Cập nhật ngày 23/09/2026
Dữ liệu cá nhân, dữ liệu quan trọng và dữ liệu cốt lõi là những cách phân loại theo các tiêu chí khác nhau. Một tập dữ liệu có thể đồng thời thuộc nhiều nhóm. Doanh nghiệp cần đối chiếu cả nội dung, phạm vi và tác động, thay vì cho rằng dữ liệu quan trọng chỉ là tài liệu kinh doanh có giá trị cao.
Luật Dữ liệu điều chỉnh những vấn đề gì
Luật Dữ liệu 60/2024/QH15 có hiệu lực từ ngày 1/7/2025. Điều 13 quy định phân loại dữ liệu; Điều 15 đề cập quản trị dữ liệu; Điều 23 về chuyển, xử lý dữ liệu xuyên biên giới; Điều 25 về quản lý rủi ro và Điều 27 về bảo vệ dữ liệu. Luật cũng điều chỉnh sản phẩm, dịch vụ dữ liệu tại Điều 39–43.
Nghị định 165/2025/NĐ-CP hướng dẫn nhiều nội dung thực hiện. Khi đối chiếu, cần đọc cùng các sửa đổi liên quan, đặc biệt Nghị định 356/2025/NĐ-CP đối với trường hợp dữ liệu cốt lõi, dữ liệu quan trọng đồng thời là dữ liệu cá nhân.
Nhận diện dữ liệu cốt lõi và dữ liệu quan trọng
Điều 3 Luật xác định các khái niệm trên cơ sở tác động đối với quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng. Quyết định 20/2025/QĐ-TTg ban hành danh mục để đối chiếu. Không nên tự đặt nhãn chỉ dựa vào cảm nhận “rất quan trọng với công ty”.
Cách làm thực tế là lập danh mục tập dữ liệu, mô tả lĩnh vực, nguồn, quy mô, mức độ tổng hợp, phạm vi địa lý và người chịu trách nhiệm. Sau đó đối chiếu đúng mục trong danh mục, bao gồm điều kiện hoặc ngưỡng đi kèm nếu có. Tệp khách hàng của một cửa hàng và tập dữ liệu tổng hợp ở quy mô lớn có thể dẫn đến kết quả đánh giá khác nhau.
Phân loại cần theo cả quá trình sử dụng. Một tập dữ liệu ban đầu có phạm vi nhỏ có thể được hợp nhất với nhiều nguồn. Khi đó cần xem lại nội dung, khả năng nhận diện cá nhân và tiêu chí phân loại; không nên giữ nguyên kết luận chỉ vì tên tệp không đổi.
Dữ liệu cá nhân tạo thêm lớp trách nhiệm nào
Nếu dữ liệu gắn với hoặc giúp xác định một người cụ thể, cần đối chiếu Luật Bảo vệ dữ liệu cá nhân. Các nghĩa vụ về căn cứ xử lý, quyền của chủ thể, bảo mật và đánh giá tác động có thể đồng thời phát sinh. Việc dữ liệu thuộc một danh mục của Luật Dữ liệu không làm mất các quyền của cá nhân theo luật chuyên biệt.
Cần dùng chính xác thuật ngữ “khử nhận dạng”. Khoản 1 và khoản 11 Điều 2 Luật Bảo vệ dữ liệu cá nhân xác định dữ liệu sau khử nhận dạng không còn là dữ liệu cá nhân. Trong khi đó, ẩn danh theo điểm c khoản 3 Điều 9 Nghị định 356 là tách phần thông tin định danh và lưu riêng; không tự đưa dữ liệu ra ngoài phạm vi bảo vệ. Mã hóa, thay tên bằng mã hoặc che một phần thông tin cũng chưa đủ để kết luận đã khử nhận dạng.
Trường hợp chuyển xuyên biên giới có phải lập hồ sơ trùng lặp
Khoản 3 Điều 42 Nghị định 356 sửa khoản 2 Điều 16 Nghị định 165. Trường hợp chuyển, xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới là dữ liệu cá nhân, chủ quản thực hiện hồ sơ đánh giá tác động xử lý và chuyển dữ liệu cá nhân theo pháp luật bảo vệ dữ liệu cá nhân; không phải thực hiện đánh giá rủi ro, đánh giá tác động chuyển, xử lý xuyên biên giới theo Nghị định 165.
Đây là quy tắc xử lý giao thoa về hồ sơ. Không nên diễn giải thành miễn toàn bộ trách nhiệm quản trị hoặc bảo vệ dữ liệu. Đối với dữ liệu không phải dữ liệu cá nhân, cần quay lại quy định của Luật Dữ liệu và Nghị định 165 tương ứng.
Ai tổ chức thực hiện trong doanh nghiệp
Người quản lý hoạt động cần phối hợp với bộ phận dữ liệu, công nghệ và pháp chế để xác định chủ quản, người khai thác, người được chia sẻ và cơ chế kiểm soát. Theo phạm vi quản lý nhà nước của Luật, Bộ Công an là đầu mối quản lý về dữ liệu; việc nộp từng loại hồ sơ phải theo thủ tục chuyên biệt, không gửi một bản danh mục chung rồi xem là đã hoàn thành mọi nghĩa vụ.
Khi không còn là dữ liệu cá nhân, có được dùng tự do không
Một báo cáo đã khử nhận dạng vẫn có thể chứa bí mật kinh doanh hoặc chịu giới hạn sử dụng trong hợp đồng. Ngược lại, một tập dữ liệu không có thông tin về cá nhân vẫn có thể thuộc danh mục dữ liệu cốt lõi, dữ liệu quan trọng. Kết quả của một phép phân loại không trả lời thay các phép phân loại còn lại.
Ví dụ, doanh nghiệp tổng hợp dữ liệu của nhiều đối tác thành sản phẩm phân tích cần xem cả quyền khai thác nguồn đầu vào, khả năng nhận diện từ đầu ra và cơ chế kinh doanh dịch vụ. Nếu sản phẩm được cung cấp qua cloud hoặc phục vụ hệ thống AI, còn có các nghĩa vụ tương ứng. Bài về phân tích, tổng hợp dữ liệu sẽ nối bước phân loại với câu hỏi được cung cấp sản phẩm đó theo cơ chế nào.
Câu hỏi thường gặp
Mọi dữ liệu có giá trị thương mại đều là dữ liệu quan trọng không? Không. Phải đối chiếu định nghĩa và danh mục pháp lý.
Luật Dữ liệu có nghĩa là mọi dữ liệu phải lưu tại Việt Nam không? Không thể rút ra một yêu cầu chung như vậy. Nghĩa vụ lưu trữ và chuyển dữ liệu phụ thuộc loại dữ liệu, chủ thể, hoạt động và quy định liên quan.
Nguồn đối chiếu
Nghị định 165/2025/NĐ-CP hướng dẫn Luật Dữ liệu
Quyết định 20/2025/QĐ-TTg về dữ liệu cốt lõi và dữ liệu quan trọng
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15
Nghị định 356/2025/NĐ-CP hướng dẫn bảo vệ dữ liệu cá nhân
Nguồn được kiểm tra đến ngày 23/09/2026.
