Bảo vệ dữ liệu cá nhân theo Luật 91/2025
Căn cứ hiện hành là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, được Quốc hội thông qua 26/6/2025 và có hiệu lực từ 1/1/2026, kèm Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Nghị định 13/2023/NĐ-CP còn hiệu lực trong giai đoạn chuyển tiếp cho tới khi có văn bản thay thế hoàn toàn.
Cấu phần quan trọng nhất của đề án — sổ cái doanh thu xác thực ở Chương 13 — lưu lịch sử giao dịch. Theo Nghị định 356/2025, đó nay là dữ liệu nhạy cảm, cùng nhóm với VNeID và hình ảnh căn cước. Nghĩa vụ tuân thủ của hệ thống vì vậy cao hơn hẳn nhóm dữ liệu thông thường.
Bảng đối chiếu nghĩa vụ — cột hiện trạng soát từ mã nguồn
| Yêu cầu pháp lý | Hiện trạng hệ thống | Việc phải làm | Hạn |
|---|---|---|---|
| Đồng ý rõ ràng, kiểm chứng được, tách theo từng mục đích | chưa có — không tìm thấy mô hình dữ liệu hay điểm truy cập nào quản trị đồng ý theo mục đích | Quản trị đồng ý theo mục đích, lưu bản ghi có thời điểm | trước khi thu phí đầu tiên |
| Lịch sử giao dịch là dữ liệu nhạy cảm | chưa đạt — bảng giao dịch đang lưu thẳng, không mã hoá mức bản ghi | Tách kho, mã hoá mức bản ghi, hạn chế truy cập theo vai trò | trước GĐ B |
| Xác thực mạnh cho hành động rủi ro | chưa có — soát mã chỉ thấy một sản phẩm quản lý mã hai yếu tố trong danh mục bán, không phải tính năng đã cài cho hệ thống | Bắt buộc hai yếu tố cho mọi hành động thuộc NT2 | trước GĐ C |
| Thông báo sự cố trong 72 giờ | chưa có quy trình — sổ tay vận hành có mục sự cố nhưng không có mốc 72 giờ và không chỉ định người chịu trách nhiệm | Chỉ định người chịu trách nhiệm, viết kịch bản, diễn tập 2 lần/năm | trước GĐ B |
| Xoá tài khoản và dữ liệu theo yêu cầu | chưa có — soát mã nguồn không tìm thấy điểm truy cập nào | Dựng luồng xoá có xác nhận hai bước và lưu vết | trước GĐ B |
| Kho bí mật được mã hoá | đã có — kho bí mật riêng, mã hoá AES-256-GCM | Giữ nguyên; bổ sung quy trình xoay khoá định kỳ | — |
| Nhật ký truy cập và thao tác | đã có | Bổ sung trường mục đích truy cập dữ liệu nhạy cảm | trước GĐ C |
| Không dùng dữ liệu khách để huấn luyện | có nguyên tắc — cô lập theo doanh nghiệp đã cài ở tầng kỹ thuật, nhưng chưa công bố thành chính sách | Công bố công khai thành chính sách, không chỉ ghi trong đề án | ngay |
Năm trong tám hạng mục chưa đạt. Đây không phải danh sách việc còn tồn — đây là điều kiện để được phép nhận khách hàng trả phí. Nguyên tắc NT7 buộc ghi đúng trạng thái, kể cả khi bảng nhìn xấu. Một bảng toàn màu xanh ở giai đoạn này sẽ là bảng nói dối.
Chương này thuộc Đề án Hệ điều hành Doanh nghiệp Một người — bản đầy đủ 39 chương, đọc liền mạch hoặc trình chiếu thẳng trên trình duyệt.