Luật Dữ liệu 2024 doanh nghiệp cần biết khi chia sẻ

Đăng ngày 25/10/2026

Tóm tắt: cần phân loại trước khi quyết định cách dùng

Luật Dữ liệu 2024 doanh nghiệp cần đọc theo loại dữ liệu và hoạt động dự kiến, không chỉ theo tên phần mềm đang sử dụng. Phân loại, chia sẻ, lưu trữ và chuyển ra ngoài lãnh thổ là những câu hỏi liên quan nhưng không đồng nhất. Bài giúp tổ chức chuẩn bị thông tin để rà soát; không xác định một tập dữ liệu cụ thể được chuyển đi, được bán hay phải xin chấp thuận theo cách nào.

• Đừng đồng nhất dữ liệu quan trọng cho kinh doanh với thuật ngữ pháp lý về dữ liệu quan trọng.
• Tìm căn cứ của phân loại từ văn bản, danh mục và nguồn thực tế trước khi đánh dấu đã đủ điều kiện.
• Khi có dữ liệu cá nhân, cần kiểm quy định chuyên biệt và phần sửa đổi của nghị định liên quan.
• Một hệ thống đặt trong nước vẫn cần xem quyền truy cập và bên nhận; một giao diện tiếng Việt không xác nhận nơi xử lý.
• Đối chiếu quốc tế giúp thấy các câu hỏi cần làm rõ, không tạo quyền miễn trừ tự động tại Việt Nam.

Luật Dữ liệu 2024 doanh nghiệp cần hiểu phạm vi nào trước?

Luật mang số 60/2024/QH15 được thông qua ngày 30/11/2024; Điều 45 xác định hiệu lực từ 01/07/2025. Phạm vi liên quan dữ liệu số cùng các hoạt động tạo lập, quản trị, xử lý, sử dụng và sản phẩm, dịch vụ dữ liệu [1]. Không nên hiểu đây chỉ là câu chuyện của một trung tâm dữ liệu hoặc một bộ phận công nghệ. Chủ sở hữu và người quản lý dữ liệu cần biết tổ chức đang thực hiện hoạt động nào.

Một ví dụ do bài dựng: doanh nghiệp sản xuất có thông tin về thiết bị, nhân viên và đơn giao hàng. Chúng có thể nằm trên cùng hệ thống nhưng thuộc những luồng có mục đích, quyền và bên nhận khác nhau. Nếu gom tất cả thành dữ liệu nội bộ rồi áp cùng một quyết định chia sẻ, tổ chức dễ bỏ qua điểm cần kiểm riêng. Bài đề nghị rà theo từng luồng sử dụng thay vì chỉ liệt kê tên các ứng dụng đã mua.

Bản đồ tối thiểu gồm loại thông tin, nguồn, người quyết định cách dùng, nơi lưu và bên sẽ nhận. Phần chưa biết cần được ghi thành câu hỏi, không mặc định thuộc loại ít yêu cầu hơn. Đây là công cụ chuẩn bị do bài đề xuất. Nó giúp người có chuyên môn nhìn thấy hồ sơ thực tế, nhưng không thay việc phân loại hoặc đánh giá theo quy định áp dụng cho từng trường hợp.

Dữ liệu cốt lõi, quan trọng và khác được đọc như thế nào?

Điều 13 khoản 2 của luật yêu cầu chủ sở hữu, chủ quản ngoài khu vực cơ quan nhà nước phân loại theo tính chất quan trọng. Điều 3 gắn hai thuật ngữ cốt lõi và quan trọng với tác động tới các lợi ích được nêu trong luật và danh mục của Thủ tướng [1]. Vì thế, một tệp được đội bán hàng gọi là rất quan trọng chưa tự trở thành kết luận pháp lý rằng nó thuộc nhóm dữ liệu quan trọng.

