(KTSG) - Việc đưa dịch vụ xử lý dữ liệu cá nhân vào nhóm ngành nghề kinh doanh có điều kiện đánh dấu bước chuyển quan trọng trong chính sách quản lý dữ liệu cá nhân tại Việt Nam. Đồng thời, việc này tạo ra tác động đáng kể đối với nhiều doanh nghiệp trong nền kinh tế số.
- Ranh giới nào cho dữ liệu cá nhân trong kỷ nguyên số?
- Quyền xóa dữ liệu cá nhân: Quan trọng hơn là giám sát thực hiện ra sao?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26-6-2025 của Quốc hội (Luật BVDLCN) và Nghị định 356/2025/NĐ-CP ngày 31-12-2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân (Nghị định 356) đã lần đầu tiên xác lập dịch vụ xử lý dữ liệu cá nhân như một lĩnh vực kinh doanh có điều kiện, chịu sự điều chỉnh trực tiếp của pháp luật chuyên ngành về bảo vệ dữ liệu cá nhân. Quy định này tác động không nhỏ đến nhiều doanh nghiệp đang hoạt động trong nền kinh tế số.
Trước hết, pháp luật hiện hành không đưa ra một định nghĩa mang tính khái quát về “dịch vụ xử lý dữ liệu cá nhân”. Thay vào đó, quy định được xây dựng theo hướng liệt kê cụ thể các loại hình dịch vụ dựa trên bản chất của hoạt động xử lý dữ liệu, không phụ thuộc vào tên gọi sản phẩm, mô hình kinh doanh hay cách doanh nghiệp tự định danh. Điều này đồng nghĩa với việc cơ quan quản lý có thể không quan tâm doanh nghiệp gọi dịch vụ của mình là gì và chỉ xem xét trực tiếp liệu hoạt động này có bao gồm việc xử lý dữ liệu cá nhân hay không.
Kinh doanh dịch vụ xử lý dữ liệu cá nhân - hiểu thế nào cho đúng?
Cụ thể, điều 21 Nghị định 356 liệt kê các dịch vụ thuộc phạm vi điều chỉnh bao gồm: cung cấp và vận hành hệ thống, phần mềm xử lý dữ liệu thay mặt bên kiểm soát; chấm điểm, xếp hạng tín nhiệm chủ thể dữ liệu cá nhân; thu thập và xử lý dữ liệu từ trang web, ứng dụng, mạng xã hội; xử lý dữ liệu trong lĩnh vực y tế, giáo dục có yếu tố giám sát; phân tích và khai thác dữ liệu người dùng; mã hóa dữ liệu cá nhân; xử lý dữ liệu cá nhân dựa trên công nghệ dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, vũ trụ ảo; và dịch vụ nền tảng ứng dụng cung cấp dữ liệu vị trí cá nhân.
Nghị định 356 cũng không đưa ra định nghĩa cụ thể về “kinh doanh dịch vụ xử lý dữ liệu cá nhân”. Do đó, để làm rõ khái niệm này, cần tham chiếu quy định pháp luật liên quan. Theo Luật Thương mại 2005(1), hoạt động thương mại (trong đó có cung ứng dịch vụ) là hoạt động nhằm mục đích sinh lợi. Trong khi đó, Luật Doanh nghiệp 2020(2) xác định “kinh doanh” là việc thực hiện liên tục một, một số hoặc tất cả công đoạn của quá trình đầu tư, từ sản xuất đến tiêu thụ sản phẩm hoặc cung ứng dịch vụ trên thị trường nhằm mục đích tìm kiếm lợi nhuận”.
Trên cơ sở đó, có thể hiểu rằng một doanh nghiệp được xem là kinh doanh dịch vụ xử lý dữ liệu cá nhân khi cung cấp hoạt động xử lý dữ liệu cho chủ thể khác như một dịch vụ độc lập, được thực hiện thường xuyên và nhằm mục đích thu lợi nhuận. Ngược lại, nếu doanh nghiệp chỉ xử lý dữ liệu để phục vụ cho hoạt động nội bộ của mình (quản lý khách hàng, nhân sự, vận hành hệ thống…), thì không phải là “kinh doanh dịch vụ xử lý dữ liệu cá nhân”, dù vẫn phải tuân thủ các quy định chung về bảo vệ dữ liệu cá nhân.
Những doanh nghiệp nào có thể bị tác động?
