Nghĩa vụ dành 15% kinh phí cho an ninh mạng: Không chỉ là bài toán ngân sách
Từ ngày 1/7/2026, Luật An ninh mạng 2025 (Luật ANM) đặt ra một yêu cầu đáng chú ý: một số cơ quan, tổ chức, doanh nghiệp nhà nước phải bố trí tối thiểu 15% tổng kinh phí thực hiện chương trình, đề án, dự án đầu tư chuyển đổi số, ứng dụng công nghệ thông tin để bảo vệ an ninh mạng. Quy định tưởng như chỉ là một tỷ lệ ngân sách, nhưng khi đi vào thực tế lại đặt ra hàng loạt câu hỏi: 15% tính trên khoản nào, ai bắt buộc phải áp dụng và chi như thế nào để vừa đúng luật, vừa tránh đầu tư hình thức và lãng phí tài chính cho doanh nghiệp?
Sử dụng dữ liệu cá nhân công khai để huấn luyện Gen AI thế nào cho đúng tại Việt Nam?
Dữ liệu trên Internet đang trở thành nguồn nguyên liệu quan trọng để huấn luyện trí tuệ nhân tạo tạo sinh (Gen AI). Tuy nhiên, một thông tin được công khai không có nghĩa là bất kỳ tổ chức nào cũng có quyền thu thập, khai thác và sử dụng cho mục đích thương mại. Khi Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026, bài toán đặt ra cho doanh nghiệp phát triển AI tại Việt Nam không chỉ là tiếp cận được bao nhiêu dữ liệu, mà còn là sử dụng chúng trên cơ sở pháp lý nào.
Vi phạm pháp luật dữ liệu: Khi chi phí khắc phục đáng lo hơn tiền phạt
Trong hai năm qua, khung pháp lý về dữ liệu tại Việt Nam chuyển nhanh từ tư duy chủ yếu “bảo vệ” sang quản trị dữ liệu xuyên suốt vòng đời. Chỉ trong hai tháng, Chính phủ ban hành Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân và Nghị định 363/2026/NĐ-CP (“Nghị định 363”) về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định 363 được ban hành ngày 19/9/2026 và có hiệu lực từ ngày 11/11/2026.
Microsoft 365, AWS, Google Cloud và hệ thống ERP toàn cầu: Khi nào việc sử dụng Cloud trở thành chuyển dữ liệu xuyên biên giới?
Việc sử dụng các nền tảng điện toán đám mây (“Cloud”) như Microsoft 365, Amazon Web Services (“AWS”), Google Cloud hoặc các hệ thống ERP toàn cầu như SAP, Oracle và Microsoft Dynamics đã trở thành hạ tầng quen thuộc trong hoạt động của doanh nghiệp. Trên các hệ thống này có thể tồn tại đồng thời dữ liệu nhân viên, khách hàng, nhà cung cấp, tiền lương, giao dịch và nhiều dữ liệu phục vụ vận hành. Vấn đề pháp lý vì thế không dừng ở an toàn thông tin: tùy cách hệ thống được cấu hình và vận hành, một thao tác lưu trữ, đồng bộ hoặc xử lý tưởng như thuần túy kỹ thuật có thể làm phát sinh hoạt động chuyển dữ liệu xuyên biên giới.
Nghị định 363 sắp có hiệu lực: Khoảng trống nào trong quản trị dữ liệu doanh nghiệp cần xử lý?
Ngày 11/11/2026, Nghị định 363/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu (“Nghị định 363”) chính thức có hiệu lực. Với doanh nghiệp, vấn đề đáng lưu ý không chỉ là mức phạt mới, mà là nhiều hoạt động xử lý dữ liệu vốn đang diễn ra hàng ngày: từ thu thập, lưu trữ, phân quyền truy cập đến thuê nhà cung cấp và chuyển dữ liệu ra nước ngoài nay được đặt dưới một cơ chế chế tài cụ thể hơn.