Nghị định 165/2025/NĐ-CP, ban hành ngày 30/06/2025 và có hiệu lực từ 01/07/2025, quy định tiêu chí ở Điều 3 và Điều 4. Các tiêu chí phân biệt mức có thể tác động với tác động trực tiếp tới những lĩnh vực liên quan [2]. Bài không tự áp chúng cho một danh sách khách hàng hoặc dữ liệu máy móc chưa được xem. Cần giữ được căn cứ cho cách phân loại và nơi cần hỏi tiếp khi thông tin còn thiếu.

Danh mục đã được ban hành qua Quyết định 20/2025/QĐ-TTg, có ngày hiệu lực 01/07/2025 theo cổng văn bản chính thức [3]. Bài phổ biến của Bộ Công an mô tả các nhóm trong danh mục và trách nhiệm hướng dẫn theo lĩnh vực [4]. Bài này chưa đối chiếu toàn bộ từng mục của danh mục cho một trường hợp doanh nghiệp; vì vậy không giữ nhận định cũ rằng chưa có danh mục, cũng không tuyên bố đã phân loại được dữ liệu của người đọc.

Phiếu phân loại do bài gợi ý gồm thông tin đang xét, chủ sở hữu hoặc chủ quản, hoạt động sử dụng, căn cứ danh mục và trạng thái xác minh. Có thể dùng ba trạng thái đã có căn cứ, cần bổ sung hồ sơ và cần hướng dẫn chuyên môn. Những trạng thái này phục vụ giao việc, không thêm một nhóm pháp lý mới. Khi quyết định thay đổi nguồn hoặc mục đích, người phụ trách cần biết phiếu nào phải được xem lại.

Chia sẻ dữ liệu cần thỏa thuận những gì ngoài việc gửi tệp?

Điều 17 của luật đặt việc kết nối, chia sẻ theo quy định pháp luật hoặc thỏa thuận, có thể trực tiếp hay qua bên trung gian [1]. Trong thực tế quản trị, một nút xuất tệp chỉ giải quyết công đoạn chuyển bản sao. Tổ chức vẫn cần biết bên nhận dùng vào công việc nào, có chuyển tiếp không, cập nhật ra sao và làm gì khi thông tin sai hoặc không còn được phép dùng.

OECD nêu trong khuyến nghị về tăng tiếp cận và chia sẻ dữ liệu rằng lợi ích cần đi cùng bảo vệ quyền, điều kiện truy cập và trách nhiệm của các bên. Văn bản nhìn các cách chia sẻ như một dải từ có điều kiện tới mở, không một lựa chọn mở tất cả [5]. Đây là khuyến nghị chính sách, không luật cấp phép cho một giao dịch ở Việt Nam. Giá trị tham khảo là đặt điều kiện sử dụng cạnh mục tiêu tạo lợi ích.

Ví dụ minh họa: doanh nghiệp logistics muốn cung cấp thông tin tổng hợp về thời gian giao để khách lên kế hoạch nhận hàng. Trước khi cho truy cập, hai bên cần hiểu cách tính, độ trễ, giới hạn diễn giải và đầu mối sửa lỗi. Bài không xác nhận bộ thông tin ấy đã hết liên quan dữ liệu cá nhân hay được quyền cung cấp. Phần việc quản trị đầu tiên là mô tả đúng đầu ra dự kiến để có thể kiểm căn cứ thay vì suy từ tên gọi tổng hợp.

Khi thỏa thuận đổi, đừng chỉ sửa một văn bản rồi giữ nguyên toàn bộ quyền kỹ thuật. Nếu một nhóm người không còn cần tiếp cận, người vận hành phải biết quyền nào được giảm và bản sao nào còn tồn tại. Bài đề nghị thử đường thu hồi bằng dữ liệu không nhạy cảm trước khi mở rộng. Điều này không chứng minh tuân thủ đầy đủ; nó kiểm một khả năng thực hiện lời cam kết mà các bên đang dự kiến đưa vào quan hệ chia sẻ.

