Quản trị rủi ro pháp lý trong thương mại hoá dữ liệu tại Việt Nam: Từ phân loại tài sản số đến trách nhiệm giải trình

Tóm tắt: Nghiên cứu sử dụng phương pháp phân tích văn bản pháp luật, tổng hợp tài liệu và đối chiếu chọn lọc với GDPR. Kết quả xác định bốn nhóm rủi ro: nhận diện dữ liệu chưa phù hợp với bối cảnh khai thác; khó phối hợp nghĩa vụ giữa các lĩnh vực pháp luật; thiếu liên kết trong quản trị vòng đời dữ liệu; và nguy cơ thực hiện trách nhiệm giải trình theo hướng hình thức. Trên cơ sở các cơ chế pháp luật đã thiết lập, bài viết kiến nghị hướng dẫn phân loại đa chiều, tăng cường điều phối, kết nối kiểm soát theo vòng đời và nâng cao khả năng kiểm chứng sự tuân thủ. Những kiến nghị này nhằm hỗ trợ doanh nghiệp khai thác giá trị dữ liệu hợp pháp, đồng thời bảo vệ quyền của chủ thể dữ liệu.

Từ khóa: Thương mại hóa dữ liệu; Quản trị rủi ro pháp lý; Phân loại dữ liệu; Trách nhiệm giải trình; Pháp luật dữ liệu.

LEGAL RISK GOVERNANCE IN DATA COMMERCIALIZATION IN VIETNAM: FROM DIGITAL ASSET CLASSIFICATION TO ACCOUNTABILITY

Abstract: The development of the digital economy increases demand for data use and creates a need to control legal risks. This article examines data commercialization in Vietnam, focusing on personal data and the relationship between data classification, processing obligations and accountability. It uses legal analysis, a review of relevant literature and a selective comparison with the GDPR. The analysis identifies four categories of risk: data identification that insufficiently reflects the context of use; difficulties in coordinating obligations across legal fields; disconnected controls throughout the data lifecycle; and the risk of formalistic accountability. Rather than treating these issues as a complete absence of regulation, the article builds on existing legal mechanisms and proposes guidance on multidimensional classification, stronger regulatory coordination, connected lifecycle controls and verifiable compliance. These recommendations seek to help businesses realize the economic value of data through lawful activities while protecting data subjects’ rights. The study offers a framework for linking legal compliance with preventive governance and does not claim to provide an empirical assessment of compliance practices.

Keywords: Data commercialization; Legal risk governance; Data classification; Accountability; Data law.

Ảnh minh hoạ

1. Đặt vấn đề

Trong bối cảnh chuyển đổi số, dữ liệu ngày càng trở thành nguồn lực trung tâm của nền kinh tế, không chỉ với vai trò hỗ trợ vận hành mà còn trực tiếp tạo ra giá trị kinh tế thông qua các hoạt động khai thác và thương mại hóa. Sự phát triển của các mô hình kinh doanh dựa trên dữ liệu đã làm gia tăng đáng kể nhu cầu thu thập, phân tích và trao đổi dữ liệu, đồng thời đặt ra những thách thức pháp lý mới vượt ra ngoài khuôn khổ điều chỉnh truyền thống.[1]

Tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân năm 2025 (Luật BVDLCN 2025), Luật Dữ liệu năm 2024 và các văn bản hướng dẫn đã tạo nền tảng pháp lý cho việc khai thác và bảo vệ dữ liệu. Vấn đề đặt ra là cách kết nối những nghĩa vụ này trong hoạt động thương mại hóa, khi dữ liệu được liên kết, tái sử dụng và chuyển giao giữa nhiều chủ thể. Rủi ro có thể phát sinh từ việc nhận diện sai loại dữ liệu, phối hợp chưa đầy đủ các nghĩa vụ và tách rời hồ sơ tuân thủ khỏi quy trình vận hành.[2]

