Khi bảo vệ dữ liệu cá nhân dần trở thành một yêu cầu của quản trị doanh nghiệp, câu hỏi không còn là doanh nghiệp có cần một đầu mối phụ trách bảo vệ dữ liệu cá nhân (Data Protection Officer - DPO) hay không. Điều các doanh nghiệp quan tâm hiện nay là nên tổ chức chức năng này như thế nào: xây dựng DPO nội bộ, thuê ngoài hay kết hợp cả hai.
Việc pháp luật Việt Nam cho phép doanh nghiệp sử dụng tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân mở ra thêm một lựa chọn trong việc tổ chức chức năng DPO.
Ở góc độ chi phí, doanh nghiệp cân nhắc giữa việc tuyển một nhân sự chuyên trách và thuê một tổ chức cung cấp dịch vụ. Cách tiếp cận này không sai, nhưng chưa chạm đến bản chất của vấn đề. Điều doanh nghiệp thực sự đang quyết định không phải là lựa chọn một mô hình nhân sự mà là thiết kế một cơ chế có khả năng nhận diện, đánh giá và kiểm soát rủi ro dữ liệu trước khi những rủi ro đó trở thành vi phạm pháp luật, sự cố an ninh mạng hoặc khủng hoảng uy tín.
Lựa chọn bắt đầu từ rủi ro của doanh nghiệp
Việc pháp luật Việt Nam cho phép doanh nghiệp sử dụng tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân mở ra thêm một lựa chọn trong việc tổ chức chức năng DPO. Tuy nhiên, sự đa dạng về mô hình cũng khiến nhiều doanh nghiệp tập trung vào câu hỏi mô hình nào tiết kiệm chi phí hơn, thay vì mô hình nào kiểm soát rủi ro tốt hơn.
Điểm xuất phát đúng phải là hồ sơ rủi ro dữ liệu của doanh nghiệp. Doanh nghiệp đang xử lý loại dữ liệu nào, dữ liệu có nhạy cảm hay không, hoạt động xử lý thay đổi nhanh đến mức nào, có bao nhiêu bên thứ ba tham gia xử lý dữ liệu, có chuyển dữ liệu ra nước ngoài hay không và hậu quả sẽ như thế nào nếu dữ liệu bị xâm phạm. Chính những yếu tố này, chứ không phải quy mô vốn hay số lượng lao động, mới quyết định doanh nghiệp cần một chức năng DPO ở mức độ nào.
Thực tế cho thấy quy mô doanh nghiệp không phải lúc nào cũng tỷ lệ thuận với rủi ro dữ liệu. Một công ty khởi nghiệp với vài chục nhân sự nhưng vận hành nền tảng số cho hàng triệu người dùng có thể đối mặt với rủi ro cao hơn nhiều so với một doanh nghiệp sản xuất hàng nghìn lao động nhưng chủ yếu xử lý dữ liệu nội bộ. Vì vậy, lựa chọn mô hình DPO phải đi sau quá trình đánh giá rủi ro dữ liệu, chứ không nên đi trước.
DPO nội bộ: Giá trị nằm ở khả năng tham gia trước khi rủi ro xuất hiện
Nhiều doanh nghiệp cho rằng ưu điểm lớn nhất của DPO nội bộ là có mặt toàn thời gian. Thực tế, lợi thế quan trọng hơn nằm ở khả năng tham gia vào quá trình ra quyết định trước khi hoạt động xử lý dữ liệu diễn ra.
Rủi ro dữ liệu hiếm khi bắt đầu từ phòng pháp chế. Chúng thường xuất hiện khi doanh nghiệp triển khai một chiến dịch marketing mới, thay đổi hệ thống công nghệ, phát triển sản phẩm mới hoặc lựa chọn thêm một nhà cung cấp có quyền truy cập dữ liệu. Nếu DPO chỉ được tham gia khi hợp đồng đã ký hoặc hệ thống đã vận hành, doanh nghiệp gần như đã bỏ lỡ thời điểm hiệu quả nhất để kiểm soát rủi ro.
