Nguyên tắc sử dụng dữ liệu khách hàng có trách nhiệm

Sử dụng dữ liệu khách hàng có trách nhiệm là quá trình xử lý dữ liệu theo mục đích hợp pháp, rõ ràng và hợp lý; hạn chế thu thập; tôn trọng quyền của cá nhân; kiểm soát rủi ro; đồng thời có khả năng chứng minh rằng các quyết định liên quan đến dữ liệu đã được xem xét và quản trị phù hợp.

Trách nhiệm này không chỉ thuộc về bộ phận công nghệ hoặc pháp chế. Nó liên quan trực tiếp đến cách doanh nghiệp thiết kế sản phẩm, triển khai marketing, lựa chọn nhà cung cấp, đào tạo nhân viên, xây dựng mô hình phân tích và xử lý sự cố.

Một hệ thống có trách nhiệm phải trả lời được năm câu hỏi:

1.    Dữ liệu nào đang được thu thập

2.    Vì sao doanh nghiệp cần dữ liệu đó

3.    Ai được sử dụng và sử dụng trong điều kiện nào

4.    Dữ liệu được bảo vệ, lưu giữ và xóa ra sao

5.    Khách hàng có thể kiểm soát dữ liệu của mình bằng cách nào

Hiểu đúng thế nào là sử dụng dữ liệu khách hàng có trách nhiệm

Dữ liệu khách hàng không chỉ gồm họ tên, số điện thoại hoặc địa chỉ email. Nó có thể bao gồm lịch sử giao dịch, vị trí, thiết bị sử dụng, nội dung tương tác, hành vi trên website, bản ghi chăm sóc khách hàng, hình ảnh, thông tin thanh toán, dữ liệu suy luận và các đặc điểm được hệ thống dự đoán từ nhiều nguồn khác nhau.

Ngay cả khi một trường dữ liệu riêng lẻ không xác định trực tiếp một người, việc kết hợp nhiều trường vẫn có thể làm lộ danh tính hoặc đặc điểm nhạy cảm. Vì vậy, doanh nghiệp không nên chỉ phân loại dữ liệu theo tên gọi mà phải đánh giá khả năng nhận diện, bối cảnh sử dụng và hậu quả có thể xảy ra đối với khách hàng.

Sử dụng có trách nhiệm không đồng nghĩa với việc ngừng khai thác dữ liệu. Mục tiêu là tạo ra giá trị mà không khiến cá nhân phải chịu rủi ro không tương xứng, bị bất ngờ về cách dữ liệu được sử dụng hoặc mất khả năng kiểm soát thông tin của mình.

Khung nguyên tắc quyền riêng tư của OECD xác định tám nhóm nền tảng gồm giới hạn thu thập, chất lượng dữ liệu, xác định mục đích, giới hạn sử dụng, bảo đảm an toàn, tính công khai, sự tham gia của cá nhân và trách nhiệm giải trình. Đây là một cách tiếp cận hữu ích để doanh nghiệp đánh giá toàn bộ vòng đời dữ liệu thay vì chỉ tập trung vào bảo mật kỹ thuật.

Bắt đầu từ mục đích sử dụng rõ ràng

Trước khi thu thập dữ liệu, doanh nghiệp cần xác định cụ thể mục đích xử lý. Những mô tả như “cải thiện trải nghiệm”, “phục vụ kinh doanh” hoặc “nâng cao chất lượng dịch vụ” thường quá rộng để kiểm soát phạm vi sử dụng thực tế.

Một mục đích đủ rõ phải cho biết:

·         Dữ liệu nào cần được xử lý

·         Hoạt động kinh doanh nào cần dữ liệu

·         Kết quả dự kiến của quá trình xử lý

·         Nhóm khách hàng nào bị ảnh hưởng

·         Bộ phận hoặc đối tác nào tham gia

·         Thời gian dữ liệu cần được lưu giữ

·         Rủi ro có thể phát sinh đối với cá nhân

Ví dụ, “sử dụng lịch sử mua hàng trong 12 tháng để đề xuất sản phẩm cùng nhóm cho khách hàng hiện hữu” rõ ràng và có thể kiểm soát hơn “sử dụng dữ liệu để cá nhân hóa”.