Các nghiên cứu trong nước đã đề cập đến quyền riêng tư trong quảng cáo hành vi, bảo vệ dữ liệu trong thương mại điện tử và yêu cầu quản trị trong lĩnh vực ngân hàng. Trên cơ sở các hướng nghiên cứu đó, bài viết tập trung vào câu hỏi: phân loại dữ liệu, kiểm soát theo vòng đời và trách nhiệm giải trình cần được kết nối như thế nào để hạn chế rủi ro pháp lý trong thương mại hóa dữ liệu? Đóng góp của bài viết là sắp xếp các vấn đề này thành bốn nhóm rủi ro và kiến nghị tương ứng, thay vì xem từng nghĩa vụ một cách riêng lẻ.^[3]

Bài viết sử dụng phương pháp phân tích văn bản pháp luật và tổng hợp tài liệu, kết hợp đối chiếu chọn lọc với GDPR để làm rõ yêu cầu giải trình. Phạm vi phân tích tập trung vào khai thác giá trị dữ liệu trong hoạt động kinh doanh, đặc biệt khi có dữ liệu cá nhân; không bao quát toàn bộ chế độ tài sản số. Các ví dụ là tình huống phân tích pháp lý, không phải kết quả khảo sát doanh nghiệp. Cách tiếp cận này phù hợp với mục tiêu xây dựng kiến nghị từ mối liên hệ giữa nghĩa vụ hiện hành và rủi ro vận hành.

2. Khái quát chung về quản trị rủi ro pháp lý trong thương mại hóa dữ liệu

2.1. Thương mại hóa dữ liệu và đặc tính pháp lý của dữ liệu

Khoản 6 Điều 3 Luật Giao dịch điện tử năm 2023 xác định dữ liệu bao gồm ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự khác. Trong nền kinh tế số, dữ liệu có khả năng tạo ra giá trị thông qua phân tích, chia sẻ, cung cấp dịch vụ hoặc tích hợp vào mô hình kinh doanh. Bài viết sử dụng “thương mại hóa dữ liệu” để chỉ các hình thức khai thác giá trị đó trong giới hạn pháp luật, không đồng nhất với mua, bán dữ liệu cá nhân. Khoản 6 Điều 7 Luật BVDLCN 2025 nghiêm cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Việc người dùng cung cấp thông tin để sử dụng dịch vụ số cũng không đương nhiên làm phát sinh quyền định đoạt dữ liệu của doanh nghiệp.^[4]

Dữ liệu có những đặc tính pháp lý đặc thù khiến việc thương mại hóa không thể tiếp cận theo cách truyền thống như đối với tài sản hữu hình.

Thứ nhất, dữ liệu có tính phi vật chất và khả năng sao chép gần như không giới hạn. Nhiều chủ thể có thể cùng khai thác một tập dữ liệu, khiến việc xác định phạm vi kiểm soát, quyền sử dụng và trách nhiệm trở nên phức tạp. Tuy nhiên, giá trị kinh tế không đủ để kết luận mọi dữ liệu đều là tài sản được tự do giao dịch. Cần phân biệt dữ liệu như một nguồn lực kinh tế với quyền khai thác dữ liệu được pháp luật thừa nhận và bảo vệ.[5]

Thứ hai, dữ liệu cá nhân gắn với quyền nhân thân, nên việc khai thác phải tuân thủ các giới hạn về mục đích, phạm vi xử lý và quyền của chủ thể dữ liệu. Sự đồng ý là một căn cứ quan trọng, nhưng không phải điều kiện bắt buộc trong mọi trường hợp; Luật BVDLCN 2025 có quy định riêng về xử lý không cần sự đồng ý. Vì vậy, doanh nghiệp phải xác định đúng căn cứ xử lý cho từng hoạt động, thay vì coi sự đồng ý ban đầu là cho phép mọi hình thức khai thác sau đó.^[6]

Thứ ba, dữ liệu có khả năng tái sử dụng linh hoạt trong nhiều bối cảnh, làm phát sinh nguy cơ sử dụng vượt quá mục đích ban đầu. Ranh giới giữa khai thác hợp pháp và lạm dụng dữ liệu vì vậy trở nên khó xác định, đặc biệt trong các mô hình kinh doanh dựa trên phân tích dữ liệu và thuật toán.