Đó là lợi thế lớn nhất của DPO nội bộ. Họ hiểu cách doanh nghiệp vận hành, biết mục tiêu của từng dự án và có điều kiện tham gia ngay từ giai đoạn thiết kế. Nhờ đó, DPO không chỉ trả lời câu hỏi "có được làm hay không" mà còn có thể đề xuất cách thức thực hiện để vừa đáp ứng mục tiêu kinh doanh vừa kiểm soát rủi ro dữ liệu. Tuy nhiên, chính sự gần gũi với hoạt động kinh doanh cũng tạo ra thách thức lớn nhất của mô hình này: tính độc lập.
Một DPO đồng thời phụ trách pháp chế, công nghệ thông tin hoặc tuân thủ có thể gặp khó khăn khi phải đánh giá chính những quyết định mà mình tham gia xây dựng. Vì vậy, vấn đề không chỉ là doanh nghiệp tuyển được ai làm DPO mà còn là DPO được đặt ở đâu trong cơ cấu quản trị, có được tiếp cận đầy đủ thông tin, được tham gia từ giai đoạn đầu và có thể báo cáo trực tiếp tới cấp quản lý đủ thẩm quyền hay không.
Điểm yếu lớn nhất của DPO nội bộ vì thế có thể không phải là thiếu chuyên môn mà là nguy cơ thiếu độc lập trong quá trình giám sát.
DPO thuê ngoài: chuyên môn và độc lập nhưng am hiểu doanh nghiệp còn thấp
Nếu DPO nội bộ có lợi thế về hiểu hoạt động kinh doanh thì DPO thuê ngoài lại nổi bật ở chiều sâu chuyên môn.
Một tổ chức chuyên cung cấp dịch vụ DPO thường tích lũy kinh nghiệm từ nhiều doanh nghiệp, nhiều ngành nghề và nhiều tình huống xử lý dữ liệu khác nhau. Đối với doanh nghiệp vừa và nhỏ hoặc doanh nghiệp mới xây dựng chương trình bảo vệ dữ liệu, đây thường là cách tiếp cận hiệu quả để nhanh chóng tiếp cận nguồn lực chuyên môn mà không phải duy trì một vị trí toàn thời gian.
Tuy nhiên, điểm yếu lớn nhất của mô hình này không nằm ở khoảng cách địa lý mà ở khoảng cách thông tin. Phần lớn rủi ro dữ liệu không xuất hiện trong các hợp đồng hay hồ sơ pháp lý mà phát sinh từ những thay đổi rất nhỏ trong hoạt động hằng ngày. Một nền tảng công nghệ mới được triển khai, một nhà cung cấp được cấp quyền truy cập dữ liệu hoặc một quy trình kinh doanh được điều chỉnh đều có thể làm thay đổi đáng kể mức độ rủi ro. Nếu những thay đổi này không được chia sẻ kịp thời, DPO thuê ngoài sẽ chỉ nhìn thấy rủi ro khi doanh nghiệp đã đưa ra quyết định.
Vì vậy, câu hỏi quan trọng nhất đối với mô hình thuê ngoài không phải là nhà cung cấp có đủ năng lực hay không, mà là doanh nghiệp có sẵn sàng đưa DPO vào dòng chảy thông tin và quy trình ra quyết định của mình hay không.
Đây cũng là điểm cần phân biệt giữa DPO thuê ngoài và đơn vị tư vấn pháp lý. Một đơn vị tư vấn thường phản ứng khi doanh nghiệp đặt câu hỏi. Ngược lại, một DPO hiệu quả phải tham gia trước khi câu hỏi phát sinh. Giá trị của DPO không nằm ở việc xử lý hậu quả mà ở việc giúp doanh nghiệp tránh những quyết định có thể tạo ra rủi ro ngay từ đầu.