Luật Dữ liệu 2024 doanh nghiệp cần biết khi chuyển qua biên giới

Điều 23 khoản 2 không chỉ nói tới chuyển dữ liệu đang lưu trong nước ra hệ thống ngoài lãnh thổ. Điều khoản còn nêu chuyển cho tổ chức, cá nhân nước ngoài và dùng nền tảng ngoài lãnh thổ để xử lý dữ liệu cốt lõi, quan trọng [1]. Không nên chỉ hỏi tập tin có được tải xuống hay không. Luồng xử lý thực tế và người được tiếp cận mới giúp mô tả hoạt động đang cần rà soát.

Điều 12 Nghị định 165 quy định đánh giá tác động một lần cho thời gian hoạt động, đồng thời có yêu cầu cập nhật. Điều khoản phân biệt dữ liệu cốt lõi với dữ liệu quan trọng trong trình tự hồ sơ và cách thực hiện [2]. Bài không rút gọn thành mọi trường hợp đều phải xin cùng một chấp thuận, hoặc một lần đánh giá là không cần xem lại. Trước khi áp dụng cần kiểm đầy đủ điều kiện, ngoại lệ và bản sửa đổi liên quan.

Một bảng hỏi thực hành có thể bắt đầu bằng nơi lưu, nơi xử lý, bên nhận, mục đích và loại dữ liệu. Nếu hợp đồng chỉ ghi dùng hạ tầng đám mây mà chưa rõ khu vực hoặc bên xử lý tiếp, hãy ghi điều chưa xác minh. Không nên tự suy vị trí từ thương hiệu hoặc đơn vị xuất hóa đơn. Bài không chỉ định nơi lưu cho tổ chức cụ thể; đây là bước thu thập thông tin trước khi đánh giá quyền và thủ tục.

Khi đồng thời có dữ liệu cá nhân, cần dùng đúng phần đã sửa

Một điểm dễ dẫn sai là khoản 2 Điều 16 trong bản gốc Nghị định 165. Điều 42 khoản 3 của Nghị định 356/2025/NĐ-CP đã sửa phần này: với dữ liệu cốt lõi, quan trọng là dữ liệu cá nhân, quy định chuyên biệt về bảo vệ dữ liệu cá nhân và hồ sơ tương ứng được áp dụng theo nội dung sửa đổi [6]. Không nên đọc bản gốc rồi kết luận đã được miễn hồ sơ bảo vệ dữ liệu cá nhân.

Đây là ví dụ cho thấy cùng một tập dữ liệu có thể cần xem nhiều lớp quy định. Câu hỏi không phải chọn văn bản nào thuận tiện hơn, mà xác định đúng nội dung và quan hệ áp dụng. Bài không xác nhận một doanh nghiệp được miễn đánh giá nào chỉ từ nhãn dữ liệu nội bộ. Khi có nhiều vai trò hoặc nhiều bên nhận, cần cung cấp đủ hồ sơ cho người có chuyên môn xem, tránh lập một kết luận chung cho toàn bộ hoạt động.

Bài đề nghị thêm một ô giao thoa trong phiếu phân loại: có thông tin liên quan con người không, luồng nào đang được xét và văn bản sửa đổi nào đã được dùng khi rà soát. Ô này chỉ ghi dấu kiểm chứng, không tự tạo một ngoại lệ. Người đọc nên yêu cầu tài liệu tư vấn nêu nguồn và phiên bản, để nhận ra một hướng dẫn cũ đang giữ nguyên câu đã bị thay trong văn bản mới.

Góc nhìn AI: cần biết gì trước khi bật một dịch vụ đám mây?

Một dịch vụ AI có thể nhận lời nhắc, tài liệu và lịch sử trao đổi; người dùng thường chỉ thấy phần giao diện. Để rà soát, doanh nghiệp cần biết thông tin nào được gửi, nơi nào xử lý và quyền của nhà cung cấp đối với nội dung ấy. Tên sản phẩm có chữ bảo mật không đủ để mô tả luồng. Cũng không nên coi việc không huấn luyện mô hình bằng đầu vào là câu trả lời thay cho mọi câu hỏi về lưu trữ và tiếp cận.