Từ các đặc điểm này, có thể thấy rủi ro pháp lý trong thương mại hóa dữ liệu không chỉ phát sinh từ hành vi vi phạm rõ ràng, mà còn tiềm ẩn trong chính các hoạt động hợp pháp nếu thiếu cơ chế kiểm soát phù hợp. Việc nhận diện đúng đặc tính pháp lý của dữ liệu là tiền đề quan trọng để xây dựng cơ chế quản trị rủi ro và bảo đảm trách nhiệm giải trình trong khai thác dữ liệu.

2.2. Phân loại dữ liệu và ý nghĩa đối với kiểm soát rủi ro pháp lý

Phân loại dữ liệu giữ vai trò nền tảng trong việc xác định nghĩa vụ và biện pháp kiểm soát. Luật BVDLCN 2025 phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Bên cạnh đó, Luật Dữ liệu năm 2024 thiết lập các nhóm dữ liệu cốt lõi, dữ liệu quan trọng và dữ liệu khác, đồng thời cho phép phân loại theo các tiêu chí quản trị bổ sung. Vì vậy, hạn chế cần phân tích không phải là pháp luật chỉ có một tiêu chí, mà là cách phối hợp những tiêu chí này với rủi ro của từng hoạt động thương mại hóa.^[7]

Việc phân loại phục vụ quản trị cần kết hợp mức độ nhạy cảm với khả năng nhận dạng, nguy cơ liên kết hoặc tái nhận dạng, mục đích sử dụng và tác động đến chủ thể dữ liệu. Giá trị kinh tế giúp xác định vai trò của dữ liệu trong mô hình kinh doanh, nhưng không phải căn cứ độc lập để giảm mức bảo vệ. Cách tiếp cận đa chiều nhằm cụ thể hóa nghĩa vụ hiện hành và lựa chọn biện pháp phù hợp, không thay thế các nhóm phân loại đã được luật quy định.

Công nghệ số làm xuất hiện dữ liệu suy diễn (inferred data), dữ liệu tổng hợp (aggregated data) và dữ liệu do hệ thống trí tuệ nhân tạo tạo ra. Nguồn gốc tạo lập không tự quyết định địa vị pháp lý: dữ liệu suy diễn về một cá nhân vẫn có thể là dữ liệu cá nhân; dữ liệu tổng hợp chỉ nằm ngoài phạm vi đó khi đáp ứng điều kiện khử nhận dạng. Do vậy, cần đánh giá khả năng xác định cá nhân trong bối cảnh khai thác thực tế, thay vì chỉ xem tập dữ liệu có chứa tên hoặc mã định danh trực tiếp hay không.[8]^,[9],[10]

Phân loại dữ liệu không chỉ là vấn đề học thuật mà còn là công cụ thực tiễn để doanh nghiệp xác định phạm vi nghĩa vụ và mức độ kiểm soát cần thiết. Một cơ chế phân loại hợp lý sẽ giúp phân tầng rủi ro, từ đó áp dụng các biện pháp tương ứng như tăng cường bảo mật đối với dữ liệu nhạy cảm, kiểm soát chặt chẽ mục đích xử lý hoặc thiết lập cơ chế giám sát đối với dữ liệu phái sinh. Ngược lại, nếu thiếu một hệ thống phân loại phù hợp, việc áp dụng nghĩa vụ pháp lý sẽ dễ rơi vào tình trạng dàn trải hoặc không chính xác, làm gia tăng rủi ro vi phạm và trách nhiệm pháp lý trong quá trình khai thác và thương mại hóa dữ liệu.