Mục đích rõ ràng tạo ra ranh giới cho toàn bộ hệ thống. Nếu một bộ phận muốn sử dụng dữ liệu cho mục tiêu mới, doanh nghiệp phải đánh giá lại tính phù hợp thay vì mặc nhiên cho rằng dữ liệu đã có thể được tái sử dụng không giới hạn.

Đây là điểm khác biệt quan trọng giữa sở hữu kỹ thuật và quyền sử dụng có trách nhiệm: doanh nghiệp có thể đang lưu giữ dữ liệu trong hệ thống nhưng không vì thế mà mọi cách khai thác dữ liệu đều trở nên hợp lý.

Chỉ thu thập dữ liệu thực sự cần thiết

Thu thập tối thiểu có nghĩa là chỉ lấy những dữ liệu cần thiết để hoàn thành mục đích đã xác định. Nguyên tắc này làm giảm đồng thời ba loại rủi ro:

·         Rủi ro xâm phạm quyền riêng tư

·         Rủi ro mất mát hoặc rò rỉ dữ liệu

·         Chi phí quản lý, lưu trữ và kiểm soát dữ liệu

Doanh nghiệp nên kiểm tra từng trường dữ liệu bằng ba câu hỏi:

1.    Không có dữ liệu này thì mục đích có thực hiện được không

2.    Có thể dùng dữ liệu ít chi tiết hoặc ít nhạy cảm hơn không

3.    Lợi ích từ việc thu thập có tương xứng với rủi ro tạo ra không

Chẳng hạn, một chương trình gửi bản tin thường chỉ cần địa chỉ email và lựa chọn chủ đề. Việc yêu cầu ngày sinh, địa chỉ nhà hoặc nghề nghiệp sẽ khó được xem là cần thiết nếu các thông tin đó không phục vụ trực tiếp cho việc gửi bản tin.

Thu thập tối thiểu không chỉ áp dụng ở biểu mẫu đăng ký. Nó còn phải được áp dụng với cookie, nhật ký hệ thống, dữ liệu hành vi, bản ghi cuộc gọi, dữ liệu từ nền tảng quảng cáo và thông tin mua từ bên thứ ba.

Một sai lầm phổ biến là thu thập càng nhiều càng tốt vì cho rằng dữ liệu “có thể hữu ích sau này”. Cách làm này tạo ra kho dữ liệu không có mục đích cụ thể, khó xác định thời hạn lưu giữ và làm tăng thiệt hại nếu xảy ra sự cố.

Minh bạch để khách hàng hiểu điều gì đang xảy ra

Minh bạch không chỉ là đăng một chính sách quyền riêng tư dài và khó đọc. Khách hàng cần nhận được thông tin phù hợp tại thời điểm họ đưa ra quyết định hoặc cung cấp dữ liệu.

Thông báo nên làm rõ:

·         Doanh nghiệp thu thập những loại dữ liệu nào

·         Dữ liệu đến từ đâu

·         Mục đích sử dụng cụ thể

·         Căn cứ hoặc điều kiện cho phép xử lý

·         Dữ liệu được chia sẻ với nhóm đối tác nào

·         Thời gian lưu giữ dự kiến

·         Cách khách hàng thực hiện quyền của mình

·         Kênh liên hệ khi có thắc mắc hoặc khiếu nại

Thông tin quan trọng phải được đặt gần điểm thu thập. Nếu doanh nghiệp ghi âm cuộc gọi, sử dụng dữ liệu vị trí hoặc áp dụng công nghệ nhận diện, khách hàng cần được thông báo trước hoặc tại thời điểm hoạt động đó diễn ra.

Minh bạch cũng phải bao gồm các hoạt động suy luận. Nếu hệ thống phân loại khách hàng theo khả năng mua, mức độ rủi ro hoặc hành vi dự đoán, doanh nghiệp cần xem xét liệu người dùng có hợp lý khi dự đoán rằng dữ liệu của họ sẽ được sử dụng theo cách đó hay không.

Một phép thử thực tế là “kiểm tra sự bất ngờ”: nếu khách hàng biết toàn bộ quy trình, họ có cảm thấy bị đánh lừa hoặc bất ngờ nghiêm trọng không. Nếu câu trả lời là có, vấn đề có thể nằm ở mục đích xử lý, cách thông báo hoặc bản thân hoạt động sử dụng dữ liệu.