Chính vì vậy, một tổ chức DPO rất giỏi chuyên môn vẫn có thể không tạo ra nhiều giá trị nếu chỉ được mời rà soát hợp đồng hoặc tham gia khi dự án đã hoàn thành. Khi đó, vấn đề không còn nằm ở năng lực của DPO mà ở cách doanh nghiệp thiết kế cơ chế quản trị và chia sẻ thông tin.
Quan trọng hơn, doanh nghiệp cũng cần nhận thức rằng thuê ngoài DPO không đồng nghĩa với thuê ngoài trách nhiệm. Doanh nghiệp có thể thuê chuyên môn và nguồn lực, nhưng không thể chuyển giao trách nhiệm quản trị dữ liệu cho một nhà cung cấp dịch vụ. Quyết định về việc thu thập, sử dụng và chấp nhận rủi ro dữ liệu vẫn luôn thuộc về doanh nghiệp.
Bởi vậy, hiệu quả của mô hình thuê ngoài không được quyết định bởi hợp đồng dịch vụ mà bởi mức độ doanh nghiệp sẵn sàng tích hợp DPO vào hệ thống quản trị và quá trình ra quyết định của mình.
Hybrid: Không hẳn là mô hình tốt nhất, mà là mô hình khó vận hành nhất
Nếu DPO nội bộ mạnh ở khả năng am hiểu doanh nghiệp và DPO thuê ngoài nổi bật về chuyên môn, mô hình kết hợp (hybrid) được kỳ vọng dung hòa ưu điểm của cả hai. Đây cũng là xu hướng ngày càng phổ biến ở các tập đoàn đa quốc gia và doanh nghiệp có hoạt động xử lý dữ liệu phức tạp.
Tuy nhiên, hybrid không mặc nhiên là mô hình tối ưu. Thách thức lớn nhất của mô hình này không phải là chi phí hay nguồn lực mà là quản trị trách nhiệm.
Trong thực tế, nhiều sự cố dữ liệu trở nên nghiêm trọng không phải vì doanh nghiệp thiếu chuyên môn, mà vì không ai chịu trách nhiệm đưa ra quyết định cuối cùng. Bộ phận nội bộ cho rằng vấn đề thuộc phạm vi của đơn vị cung cấp dịch vụ; nhà cung cấp lại chờ doanh nghiệp đánh giá và quyết định. Khi trách nhiệm không được phân định rõ, sự chậm trễ trong phối hợp có thể tạo ra rủi ro lớn hơn cả việc thiếu nguồn lực.
Vì vậy, hybrid không nên được hiểu là "hai DPO cùng làm một việc". Giá trị của mô hình này chỉ xuất hiện khi doanh nghiệp xác định rõ ai phát hiện rủi ro, ai đánh giá, ai quyết định và ai theo dõi việc thực hiện. Nếu không giải quyết được bài toán đó, hybrid chỉ làm tăng thêm một tầng quản trị mà chưa chắc nâng cao năng lực quản trị.
DPO không tạo ra sự tuân thủ, DPO tạo ra quyết định đúng
Một quan niệm khá phổ biến là doanh nghiệp sẽ "an toàn" hơn sau khi bổ nhiệm DPO hoặc ký hợp đồng với một đơn vị cung cấp dịch vụ DPO. Cách nhìn này dễ dẫn đến việc xem DPO như một cơ chế "chứng nhận tuân thủ", trong khi vai trò của DPO hoàn toàn khác.
Bổ nhiệm DPO không mặc nhiên tạo ra sự tuân thủ, cũng giống như việc bổ nhiệm kiểm toán nội bộ không tự động tạo ra một hệ thống kiểm soát nội bộ hiệu quả.
Giá trị cốt lõi của DPO là đưa yếu tố rủi ro dữ liệu vào quá trình ra quyết định trước khi doanh nghiệp hành động. Một dự án công nghệ mới, một chiến dịch marketing, một nhà cung cấp xử lý dữ liệu hay một sản phẩm ứng dụng trí tuệ nhân tạo đều nên được xem xét dưới góc độ bảo vệ dữ liệu ngay từ giai đoạn thiết kế. Khi DPO chỉ xuất hiện sau khi quyết định đã được đưa ra, chức năng phòng ngừa gần như không còn nhiều ý nghĩa.