2.3. Nguyên tắc trách nhiệm giải trình trong quản trị dữ liệu

Theo GDPR, trách nhiệm giải trình đòi hỏi bên kiểm soát dữ liệu vừa tuân thủ, vừa có khả năng chứng minh việc tuân thủ. Các biện pháp tổ chức, kỹ thuật và đánh giá tác động phải phù hợp với rủi ro; đánh giá tác động không bắt buộc đối với mọi hoạt động xử lý. Cách tiếp cận này cung cấp cơ sở tham khảo cho việc kết nối hồ sơ pháp lý với kiểm soát vận hành, nhưng không thể áp dụng nguyên trạng mà bỏ qua cơ chế của pháp luật Việt Nam.[11]^,[12]

Trong pháp luật Việt Nam, trách nhiệm bảo vệ dữ liệu không chỉ là nghĩa vụ lập hồ sơ. Điều 37 Luật BVDLCN 2025 quy định trách nhiệm theo vai trò của các bên; Luật Dữ liệu cũng có yêu cầu về quản trị và kiểm soát rủi ro. Vấn đề cần xem xét là khả năng chuyển những nghĩa vụ đó thành quy trình có thể kiểm chứng: ai quyết định mục đích, ai thực hiện biện pháp bảo vệ và ai xử lý khi phát sinh sự cố. Không thể từ sự tồn tại của thủ tục báo cáo suy ra cơ chế giải trình chỉ mang tính hình thức.^[13]

Trong bối cảnh thương mại hóa dữ liệu ngày càng phức tạp, nguyên tắc này cần được hiểu theo nghĩa rộng hơn, gắn với khả năng dự liệu, kiểm soát và chứng minh. Doanh nghiệp không chỉ cần chứng minh rằng dữ liệu được xử lý hợp pháp, mà còn phải chứng minh rằng các rủi ro liên quan đã được nhận diện, đánh giá và kiểm soát ở mức phù hợp. Điều này đòi hỏi việc tích hợp trách nhiệm giải trình vào toàn bộ vòng đời dữ liệu - từ thu thập, lưu trữ, xử lý đến chia sẻ và xóa bỏ.

Trách nhiệm giải trình đóng vai trò như một trục kết nối giữa quy định pháp luật và thực tiễn vận hành. Khi được thiết kế đúng cách, nguyên tắc này cho phép doanh nghiệp chuyển từ mô hình tuân thủ bị động sang quản trị chủ động, qua đó không chỉ giảm thiểu nguy cơ vi phạm mà còn tạo dựng niềm tin với người dùng và đối tác. Ngược lại, nếu chỉ dừng ở mức tuân thủ hình thức, trách nhiệm giải trình sẽ khó phát huy giá trị, thậm chí làm gia tăng rủi ro do thiếu khả năng kiểm chứng và phản ứng kịp thời trước các sự cố dữ liệu.

3. Các rủi ro pháp lý trong thương mại hóa dữ liệu tại Việt Nam

Khung pháp luật hiện hành đã ghi nhận quyền của chủ thể dữ liệu, trách nhiệm của các bên và các công cụ kiểm soát rủi ro. Tuy nhiên, việc có quy định không tự bảo đảm rằng các nghĩa vụ được kết nối đầy đủ trong mỗi mô hình kinh doanh. Phần này nhận diện bốn nhóm rủi ro từ cấu trúc hoạt động xử lý và yêu cầu phối hợp pháp luật. Đây là phân tích về nguy cơ pháp lý, không phải kết luận từ khảo sát về mức độ tuân thủ của doanh nghiệp.

3.1. Rủi ro từ việc phân loại và nhận diện dữ liệu chưa phù hợp với bối cảnh khai thác

Dữ liệu có thể đồng thời thuộc nhiều nhóm phân loại phục vụ những mục tiêu bảo vệ khác nhau. Một tập dữ liệu có thể vừa chứa thông tin cá nhân nhạy cảm, vừa thuộc nhóm dữ liệu quan trọng theo pháp luật dữ liệu. Rủi ro phát sinh khi doanh nghiệp chỉ áp dụng một nhóm phân loại và bỏ sót nghĩa vụ gắn với nhóm còn lại, hoặc không đánh giá lại khi dữ liệu được kết hợp và sử dụng cho mục đích mới.

Giá trị kinh tế của dữ liệu không chỉ phụ thuộc vào mức độ nhạy cảm, mà còn gắn chặt với khả năng khai thác, phân tích và kết hợp dữ liệu trong các mô hình kinh doanh. Đặc biệt, sự phát triển của công nghệ số đã làm xuất hiện nhiều dạng dữ liệu phái sinh như dữ liệu suy diễn, dữ liệu tổng hợp hoặc dữ liệu do hệ thống trí tuệ nhân tạo tạo ra. Những loại dữ liệu này tuy không trực tiếp chứa thông tin định danh, nhưng thông qua quá trình xử lý và liên kết, vẫn có thể dẫn đến khả năng nhận diện cá nhân hoặc tác động đáng kể đến quyền và lợi ích của chủ thể dữ liệu.