Quản lý sự đồng ý đúng bản chất

Sự đồng ý chỉ có ý nghĩa khi khách hàng thực sự có lựa chọn và hiểu lựa chọn đó. Một ô được đánh dấu sẵn, nội dung gộp nhiều mục đích hoặc yêu cầu chấp nhận mọi hoạt động xử lý để sử dụng một chức năng không liên quan có thể làm suy yếu tính tự nguyện của sự đồng ý.

Khi sử dụng cơ chế đồng ý, doanh nghiệp cần bảo đảm:

·         Yêu cầu đồng ý được trình bày rõ ràng

·         Các mục đích khác nhau được tách biệt khi cần thiết

·         Khách hàng có thể từ chối mà không bị gây khó khăn không hợp lý

·         Việc rút lại đồng ý dễ thực hiện tương đương việc đồng ý

·         Hệ thống ghi nhận được thời điểm, nội dung và phạm vi đồng ý

·         Thay đổi mục đích phải được đánh giá lại

Không nên coi sự đồng ý là giải pháp mặc định cho mọi hoạt động. Tùy pháp luật áp dụng, hoạt động xử lý có thể dựa trên những căn cứ hoặc điều kiện khác. Doanh nghiệp cần xác định đúng cơ sở trước khi thiết kế giao diện và quy trình, thay vì thu thập sự đồng ý chỉ để tạo cảm giác tuân thủ.

GDPR của Liên minh châu Âu đặt việc xử lý hợp pháp, công bằng và minh bạch cùng các nguyên tắc giới hạn mục đích, giảm thiểu dữ liệu, bảo đảm độ chính xác, giới hạn lưu giữ, bảo mật và trách nhiệm giải trình vào cùng một hệ thống. Điều này cho thấy sự đồng ý không thể thay thế các nghĩa vụ quản trị còn lại.

Duy trì dữ liệu chính xác và phù hợp

Dữ liệu không chính xác có thể dẫn đến giao hàng sai, từ chối dịch vụ, phân loại nhầm khách hàng hoặc đưa ra quyết định bất lợi. Trách nhiệm về dữ liệu vì thế không dừng ở thời điểm thu thập mà còn bao gồm việc duy trì chất lượng dữ liệu trong suốt thời gian sử dụng.

Doanh nghiệp nên:

·         Xác định trường dữ liệu nào cần được cập nhật

·         Cho phép khách hàng sửa thông tin dễ dàng

·         Ghi nhận nguồn và thời điểm cập nhật

·         Phân biệt dữ liệu do khách hàng cung cấp với dữ liệu suy luận

·         Kiểm tra dữ liệu trước khi dùng cho quyết định quan trọng

·         Ngừng sử dụng dữ liệu khi không còn đủ độ tin cậy

Đặc biệt, dữ liệu suy luận không nên được trình bày như một sự thật chắc chắn. Một hệ thống có thể dự đoán khách hàng thuộc nhóm rủi ro cao, nhưng kết quả đó vẫn phụ thuộc vào dữ liệu đầu vào, phương pháp phân tích và ngưỡng phân loại.

Khi dữ liệu được dùng để tác động đáng kể đến quyền lợi hoặc khả năng tiếp cận dịch vụ của khách hàng, doanh nghiệp cần có cơ chế kiểm tra, giải thích và sửa sai phù hợp.

Giới hạn quyền truy cập theo nhu cầu công việc

Một hệ thống bảo mật tốt không cho phép mọi nhân viên xem toàn bộ dữ liệu khách hàng. Quyền truy cập phải được cấp theo vai trò, nhiệm vụ và mức độ cần thiết.

Các biện pháp cốt lõi gồm:

·         Áp dụng nguyên tắc đặc quyền tối thiểu

·         Tách quyền xem, sửa, xuất và xóa dữ liệu

·         Sử dụng xác thực đa yếu tố cho tài khoản nhạy cảm

·         Ghi nhật ký truy cập và thao tác quan trọng

·         Rà soát quyền định kỳ

·         Thu hồi quyền ngay khi nhân viên đổi vị trí hoặc nghỉ việc

·         Hạn chế tải dữ liệu xuống thiết bị cá nhân

·         Thiết lập cảnh báo đối với hành vi truy cập bất thường

Quyền truy cập quá rộng tạo ra rủi ro ngay cả khi không có tấn công từ bên ngoài. Dữ liệu có thể bị xem vì tò mò, sao chép trái phép, gửi nhầm hoặc sử dụng cho mục đích cá nhân.

