Luật Dữ liệu 2024 có hiệu lực từ ngày 1/7/2025. Đây là đạo luật đầu tiên của Việt Nam điều chỉnh dữ liệu số nói chung: cách xây dựng, quản trị, xử lý, bảo vệ, chia sẻ dữ liệu, và các sản phẩm, dịch vụ về dữ liệu. Trước đó, quy định về dữ liệu nằm rải rác trong luật về công nghệ thông tin, an toàn thông tin, an ninh mạng, giao dịch điện tử và văn bản dưới luật về dữ liệu cá nhân; không có văn bản nào nhìn dữ liệu như một loại tài nguyên riêng.
Với doanh nghiệp nhỏ, câu hỏi thực tế là: luật này có bắt mình làm gì mới không? Câu trả lời ngắn: phần lớn nghĩa vụ nặng rơi vào cơ quan nhà nước và tổ chức giữ dữ liệu quan trọng, nhưng có vài khái niệm và nguyên tắc mà doanh nghiệp nào làm việc với dữ liệu cũng nên biết. Bài tính tới tháng 11/2026; các nghị định hướng dẫn chi tiết bạn đối chiếu bản hiện hành trên cơ sở dữ liệu quốc gia về văn bản pháp luật.
Trước Luật Dữ liệu, dữ liệu được quản lý thế nào
Nhiều năm, chuyện dữ liệu được xử lý theo từng mảnh. Luật Công nghệ thông tin nói về thông tin số và hạ tầng; Luật An toàn thông tin mạng và Luật An ninh mạng nói về bảo vệ hệ thống; Luật Giao dịch điện tử nói về thông điệp dữ liệu trong giao dịch; còn dữ liệu cá nhân được bảo vệ bằng Nghị định 13/2023/NĐ-CP có hiệu lực từ 1/7/2023. Dữ liệu của cơ quan nhà nước được chia sẻ theo các nghị định riêng về kết nối, chia sẻ dữ liệu.
Cách quản lý từng mảnh như vậy để lại nhiều khoảng trống. Không có định nghĩa chung về ai là chủ của một bộ dữ liệu, ai chịu trách nhiệm quản lý nó, dữ liệu nào quan trọng tới mức cần kiểm soát khi đưa ra nước ngoài, và kinh doanh dữ liệu là ngành nghề gì. Doanh nghiệp muốn mua, bán, trao đổi dữ liệu không thuộc loại cá nhân cũng không có khung rõ.
Luật Dữ liệu 2024 được ban hành để lấp những khoảng trống đó và tạo nền cho việc xây dựng cơ sở dữ liệu tổng hợp quốc gia. Nó không thay thế các luật kia; nó đứng cạnh, làm khung chung cho dữ liệu số, còn các luật chuyên ngành vẫn áp dụng cho phần việc riêng của mình.
Những khái niệm mới nên nắm
Dữ liệu số. Là dữ liệu về sự vật, hiện tượng, sự kiện, gồm một hoặc kết hợp các dạng âm thanh, hình ảnh, chữ số, chữ viết, ký hiệu được thể hiện dưới dạng điện tử. Hiểu đơn giản: gần như mọi thứ doanh nghiệp lưu trên máy tính, phần mềm, điện toán đám mây đều là dữ liệu số.
Chủ sở hữu dữ liệu. Là cơ quan, tổ chức, cá nhân có quyền quyết định việc xây dựng, phát triển, bảo vệ, quản trị, xử lý, sử dụng và trao đổi giá trị của dữ liệu do mình sở hữu. Với doanh nghiệp, đây thường là chính doanh nghiệp đối với dữ liệu kinh doanh do mình tạo ra.
Chủ quản dữ liệu. Là bên thực hiện việc xây dựng, quản lý, vận hành, khai thác dữ liệu theo yêu cầu của chủ sở hữu dữ liệu. Ví dụ giả định: một công ty thuê đơn vị khác vận hành hệ thống quản lý khách hàng; đơn vị đó đóng vai chủ quản cho phần dữ liệu được giao.
Phân loại dữ liệu. Luật đưa ra cách phân loại theo mức độ quan trọng, với hai nhóm cần kiểm soát chặt là dữ liệu cốt lõi và dữ liệu quan trọng, và cách phân loại theo phạm vi chia sẻ với dữ liệu của cơ quan nhà nước. Danh mục cụ thể do cấp có thẩm quyền ban hành.
Sản phẩm, dịch vụ về dữ liệu. Lần đầu luật gọi tên các dịch vụ như trung gian dữ liệu, phân tích và tổng hợp dữ liệu, sàn dữ liệu. Một số dịch vụ phải đáp ứng điều kiện theo quy định trước khi kinh doanh.