Trong quảng cáo trực tuyến, các nền tảng có thể xây dựng hồ sơ hành vi từ lịch sử tìm kiếm, truy cập và tương tác. Khi được liên kết, những thông tin riêng lẻ có thể cho phép nhận diện hoặc suy đoán đặc điểm nhạy cảm của người dùng. Vấn đề pháp lý cần giải quyết là xác định tập dữ liệu và kết quả suy diễn có thuộc phạm vi dữ liệu cá nhân hay không, mục đích phân tích có hợp pháp không và các chủ thể tham gia phải thực hiện nghĩa vụ nào. Không thể coi dữ liệu suy diễn đương nhiên nằm ngoài sự điều chỉnh chỉ vì luật chưa gọi tên từng dạng dữ liệu.[14]

Pháp luật đã có những nghĩa vụ khác nhau theo loại dữ liệu và hoàn cảnh xử lý; vì vậy, không nên khẳng định mọi nghĩa vụ được áp dụng đồng loạt. Tuy nhiên, trong quản trị nội bộ, phân loại tĩnh có thể chưa phản ánh được thay đổi về quy mô, mục đích và khả năng liên kết dữ liệu. Nếu không đánh giá lại, doanh nghiệp có thể đầu tư kiểm soát không tương xứng: tốn nguồn lực cho hoạt động ít rủi ro nhưng bỏ sót hoạt động ảnh hưởng lớn đến quyền của cá nhân.[15]

3.2. Rủi ro từ việc phối hợp nghĩa vụ giữa các lĩnh vực pháp luật

Hoạt động thương mại hóa dữ liệu chịu sự điều chỉnh của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân, bảo vệ quyền lợi người tiêu dùng, thương mại điện tử và an ninh mạng. Những lĩnh vực này có mục tiêu bổ trợ nhau; sự tồn tại đồng thời của chúng chưa đủ chứng minh có mâu thuẫn. Rủi ro nằm ở việc doanh nghiệp không xác định đầy đủ phạm vi áp dụng hoặc không kết nối các nghĩa vụ trong cùng một quy trình xử lý.

Trong thực tiễn tuân thủ, sự phân mảnh này thể hiện rõ ở việc một hành vi xử lý dữ liệu có thể đồng thời làm phát sinh nhiều nghĩa vụ pháp lý khác nhau. Chẳng hạn, một doanh nghiệp thương mại điện tử khi triển khai chương trình chăm sóc khách hàng không chỉ xử lý dữ liệu để thực hiện hợp đồng (giao hàng), mà còn sử dụng dữ liệu cho mục đích marketing và phân tích hành vi tiêu dùng. Khi đó, doanh nghiệp vừa phải đáp ứng yêu cầu về sự đồng ý và mục đích xử lý theo pháp luật bảo vệ dữ liệu cá nhân, vừa phải bảo đảm nghĩa vụ minh bạch thông tin theo pháp luật bảo vệ quyền lợi người tiêu dùng, đồng thời tuân thủ các quy định về lưu trữ, bảo mật và an toàn hệ thống theo pháp luật an ninh mạng.

Với tình huống trên, yêu cầu trước hết là tách mục đích thực hiện giao dịch khỏi mục đích quảng cáo và phân tích hành vi, rồi xác định căn cứ xử lý và nghĩa vụ tương ứng. Không thể dùng nhu cầu giao hàng để mặc nhiên hợp thức hóa việc tái sử dụng dữ liệu cho marketing. Nếu cho rằng các quy định mâu thuẫn, cần chỉ rõ điều khoản và nội dung không thể tuân thủ đồng thời; khi chưa có đối chiếu đó, vấn đề nên được xác định là khó khăn trong phối hợp và hướng dẫn áp dụng.

