Cách làm data mapping gồm năm bước: xác định phạm vi, phỏng vấn người phụ trách dữ liệu, ghi nhận luồng dữ liệu, phân loại dữ liệu và đánh giá rủi ro. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 không dùng từ "data mapping". Tuy nhiên, Nghị định 356/2025/NĐ-CP yêu cầu báo cáo đánh giá tác động xử lý dữ liệu cá nhân phải có "sơ đồ luồng dữ liệu cá nhân" (điểm c khoản 3 Điều 19). Báo cáo đánh giá tác động chuyển dữ liệu xuyên biên giới cũng phải có "sơ đồ luồng xử lý dữ liệu cá nhân" (điểm c khoản 3 Điều 18). Không có bản đồ dữ liệu thì không lập được hai hồ sơ này một cách chính xác.
Data mapping là gì#
Data mapping là việc lập bản đồ dữ liệu cá nhân trong doanh nghiệp. Bản đồ cho biết dữ liệu nào được thu thập, từ nguồn nào, dùng cho mục đích gì, lưu ở hệ thống nào, chia sẻ cho ai, giữ trong bao lâu và dựa trên sự đồng ý hay trường hợp không cần đồng ý tại Điều 19 Luật 91. Pháp luật không quy định mẫu riêng cho bản đồ dữ liệu. Doanh nghiệp nhỏ có thể dùng một bảng tính có phân quyền truy cập.
Cách làm data mapping: 5 bước#
- Xác định phạm vi. Liệt kê các hệ thống (website, CRM, phần mềm nhân sự, kế toán, email), các quy trình và phòng ban có xử lý dữ liệu cá nhân. Gồm cả công cụ do từng nhân viên tự dùng như bảng tính, nhóm chat, ổ lưu trữ cá nhân.
- Phỏng vấn người phụ trách dữ liệu ở từng phòng ban. Hỏi dữ liệu lấy từ đâu, gồm những trường nào, dùng để làm gì, ai được truy cập, có gửi cho đơn vị bên ngoài không.
- Ghi nhận luồng dữ liệu. Vẽ đường đi của dữ liệu: vào từ đâu, qua hệ thống nào, lưu ở đâu (trong nước hay nước ngoài), chuyển cho ai, khi nào xóa.
- Phân loại dữ liệu. Đối chiếu từng trường dữ liệu với danh mục dữ liệu cơ bản (Điều 3 Nghị định 356) và danh mục dữ liệu nhạy cảm (Điều 4 Nghị định 356). Ghi căn cứ xử lý: sự đồng ý hay trường hợp tại Điều 19 Luật 91.
- Đánh giá rủi ro và lập kế hoạch khắc phục. Đánh dấu các điểm chưa có căn cứ xử lý, chưa có thỏa thuận với bên nhận, chưa có thời hạn lưu trữ hoặc thiếu biện pháp bảo vệ. Giao người phụ trách và thời hạn cho từng việc.
Bản đồ dữ liệu cần có những cột nào#
Cách làm data mapping tiết kiệm công nhất là thiết kế các cột theo nội dung mà hồ sơ đánh giá tác động sẽ phải trình bày. Khi đó, bản đồ dữ liệu có thể chuyển gần như trực tiếp sang báo cáo Mẫu số 10 (xử lý dữ liệu) và Mẫu số 09 (chuyển dữ liệu xuyên biên giới).
| Cột | Nội dung ghi | Dùng cho |
|---|---|---|
| Hoạt động và mục đích | Ví dụ: "gửi xác nhận đơn hàng", "chấm công" | Mô tả, luận giải mục đích (điểm c khoản 3 Điều 19 NĐ 356) |
| Nhóm chủ thể, loại dữ liệu | Khách hàng, người lao động, ứng viên; từng trường dữ liệu; cơ bản hay nhạy cảm | Loại dữ liệu xử lý; biện pháp riêng cho dữ liệu nhạy cảm (khoản 2 Điều 4 NĐ 356) |
| Nguồn và căn cứ xử lý | Form web, hợp đồng, bên thứ ba; đồng ý hay Điều 19 Luật 91; nơi lưu bằng chứng đồng ý | Mô tả việc xin sự đồng ý (điểm d khoản 3 Điều 19 NĐ 356); lưu trữ sự đồng ý (khoản 2 Điều 6 NĐ 356) |
| Hệ thống và vị trí lưu trữ | Tên phần mềm, nhà cung cấp, quốc gia đặt máy chủ | Xác định chuyển dữ liệu xuyên biên giới (khoản 1 Điều 20 Luật 91) |
| Bên nhận dữ liệu | Bên xử lý, bên thứ ba; đã có thỏa thuận chuyển giao chưa | Thỏa thuận chuyển giao (khoản 1 Điều 7 NĐ 356) |
| Thời hạn lưu trữ, cách xóa | Số tháng/năm; căn cứ; ai thực hiện xóa | Chính sách lưu trữ, xóa, hủy (điểm d khoản 3 Điều 19 NĐ 356) |
| Biện pháp bảo vệ | Phân quyền, mã hóa, sao lưu | Phương án bảo đảm an toàn (điểm đ khoản 3 Điều 19 NĐ 356) |
| Người phụ trách, rủi ro | Phòng ban sở hữu dữ liệu; vấn đề phát hiện | Đánh giá rủi ro và biện pháp giảm thiểu (điểm g khoản 3 Điều 19 NĐ 356) |
Cột "thời hạn lưu trữ" thường bị bỏ trống nhất. Luật 91 chỉ cho phép lưu dữ liệu trong khoảng thời gian phù hợp với mục đích xử lý (khoản 3 Điều 3). Hoàn thành mục đích xử lý và hết thời hạn lưu trữ là hai trường hợp xóa, hủy dữ liệu (điểm b, điểm c khoản 1 Điều 14). Không ghi thời hạn thì doanh nghiệp không có mốc để xóa.