Luật Dữ liệu và pháp luật bảo vệ dữ liệu cá nhân: chia việc ra sao
Hai mảng này hay bị gộp làm một. Bảng dưới giúp bạn biết khi nào đọc luật nào. Phạm vi chi tiết bạn đối chiếu toàn văn từng văn bản.
| Câu hỏi | Luật Dữ liệu 2024 | Pháp luật bảo vệ dữ liệu cá nhân |
|---|---|---|
| Điều chỉnh loại dữ liệu nào | Dữ liệu số nói chung, cả dữ liệu không gắn với người cụ thể | Dữ liệu gắn với một con người cụ thể hoặc giúp xác định người đó |
| Trọng tâm | Quản trị, phân loại, chia sẻ, phát triển thị trường dữ liệu | Quyền của chủ thể dữ liệu, sự đồng ý, nghĩa vụ của bên xử lý |
| Ví dụ dữ liệu | Số liệu sản xuất, tồn kho, cảm biến máy móc, bản đồ số | Họ tên, số điện thoại, lịch sử mua hàng của khách, dữ liệu sức khoẻ |
| Khi dữ liệu là dữ liệu cá nhân | Áp dụng nguyên tắc chung | Áp dụng quy định riêng, chặt hơn |
| Chuyển dữ liệu ra nước ngoài | Kiểm soát dữ liệu cốt lõi, dữ liệu quan trọng | Có nghĩa vụ riêng khi chuyển dữ liệu cá nhân |
Trong thực tế, một bộ dữ liệu khách hàng của cửa hàng vừa là dữ liệu số theo Luật Dữ liệu, vừa là dữ liệu cá nhân. Khi hai văn bản cùng nói tới một việc, quy định riêng về dữ liệu cá nhân là thứ bạn cần tuân thủ trước tiên, vì đó là phần có nghĩa vụ cụ thể và chế tài rõ hơn.
Những điều luật đặt ra với cơ quan nhà nước mà doanh nghiệp nên biết
Phần lớn chương về hạ tầng dữ liệu quốc gia không đặt nghĩa vụ trực tiếp lên doanh nghiệp nhỏ, nhưng nó thay đổi cách bạn làm việc với cơ quan nhà nước.
- Cơ sở dữ liệu tổng hợp quốc gia được xây dựng từ các cơ sở dữ liệu quốc gia, chuyên ngành, phục vụ kết nối và chia sẻ; về lâu dài, bạn ít bị hỏi lại những thông tin nhà nước đã có.
- Trung tâm dữ liệu quốc gia được hình thành để lưu trữ, quản lý hạ tầng dữ liệu dùng chung của khu vực nhà nước.
- Quỹ phát triển dữ liệu quốc gia được lập để hỗ trợ phát triển, khai thác dữ liệu.
- Cơ quan nhà nước có thể yêu cầu tổ chức, cá nhân cung cấp dữ liệu trong một số tình huống luật nêu, như tình trạng khẩn cấp, thảm hoạ, nguy cơ đe doạ an ninh quốc gia; phạm vi và thủ tục bạn đối chiếu toàn văn.
- Dữ liệu mở của cơ quan nhà nước được công bố để tổ chức, cá nhân tiếp cận, khai thác theo điều kiện công bố.
Điểm về cung cấp dữ liệu cho cơ quan nhà nước là chỗ doanh nghiệp hay lo. Luật đặt điều kiện và mục đích; nếu nhận được yêu cầu như vậy, bạn có quyền đề nghị nêu rõ căn cứ, phạm vi dữ liệu và cách bảo vệ dữ liệu sau khi cung cấp. Đây là việc nên có người làm pháp chế tham gia.
Doanh nghiệp nhỏ rà soát theo Luật Dữ liệu trong năm bước
Không cần dự án lớn. Năm bước dưới đây đủ để biết mình có chạm vào phần nghĩa vụ nặng của luật hay không.
- Lập danh sách các bộ dữ liệu chính: khách hàng, nhà cung cấp, sản phẩm, đơn hàng, kế toán, nhân sự, dữ liệu máy móc nếu có.
- Với mỗi bộ, ghi ai là chủ sở hữu, ai vận hành; nếu thuê ngoài thì hợp đồng đã nói rõ quyền với dữ liệu chưa.
- Đánh dấu bộ nào có dữ liệu cá nhân; những bộ này phải đi tiếp theo pháp luật bảo vệ dữ liệu cá nhân.
- Kiểm tra dữ liệu đang được lưu ở đâu, có đưa ra nước ngoài không, qua dịch vụ nào; với dữ liệu thông thường của doanh nghiệp nhỏ, việc này thường không thuộc nhóm bị kiểm soát chặt, nhưng phải biết để trả lời khi được hỏi.
- Nếu doanh nghiệp định bán, trao đổi dữ liệu hay làm dịch vụ phân tích dữ liệu cho bên khác, tra kỹ điều kiện kinh doanh dịch vụ dữ liệu trước khi bắt đầu.