Ngày 26/07/2024, NIST giới thiệu tài liệu tự nguyện về quản trị AI tạo sinh hỗ trợ quản trị rủi ro trong quá trình thiết kế và dùng hệ thống [7]. Nó không cấp phép chuyển dữ liệu theo pháp luật Việt Nam. Trong một bản thử, có thể dùng tài liệu không nhạy cảm để tìm hiểu cách hoạt động, sau đó yêu cầu thông tin cần thiết trước khi xét nguồn thật. Việc kiểm đầu ra vẫn cần đi cùng kiểm quyền đối với đầu vào.

Phiếu do bài đề xuất gồm tác vụ, loại thông tin, nơi xử lý đã xác minh, bên được tiếp cận và cách cập nhật hoặc thu hồi. Với mỗi mục, ghi căn cứ hoặc trạng thái còn thiếu. Nếu một tính năng mới làm tài liệu đi tới bên khác, cần xem lại phiếu, không chỉ dùng kết quả rà soát từ phiên bản cũ. Đây là cách giữ thông tin cho người chịu trách nhiệm, không quy trình pháp lý được cơ quan nhà nước phê duyệt.

Một điểm thực hành là phân quyền ngay từ lúc thử. Người có quyền xem tài liệu trong một hệ thống không nhất thiết được quyền tải nó sang mọi công cụ. Nhóm nên có đường hỏi khi chưa rõ, thay vì để nhân viên tự chọn giải pháp bằng tài khoản riêng. Kết quả tốt của mô hình không giải quyết được thiếu căn cứ sử dụng. Khi đánh giá phương án, cần nhìn cả giá trị công việc và khả năng thực hiện trách nhiệm với dữ liệu trong suốt thời gian dùng.

EU Data Act và GDPR trả lời những câu hỏi khác nhau ra sao?

Trang chính sách của Ủy ban châu Âu giới thiệu Data Act với trọng tâm tiếp cận và sử dụng dữ liệu, gồm dữ liệu do thiết bị kết nối tạo ra, khả năng chia sẻ và chuyển nhà cung cấp. Trang ghi mốc bắt đầu áp dụng 12/09/2025, đồng thời giữ việc bảo vệ dữ liệu cá nhân [8]. Bài chỉ đối chiếu phạm vi đã đọc trên trang cơ quan, không khẳng định mọi điều khoản đều áp cùng mốc cho mọi sản phẩm hoặc hợp đồng.

Với GDPR, trang giải thích riêng của Ủy ban châu Âu nhấn mạnh dữ liệu liên quan người có thể được nhận diện, vai trò bên kiểm soát và bên xử lý, cùng các nguyên tắc bảo vệ [9]. Hai khung EU không phải tên khác nhau cho cùng một văn bản. Cũng không thể lấy một quyền tiếp cận dữ liệu thiết bị rồi suy rằng mọi thông tin cá nhân trong đó được tự do sử dụng. Quan hệ áp dụng cụ thể cần được xem theo bối cảnh thực tế.

Để so sánh cùng Luật Dữ liệu tại Việt Nam, bài đề nghị dùng sáu câu hỏi: văn bản hướng tới hoạt động nào; dữ liệu nào đang xét; ai có trách nhiệm; việc chia sẻ dựa vào căn cứ gì; luồng qua biên giới ra sao; và mốc hoặc thủ tục nào cần kiểm. Đây là phiếu đọc, không bảng xếp khung nào dễ hơn. Mỗi ô chỉ ghi điều đã xác minh được từ nguồn, giữ chỗ trống khi chưa đủ thông tin.

Bài không chuyển các ngưỡng giảm việc hay mốc phí đám mây của một khu vực thành quyền dùng tại khu vực khác. Phần điều khoản chi tiết và ngoại lệ của Data Act chưa được đối chiếu mới đầy đủ trong lượt này, nên không đưa thành hướng dẫn thực hiện. Với doanh nghiệp cung cấp sản phẩm hoặc dịch vụ sang thị trường EU, cần kiểm phạm vi liên quan cùng người có chuyên môn, thay vì chỉ đọc một bản tóm tắt theo luật Việt Nam.

