Tuân thủ an ninh mạng và bảo vệ dữ liệu cá nhân cho doanh nghiệp

Áp lực tuân thủ và 3 nhóm nghĩa vụ cốt lõi

Luật An ninh mạng 2026 đặt ra nhiều nghĩa vụ cụ thể đối với doanh nghiệp trong quá trình quản lý và vận hành hệ thống thông tin. Ảnh: N.L

Từ việc quản lý hồ sơ nhân sự, thông tin khách hàng đến chia sẻ tài liệu với đối tác, xử lý dữ liệu đã trở thành hoạt động thường nhật của mọi tổ chức. Tuy nhiên, phía sau các quy trình quen thuộc đó là những câu hỏi pháp lý quan trọng về cách thức thu thập, trách nhiệm bảo vệ và phương án xử lý khi xảy ra sự cố. Thách thức lớn nhất đối với người phụ trách là xác định chính xác các quy định pháp luật để chuyển hóa thành quy trình vận hành thực tế.

Năm 2026, Luật Bảo vệ dữ liệu cá nhân và Luật An ninh mạng cùng có hiệu lực, đồng thời Chính phủ ban hành 7 nghị định hướng dẫn và quy định xử phạt vi hành chính cho thấy cơ quan quản lý đặc biệt chú trọng công tác bảo vệ dữ liệu cá nhân và an toàn thông tin.

Luật sư Lưu Xuân Vĩnh, sáng lập và điều hành Công ty Luật TNHH Asia Consult, Phó Trưởng ban Pháp chế Hiệp hội Doanh nghiệp đầu tư nước ngoài Việt Nam (VAFIE) nhận định, mọi hoạt động từ tuyển dụng, vận hành camera giám sát đến tiếp thị đều phát sinh việc xử lý dữ liệu cá nhân.

Doanh nghiệp thông thường bắt buộc phải triển khai ngay 3 nhóm nghĩa vụ cốt lõi. Thứ nhất là lập sơ đồ luồng dữ liệu, bao gồm rà soát toàn bộ nguồn dữ liệu, phân loại dữ liệu cơ bản hay nhạy cảm, xác định rõ vị trí và thời gian lưu trữ.

Thứ hai là lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới nếu có chia sẻ ra nước ngoài. Để hoàn thành nghĩa vụ này, đơn vị phải xây dựng hệ thống quy trình, chính sách tuân thủ, kế hoạch phản ứng sự cố cùng các biện pháp kỹ thuật tương ứng.

Thứ ba là xây dựng kế hoạch ứng phó sự cố an ninh dữ liệu, trong đó quy định hiện hành bắt buộc doanh nghiệp phải gửi thông báo và triển khai phương án ứng phó chính thức trong thời hạn rất ngắn, chỉ khoảng 72 giờ khi phát sinh vi phạm.

Luật sư Lưu Xuân Vĩnh điều hành Công ty Luật TNHH Asia Counsel. Ảnh: Thạch Thảo

Về chế tài, các văn bản quy phạm pháp luật áp dụng mức phạt rất nghiêm khắc. Vi phạm quy định chuyển dữ liệu xuyên biên giới có thể chịu mức phạt tiền lên tới 5% tổng doanh thu năm tài chính liền kề, trong khi mức phạt tối đa cho các hành vi vi phạm khác lên tới 3 tỷ đồng đối với tổ chức và bằng một nửa đối với cá nhân.

Các nghị định xử phạt cũng chi tiết hóa từng lỗi cụ thể, như không thu thập sự đồng ý bị phạt đến 70 triệu đồng, không lập hồ sơ DPIA đúng hạn bị phạt từ 30 đến 50 triệu đồng và các lỗi khác dao động từ 50 đến 170 triệu đồng. Khi xảy ra sự cố, doanh nghiệp thường mắc nhiều vi phạm cùng lúc, dẫn đến tổng mức phạt cộng dồn rất lớn.

Hơn thế, rủi ro không chỉ dừng ở các con số xử phạt. Nếu bị mã độc tống tiền mã hóa máy chủ kèm dấu hiệu mất dữ liệu, việc chậm trễ thông báo hoặc xử lý sai quy trình sẽ khiến doanh nghiệp gánh chịu thiệt hại vận hành, chi phí khắc phục nặng nề và tổn hại nghiêm trọng niềm tin của khách hàng, đối tác. Do đó, tuân thủ không thể chỉ là việc hoàn thiện hồ sơ đối phó khi có kiểm tra, mà phải là năng lực chủ động phòng ngừa trước khi sự cố xảy ra.