Kết quả năm bước nên được ghi thành một bảng ngắn, có ngày rà soát và tên người phụ trách. Bảng này không phải hồ sơ nộp cho ai, nhưng khi đối tác lớn gửi bảng câu hỏi về quản trị dữ liệu trước khi ký hợp đồng, hay khi có sự cố mất dữ liệu, bạn sẽ có sẵn câu trả lời thay vì phải dựng lại từ đầu.
Chuyển dữ liệu ra nước ngoài: đọc cho đúng mức
Tin "luật mới cấm đưa dữ liệu ra nước ngoài" không đúng. Luật Dữ liệu đặt cơ chế kiểm soát với dữ liệu cốt lõi và dữ liệu quan trọng khi chuyển, xử lý xuyên biên giới, kèm yêu cầu bảo đảm an ninh và đánh giá rủi ro theo quy định. Dữ liệu thông thường của một cửa hàng, một công ty thương mại nhỏ hiếm khi rơi vào hai nhóm này.
Nhưng nếu dữ liệu đó có dữ liệu cá nhân, ví dụ danh sách khách hàng lưu trên một dịch vụ đám mây đặt máy chủ ở nước ngoài, thì nghĩa vụ chuyển dữ liệu cá nhân ra nước ngoài theo pháp luật bảo vệ dữ liệu cá nhân vẫn áp dụng. Đây là chỗ doanh nghiệp hay bỏ sót vì nghĩ mình chỉ "dùng phần mềm", không "chuyển" gì cả.
Ví dụ giả định: một công ty du lịch nhỏ dùng phần mềm quản lý đặt tour của nhà cung cấp nước ngoài. Dữ liệu tour, giá, lịch trình không phải dữ liệu cốt lõi; nhưng họ tên, số hộ chiếu của khách là dữ liệu cá nhân, nên việc lưu trữ ở nước ngoài cần được xem xét theo quy định về dữ liệu cá nhân.
Việc nên làm ngay là hỏi nhà cung cấp phần mềm: dữ liệu đặt ở quốc gia nào, ai bên họ được truy cập, khi chấm dứt hợp đồng thì dữ liệu được trả lại hay xoá ra sao. Câu trả lời bằng văn bản là thứ bạn cần giữ trong hồ sơ tuân thủ.
Câu hỏi thường gặp
Luật Dữ liệu 2024 có hiệu lực từ ngày nào?
Luật Dữ liệu 2024 có hiệu lực từ ngày 1/7/2025. Các nghị định hướng dẫn được ban hành sau đó để quy định chi tiết từng phần như phân loại dữ liệu, chuyển dữ liệu xuyên biên giới và điều kiện kinh doanh sản phẩm, dịch vụ dữ liệu; bạn nên tra bản hiện hành.
Luật Dữ liệu có thay thế quy định về bảo vệ dữ liệu cá nhân không?
Không. Luật Dữ liệu là khung chung cho dữ liệu số. Dữ liệu cá nhân có văn bản riêng điều chỉnh, với quy định chi tiết về sự đồng ý, quyền của chủ thể và nghĩa vụ của bên xử lý. Doanh nghiệp giữ dữ liệu khách hàng phải đọc cả hai.
Hộ kinh doanh có phải làm gì theo Luật Dữ liệu không?
Phần lớn nghĩa vụ nặng của Luật Dữ liệu hướng tới cơ quan nhà nước và bên giữ dữ liệu cốt lõi, dữ liệu quan trọng. Hộ kinh doanh nên biết mình đang giữ dữ liệu gì, bảo vệ thế nào, và đặc biệt tuân thủ quy định về dữ liệu cá nhân của khách.
Dữ liệu cốt lõi và dữ liệu quan trọng do ai xác định?
Luật giao cấp có thẩm quyền ban hành danh mục và tiêu chí. Doanh nghiệp không tự đặt ra danh mục mà đối chiếu dữ liệu của mình với danh mục đã ban hành. Nếu không chắc một bộ dữ liệu có thuộc nhóm này hay không, nên hỏi cơ quan quản lý hoặc người làm pháp chế.
Muốn mở dịch vụ phân tích dữ liệu cho doanh nghiệp khác có cần giấy phép không?
Luật Dữ liệu gọi tên các dịch vụ như trung gian dữ liệu, phân tích và tổng hợp dữ liệu, sàn dữ liệu, và một số dịch vụ phải đáp ứng điều kiện kinh doanh theo quy định. Trước khi cung cấp, bạn cần tra văn bản hướng dẫn hiện hành để biết điều kiện cụ thể.
Cơ quan nhà nước yêu cầu cung cấp dữ liệu thì doanh nghiệp xử lý ra sao?
Luật cho phép cơ quan nhà nước yêu cầu cung cấp dữ liệu trong một số tình huống luật nêu. Doanh nghiệp nên đề nghị văn bản nêu rõ căn cứ, mục đích, phạm vi dữ liệu và cách bảo vệ, lưu lại toàn bộ trao đổi, và có người làm pháp chế kiểm tra trước khi giao.