Mã hóa giúp giảm hậu quả khi dữ liệu bị đánh cắp hoặc truy cập trái phép, nhưng không thay thế kiểm soát quyền. Một nhân viên đã được hệ thống cấp quyền hợp lệ vẫn có thể nhìn thấy dữ liệu sau khi dữ liệu được giải mã. Vì vậy, bảo vệ có trách nhiệm cần kết hợp kiểm soát kỹ thuật, quy trình tổ chức và giám sát hành vi.

Bảo vệ dữ liệu theo mức độ rủi ro

Không phải mọi dữ liệu đều cần biện pháp giống nhau. Dữ liệu thanh toán, sức khỏe, sinh trắc học, định danh hoặc vị trí chính xác thường đòi hỏi mức bảo vệ cao hơn thông tin liên hệ thông thường.

Doanh nghiệp nên phân loại dữ liệu dựa trên:

·         Mức độ nhạy cảm

·         Khả năng xác định một cá nhân

·         Quy mô tập dữ liệu

·         Tần suất truy cập

·         Hậu quả nếu bị lộ, sửa đổi hoặc mất

·         Khả năng kết hợp với nguồn khác

·         Đối tượng dễ bị tổn thương có liên quan

Sau khi phân loại, doanh nghiệp có thể áp dụng các lớp bảo vệ tương ứng như mã hóa, che giấu dữ liệu, mã hóa thay thế, tách môi trường, hạn chế xuất dữ liệu, sao lưu, giám sát và kiểm thử bảo mật.

NIST mô tả Privacy Framework là công cụ tự nguyện giúp tổ chức nhận diện và quản lý rủi ro quyền riêng tư trong khi vẫn phát triển sản phẩm và dịch vụ. Cách tiếp cận dựa trên rủi ro phù hợp hơn việc áp dụng cùng một danh sách kiểm tra cho mọi hệ thống.

Cần phân biệt rủi ro an ninh với rủi ro quyền riêng tư. Một hệ thống có thể không bị tấn công nhưng vẫn gây hại nếu doanh nghiệp thu thập quá mức, sử dụng dữ liệu ngoài kỳ vọng, suy luận sai hoặc đưa ra quyết định thiếu công bằng.

Kiểm soát việc chia sẻ dữ liệu với bên thứ ba

Trách nhiệm của doanh nghiệp không kết thúc khi dữ liệu được chuyển cho nhà cung cấp, nền tảng quảng cáo, đơn vị phân tích hoặc đối tác vận hành.

Trước khi chia sẻ, doanh nghiệp cần xác định:

·         Bên nhận cần chính xác dữ liệu nào

·         Mục đích chia sẻ là gì

·         Bên nhận được phép sử dụng dữ liệu đến đâu

·         Dữ liệu có được chuyển tiếp cho đơn vị khác không

·         Dữ liệu được lưu ở đâu và trong bao lâu

·         Biện pháp bảo mật nào được áp dụng

·         Cơ chế hỗ trợ quyền của khách hàng

·         Trách nhiệm khi xảy ra sự cố

·         Cách trả lại hoặc xóa dữ liệu khi kết thúc hợp tác

Hợp đồng là cần thiết nhưng không đủ. Doanh nghiệp còn phải đánh giá năng lực thực tế của nhà cung cấp, kiểm tra định kỳ và theo dõi thay đổi trong chuỗi xử lý.

Rủi ro thường bị che khuất khi nhà cung cấp sử dụng nhiều nhà thầu phụ. Doanh nghiệp cần lập bản đồ luồng dữ liệu để biết thông tin đã đi qua những hệ thống và quốc gia nào, thay vì chỉ nhìn vào đối tác ký hợp đồng trực tiếp.

Xác định thời hạn lưu giữ và xóa dữ liệu

Dữ liệu không nên được lưu giữ vô thời hạn chỉ vì chi phí lưu trữ thấp. Thời gian lưu giữ phải gắn với mục đích kinh doanh, nghĩa vụ pháp lý, yêu cầu giải quyết tranh chấp và mức độ rủi ro.

