Bảo Vệ Dữ Liệu, An Ninh Mạng & AI

Việt Nam đang bước vào giai đoạn chuyển đổi sâu nhất về pháp luật dữ liệu: khung điều chỉnh về bảo vệ dữ liệu cá nhân, an ninh mạng, dữ liệu và công nghệ số được ban hành liên tiếp, với chế tài ngày càng nặng và phạm vi áp dụng vươn tới cả doanh nghiệp không hiện diện tại Việt Nam. Với hầu hết doanh nghiệp, câu hỏi không còn là "có phải tuân thủ không", mà là "tuân thủ thế nào để không tê liệt hoạt động kinh doanh". Trả lời câu hỏi thứ hai đó bằng những giải pháp vận hành được xem là công việc cốt lõi của HM&P trong lĩnh vực này.

Đây là một trong những practice được ghi nhận rõ nét nhất của HM&P: hãng luật được The Legal 500 Asia Pacific xếp hạng trong lĩnh vực Bảo vệ dữ liệu tại Việt Nam, và các luật sư của chúng tôi được OneTrust DataGuidance đưa vào Danh bạ chuyên gia về bảo vệ dữ liệu cá nhân. Chúng tôi tư vấn cho tập đoàn đa quốc gia, nền tảng số, tổ chức tài chính, doanh nghiệp sản xuất và các công ty công nghệ về toàn bộ chu trình dữ liệu từ thu thập, xử lý, chia sẻ đến chuyển ra nước ngoài cùng các nghĩa vụ an ninh mạng và những vấn đề pháp lý mới phát sinh từ ứng dụng AI.

Cách tiếp cận của chúng tôi

Nguyên tắc của chúng tôi là tuân thủ phải phục vụ kinh doanh, không cản trở kinh doanh. Thay vì áp một khuôn mẫu chung, chúng tôi bắt đầu từ dòng chảy dữ liệu thực tế của doanh nghiệp như dữ liệu gì, thu từ đâu, xử lý ở đâu, chia sẻ với ai, ra khỏi Việt Nam theo kênh nào và sau đó sẽ thiết kế khung tuân thủ bám sát mô hình vận hành đó: xác định đúng vai trò pháp lý của từng chủ thể trong chuỗi xử lý, chuẩn bị các hồ sơ đánh giá tác động theo yêu cầu luật định, và xây dựng hệ thống chính sách mà đội ngũ vận hành có thể thực hiện được hằng ngày, thay vì một bộ tài liệu chỉ tồn tại trên giấy.

Với các tập đoàn đa quốc gia, thách thức lớn nhất thường là dung hòa: làm sao để khung tuân thủ toàn cầu (thường xây trên nền GDPR) đáp ứng được các yêu cầu riêng của pháp luật Việt Nam mà không phải vận hành hai hệ thống song song. Chúng tôi làm việc thường xuyên với đội ngũ privacy toàn cầu và DPO khu vực của khách hàng, nói cùng ngôn ngữ chuyên môn với họ, và chỉ ra chính xác những điểm pháp luật Việt Nam đòi hỏi khác biệt từ cơ chế đồng ý, dữ liệu nhạy cảm đến hồ sơ chuyển dữ liệu xuyên biên giới.

Khi sự cố xảy ra như việc vi phạm dữ liệu, tấn công mạng, yêu cầu từ cơ quan quản lý, chúng tôi hỗ trợ khách hàng trong những giờ đầu tiên quan trọng nhất: đánh giá nghĩa vụ thông báo, kiểm soát trách nhiệm pháp lý, phối hợp với đội ứng phó kỹ thuật và truyền thông, và đại diện làm việc với cơ quan chức năng trong suốt quá trình xử lý.

Với AI, chúng tôi tư vấn ở cả hai phía của làn sóng công nghệ: doanh nghiệp triển khai AI trong vận hành (cơ sở pháp lý cho dữ liệu huấn luyện, quyết định tự động, trách nhiệm đối với đầu ra của hệ thống) và doanh nghiệp xây dựng sản phẩm AI cần cấu trúc pháp lý cho mô hình kinh doanh của mình trong một khung pháp luật đang định hình nhanh mà chúng tôi theo sát từ giai đoạn dự thảo.

Phạm vi tư vấn

• Xây dựng, rà soát và triển khai khung tuân thủ bảo vệ dữ liệu cá nhân theo pháp luật Việt Nam;
• Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài;
• Xác định vai trò và trách nhiệm pháp lý: bên kiểm soát, bên xử lý, bên kiểm soát và xử lý dữ liệu, bên thứ ba;
• Cơ chế đồng ý, xử lý dữ liệu nhạy cảm, dữ liệu trẻ em và các trường hợp xử lý không cần đồng ý;
• Quyền của chủ thể dữ liệu và quy trình tiếp nhận, xử lý yêu cầu về quyền riêng tư;
• Chính sách bảo mật, thông báo xử lý dữ liệu, quy trình nội bộ và tổ chức bộ máy bảo vệ dữ liệu (bao gồm DPO);
• Hài hòa khung tuân thủ toàn cầu (GDPR và các chuẩn khu vực) với yêu cầu riêng của pháp luật Việt Nam;
• Nghĩa vụ an ninh mạng, bảo vệ hệ thống thông tin và yêu cầu lưu trữ dữ liệu tại Việt Nam;
• Ứng phó sự cố: vi phạm dữ liệu, tấn công mạng, nghĩa vụ thông báo và làm việc với cơ quan quản lý;
• Hợp đồng xử lý dữ liệu, chia sẻ dữ liệu, điều khoản dữ liệu trong hợp đồng dịch vụ công nghệ và đám mây;
• Rủi ro pháp lý của AI: dữ liệu huấn luyện, quyết định tự động, trách nhiệm sản phẩm và quản trị AI trong doanh nghiệp;
• Tư vấn dữ liệu trong giao dịch M&A và thẩm định mức độ tuân thủ dữ liệu của doanh nghiệp mục tiêu.