Việc phối hợp nhiều nhóm nghĩa vụ có thể làm tăng chi phí tuân thủ, đặc biệt với doanh nghiệp nhỏ và vừa. Trong chuyển dữ liệu xuyên biên giới, doanh nghiệp còn phải xác định vai trò của bên nhận, phạm vi chuyển, các trường hợp phải đánh giá tác động và trách nhiệm theo hợp đồng. Không nên dùng việc thiếu cơ chế đánh giá mức bảo vệ tương đương của quốc gia tiếp nhận như một thiếu sót mặc nhiên của pháp luật Việt Nam, vì đây là công cụ thuộc một mô hình điều chỉnh cụ thể. Trọng tâm phù hợp hơn là hướng dẫn cách thực hiện cơ chế hiện hành và kiểm soát đối tác trong chuỗi xử lý.^[16]

3.3. Rủi ro từ việc thiếu liên kết trong quản trị vòng đời dữ liệu

Luật Dữ liệu đã có quy định về quản trị liên tục, đánh giá rủi ro và bảo vệ dữ liệu trong quá trình xử lý. Vì vậy, không có cơ sở để khẳng định pháp luật hoàn toàn thiếu cách tiếp cận theo vòng đời. Rủi ro cần phân tích là việc các yêu cầu này chưa được kết nối thành một chuỗi kiểm soát trong hoạt động của từng doanh nghiệp, nhất là khi nhiều đơn vị và đối tác cùng tham gia.^[17]

Rủi ro có thể xuất hiện trong lưu trữ, chia sẻ hoặc chuyển giao dù khâu thu thập ban đầu đáp ứng yêu cầu pháp luật. Chẳng hạn, nếu quyền truy cập không được cập nhật sau khi nhân sự thay đổi, hoặc bên cung cấp dịch vụ tiếp tục giữ dữ liệu khi hợp đồng kết thúc, tính hợp pháp của khâu thu thập không loại trừ nguy cơ xử lý trái phép ở khâu sau. Đây là các tình huống minh họa cho nhu cầu kiểm soát nội bộ và quản lý đối tác, không phải dữ liệu thống kê về nguyên nhân của những vụ rò rỉ cụ thể.[18]

Về bản chất, hoạt động thương mại hóa dữ liệu luôn gắn với một chuỗi xử lý liên tục, từ thu thập, lưu trữ, phân tích, khai thác, chia sẻ cho đến xóa hoặc hủy dữ liệu. Mỗi giai đoạn đều tiềm ẩn những rủi ro pháp lý riêng, nhưng đồng thời cũng có mối liên hệ chặt chẽ với nhau. Việc thiếu một cách tiếp cận theo vòng đời khiến các rủi ro này không được nhận diện và kiểm soát một cách hệ thống, dẫn đến tình trạng doanh nghiệp có thể tuân thủ tốt ở từng khâu riêng lẻ, nhưng vẫn đối mặt với rủi ro tổng thể ở mức cao.

Một chuỗi kiểm soát phù hợp phải nhận diện được sự thay đổi rủi ro giữa các giai đoạn. Khi dữ liệu được dùng cho mục đích mới, liên kết với nguồn khác hoặc chuyển cho một đối tác, doanh nghiệp cần rà soát căn cứ xử lý, phạm vi quyền truy cập và biện pháp bảo vệ. Quản trị theo vòng đời do đó không phải thay thế nghĩa vụ tuân thủ, mà là tổ chức thực hiện các nghĩa vụ liên tục và nhất quán.

3.4. Rủi ro thực hiện trách nhiệm giải trình theo hướng hình thức

Hồ sơ đánh giá tác động và thông báo vi phạm là những công cụ kiểm soát cần thiết. Nguy cơ hình thức phát sinh nếu doanh nghiệp chỉ lập hồ sơ để hoàn thành thủ tục, nhưng không sử dụng kết quả đánh giá để thay đổi cách xử lý dữ liệu. Khi chưa có khảo sát hoặc chứng cứ về thực thi, bài viết không kết luận đây là tình trạng phổ biến, mà xem xét những điều kiện có thể làm giảm hiệu quả của cơ chế giải trình.