Mỗi nhóm dữ liệu nên có:

·         Mục đích lưu giữ

·         Thời hạn hoặc tiêu chí xác định thời hạn

·         Hệ thống đang lưu dữ liệu

·         Người chịu trách nhiệm

·         Phương thức xóa hoặc ẩn danh

·         Ngoại lệ cần bảo lưu

·         Bằng chứng cho thấy việc xóa đã được thực hiện

Xóa dữ liệu không chỉ là xóa một bản ghi trong hệ thống chính. Doanh nghiệp phải xem xét bản sao, kho dữ liệu phân tích, tệp xuất, môi trường thử nghiệm, thiết bị người dùng, bản sao lưu và hệ thống của nhà cung cấp.

Ẩn danh có thể giúp giảm rủi ro, nhưng chỉ khi cá nhân không còn khả năng được nhận diện một cách hợp lý. Việc bỏ tên nhưng vẫn giữ mã khách hàng, lịch sử chi tiết hoặc các thuộc tính hiếm có thể chỉ là giả danh hóa, không phải ẩn danh hoàn toàn.

Tôn trọng quyền và khả năng kiểm soát của khách hàng

Một chương trình dữ liệu có trách nhiệm phải tạo ra cơ chế để khách hàng thực hiện các quyền được pháp luật áp dụng công nhận. Tùy khu vực pháp lý, các quyền có thể liên quan đến việc được biết, truy cập, sửa, xóa, hạn chế xử lý, phản đối, rút lại đồng ý hoặc nhận dữ liệu.

Quy trình xử lý yêu cầu nên:

·         Có kênh tiếp nhận dễ tìm

·         Xác minh danh tính tương xứng với rủi ro

·         Không yêu cầu thêm dữ liệu quá mức

·         Chuyển yêu cầu đến đúng hệ thống và đối tác

·         Theo dõi thời hạn giải quyết

·         Ghi lại quyết định và căn cứ

·         Giải thích rõ khi không thể đáp ứng toàn bộ yêu cầu

Một cổng tự phục vụ chỉ có giá trị khi dữ liệu hiển thị đầy đủ và yêu cầu được thực thi trên toàn bộ hệ thống phía sau. Nếu khách hàng tắt quảng cáo cá nhân hóa nhưng dữ liệu vẫn tiếp tục được đưa vào phân khúc quảng cáo, giao diện kiểm soát chỉ mang tính hình thức.

Đánh giá rủi ro trước các hoạt động xử lý quan trọng

Doanh nghiệp nên thực hiện đánh giá tác động trước khi triển khai hoạt động có khả năng gây rủi ro cao, chẳng hạn:

·         Xử lý dữ liệu nhạy cảm trên quy mô lớn

·         Theo dõi hành vi liên tục

·         Kết hợp dữ liệu từ nhiều nguồn

·         Sử dụng nhận diện sinh trắc học

·         Chấm điểm hoặc phân loại khách hàng

·         Tự động hóa quyết định có ảnh hưởng đáng kể

·         Chuyển dữ liệu qua nhiều quốc gia

·         Áp dụng công nghệ mới chưa được kiểm chứng đầy đủ

Đánh giá cần xem xét mục đích, tính cần thiết, tính tương xứng, nhóm bị ảnh hưởng, tình huống gây hại, khả năng xảy ra, mức độ hậu quả và biện pháp giảm thiểu.

Mục tiêu không phải là tạo thêm hồ sơ hành chính. Đánh giá phải có khả năng làm thay đổi quyết định thiết kế, chẳng hạn giảm dữ liệu thu thập, loại bỏ trường nhạy cảm, bổ sung kiểm tra của con người hoặc dừng một phương án có rủi ro không thể kiểm soát.

Sử dụng dữ liệu cho phân tích và trí tuệ nhân tạo một cách công bằng

Dữ liệu khách hàng dùng cho phân tích hoặc trí tuệ nhân tạo có thể khuếch đại sai lệch đã tồn tại trong dữ liệu lịch sử. Một mô hình có độ chính xác trung bình cao vẫn có thể tạo kết quả kém đối với một nhóm khách hàng cụ thể.

