Luật Dữ liệu 2024, có hiệu lực từ 1/7/2025, phân loại dữ liệu theo hai trục. Trục thứ nhất là mức độ quan trọng, trong đó dữ liệu cốt lõi và dữ liệu quan trọng là hai nhóm phải quản lý, bảo vệ chặt. Trục thứ hai áp cho dữ liệu của cơ quan nhà nước theo phạm vi chia sẻ: dữ liệu dùng chung, dữ liệu dùng riêng và dữ liệu mở.
Trước luật này, các khái niệm như "dữ liệu mở" hay "dữ liệu dùng chung" đã xuất hiện trong văn bản về chính phủ điện tử, nhưng chưa có một hệ phân loại ở cấp luật. Bài giải thích từng nhóm, ai quyết định một bộ dữ liệu thuộc nhóm nào, và điều đó ảnh hưởng tới doanh nghiệp, người dân ra sao. Nội dung tính tới tháng 11/2026; danh mục cụ thể do cấp có thẩm quyền ban hành và có thể được cập nhật, bạn tra bản hiện hành trước khi kết luận.
Vì sao luật cần phân loại dữ liệu
Không phải dữ liệu nào cũng cần bảo vệ như nhau. Số liệu bán hàng của một tiệm tạp hoá và dữ liệu về hệ thống điện quốc gia đều là dữ liệu số, nhưng hậu quả nếu bị lộ hoặc bị đưa ra nước ngoài khác nhau một trời một vực. Nếu luật áp một mức kiểm soát chung cho tất cả, hoặc là quá lỏng với dữ liệu nhạy cảm, hoặc là quá chặt với dữ liệu thông thường.
Phân loại giúp dồn nguồn lực vào nơi cần: dữ liệu càng quan trọng thì yêu cầu bảo vệ, đánh giá rủi ro, kiểm soát chuyển ra nước ngoài càng cao. Doanh nghiệp không giữ dữ liệu thuộc nhóm đặc biệt thì gánh nghĩa vụ nhẹ hơn.
Trục phân loại thứ hai, theo phạm vi chia sẻ, phục vụ một mục tiêu khác: buộc cơ quan nhà nước xác định rõ bộ dữ liệu nào được chia sẻ cho cơ quan khác, bộ nào chỉ dùng nội bộ, và bộ nào công bố cho xã hội khai thác. Đây là nền để giảm cảnh người dân phải nộp đi nộp lại một loại giấy tờ.
Hai trục phân loại trong Luật Dữ liệu
Bảng tóm tắt ở mức khái niệm. Tiêu chí, danh mục và yêu cầu quản lý cụ thể do văn bản hướng dẫn quy định.
| Trục | Nhóm | Hiểu đơn giản | Hệ quả chính |
|---|---|---|---|
| Mức độ quan trọng | Dữ liệu cốt lõi | Dữ liệu tác động trực tiếp tới quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khoẻ và an toàn cộng đồng ở mức cao nhất | Bảo vệ ở mức cao nhất; chuyển, xử lý xuyên biên giới bị kiểm soát chặt |
| Mức độ quan trọng | Dữ liệu quan trọng | Dữ liệu có thể tác động tới các lĩnh vực trên nhưng ở mức thấp hơn | Có yêu cầu quản lý, đánh giá rủi ro theo quy định |
| Mức độ quan trọng | Dữ liệu còn lại | Phần lớn dữ liệu kinh doanh thông thường | Áp dụng nguyên tắc chung về quản trị, bảo vệ |
| Phạm vi chia sẻ (dữ liệu của cơ quan nhà nước) | Dữ liệu dùng chung | Được chia sẻ giữa các cơ quan | Cơ quan khác khai thác, không bắt người dân nộp lại |
| Phạm vi chia sẻ (dữ liệu của cơ quan nhà nước) | Dữ liệu dùng riêng | Chỉ dùng trong một cơ quan hoặc lĩnh vực | Chia sẻ khi có căn cứ, điều kiện |
| Phạm vi chia sẻ (dữ liệu của cơ quan nhà nước) | Dữ liệu mở | Công bố cho tổ chức, cá nhân tiếp cận | Khai thác theo điều kiện công bố |
Cách diễn đạt trong cột "hiểu đơn giản" là tóm lược để dễ hình dung, không phải định nghĩa nguyên văn. Khi cần dùng làm căn cứ, bạn đọc định nghĩa trong luật và tiêu chí trong văn bản hướng dẫn.
