Việc ban hành Luật Dữ liệu 2024 (“LDL 2024”) dự kiến mang lại nhiều thay đổi quan trọng trong cách doanh nghiệp thu thập, xử lý, lưu trữ và chia sẻ dữ liệu. Đây là bước đi quan trọng trong việc bảo vệ quyền riêng tư của cá nhân, đảm bảo an ninh mạng và thúc đẩy nền kinh tế số phát triển bền vững. Tuy nhiên, để thích ứng hiệu quả và tránh rủi ro pháp lý, các doanh nghiệp tại Việt Nam cần nhận diện rõ những điểm mới của pháp luật, cũng như chuẩn bị kỹ lưỡng về mặt quy trình và công nghệ.
Trong bài viết này, BLawyers Vietnam sẽ trình bày tổng quan 06 vấn đề mà các doanh nghiệp tại Việt Nam cần lưu ý khi LDL 2024 có hiệu lực (từ ngày 01/7/2025).
1. Một số khái niệm mới về dữ liệu và chủ thể liên quan đến dữ liệu
Chúng tôi xin lưu ý 05 khái niệm mới như sau:
- Chủ thể dữ liệu là cơ quan, tổ chức, cá nhân được dữ liệu phản ánh.
- Chủ sở hữu dữ liệu (“Chủ SHDL”) là cơ quan, tổ chức, cá nhân có quyền quyết định việc xây dựng, phát triển, bảo vệ, quản trị, xử lý, sử dụng và trao đổi giá trị của dữ liệu do mình sở hữu.
- Chủ quản dữ liệu (“Chủ QDL”) là cơ quan, tổ chức, cá nhân thực hiện hoạt động xây dựng, quản lý, vận hành, khai thác dữ liệu theo yêu cầu của Chủ SHDL.
- Dữ liệu cốt lõi (“DLCL”) là dữ liệu quan trọng trực tiếp tác động đến quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng thuộc danh mục do Thủ tướng Chính phủ ban hành.
- Dữ liệu quan trọng (“DLQT”) là dữ liệu có thể tác động đến quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng thuộc danh mục do Thủ tướng Chính phủ ban hành.
2. Phân loại dữ liệu
Cơ quan Nhà nước phải phân loại dữ liệu dựa trên yêu cầu quản trị, xử lý, bảo vệ dữ liệu, bao gồm:
- Phân loại theo tính chất chia sẻ dữ liệu gồm: dữ liệu dùng chung, dữ liệu dùng riêng, dữ liệu mở;
- Phân loại theo tính chất quan trọng của dữ liệu gồm: DLCL, DLQT, dữ liệu khác;
- Phân loại theo tiêu chí khác đáp ứng yêu cầu quản trị, xử lý, bảo vệ dữ liệu do Chủ QDL quyết định.
Ngoài ra, Chủ SHDL và Chủ QDL không thuộc trường hợp do cơ quan nhà nước phân loại dữ liệu phải phân loại dữ liệu dựa theo tính chất quan trọng của dữ liệu và được phân loại dữ liệu theo các tiêu chí khác.
3. Nghĩa vụ cung cấp dữ liệu cho cơ quan Nhà nước
Doanh nghiệp phải cung cấp dữ liệu cho cơ quan Nhà nước khi có yêu cầu của cơ quan có thẩm quyền mà không cần chủ thể dữ liệu đồng ý trong các trường hợp sau:
- Ứng phó với tình trạng khẩn cấp;
- Khi có nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp;
- Thảm họa; hoặc
- Phòng, chống bạo loạn, khủng bố.
4. Nghĩa vụ xác định và quản lý rủi ro phát sinh trong xử lý dữ liệu
Việc xử lý dữ liệu luôn tiềm ẩn nguy cơ phát sinh rủi ro, do đó doanh nghiệp cần lưu ý, xác định và quản lý các vấn đề sau:
- Rủi ro phát sinh trong xử lý dữ liệu bao gồm: Rủi ro quyền riêng tư, rủi ro an ninh mạng, rủi ro nhận dạng và quản lý truy cập, rủi ro khác trong xử lý dữ liệu.
- Chủ QDL không thuộc đối tượng được cơ quan nhà nước xác định, thiết lập cơ chế cảnh báo thì tự đánh giá, xác định rủi ro và thực hiện các biện pháp để bảo vệ dữ liệu; kịp thời khắc phục rủi ro phát sinh và thông báo cho chủ thể dữ liệu, cơ quan, tổ chức, cá nhân có liên quan.
- Chủ quản DLCL, DLQT phải định kỳ tiến hành đánh giá rủi ro đối với các hoạt động xử lý dữ liệu đó theo quy định và thông báo tới đơn vị chuyên trách về an ninh mạng, an toàn thông tin thuộc Bộ Công an, Bộ Quốc phòng và cơ quan có liên quan để phối hợp thực hiện việc bảo vệ an toàn, an ninh dữ liệu.
5. Các lưu ý đối với doanh nghiệp kinh doanh sản phẩm và dịch vụ liên quan đến dữ liệu
Khi kinh doanh sản phẩm và dịch vụ liên quan đến dữ liệu, nhằm đảm bảo việc thu thập, xử lý và khai thác dữ liệu được thực hiện một cách an toàn và hợp pháp, doanh nghiệp cần lưu ý:
- Doanh nghiệp kinh doanh sản phẩm và dịch vụ trung gian dữ liệu phải đăng ký hoạt động và quản lý theo quy định của pháp luật về đầu tư, trừ trường hợp cung cấp sản phẩm, dịch vụ trung gian dữ liệu trong nội bộ tổ chức
- Doanh nghiệp kinh doanh sản phẩm, dịch vụ phân tích và tổng hợp dữ liệu có thể gây nguy hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội phải đăng ký hoạt động, quản lý theo quy định của pháp luật về đầu tư.
- Doanh nghiệp kinh doanh dịch vụ sàn dữ liệu là đơn vị sự nghiệp công lập hoặc doanh nghiệp nhà nước đáp ứng các điều kiện dịch vụ và được cấp phép thành lập theo quy định của pháp luật.
6. Quy định về chuyển dữ liệu xuyên biên giới
Việc chuyển, xử lý DLCL, DLQT xuyên biên giới phải bảo đảm quốc phòng, an ninh, bảo vệ lợi ích quốc gia, lợi ích công cộng, quyền và lợi ích hợp pháp của chủ thể dữ liệu, chủ sở hữu dữ liệu theo quy định của pháp luật Việt Nam và các điều ước quốc tế mà nước Cộng hòa xã hội chủ nghĩa Việt Nam là thành viên.
Nội dung nêu trên không phải là ý kiến tư vấn chính thức từ BLawyers Vietnam. Nếu bạn có bất kỳ câu hỏi hoặc góp ý về nội dung trên, vui lòng liên hệ với chúng tôi qua địa chỉ info@blawyersvn.com. Chúng tôi rất vui khi nghe từ bạn.
Ngày: 06/5/2025
Người viết: Tuyền Dương & Tâm Trịnh