Trước khi sử dụng mô hình, doanh nghiệp cần đánh giá:

·         Dữ liệu huấn luyện có đại diện phù hợp không

·         Nhãn dữ liệu có phản ánh thiên kiến lịch sử không

·         Biến đầu vào có đóng vai trò thay thế cho đặc điểm nhạy cảm không

·         Sai số phân bố như thế nào giữa các nhóm

·         Khách hàng có thể yêu cầu xem xét lại không

·         Con người có đủ thông tin để can thiệp thực chất không

·         Kết quả mô hình được lưu giữ và giải thích ra sao

Không nên sử dụng dữ liệu chỉ vì mô hình có thể khai thác được. Mỗi biến đầu vào vẫn phải có quan hệ hợp lý với mục đích và phải vượt qua phép thử cần thiết, tương xứng và công bằng.

“Có con người trong quy trình” cũng không tự động làm quyết định trở nên có trách nhiệm. Nếu nhân viên luôn chấp nhận khuyến nghị của hệ thống hoặc không hiểu cơ sở của kết quả, sự giám sát đó chỉ tồn tại trên danh nghĩa.

Chuẩn bị trước cho sự cố dữ liệu

Không tổ chức nào có thể bảo đảm tuyệt đối rằng sự cố sẽ không xảy ra. Trách nhiệm được thể hiện ở khả năng phát hiện, kiểm soát, đánh giá và phản ứng khi có vấn đề.

Kế hoạch ứng phó nên xác định:

·         Thành viên và trách nhiệm của đội xử lý

·         Kênh báo cáo nội bộ

·         Tiêu chí xác định sự cố liên quan đến dữ liệu cá nhân

·         Cách cô lập hệ thống bị ảnh hưởng

·         Phương pháp xác định dữ liệu và cá nhân liên quan

·         Quy trình đánh giá hậu quả

·         Nghĩa vụ thông báo theo pháp luật áp dụng

·         Nội dung liên lạc với khách hàng

·         Cơ chế bảo toàn bằng chứng

·         Hoạt động khắc phục và phòng ngừa tái diễn

Thông báo có trách nhiệm phải giúp khách hàng hiểu điều gì đã xảy ra, dữ liệu nào có thể bị ảnh hưởng, doanh nghiệp đã thực hiện biện pháp gì và khách hàng cần làm gì để tự bảo vệ.

Che giấu, trì hoãn không có căn cứ hoặc sử dụng ngôn ngữ mơ hồ có thể làm tăng thiệt hại và suy giảm lòng tin.

Xây dựng trách nhiệm giải trình trong tổ chức

Doanh nghiệp sử dụng dữ liệu có trách nhiệm phải chứng minh được cách mình đưa ra quyết định. Trách nhiệm giải trình cần được thể hiện bằng hồ sơ, vai trò, kiểm soát và kết quả thực tế.

Một mô hình quản trị nên bao gồm:

·         Danh mục dữ liệu và bản đồ luồng dữ liệu

·         Chủ sở hữu cho từng hệ thống hoặc tập dữ liệu

·         Quy trình phê duyệt mục đích sử dụng mới

·         Chính sách phân loại và lưu giữ

·         Tiêu chuẩn bảo mật

·         Đánh giá nhà cung cấp

·         Quy trình xử lý quyền của khách hàng

·         Đánh giá tác động

·         Nhật ký quyết định

·         Đào tạo theo vai trò

·         Kiểm tra và cải tiến định kỳ

Chỉ số quản trị nên phản ánh hiệu quả thực tế, chẳng hạn tỷ lệ hệ thống có chủ sở hữu, số quyền truy cập quá hạn, thời gian xử lý yêu cầu, tỷ lệ dữ liệu đã quá thời hạn lưu giữ, số nhà cung cấp chưa hoàn thành đánh giá và thời gian phát hiện sự cố.

Không nên xem số lượng biểu mẫu hoặc buổi đào tạo là bằng chứng duy nhất của trách nhiệm. Một chương trình có thể có đầy đủ tài liệu nhưng vẫn thất bại nếu quyền truy cập không được thu hồi, dữ liệu không được xóa hoặc nhân viên không biết cách báo cáo sự cố.