Doanh nghiệp tư nhân có thể giữ dữ liệu quan trọng không
Có thể. Phân loại theo mức độ quan trọng không chỉ áp cho cơ quan nhà nước. Một doanh nghiệp vận hành hạ tầng viễn thông, năng lượng, tài chính, hay giữ dữ liệu quy mô rất lớn về dân cư có thể đang nắm dữ liệu thuộc danh mục được kiểm soát.
Doanh nghiệp nhỏ thường không. Một cửa hàng, một xưởng sản xuất vừa, một công ty dịch vụ địa phương hiếm khi giữ dữ liệu ở tầm tác động tới an ninh, kinh tế vĩ mô. Nhưng "hiếm khi" không phải "không bao giờ": doanh nghiệp làm thầu phụ cho dự án hạ tầng, quốc phòng có thể được giao dữ liệu thuộc nhóm này.
Dữ liệu được giao từ bên khác. Khi nhận dữ liệu từ đối tác lớn hay cơ quan nhà nước để làm dịch vụ, hãy hỏi rõ bộ dữ liệu đó thuộc nhóm nào và yêu cầu bảo vệ đi kèm. Nghĩa vụ đi theo dữ liệu, không chỉ theo quy mô công ty.
Dữ liệu cá nhân là một chiều khác. Một bộ dữ liệu có thể không phải dữ liệu cốt lõi hay quan trọng mà vẫn là dữ liệu cá nhân nhạy cảm, chẳng hạn hồ sơ khám bệnh của một phòng khám tư. Khi đó nghĩa vụ đến từ pháp luật bảo vệ dữ liệu cá nhân.
Dữ liệu mở: người dân và doanh nghiệp được gì
Dữ liệu mở là dữ liệu của cơ quan nhà nước được công bố để mọi tổ chức, cá nhân tiếp cận, sử dụng, chia sẻ theo điều kiện công bố. Dạng điển hình là số liệu thống kê, danh mục hành chính, thông tin quy hoạch đã công khai, dữ liệu về thời tiết, giao thông, giá dịch vụ công.
Với doanh nghiệp, dữ liệu mở là nguyên liệu để làm sản phẩm: ứng dụng tra cứu, báo cáo thị trường, công cụ phân tích địa bàn. Luật ghi nhận dữ liệu mở ở cấp luật làm cơ sở để các cơ quan có trách nhiệm công bố đều đặn, chất lượng ổn định, thay vì tuỳ từng nơi.
Khi dùng dữ liệu mở, bạn cần đọc điều kiện đi kèm: có ghi nguồn không, có được dùng cho mục đích thương mại không, có được sửa đổi rồi phát hành lại không. Dữ liệu mở cũng có thể được cập nhật hoặc rút xuống, nên sản phẩm dựa vào nó nên ghi rõ thời điểm lấy dữ liệu.
Với người dân, lợi ích của dữ liệu mở ít trực tiếp hơn nhưng có thật: các ứng dụng tra cứu thủ tục, bản đồ dịch vụ công, công cụ so sánh trường học hay bệnh viện thường được xây trên dữ liệu mở. Dữ liệu càng đầy đủ, cập nhật, các công cụ này càng đáng tin.
Ví dụ giả định: một công ty vận tải tự rà dữ liệu
Một công ty vận tải hàng hoá cỡ vừa ở Đồng Nai có bốn nhóm dữ liệu chính: lộ trình và vị trí xe từ thiết bị định vị, thông tin tài xế, thông tin khách gửi hàng, và số liệu kế toán. Khi rà theo Luật Dữ liệu, họ thấy dữ liệu kế toán và lộ trình là dữ liệu kinh doanh thông thường; thông tin tài xế và khách gửi hàng có dữ liệu cá nhân.
Điểm đáng chú ý nằm ở một hợp đồng: công ty nhận chở vật tư cho một dự án hạ tầng năng lượng, kèm theo bản vẽ và lịch giao hàng do chủ đầu tư cung cấp. Chủ đầu tư yêu cầu bảo mật và không được lưu trên dịch vụ đặt ở nước ngoài. Công ty không tự kết luận đó có phải dữ liệu quan trọng hay không, nhưng xử lý như dữ liệu được kiểm soát: lưu riêng, giới hạn người xem, ghi nhật ký truy cập.
Bài học của ví dụ: phân loại không chỉ dựa vào việc công ty mình là ai, mà dựa vào dữ liệu mình đang cầm và yêu cầu của bên giao dữ liệu. Ghi rõ điều này trong hợp đồng giúp hai bên biết trách nhiệm khi có sự cố.
Tự phân loại dữ liệu trong doanh nghiệp
Luật không đòi doanh nghiệp nhỏ lập hồ sơ phân loại theo mẫu riêng, nhưng làm một bảng phân loại nội bộ giúp bạn trả lời nhanh khi đối tác, ngân hàng hay cơ quan quản lý hỏi.