Sử dụng DPO thuê ngoài: Những vấn đề doanh nghiệp cần cân nhắc
Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định 356/2025/NĐ-CP đã tạo cơ sở pháp lý rõ hơn cho việc sử dụng tổ chức bên ngoài cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Với doanh nghiệp chưa đủ nguồn lực xây dựng bộ máy chuyên trách, DPO (Data Protection Officer – Nhân sự bảo vệ dữ liệu cá nhân) thuê ngoài có thể là cách nhanh chóng bổ sung năng lực pháp lý, công nghệ và quản trị dữ liệu. Do đó, DPO thuê ngoài đang trở thành lựa chọn của nhiều doanh nghiệp khi bảo vệ dữ liệu cá nhân không còn chỉ là một yêu cầu tuân thủ mà đã trở thành một nội dung của quản trị doanh nghiệp. Tuy nhiên, chính sự phổ biến của mô hình này cũng kéo theo một ngộ nhận khá phổ biến: thuê được một DPO đồng nghĩa với việc doanh nghiệp đã giải quyết được bài toán bảo vệ dữ liệu.
DPO nội bộ, thuê ngoài hay kết hợp: Doanh nghiệp thực sự đang lựa chọn điều gì?
Khi bảo vệ dữ liệu cá nhân dần trở thành một yêu cầu của quản trị doanh nghiệp, câu hỏi không còn là doanh nghiệp có cần một đầu mối phụ trách bảo vệ dữ liệu cá nhân (Data Protection Officer - DPO) hay không. Điều các doanh nghiệp quan tâm hiện nay là nên tổ chức chức năng này như thế nào: xây dựng DPO nội bộ, thuê ngoài hay kết hợp cả hai.
Nghị định hướng dẫn Luật An ninh mạng 2025 đã được ban hành và có hiệu lực: Doanh nghiệp cần lưu ý những gì?
Điều đáng chú ý khi Nghị định 333/2026/NĐ-CP (“Nghị định 333”) chính thức được ban hành ngày 19-8-2026 không chỉ nằm ở việc bổ sung thêm các nghĩa vụ an ninh mạng. Quan trọng hơn, nhiều yêu cầu đã được cụ thể hóa theo cách tác động trực tiếp đến hệ thống, quy trình và cách doanh nghiệp vận hành dịch vụ số.
Khi doanh nghiệp phân vân DPO thuê ngoài có phải là Bên xử lý dữ liệu cá nhân
Sự khác biệt này đặc biệt rõ khi doanh nghiệp thuê ngoài chức năng bảo vệ dữ liệu cá nhân (DPO). Câu hỏi đặt ra không thực sự là DPO thuê ngoài có phải là Bên xử lý dữ liệu cá nhân hay không, mà là doanh nghiệp có đang xác định đúng vai trò của DPO trong từng hoạt động xử lý dữ liệu hay không. Đây cũng chính là điểm xuất phát của nhiều nhầm lẫn trong thực tiễn và là lý do vì sao không ít doanh nghiệp đang thiết kế cả hệ thống quản trị dữ liệu trên một tiền đề pháp lý chưa thật sự chính xác.
Doanh nghiệp hàng không trước yêu cầu phức tạp về bảo vệ dữ liệu cá nhân khách hàng
Có một điểm khá đặc biệt của ngành hàng không mà nhiều doanh nghiệp ở các lĩnh vực khác không gặp phải. Mỗi chuyến bay không chỉ vận chuyển hành khách mà còn đồng thời "vận chuyển" một khối lượng rất lớn dữ liệu cá nhân xuyên biên giới. Từ thời điểm một hành khách tìm kiếm chuyến bay trên website, đặt vé, thanh toán, làm thủ tục trực tuyến, sử dụng nhận diện khuôn mặt để lên máy bay, kết nối Wi-Fi trên chuyến bay, tích lũy điểm thưởng, yêu cầu suất ăn đặc biệt hay hỗ trợ y tế, gần như toàn bộ hành trình đều được ghi nhận dưới dạng dữ liệu.
Ranh giới giữa quản trị nhân sự và bảo vệ dữ liệu cá nhân: Nhìn từ vụ NovaGroup
Việc Công ty cổ phần Tập đoàn Nova (NovaGroup) công bố trên website danh sách những cá nhân thuộc diện “không tái tuyển dụng” đã nhanh chóng trở thành chủ đề thu hút sự quan tâm của dư luận . Đáng chú ý, danh sách được công bố không phải là toàn bộ thông tin định danh của cá nhân. Một phần số căn cước công dân và số điện thoại đã được che bớt. Điều này làm xuất hiện một lập luận khá phổ biến rằng dữ liệu đã được “ẩn danh” hoặc “khử nhận dạng”, từ đó không còn thuộc phạm vi điều chỉnh của pháp luật về bảo vệ dữ liệu cá nhân.