Trên thực tế, quy định về điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân theo Nghị định 356 có khả năng tác động đến nhiều nhóm doanh nghiệp đang hoạt động phổ biến trên thị trường. Chẳng hạn, nhóm doanh nghiệp cung cấp dịch vụ hạ tầng công nghệ, điện toán đám mây, như Viettel IDC, VNPT IDC, FPT Telecom, CMC Telecom…; nhóm doanh nghiệp cung cấp dịch vụ quảng cáo số, phân tích và khai thác dữ liệu người dùng như Admicro, Novaon, YouNet…; các doanh nghiệp hoạt động trong lĩnh vực tài chính, fintech như Momo, Zalopay, Trusting Social; hoặc các nền tảng ứng dụng cung cấp dữ liệu vị trí cá nhân như Google Maps, Apple Maps cũng như các nền tảng gọi xe/giao hàng như Grab, Be, Xanh SM.
Nếu các doanh nghiệp này thực hiện hoạt động xử lý dữ liệu cá nhân thuộc các loại dịch vụ quy định tại điều 21 Nghị định 356 và cung cấp dịch vụ đó theo hợp đồng cho tổ chức, cá nhân khác nhằm mục đích sinh lợi, hoạt động đó có thể được xem là “kinh doanh dịch vụ xử lý dữ liệu cá nhân”, từ đó làm phát sinh nghĩa vụ tuân thủ tương ứng.
Tuy nhiên, việc một doanh nghiệp cụ thể có thuộc đối tượng này hay không còn phụ thuộc vào mô hình hoạt động thực tế, vai trò trong quá trình xử lý dữ liệu và phạm vi dịch vụ cung cấp. Vì vậy, các doanh nghiệp được nêu trên chỉ mang tính minh họa cho các mô hình kinh doanh có khả năng liên quan. Doanh nghiệp cần chủ động rà soát hoạt động của mình để đánh giá khả năng thuộc phạm vi điều chỉnh của Nghị định 356 và thực hiện các nghĩa vụ tuân thủ phù hợp theo quy định pháp luật.
Yêu cầu bắt buộc: Giấy chứng nhận đủ điều kiện kinh doanh
Theo Nghị định 356, tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân là tổ chức, doanh nghiệp được thành lập và hoạt động theo pháp luật Việt Nam (sau đây gọi chung là “doanh nghiệp”), phải đáp ứng các điều kiện cơ bản về (1) nhân sự; (2) hạ tầng, hệ thống trang thiết bị, cơ sở vật chất và công nghệ phù hợp với dịch vụ xử lý dữ liệu cá nhân; (3) có kết quả đạt yêu cầu đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong trường hợp có chuyển dữ liệu cá nhân xuyên biên giới(3).
Tuy nhiên, các điều kiện nêu trên mới chỉ là điều kiện cần. Để được phép kinh doanh, doanh nghiệp phải được cấp giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân. Thẩm quyền cấp, cấp lại, cấp đổi, thu hồi giấy chứng nhận này hiện nay được giao cho Bộ Công an(4). Hồ sơ, trình tự, thủ tục và các biểu mẫu cho thủ tục hành chính liên quan đến giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân cũng đã được quy định tại Nghị định 356. Điều này cho thấy cơ quan quản lý nhà nước đang tăng cường cơ chế tiền kiểm đối với lĩnh vực có mức độ rủi ro cao này.
Ở góc độ thị trường, việc tìm kiếm hoặc đào tạo đội ngũ nhân sự đáp ứng yêu cầu cũng là thách thức đáng kể cho doanh nghiệp, nhất là khi quy định còn mới và nguồn nhân lực có chuyên môn sâu về bảo vệ dữ liệu cá nhân vẫn chưa thực sự dồi dào.
Cơ chế này góp phần sàng lọc doanh nghiệp tham gia thị trường và tạo khuôn khổ pháp lý rõ ràng cho hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân. Tuy nhiên, có thể thấy yêu cầu về giấy chứng nhận này đặt thêm gánh nặng cho doanh nghiệp về chi phí tuân thủ, đòi hỏi doanh nghiệp phải đầu tư đáng kể về thời gian, nhân lực và nguồn lực tài chính để rà soát, đánh giá và hoàn thiện hồ sơ pháp lý, đặc biệt trong giai đoạn đầu thi hành luật chưa có kinh nghiệm thực tiễn của cả doanh nghiệp lẫn cơ quan quản lý Nhà nước.
