. Thales hợp tác với các tổ chức trên khắp Việt Nam để cung cấp công nghệ, giải pháp an ninh mạng và năng lực bảo vệ dữ liệu cần thiết nhằm đánh giá mức độ sẵn sàng tuân thủ PDPL, xác định các lỗ hổng tuân thủ, cũng như nhận diện chính xác những điểm chưa đồng bộ giữa chính sách và khả năng chứng minh sự tuân thủ thực tế.

Tttb đt