Tại Việt Nam, dịch vụ dữ liệu không tự chứng minh quyền khai thác

Trong công bố ngày 21/10/2026, FPT thông báo về mảng dịch vụ liên quan dữ liệu, AI và chứng nhận điều kiện kinh doanh trung gian dữ liệu [10]. Thông tin do FPT cung cấp, có lợi ích thương mại. Bài không kiểm giấy chứng nhận độc lập hoặc suy rằng điều kiện của một nhà cung cấp áp dụng tự động cho mọi khách hàng hay mọi dịch vụ họ đang giới thiệu.

Bộ Công an cũng nêu trách nhiệm hướng dẫn phân loại theo lĩnh vực khi phổ biến danh mục [4]. Điểm cần hỏi khi chọn đối tác là bên nào thực hiện hoạt động nào. Một hệ thống giúp lưu và phân tích dữ liệu khác với một bên được nhận quyền khai thác để bán đầu ra cho người khác. Tổ chức cần mô tả rõ phạm vi dịch vụ dự kiến và hồ sơ đối tác có thể cung cấp. Không nên dùng một cụm từ như nền tảng dữ liệu làm lời giải thích thay cho vai trò và trách nhiệm thực tế.

Doanh nghiệp vừa, lớn và nhà nước cần chuẩn bị khác nhau thế nào?

Doanh nghiệp vừa có thể bắt đầu bằng một luồng đang cần dùng hoặc chia sẻ, giao người nghiệp vụ cùng người quản hệ thống mô tả nó. Khi thuê hỗ trợ, yêu cầu bàn giao căn cứ phân loại và phần chưa xác định, không chỉ sơ đồ kỹ thuật. Nếu dữ liệu nằm ở nhiều tài khoản hoặc máy cá nhân, cần ghi đủ nơi xuất hiện để buổi rà soát không chỉ nhìn được phần sạch trong một kho tập trung.

Doanh nghiệp lớn và tập đoàn thường cần phối hợp nhiều chủ nguồn, công ty thành viên và đối tác. Bài đề nghị ghi rõ ai có quyền xác nhận mục đích và ai giữ phiên bản của thỏa thuận. Nếu mỗi đơn vị dùng cùng một tập dữ liệu vào mục đích khác, không nên áp một kết luận từ luồng đầu tiên cho tất cả. Điều cần làm là giữ được lý do và phạm vi của từng đánh giá khi tổ chức hoặc dịch vụ thay đổi.

Với cơ quan nhà nước và doanh nghiệp nhà nước, cần xác định đúng tư cách cùng dữ liệu đang quản lý. Không nên coi hai cụm từ này là hoàn toàn giống nhau rồi tự áp mọi yêu cầu của cơ quan nhà nước cho mọi hoạt động doanh nghiệp. Bài không thay việc xác định phạm vi pháp luật chuyên ngành, yêu cầu về lưu trữ hay an ninh mạng. Những vấn đề đó phải được xem đúng chủ thể, hệ thống và quy định hiện hành.

Doanh nghiệp nhỏ hoặc hộ kinh doanh cũng không nên dùng quy định giảm việc của một luật chuyên biệt như câu trả lời chung cho việc phân loại dữ liệu. Khi chưa đủ năng lực đánh giá, có thể thu hẹp luồng dự kiến và gom thông tin cho đầu mối chuyên môn. Thu hẹp là lựa chọn quản trị để giảm phần chưa biết; nó không tự tạo một quyền miễn thủ tục hay xác nhận dữ liệu đã được phép chuyển.

