Luật Bảo vệ dữ liệu cá nhân: Hình phạt chỉ là phần nổi của tảng băng
Bảo vệ dữ liệu cá nhân là việc doanh nghiệp thiết lập quy trình, công nghệ và trách nhiệm pháp lý để thu thập, lưu trữ, xử lý và chia sẻ thông tin nhận dạng cá nhân một cách an toàn, minh bạch, có kiểm soát, nhằm tránh rò rỉ dữ liệu, lạm dụng thông tin và vi phạm quyền riêng tư của khách hàng theo quy định của pháp luật hiện hành. Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) cùng Nghị định 356 đã chính thức có hiệu lực từ ngày 1/1/2026, đặt ra khung chế tài mạnh tay với doanh nghiệp. Theo luật mới, doanh nghiệp để xảy ra vi phạm trong bảo vệ dữ liệu cá nhân có thể bị phạt hành chính tới 3 tỷ đồng, vi phạm chuyển dữ liệu xuyên biên giới có thể bị phạt tới 5% doanh thu năm liền trước. Nếu nhìn những con số này như vấn đề pháp lý đơn thuần, doanh nghiệp sẽ bỏ qua rủi ro lớn hơn: mất niềm tin khách hàng, mất thị phần và bị loại khỏi các chuỗi cung ứng đang đòi hỏi chuẩn minh bạch dữ liệu nghiêm ngặt.
Khi rò rỉ dữ liệu trở thành cú đánh vào thương hiệu
Tháng 10/2025, Vietnam Airlines xác nhận dữ liệu của khoảng 7,3 triệu khách hàng, gồm họ tên, ngày sinh, email, số điện thoại, bị rò rỉ từ nền tảng chăm sóc khách hàng Salesforce sau một vụ tấn công mạng. Cùng thời điểm, Trung tâm Thông tin tín dụng quốc gia cũng bị xâm nhập và đánh cắp dữ liệu. Đây không chỉ là sự cố kỹ thuật, mà là cú đánh trực diện vào niềm tin người dùng, bởi khách hàng bất ngờ nhận ra thông tin nhạy cảm của họ đang bị phơi bày trước tin tặc. Theo số liệu của Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, chỉ trong 6 tháng đầu năm 2025, lực lượng chức năng đã phát hiện 56 vụ mua bán dữ liệu cá nhân trái phép, liên quan hơn 110 triệu bản ghi. Với kinh tế số đạt khoảng 72,1 tỷ USD và chiếm hơn 14% GDP, lượng dữ liệu doanh nghiệp xử lý mỗi ngày tăng tương ứng. Ai coi rò rỉ dữ liệu là “chuyện của IT” sẽ phải trả giá bằng uy tín thương hiệu.
Chuẩn hóa và minh bạch dữ liệu: Nền móng để tuân thủ và cạnh tranh
Trong chuỗi cung ứng hàng hóa, truy xuất nguồn gốc đang chuyển từ công cụ quản lý nội bộ thành điều kiện lưu thông bắt buộc. Cụ thể, từ ngày 1-7-2026, hàng hóa có mức độ rủi ro cao thuộc phạm vi quản lý của Bộ Công thương phải thực hiện truy xuất nguồn gốc theo quy định mới. Doanh nghiệp may mặc gắn chip điện tử cho từng sản phẩm với chi phí khoảng 5.500 đồng mỗi chip và dự kiến thử nghiệm trên 4.000–5.000 sản phẩm để đánh giá hiệu quả. Ở nông sản, việc gắn thẻ định danh cho từng cây chè cổ thụ giúp hình thành dữ liệu riêng và chứng minh nguồn nguyên liệu. Minh bạch dữ liệu không còn là “điểm cộng” marketing mà là tấm hộ chiếu để hàng hóa đi vào siêu thị, vào thị trường xuất khẩu, và để thương hiệu đứng vững trước yêu cầu ngày càng chặt chẽ về thông tin suốt vòng đời sản phẩm. Nếu dữ liệu nội bộ lộn xộn, doanh nghiệp vừa khó tuân thủ pháp luật, vừa khó chứng minh uy tín trước đối tác và người tiêu dùng.
Hệ thống DLP: Người gác cổng dữ liệu doanh nghiệp, không phải món đồ chơi công nghệ
Trong bối cảnh tấn công mạng dày đặc và luật bảo vệ dữ liệu cá nhân siết chặt, DLP (Data Loss Prevention) trở thành công cụ nhiều doanh nghiệp cân nhắc đầu tư. Về bản chất, hệ thống DLP là người gác cổng âm thầm theo dõi dữ liệu di chuyển qua email, ứng dụng chat, USB, máy in, dịch vụ đám mây, và cảnh báo khi phát hiện dữ liệu nhạy cảm có dấu hiệu bị đưa ra ngoài trái phép. Một hệ thống DLP hiệu quả phải giám sát đủ kênh truyền dữ liệu, phân tích được nội dung tin nhắn, tài liệu, cả hình ảnh bằng OCR, và dùng phân tích ngữ cảnh, biểu thức chính quy, AI để nhận diện thông tin nhạy cảm. Theo các chuyên gia, việc chọn đúng hệ thống DLP cần xét ít nhất 5 tiêu chí từ phạm vi giám sát, khả năng phân tích, báo cáo phục vụ điều tra, cho tới tốc độ triển khai và mức độ kiểm soát cấu hình. Ai coi DLP là “phần mềm chống rò rỉ dữ liệu” cài cho có sẽ biến nó thành chi phí lãng phí, không phải hàng rào bảo vệ pháp lý và uy tín.
Xây hệ thống bảo vệ dữ liệu tuân thủ pháp luật: Đừng để DLP gánh thay chiến lược
Luật mới yêu cầu doanh nghiệp không chỉ mua công cụ, mà phải chứng minh tuân thủ pháp luật trong mọi khâu thu thập, lưu trữ, xử lý dữ liệu. Cuối cùng, một hệ thống DLP cần hỗ trợ đầy đủ tiếng Việt, từ phân tích nội dung tin nhắn, tài liệu đến nhận dạng chữ trong hình ảnh qua OCR, đồng thời hỗ trợ cấu hình chính sách theo đúng yêu cầu của Luật Bảo vệ dữ liệu cá nhân, Nghị định 356, Luật An ninh mạng và quy định lao động liên quan đến giám sát nhân viên. Với mức phạt tối đa 3 tỷ đồng hoặc tới 5% doanh thu năm liền trước tùy hành vi vi phạm, các luật sư khuyến nghị doanh nghiệp nên rà soát lại toàn bộ quy trình dữ liệu trước khi đầu tư công cụ, và yêu cầu nhà cung cấp DLP chứng minh khả năng đáp ứng yêu cầu pháp lý trong nước, thay vì chỉ nhìn bản demo sản phẩm. Ở phía dữ liệu hàng hóa, một số doanh nghiệp nhỏ thừa nhận chuẩn hóa dữ liệu tạo thêm áp lực chi phí, nhân lực, công nghệ; nếu mỗi hệ thống phân phối yêu cầu định dạng khác nhau, họ có thể phải làm lại nhiều lần. Nhưng trong thời kỳ dữ liệu trở thành tài sản cốt lõi, né tránh chuẩn hóa và giám sát chỉ đồng nghĩa với việc chấp nhận đứng ngoài cuộc chơi.