- Liệt kê các bộ dữ liệu theo chức năng: bán hàng, khách hàng, kho, kế toán, nhân sự, sản xuất, kỹ thuật.
- Với mỗi bộ, hỏi ba câu: có dữ liệu cá nhân không, có dữ liệu được bên khác giao kèm yêu cầu bảo vệ không, có thể thuộc danh mục dữ liệu quan trọng không.
- Đối chiếu câu thứ ba với danh mục đã ban hành; nếu không thấy, ghi "không thuộc danh mục tại thời điểm rà soát" kèm ngày.
- Gắn mức bảo vệ nội bộ cho từng bộ: ai được xem, ai được sửa, có được tải xuống máy cá nhân không.
- Ghi lại nơi lưu trữ và việc có đưa dữ liệu ra nước ngoài hay không.
- Xem lại bảng mỗi năm hoặc khi doanh nghiệp nhận hợp đồng mới có dữ liệu đặc thù.
Những chỗ còn phải chờ văn bản hướng dẫn
Luật Dữ liệu đặt khung, còn tiêu chí xác định dữ liệu cốt lõi, dữ liệu quan trọng, quy trình đánh giá rủi ro khi chuyển xuyên biên giới, cách công bố dữ liệu mở đều cần văn bản hướng dẫn. Một số văn bản đã có, một số có thể còn được sửa đổi hoặc bổ sung theo thời gian.
Vì vậy, khi đọc bài viết hay tài liệu đào tạo về phân loại dữ liệu, nên chú ý tới ngày viết và văn bản họ dựa vào. Một danh mục được nhắc trong tài liệu năm trước có thể đã được thay.
Cách làm an toàn: lưu nơi tra cứu chính thức trong sổ tay nội bộ, mỗi quý kiểm tra một lần, và ghi ngày kiểm tra vào bảng phân loại. Khi có thay đổi lớn, chẳng hạn danh mục mới chạm tới ngành của bạn, đó là lúc nên có người làm pháp chế rà lại.
Nếu doanh nghiệp đang đàm phán hợp đồng có điều khoản về dữ liệu được kiểm soát, hoặc nhận văn bản yêu cầu cung cấp dữ liệu, bạn có thể hỏi luật sư trên AI Cố Vấn để biết điều khoản nào cần sửa, nghĩa vụ nào thật sự thuộc về mình và nghĩa vụ nào bên kia đang đẩy sang.
Câu hỏi thường gặp
Ai ban hành danh mục dữ liệu cốt lõi và dữ liệu quan trọng?
Luật Dữ liệu 2024 giao cấp có thẩm quyền ban hành danh mục và tiêu chí. Doanh nghiệp không tự quyết định dữ liệu của mình thuộc nhóm nào theo cảm tính, mà đối chiếu với danh mục đã ban hành và hỏi cơ quan quản lý khi chưa rõ.
Dữ liệu khách hàng của cửa hàng có phải dữ liệu quan trọng không?
Thông thường không. Dữ liệu khách hàng của một cửa hàng nhỏ khó đạt tới mức tác động an ninh, kinh tế vĩ mô. Nhưng đó là dữ liệu cá nhân, nên cửa hàng vẫn phải tuân thủ pháp luật bảo vệ dữ liệu cá nhân về sự đồng ý, mục đích và bảo mật.
Dữ liệu dùng chung có nghĩa là ai cũng xem được không?
Không. Dữ liệu dùng chung là dữ liệu của cơ quan nhà nước được chia sẻ giữa các cơ quan với nhau để phục vụ công việc. Người dân hay doanh nghiệp không tự động được xem; nhóm công bố cho xã hội là dữ liệu mở.
Dùng dữ liệu mở của nhà nước để làm ứng dụng bán phí có được không?
Tuỳ điều kiện công bố của từng bộ dữ liệu. Nhiều bộ cho phép dùng cho mục đích thương mại kèm yêu cầu ghi nguồn; một số có giới hạn. Bạn đọc điều kiện đi kèm và lưu lại bản điều kiện tại thời điểm lấy dữ liệu.
Doanh nghiệp có phải nộp bảng phân loại dữ liệu cho cơ quan nhà nước không?
Với doanh nghiệp không giữ dữ liệu cốt lõi, dữ liệu quan trọng, luật không đặt nghĩa vụ nộp bảng phân loại theo mẫu chung. Bên giữ dữ liệu thuộc danh mục được kiểm soát có nghĩa vụ riêng theo văn bản hướng dẫn, cần đối chiếu cụ thể.