Điều đó cũng cho thấy hiệu quả của DPO không phụ thuộc hoàn toàn vào cá nhân hay tổ chức đảm nhiệm vai trò này. Một DPO rất giỏi vẫn khó tạo ra giá trị nếu doanh nghiệp không có cơ chế chia sẻ thông tin, không tích hợp DPO vào quy trình ra quyết định hoặc không sẵn sàng thực hiện các khuyến nghị được đưa ra.
Lựa chọn mô hình DPO không phải là quyết định mang tính cố định.
Không có mô hình tốt nhất, chỉ có mô hình phù hợp nhất
Suy cho cùng, doanh nghiệp luôn phải cân bằng bốn yêu cầu khi thiết kế chức năng DPO: am hiểu hoạt động kinh doanh, có chuyên môn phù hợp, đủ độc lập để đưa ra cảnh báo và đủ năng lực để biến cảnh báo thành hành động.
Không có mô hình nào mặc nhiên đáp ứng đồng thời cả bốn yêu cầu đó.
DPO nội bộ có lợi thế về sự gắn kết với hoạt động kinh doanh nhưng có thể gặp thách thức về tính độc lập hoặc chuyên môn chuyên sâu. DPO thuê ngoài mạnh về kinh nghiệm và góc nhìn khách quan nhưng phụ thuộc vào khả năng tiếp cận thông tin và mức độ phối hợp từ doanh nghiệp. Hybrid có thể dung hòa hai mô hình nhưng chỉ phát huy hiệu quả nếu trách nhiệm và cơ chế phối hợp được thiết kế rõ ràng.
Bởi vậy, câu hỏi doanh nghiệp nên đặt ra không phải là "mô hình nào tốt nhất?" mà là "hệ thống quản trị dữ liệu của chúng ta đang thiếu năng lực nào?". Khi xác định đúng khoảng trống đó, lựa chọn giữa DPO nội bộ, thuê ngoài hay kết hợp sẽ trở thành hệ quả của chiến lược quản trị, thay vì một quyết định thuần túy về nhân sự.
Mô hình DPO cũng phải thay đổi cùng doanh nghiệp
Lựa chọn mô hình DPO không phải là quyết định mang tính cố định. Cũng như hệ thống quản trị doanh nghiệp, chức năng DPO cần phát triển cùng với quy mô, mức độ số hóa và hồ sơ rủi ro dữ liệu của doanh nghiệp.
Ở giai đoạn đầu, thuê ngoài có thể là giải pháp hiệu quả để nhanh chóng xây dựng nền tảng quản trị dữ liệu. Khi hoạt động xử lý dữ liệu ngày càng phức tạp, doanh nghiệp có thể hình thành đội ngũ nội bộ và chuyển dần sang mô hình kết hợp. Khi hệ thống đã trưởng thành, vai trò của đơn vị bên ngoài có thể tập trung vào đánh giá độc lập hoặc tư vấn chuyên sâu đối với các dự án và tình huống có rủi ro cao.
Điều quan trọng không phải là doanh nghiệp lựa chọn mô hình nào, mà là có thường xuyên đánh giá lại mô hình đó khi hoạt động kinh doanh thay đổi hay không.
Kết luận
Dữ liệu ngày càng trở thành tài sản chiến lược, nhưng rủi ro dữ liệu không được kiểm soát bằng một chức danh. Nó được kiểm soát bằng một cơ chế quản trị đủ khả năng nhìn thấy rủi ro trước khi doanh nghiệp hành động.
DPO nội bộ, thuê ngoài hay kết hợp chỉ là ba cách khác nhau để tổ chức nguồn lực nhằm đạt được mục tiêu đó. Không có mô hình nào mặc nhiên tốt hơn mô hình còn lại; chỉ có mô hình phù hợp với mức độ trưởng thành của hệ thống quản trị dữ liệu và đặc điểm hoạt động của từng doanh nghiệp.