Tình huống minh họa: cách làm data mapping cho doanh nghiệp bán lẻ#
Tình huống giả định sau đây giải thích sơ đồ ở trên. Một doanh nghiệp bán lẻ dùng ba hệ thống: website bán hàng, CRM và phần mềm kế toán. Khi thực hiện data mapping, doanh nghiệp ghi nhận:
- Website thu thập họ tên, email, số điện thoại, địa chỉ giao hàng. Đây là dữ liệu cá nhân cơ bản (Điều 3 Nghị định 356). Nếu website gắn pixel quảng cáo, dữ liệu theo dõi hành vi trên không gian mạng thuộc danh mục dữ liệu nhạy cảm (điểm l khoản 1 Điều 4). Khi đó, lúc xin đồng ý phải thông báo cho người dùng rằng đây là dữ liệu nhạy cảm (khoản 4 Điều 6).
- CRM lưu lịch sử mua hàng. Nếu CRM là dịch vụ của nhà cung cấp nước ngoài, dữ liệu được lưu hoặc xử lý ngoài Việt Nam. Đây là chuyển dữ liệu cá nhân xuyên biên giới, phải lập hồ sơ đánh giá tác động và gửi cơ quan chuyên trách trong 60 ngày (khoản 1, khoản 2 Điều 20 Luật 91). Xem thêm bài dùng CRM nước ngoài có vi phạm không.
- Phần mềm kế toán lưu thông tin thanh toán. Nếu có số thẻ ngân hàng, đây là dữ liệu nhạy cảm (điểm k khoản 1 Điều 4 Nghị định 356). Doanh nghiệp phải phân quyền truy cập riêng (khoản 2 Điều 4). Doanh nghiệp nhỏ trực tiếp xử lý dữ liệu nhạy cảm cũng không còn được lựa chọn bỏ qua việc lập hồ sơ đánh giá tác động và chỉ định nhân sự bảo vệ dữ liệu (khoản 2 Điều 38 Luật 91).
- Một file Excel chứa danh sách khách hàng xuất từ CRM, nằm trên máy tính của nhân viên bán hàng, không đặt mật khẩu. Bản sao này phải được ghi vào bản đồ như một vị trí lưu trữ riêng. Luật yêu cầu có biện pháp bảo vệ dữ liệu trong quá trình lưu trữ (khoản 1 Điều 18 Luật 91). Cách xử lý là xóa bản sao, hoặc đưa về hệ thống có phân quyền.
Nếu CRM còn phục vụ chương trình hội viên, tích điểm, bản đồ dữ liệu cũng phải ghi rõ mục đích sử dụng số điện thoại, ngày sinh cho từng hoạt động (xem quản lý dữ liệu hội viên theo Luật PDPD).
Lỗi thường gặp trong cách làm data mapping#
- Chỉ kiểm kê phần mềm, không kiểm kê dữ liệu. Danh sách "chúng tôi dùng HubSpot, Misa, Google Workspace" chưa phải bản đồ dữ liệu. Báo cáo đánh giá tác động cần loại dữ liệu và chi tiết từng hoạt động xử lý (điểm c khoản 3 Điều 19 Nghị định 356).
- Bỏ sót nhà cung cấp phụ. Công cụ gửi email, chatbot, tổng đài, dịch vụ lưu log thường nhận dữ liệu khách hàng mà không ai ghi nhận. Mỗi bên nhận cần một thỏa thuận chuyển giao có đủ nội dung tại khoản 1 Điều 7 Nghị định 356. Nếu bên nhận ở nước ngoài, luồng dữ liệu đó phải có trong hồ sơ chuyển dữ liệu xuyên biên giới.
- Không đánh dấu dữ liệu nhạy cảm. Dữ liệu sức khỏe của người lao động, ảnh căn cước công dân, dữ liệu theo dõi hành vi đều thuộc Điều 4 Nghị định 356. Bỏ sót chúng dẫn tới xác định sai nghĩa vụ, nhất là với doanh nghiệp nhỏ đang dựa vào khoản 2 Điều 38 Luật 91.
- Làm một lần rồi để đó. Bản đồ dữ liệu lỗi thời thì hồ sơ đánh giá tác động lập từ nó cũng lỗi thời (xem mục tiếp theo).
Cập nhật bản đồ dữ liệu sau khi làm data mapping#
Hồ sơ đánh giá tác động phải cập nhật định kỳ 06 tháng khi phát sinh mục đích xử lý mới hoặc thay đổi bên xử lý, bên thứ ba (khoản 1 Điều 20 Nghị định 356). Khi tổ chức lại doanh nghiệp, thay đổi tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân, hoặc thay đổi ngành nghề liên quan đến xử lý dữ liệu, hồ sơ phải cập nhật trong 10 ngày (khoản 2 Điều 20). Vì vậy, cách làm data mapping bền vững là gắn việc cập nhật vào các thời điểm này, cộng thêm một mốc: thực hiện data mapping cho hệ thống hoặc nhà cung cấp mới trước khi đưa vào sử dụng. Nên giao một người chịu trách nhiệm duy trì bản đồ, thường là nhân sự bảo vệ dữ liệu cá nhân. Nếu doanh nghiệp dùng bản đồ dữ liệu để lập hồ sơ nộp Cục A05, có thể tham khảo mẫu báo cáo DPIA hoặc dịch vụ lập hồ sơ đánh giá tác động DPIA của LexData.