Một trong những điều kiện kinh doanh đáng chú ý trong lĩnh vực này là yêu cầu về nhân sự. Theo Nghị định 356, doanh nghiệp phải có: (1) người đứng đầu phụ trách chuyên môn về xử lý dữ liệu cá nhân của tổ chức là công dân Việt Nam, thường trú tại Việt Nam; (2) có đội ngũ quản lý, điều hành đáp ứng được yêu cầu chuyên môn xử lý dữ liệu cá nhân; (3) và có tối thiểu ba nhân sự đủ điều kiện năng lực theo quy định tại khoản 2 điều 13 của Nghị định 356(5), trong đó có yêu cầu “đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân”.
Tuy nhiên, các tiêu chí cụ thể để xác định thế nào là “đáp ứng yêu cầu chuyên môn” hay tiêu chuẩn của việc “đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn” hiện vẫn chưa được hướng dẫn chi tiết. Khoảng trống này có thể khiến doanh nghiệp gặp khó khăn trong việc tự đánh giá mức độ đáp ứng điều kiện, đồng thời tiềm ẩn nguy cơ áp dụng không thống nhất trong thực tiễn. Ở góc độ thị trường, việc tìm kiếm hoặc đào tạo đội ngũ nhân sự đáp ứng yêu cầu cũng là thách thức đáng kể cho doanh nghiệp, nhất là khi quy định còn mới và nguồn nhân lực có chuyên môn sâu về bảo vệ dữ liệu cá nhân vẫn chưa thực sự dồi dào.
Tuân thủ để phát triển bền vững trong kỷ nguyên dữ liệu
Việc đưa dịch vụ xử lý dữ liệu cá nhân vào nhóm ngành nghề kinh doanh có điều kiện đánh dấu bước chuyển quan trọng trong chính sách quản lý dữ liệu cá nhân tại Việt Nam. Đồng thời, việc này tạo ra tác động đáng kể đối với nhiều doanh nghiệp trong nền kinh tế số. Trong ngắn hạn, doanh nghiệp có thể gặp lúng túng trong viêc xác định phạm vi, điều kiện áp dụng cũng như phải đối mặt với áp lực về chi phí và nguồn lực để rà soát, đánh giá và triển khai các biện pháp tuân thủ. Tuy nhiên, về dài hạn, việc chuẩn hóa hoạt động xử lý dữ liệu cá nhân góp phần nâng cao tính minh bạch, tăng cường niềm tin của khách hàng và đối tác, đồng thời tạo nền tảng pháp lý vững chắc hơn cho sự phát triển bền vững của doanh nghiệp trong nền kinh tế số.
Doanh nghiệp nên cân nhắc xây dựng tiêu chí nội bộ về năng lực chuyên môn, tài liệu bồi dưỡng và các bằng chứng chứng minh năng lực chuyên môn của nhân sự. Đây sẽ là cơ sở quan trọng khi thực hiện thủ tục xin cấp giấy chứng nhận đủ điều kiện kinh doanh, cũng như khi cơ quan quản lý tiến hành thanh kiểm tra.
Việc doanh nghiệp chủ động rà soát mô hình kinh doanh, xây dựng tiêu chí nội bộ về năng lực chuyên môn và tổ chức đào tạo, bồi dưỡng cho đội ngũ chuyên trách về bảo vệ dữ liệu cá nhân là cần thiết trong bối cảnh hiện nay. Ngoài ra, doanh nghiệp nên cân nhắc xây dựng tiêu chí nội bộ về năng lực chuyên môn, tài liệu bồi dưỡng và các bằng chứng chứng minh năng lực chuyên môn của nhân sự. Đây sẽ là cơ sở quan trọng khi thực hiện thủ tục xin cấp giấy chứng nhận đủ điều kiện kinh doanh, cũng như khi cơ quan quản lý tiến hành thanh kiểm tra.
(*) Công ty Luật TNHH HM&P
(1) Khoản 1 điều 3 Luật Thương mại số 35/2005/QH11 ngày 14-6-2025 của Quốc hội.
(2) Khoản 21 điều 24 Luật Doanh nghiệp số 59/2020/QH14 ngày 17-6-2020 của Quốc hội.
(3) Điều 22 Nghị định 356
(4) Điều 24 Nghị định 356
(5) Khoản 2 điều 22 Luật BVDLCN