Bộ câu hỏi trước khi đồng ý chia sẻ hoặc đổi nhà cung cấp

Danh sách sau là khung chuẩn bị của bài, dùng để tìm thông tin còn thiếu. Mỗi câu nên có người nhận trả lời và nguồn đối chiếu. Trạng thái đã có phần mềm không được dùng thay cho câu trả lời về loại dữ liệu, quyền hoặc luồng thực tế. Người phê duyệt cần nhìn thấy phần chưa xác minh trước khi quyết định phạm vi tiếp theo.

• Tập dữ liệu đang xét có nguồn, chủ sở hữu và chủ quản nào?
• Căn cứ phân loại là văn bản, mục danh mục và hồ sơ nào?
• Dữ liệu có liên quan cá nhân hoặc phạm vi cần xem chuyên biệt không?
• Ai sẽ nhận, xử lý tiếp hoặc được phép chuyển cho bên khác?
• Nơi lưu và xử lý đã được xác minh bằng thông tin nào?
• Hồ sơ, điều kiện, ngoại lệ và bản sửa đổi nào đã được kiểm?
• Khi thay mục đích hoặc thu hồi quyền, ai thực hiện và lưu dấu vết?

Hỏi đáp: Luật Dữ liệu 2024 doanh nghiệp cần biết

Luật Dữ liệu 60/2024/QH15 có nghĩa mọi dữ liệu doanh nghiệp đều là dữ liệu cốt lõi không? Không thể suy như vậy. Thuật ngữ pháp lý cần được đọc cùng tiêu chí, danh mục và nội dung của nguồn thực tế. Một tài liệu rất có giá trị với công ty chưa tự xác định nó thuộc nhóm nào. Bài đề nghị giữ căn cứ phân loại và phần cần xác minh, không tự gán nhãn chỉ từ cảm nhận quan trọng.

Chia sẻ dữ liệu giữa doanh nghiệp có phải chỉ cần bên nhận ký cam kết không? Không nên coi một chữ ký là câu trả lời đủ cho mọi việc. Cần xem quyền, mục đích, loại thông tin và hoạt động thực tế, rồi xác định thỏa thuận hoặc thủ tục phù hợp. Cam kết còn cần được chuyển thành quyền tiếp cận, cách cập nhật và xử lý khi có lỗi, để các bên có thể thực hiện điều đã dự kiến.

Dùng dịch vụ ở nước ngoài có tự động là vi phạm không? Bài không đưa kết luận ấy. Cần xác định dữ liệu nào, luồng xử lý nào và những điều kiện hoặc thủ tục liên quan. Ngược lại, chỉ vì dịch vụ phổ biến hoặc dễ đăng ký cũng không chứng minh đủ căn cứ. Người chịu trách nhiệm nên gom thông tin cụ thể trước khi nhận tư vấn về quyền và nghĩa vụ của hoạt động đang xét.

EU Data Act là gì và có giống luật Việt Nam không? Ở mức khái niệm đã đối chiếu, đây là khung EU về tiếp cận và sử dụng dữ liệu, với các nhóm đối tượng và hoạt động riêng. Luật Dữ liệu tại Việt Nam có cấu trúc và quan hệ áp dụng khác. So sánh có ích để đặt câu hỏi, nhưng không tạo một bộ quyền hoặc miễn trừ dùng chung cho mọi thị trường.

Nguồn và phương pháp

Bài tổng hợp có AI hỗ trợ, diễn đạt bằng lập luận riêng, không phải bản dịch; đối chiếu ngày 24/10/2026. Luật và nghị định được đọc từ Công báo, gồm phần Nghị định 356 sửa Nghị định 165. Danh mục Quyết định 20 mới đối chiếu thông tin ban hành và phần phổ biến chính thức, chưa phân loại trường hợp riêng. EU, OECD, NIST dùng đúng phạm vi đã mở; chưa đối chiếu mới đầy đủ điều khoản Data Act. FPT là công bố có lợi ích thương mại. Các phiếu là đề xuất chưa kiểm chứng thực tế; nội dung không phải tư vấn pháp lý, thuế hay tài chính. Cần kiểm nguồn gốc và hồ sơ trước khi áp dụng.