Cơ chế điều phối nội bộ và giải pháp thực thi

Doanh nghiệp cần rà soát toàn bộ quyền truy cập, thiết lập cơ chế mã hóa và bảo vệ các vùng dữ liệu trọng yếu. Ảnh: N.L

Vướng mắc phổ biến hiện nay là doanh nghiệp chưa xác định được điểm khởi đầu do sự rời rạc giữa các bộ phận: Pháp chế nắm quy định, công nghệ thông tin (IT) quản lý hệ thống, trong khi nhân sự, marketing và kinh doanh trực tiếp xử lý dữ liệu hằng ngày. Nếu thiếu cơ chế phối hợp, doanh nghiệp rất dễ bỏ sót nghĩa vụ hoặc đùn đẩy trách nhiệm.

Vì vậy, theo luật sư Đặng Quốc Bình, Trưởng nhóm Quy trình tuân thủ - Trung tâm An toàn thông tin VNPT (VNPT Cyber Immunity), các doanh nghiệp phải chú ý lộ trình thực thi gồm các bước có thể triển khai ngay. Trước hết là tập trung chuẩn hóa việc thu thập sự đồng ý (consent) của khách hàng. Bộ phận nghiệp vụ và pháp chế chịu trách nhiệm xác định danh mục trường thông tin cùng điều kiện pháp lý, sau đó bộ phận kỹ thuật sẽ hiện thực hóa lên hệ thống. Tiếp đến, bộ phận IT chủ trì việc rà soát toàn bộ quyền truy cập, thiết lập cơ chế mã hóa và bảo vệ các vùng dữ liệu trọng yếu.

Về mặt tổ chức, doanh nghiệp cần thành lập ban chỉ đạo do tổng giám đốc hoặc phó tổng giám đốc trực tiếp điều phối, với sự tham gia bắt buộc của đại diện pháp chế, IT và các bộ phận nghiệp vụ.

Để tránh tình trạng chồng chéo thẩm quyền hay tranh chấp quyền hạn giữa IT và pháp chế, doanh nghiệp phải ban hành quy định nội bộ về cơ chế phối hợp bảo vệ dữ liệu cá nhân.

Văn bản hành chính này cần phân định rõ thẩm quyền quyết định, tiêu chuẩn đáp ứng, thời hạn xử lý và giao quyền hạn cụ thể cho từng bộ phận để làm cơ sở giải quyết khi công việc bị đình trệ.

Luật sư Đặng Quốc Bình, Trưởng nhóm Quy trình tuân thủ - Trung tâm An toàn thông tin VNPT. Ảnh: T.T

Bên cạnh quy trình và công nghệ, công tác đào tạo nâng cao nhận thức cho toàn thể nhân sự là yếu tố then chốt. Quản trị dữ liệu luôn xoay quanh ba trụ cột: Con người - công nghệ - quy trình. Một hệ thống có quy trình chuẩn và công nghệ bảo mật hiện đại vẫn có thể bị phá vỡ nếu yếu tố con người không được tập huấn bài bản.

Cũng theo đại diện Trung tâm An toàn thông tin VNPT, việc tuân thủ nên được tích hợp vào hoạt động quản trị thường xuyên. Doanh nghiệp nên bắt đầu từ việc xây dựng bản đồ dữ liệu để kiểm soát nơi lưu trữ, phân quyền truy cập và xác định các điểm rủi ro ưu tiên.

Trên cơ sở đó, việc hoàn thiện chính sách và hồ sơ tuân thủ không chỉ phục vụ công tác kiểm tra của cơ quan nhà nước mà còn là bằng chứng minh bạch năng lực an toàn thông tin khi tham gia thẩm định hợp tác, đặc biệt với các đối tác nước ngoài.

Tuân thủ bảo vệ dữ liệu phải được thể hiện bằng hành động thực chất, quy trình rõ ràng và bằng chứng minh bạch. Đưa năng lực bảo vệ dữ liệu vào chiến lược quản trị cốt lõi chính là nền tảng vững chắc giúp doanh nghiệp phòng ngừa rủi ro pháp lý và phát triển bền vững trong kỷ nguyên số.