Nghị định số 356/2025/NĐ-CP đã quy định chi tiết và cung cấp biểu mẫu về đánh giá tác động; vì vậy, không thể khẳng định hoàn toàn thiếu hướng dẫn. Vấn đề cần tiếp tục làm rõ là cách nhận diện mức độ rủi ro, lựa chọn biện pháp kiểm soát và chứng minh hiệu quả của biện pháp đó trong từng mô hình xử lý. Tiêu chí định lượng có thể hữu ích, nhưng cần kết hợp đánh giá định tính về quyền của cá nhân, thay vì coi việc thiếu một thang điểm thống nhất đồng nghĩa với không thể đánh giá rủi ro.[19]^,[20]

Ở cấp doanh nghiệp, hồ sơ cần gắn với quyết định và trách nhiệm cụ thể: ai phê duyệt mục đích mới, ai kiểm tra bên cung cấp dịch vụ và ai cập nhật biện pháp khi rủi ro thay đổi. Nếu thiếu sự kết nối này, hồ sơ khó phản ánh đúng hoạt động xử lý và khó hỗ trợ kiểm tra sau sự cố. Ngược lại, việc cập nhật và sử dụng hồ sơ trong quản trị sẽ giúp doanh nghiệp chứng minh tuân thủ và phát hiện vấn đề trước khi phát sinh thiệt hại.

Ảnh minh hoạ

4. Kiến nghị hoàn thiện pháp luật về quản trị rủi ro pháp lý trong thương mại hóa dữ liệu

Trên cơ sở các rủi ro pháp lý đã được nhận diện, việc hoàn thiện pháp luật Việt Nam cần được định hướng theo cách tiếp cận dựa trên quản trị rủi ro, trong đó trọng tâm là thiết lập mối quan hệ tương thích giữa phân loại dữ liệu, nghĩa vụ pháp lý và cơ chế trách nhiệm giải trình:

Thứ nhất, hướng dẫn phân loại dữ liệu theo hướng đa chiều trên cơ sở các nhóm đã được luật xác lập. Ngoài mức độ nhạy cảm và tầm quan trọng, hướng dẫn nên làm rõ khả năng nhận dạng, liên kết và tái nhận dạng, mục đích khai thác và tác động đến quyền của cá nhân. Giá trị kinh tế được xem xét để hiểu mô hình kinh doanh, không dùng để hạ thấp yêu cầu bảo vệ. Những hướng dẫn này cần giúp doanh nghiệp xác định nghĩa vụ hiện hành và biện pháp tăng cường phù hợp; nếu kiến nghị bổ sung nghĩa vụ mới, phải xác định rõ căn cứ và cấp văn bản có thẩm quyền.

Đối với dữ liệu suy diễn, dữ liệu tổng hợp và dữ liệu do trí tuệ nhân tạo tạo ra, cần hướng dẫn việc áp dụng khái niệm dữ liệu cá nhân và tiêu chuẩn khử nhận dạng trong các tình huống cụ thể. Việc làm rõ nên dựa trên khả năng xác định cá nhân, mục đích và bối cảnh sử dụng, tránh mặc nhiên đặt mọi dữ liệu phái sinh vào cùng một nhóm. Văn bản hướng dẫn không được mở rộng hoặc thu hẹp phạm vi luật trái thẩm quyền.

Thứ hai, tăng cường điều phối để thống nhất việc áp dụng các nhóm nghĩa vụ liên quan. Cần phát huy vai trò của cơ quan chuyên trách và cơ chế phối hợp giữa các cơ quan hiện có, thay vì mặc nhiên kiến nghị thành lập một đầu mối mới. Hướng dẫn liên ngành nên giúp doanh nghiệp xác định phạm vi áp dụng, giải thích thuật ngữ và xử lý những vướng mắc cụ thể. Khi có xung đột thực sự, việc lựa chọn quy định áp dụng phải tuân thủ nguyên tắc của pháp luật, không được đặt ra cơ chế ưu tiên tùy ý bằng hướng dẫn.