Tuân thủ pháp luật là mức sàn, không phải toàn bộ trách nhiệm

Tại Việt Nam, khung pháp lý về bảo vệ dữ liệu đã có thay đổi quan trọng. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được ban hành ngày 26 tháng 6 năm 2025 và có hiệu lực từ ngày 1 tháng 1 năm 2026. Chính phủ đồng thời ban hành Nghị định 356/2025/NĐ-CP, có hiệu lực từ ngày 1 tháng 1 năm 2026, để quy định chi tiết một số điều và biện pháp thi hành Luật.

Trước đó, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1 tháng 7 năm 2023. Do khung pháp lý đã tiếp tục phát triển, doanh nghiệp không nên dựa vào các chính sách hoặc biểu mẫu được xây dựng từ một thời điểm cũ mà không rà soát lại tính phù hợp.

Phạm vi nghĩa vụ cụ thể còn phụ thuộc vào loại dữ liệu, hoạt động xử lý, vai trò của doanh nghiệp, đối tượng khách hàng, ngành nghề và quốc gia liên quan. Vì vậy, doanh nghiệp cần đối chiếu văn bản hiện hành và nhận tư vấn chuyên môn đối với hoạt động có rủi ro pháp lý đáng kể.

Tuân thủ pháp luật là điều kiện bắt buộc nhưng chưa chắc đã đủ để tạo ra sự tin cậy. Một hoạt động có thể chưa bị cấm rõ ràng nhưng vẫn thiếu trách nhiệm nếu không phù hợp với kỳ vọng hợp lý của khách hàng hoặc tạo ra nguy cơ gây hại không tương xứng.

Quy trình thực hành từ thu thập đến bảo vệ

Doanh nghiệp có thể chuyển các nguyên tắc thành quy trình vận hành theo tám bước:

1.    Lập danh mục dữ liệu đang thu thập, nguồn dữ liệu, hệ thống lưu trữ và bên nhận dữ liệu

2.    Gắn mỗi hoạt động xử lý với một mục đích cụ thể và người chịu trách nhiệm

3.    Loại bỏ các trường dữ liệu không cần thiết hoặc không có mục đích rõ ràng

4.    Xác định điều kiện xử lý, thông báo và cơ chế lựa chọn phù hợp

5.    Phân loại rủi ro, áp dụng quyền truy cập và biện pháp bảo vệ tương ứng

6.    Thiết lập thời hạn lưu giữ, quy trình xóa và cơ chế thực hiện quyền của khách hàng

7.    Đánh giá nhà cung cấp, hoạt động phân tích, trí tuệ nhân tạo và các thay đổi mục đích

8.    Kiểm tra định kỳ, diễn tập sự cố và báo cáo kết quả cho cấp quản lý

Mỗi sản phẩm hoặc chiến dịch mới nên trải qua một cổng kiểm soát dữ liệu trước khi triển khai. Cổng này không cần quá phức tạp với hoạt động rủi ro thấp, nhưng phải đủ để phát hiện những trường hợp cần đánh giá chuyên sâu.

Một câu hỏi hữu ích trước khi phê duyệt là: doanh nghiệp có thể giải thích hoạt động này cho khách hàng bằng ngôn ngữ đơn giản mà vẫn cảm thấy quyết định đó hợp lý hay không.

Sử dụng dữ liệu khách hàng có trách nhiệm không phải là một dự án hoàn thành một lần. Đó là năng lực quản trị xuyên suốt từ thiết kế sản phẩm, thu thập, phân tích, chia sẻ, lưu giữ đến xóa dữ liệu.

Doanh nghiệp nên bắt đầu bằng mục đích rõ ràng, thu thập tối thiểu và minh bạch với khách hàng. Sau đó, cần kết hợp quyền kiểm soát của cá nhân, bảo mật theo rủi ro, quản lý nhà cung cấp, đánh giá tác động và trách nhiệm giải trình.

Nguyên tắc quan trọng nhất là dữ liệu chỉ nên được sử dụng khi doanh nghiệp có thể chứng minh ba điều: hoạt động đó cần thiết cho một mục đích hợp lý, rủi ro đối với khách hàng đã được kiểm soát và cá nhân không bị tước mất quyền kiểm soát chính đáng đối với thông tin của mình.