Luật Bảo vệ dữ liệu cá nhân: năm việc nền tảng dữ liệu phải làm được
Luật 91/2025 và Nghị định 356/2025 đặt nhiều nghĩa vụ lên chính nền tảng dữ liệu. Năm việc cần làm được, kèm căn cứ từng điều khoản.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026, đi kèm Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Phần lớn doanh nghiệp đã cập nhật chính sách quyền riêng tư và mẫu thu thập sự đồng ý. Phần dễ bị bỏ sót nằm ở chỗ khác: nhiều nghĩa vụ trong luật chỉ thực hiện được nếu nền tảng dữ liệu được thiết kế để đáp ứng, và bộ phận pháp chế không thể tự làm thay.
Bài viết này điểm lại năm việc mà kho dữ liệu, lakehouse hay nền tảng phân tích của doanh nghiệp phải làm được, kèm căn cứ từ luật và nghị định.
1. Biết dữ liệu cá nhân nhạy cảm nằm ở đâu
Điều 4 Nghị định 356 liệt kê danh mục dữ liệu cá nhân nhạy cảm, và danh mục này rộng hơn nhiều người nghĩ. Ngoài sức khỏe, sinh trắc học hay vị trí, danh mục còn gồm thông tin thẻ và lịch sử giao dịch tài khoản ngân hàng, thông tin tài chính, tín dụng, chứng khoán, bảo hiểm của khách hàng (điểm k), và dữ liệu theo dõi hành vi sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ trực tuyến (điểm l).
Với ngân hàng, công ty bảo hiểm, công ty chứng khoán và doanh nghiệp viễn thông, điều đó có nghĩa là phần lớn bảng dữ liệu cốt lõi trên nền tảng phân tích đều chứa dữ liệu nhạy cảm. Khoản 2 cùng điều yêu cầu thiết lập phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật riêng cho loại dữ liệu này.
Việc đầu tiên vì thế là phân loại: gắn nhãn từng bảng, từng cột chứa dữ liệu cá nhân và dữ liệu nhạy cảm. Trên Databricks, việc này làm bằng tag trong Unity Catalog, và nhãn đi theo dữ liệu thay vì nằm trong một bảng tính riêng dễ lỗi thời.
2. Phân quyền và giám sát mọi lượt truy cập
Khoản 3 Điều 30 Luật 91 yêu cầu hệ thống dữ liệu lớn, trí tuệ nhân tạo và điện toán đám mây phải có phương thức xác thực, định danh và phân quyền truy cập phù hợp khi xử lý dữ liệu cá nhân. Điều 9 Nghị định 356 cụ thể hơn cho xử lý dữ liệu lớn: xác thực đa yếu tố tối thiểu, phân quyền để chỉ người có quyền mới truy cập được, mã hóa hoặc ẩn danh khi chuyển giao, và giám sát liên tục để phát hiện truy cập bất thường. Điều 12 yêu cầu dữ liệu cá nhân trên điện toán đám mây được mã hóa khi lưu trữ và khi truyền.
Trên nền tảng dữ liệu, các yêu cầu này tương ứng với ba lớp kiểm soát:
- Quyền truy cập cấp theo nhóm và theo vai trò, không cấp cho từng cá nhân rải rác.
- Bộ lọc dòng và che cột để cùng một bảng hiển thị khác nhau cho người có quyền khác nhau, thay vì nhân bản bảng cho từng đối tượng.
- Nhật ký truy cập được lưu và truy vấn được, để trả lời câu hỏi ai đã đọc bảng nào, khi nào.
Unity Catalog cung cấp cả ba lớp này và ghi nhật ký kiểm toán vào system tables, nên việc giám sát trở thành một truy vấn thay vì một đợt thu thập thủ công.
3. Trả lời yêu cầu của chủ thể dữ liệu đúng thời hạn
Điều 5 Nghị định 356 đặt thời hạn cụ thể. Khi nhận yêu cầu xóa dữ liệu, doanh nghiệp phải phản hồi trong 2 ngày làm việc và thực hiện trong 20 ngày; nếu phải yêu cầu bên xử lý hoặc bên thứ ba xóa thì thời hạn là 30 ngày. Yêu cầu xem hoặc chỉnh sửa phải thực hiện trong 10 ngày. Yêu cầu rút lại sự đồng ý hoặc hạn chế xử lý phải thực hiện trong 15 ngày.
Thời hạn 20 ngày chỉ khả thi khi doanh nghiệp biết dữ liệu của một người đang nằm ở những bảng nào, đã được sao chép sang những bảng tổng hợp, mô hình hay báo cáo nào. Đó là câu hỏi về lineage. Không có lineage, mỗi yêu cầu xóa trở thành một cuộc tìm kiếm thủ công qua hàng trăm bảng.