Bên cạnh đó, ban hành các hướng dẫn liên ngành đối với những hoạt động có tính chất giao thoa cao, đặc biệt là trong thương mại điện tử và chuyển dữ liệu xuyên biên giới. Việc thiết lập cơ chế điều phối thống nhất không chỉ giúp giảm chi phí tuân thủ cho doanh nghiệp, mà còn nâng cao tính minh bạch và khả năng dự đoán của môi trường pháp lý.

Thứ ba, cụ thể hóa quản trị rủi ro pháp lý theo vòng đời dữ liệu. Trên cơ sở nghĩa vụ hiện hành, doanh nghiệp cần kết nối các khâu thu thập, lưu trữ, phân tích, chia sẻ, chuyển giao và xóa hoặc hủy dữ liệu bằng một quy trình nội bộ. Quy trình cần phân công trách nhiệm, xác định điều kiện thay đổi mục đích và ghi nhận việc kiểm tra. Với bên xử lý và bên thứ ba, hợp đồng cần cụ thể hóa bảo mật, giới hạn sử dụng, thời hạn lưu giữ và cách thức kiểm chứng, phù hợp với vai trò pháp lý của từng bên.

Song song đó, cần thiết lập cơ chế đánh giá rủi ro theo từng giai đoạn xử lý dữ liệu, làm cơ sở để áp dụng các biện pháp kiểm soát tương ứng. Cách tiếp cận này cho phép chuyển từ mô hình “tuân thủ cục bộ” sang “kiểm soát tổng thể”, qua đó nâng cao hiệu quả phòng ngừa vi phạm và giảm thiểu rủi ro pháp lý phát sinh trong toàn bộ quá trình thương mại hóa dữ liệu.

Thứ tư, nâng cao khả năng kiểm chứng trách nhiệm giải trình. Cần hướng dẫn cách liên kết hồ sơ đánh giá tác động với kiểm soát nội bộ và quyết định vận hành, đồng thời khuyến khích rà soát định kỳ theo mức rủi ro. Kiểm toán dữ liệu hoặc giám sát độc lập có thể được đề xuất đối với hoạt động rủi ro cao, nhưng cần xác định rõ phạm vi, chi phí và thẩm quyền trước khi thiết lập nghĩa vụ bắt buộc. Phương pháp đánh giá nên kết hợp tiêu chí định lượng và định tính, chú ý mức độ ảnh hưởng, khả năng xảy ra và khả năng khắc phục thiệt hại.

Việc kiểm tra cần sử dụng các bằng chứng phản ánh hoạt động thực tế, như phân quyền truy cập, cập nhật hồ sơ khi thay đổi mục đích và thực hiện nghĩa vụ của đối tác. Đối với doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp, hướng dẫn và kiến nghị phải tính đến cơ chế chuyển tiếp, các trường hợp miễn trừ và ngoại lệ luật định. Cách thiết kế tương xứng giúp tăng hiệu quả bảo vệ mà không tạo thêm gánh nặng đồng loạt cho mọi hoạt động xử lý.^[21]

5. Kết luận

Hoạt động thương mại hóa dữ liệu đòi hỏi kết nối việc khai thác giá trị kinh tế với bảo vệ quyền của chủ thể dữ liệu. Pháp luật Việt Nam đã thiết lập các công cụ phân loại, quản trị rủi ro và xác định trách nhiệm; thách thức là áp dụng những công cụ này nhất quán trong các mô hình xử lý có nhiều mục đích và nhiều chủ thể. Bốn nhóm rủi ro được phân tích cho thấy nhu cầu hướng dẫn phân loại theo bối cảnh, phối hợp nghĩa vụ liên ngành, kết nối kiểm soát theo vòng đời và bảo đảm giải trình có thể kiểm chứng. Quản trị rủi ro cần bổ trợ cho tuân thủ pháp luật, không thay thế nghĩa vụ hoặc hợp thức hóa hoạt động bị cấm. Do chưa khảo sát thực tiễn doanh nghiệp, bài viết chỉ đưa ra nhận diện và kiến nghị từ phân tích pháp lý; hiệu quả thực thi cần được kiểm nghiệm trong nghiên cứu tiếp theo.