Có một chi tiết kỹ thuật cần lưu ý. Khoản 3 Điều 14 Luật 91 yêu cầu việc xóa phải bằng biện pháp an toàn, ngăn chặn việc khôi phục trái phép. Trên định dạng Delta, lệnh DELETE loại dòng dữ liệu khỏi phiên bản hiện tại, nhưng các tệp dữ liệu cũ vẫn còn cho tới khi chạy VACUUM sau thời gian lưu giữ (mặc định 7 ngày). Quy trình xóa theo yêu cầu vì thế phải gồm cả bước dọn tệp cũ, và thời gian lưu giữ phải được đặt sao cho toàn bộ quy trình vẫn nằm trong thời hạn 20 ngày.
4. Kiểm soát việc chuyển dữ liệu ra nước ngoài
Điểm c khoản 1 Điều 20 Luật 91 coi việc dùng nền tảng đặt ngoài lãnh thổ Việt Nam để xử lý dữ liệu cá nhân thu thập tại Việt Nam là chuyển dữ liệu xuyên biên giới. Nếu workspace Databricks hay kho dữ liệu cloud của doanh nghiệp đặt ở một vùng ngoài Việt Nam, chẳng hạn Singapore, thì hoạt động phân tích hằng ngày trên nền tảng đó đã thuộc trường hợp này.
Hệ quả là doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và gửi cho cơ quan chuyên trách trong 60 ngày kể từ lần chuyển đầu tiên (khoản 2 Điều 20). Đây cũng là vi phạm có mức phạt cao nhất trong luật: tối đa 5% doanh thu của năm trước liền kề (khoản 4 Điều 8).
Hồ sơ này đòi hỏi mô tả được luồng dữ liệu: dữ liệu gì, từ hệ thống nào, đến vùng nào, cho mục đích gì. Điều 12 Nghị định 356 còn yêu cầu hợp đồng với nhà cung cấp điện toán đám mây nêu rõ luồng xử lý dữ liệu cá nhân và vai trò các bên. Một nền tảng có danh mục dữ liệu và lineage đầy đủ giúp trả lời các câu hỏi này từ chính hệ thống, thay vì dựa vào trí nhớ của đội ngũ kỹ thuật.
5. Lập và cập nhật hồ sơ đánh giá tác động
Điều 21 Luật 91 yêu cầu bên kiểm soát dữ liệu lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi trong 60 ngày kể từ ngày đầu tiên xử lý. Điều 22 yêu cầu cập nhật định kỳ 6 tháng khi có thay đổi. Hồ sơ vì vậy không phải việc làm một lần: mỗi nguồn dữ liệu mới, mỗi mục đích sử dụng mới hay mỗi mô hình AI mới đều có thể là một thay đổi cần cập nhật.
Doanh nghiệp lập hồ sơ bằng cách thu thập thông tin thủ công sẽ gặp khó ngay ở lần cập nhật thứ hai. Cách bền vững hơn là để nền tảng tự cung cấp phần lớn nội dung: danh mục bảng chứa dữ liệu cá nhân, danh sách nhóm có quyền truy cập, luồng dữ liệu và nhật ký sử dụng, tất cả đều truy vấn được tại thời điểm cần lập hồ sơ.
Ai được miễn
Theo khoản 2 Điều 38 Luật 91 và Điều 41 Nghị định 356, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được chọn không lập hồ sơ đánh giá tác động trong 5 năm. Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải lập. Miễn trừ này không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc đã xử lý dữ liệu của từ 100 nghìn chủ thể trở lên.
Miễn trừ cũng chỉ áp dụng cho hồ sơ đánh giá tác động xử lý dữ liệu. Nghĩa vụ về chuyển dữ liệu xuyên biên giới tại Điều 20 không có miễn trừ tương tự. Ngân hàng, công ty bảo hiểm và doanh nghiệp viễn thông, vốn xử lý dữ liệu nhạy cảm của hàng triệu khách hàng, không thuộc diện được miễn.
Sancire làm gì trong việc này
Năm việc trên đều là năng lực của nền tảng: phân loại, phân quyền, lineage, quy trình xóa và bằng chứng. Nhóm dịch vụ Quản trị của Sancire thiết lập các năng lực này trên Databricks bằng Unity Catalog, và gói Bằng chứng tuân thủ liên kết từng nghĩa vụ pháp lý với bằng chứng có sẵn trong nền tảng. Nếu doanh nghiệp chưa rõ nền tảng hiện tại đáp ứng đến đâu, buổi khảo sát 90 phút là điểm bắt đầu phù hợp.
Nguồn: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, bản Công báo số 971+972 ngày 24/7/2025, các Điều 8, 14, 20, 21, 22, 30 và 38. Nghị định 356/2025/NĐ-CP, các Điều 4, 5, 9, 12 và 41. Đối chiếu ngày 28/9/2026. Tính năng Unity Catalog và Delta: tài liệu Databricks về Unity Catalog. Bài viết chỉ mang tính giới thiệu, không thay thế tư vấn pháp lý cho từng trường hợp cụ thể.