Khung quản trị dữ liệu cá nhân (data governance framework) là tập hợp vai trò, chính sách và công cụ trả lời ba câu hỏi: ai chịu trách nhiệm với dữ liệu nào, được làm gì với dữ liệu đó, và theo tiêu chuẩn bảo vệ nào. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 không dùng thuật ngữ này. Nhưng Luật yêu cầu bên kiểm soát dữ liệu thực hiện biện pháp quản lý, kỹ thuật phù hợp và rà soát, cập nhật các biện pháp đó (điểm c khoản 1 Điều 37), đồng thời chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ bên ngoài (khoản 2 Điều 33). Khung quản trị là cách tổ chức các nghĩa vụ này thành việc của từng người. Bài này trình bày 4 vai trò, cách phân loại dữ liệu và lộ trình 6 bước triển khai.
Khung quản trị dữ liệu cá nhân giải quyết vấn đề gì?#
Khi không có khung quản trị, dữ liệu nằm rải rác ở từng phòng ban: nhân sự giữ dữ liệu người lao động, kinh doanh giữ dữ liệu khách hàng, IT giữ nhật ký hệ thống. Không ai có bức tranh đầy đủ. Hậu quả thường gặp là không trả lời được yêu cầu của chủ thể dữ liệu đúng hạn, không biết dữ liệu nào đang chuyển cho bên thứ ba, và hồ sơ đánh giá tác động không khớp với thực tế vận hành.
1. Phân định 4 vai trò trọng yếu trong khung quản trị dữ liệu cá nhân#
Có thể dùng ma trận phân công trách nhiệm (RACI) với 4 vai trò sau. Đây là cách tổ chức theo thực hành quốc tế, không phải chức danh do pháp luật quy định, trừ vai trò nhân sự bảo vệ dữ liệu cá nhân:
- Chủ sở hữu dữ liệu (data owner): trưởng các khối nghiệp vụ, ví dụ giám đốc nhân sự với dữ liệu người lao động, giám đốc marketing với dữ liệu khách hàng. Data owner đề xuất mục đích xử lý, quyết định ai được truy cập và chịu trách nhiệm nghiệp vụ về tính chính xác của dữ liệu.
- Quản trị viên dữ liệu (data steward): nhân sự cấp trung trong từng phòng ban, theo dõi việc áp dụng quy tắc hằng ngày, gắn nhãn phân loại dữ liệu và xử lý sự cố nhỏ.
- Bộ phận vận hành kỹ thuật (data custodian): IT, quản trị cơ sở dữ liệu, kỹ sư cloud. Họ triển khai mã hóa, sao lưu, tường lửa, phân quyền theo yêu cầu của data owner và nhân sự bảo vệ dữ liệu.
- Nhân sự bảo vệ dữ liệu cá nhân (DPO): theo khoản 2 Điều 14 Nghị định 356/2025/NĐ-CP, nhân sự này tham mưu xây dựng chính sách, quy trình, biểu mẫu; tham gia thực hiện quyền của chủ thể dữ liệu; tham gia đánh giá thực trạng tuân thủ; lập hồ sơ đánh giá tác động xử lý dữ liệu và hồ sơ chuyển dữ liệu xuyên biên giới; tiếp nhận và báo cáo vi phạm. Người được chỉ định phải có trình độ cao đẳng trở lên, ít nhất 02 năm kinh nghiệm trong lĩnh vực liên quan và đã được đào tạo về bảo vệ dữ liệu cá nhân (khoản 2 Điều 13 Nghị định 356). Doanh nghiệp chưa có người phù hợp có thể thuê DPO bên ngoài.
2. Xây dựng Khung phân loại dữ liệu cá nhân (Data Classification Framework) 4 cấp độ#
Không phải dữ liệu nào cũng có mức rủi ro như nhau. Một thang 4 cấp giúp gắn biện pháp bảo vệ với từng loại:
- Cấp 1 - Dữ liệu công khai: tài liệu quảng cáo, thông cáo báo chí, thông tin liên hệ công khai của công ty. Không cần biện pháp đặc biệt.
- Cấp 2 - Dữ liệu nội bộ: quy trình vận hành, báo cáo nội bộ, tài liệu kỹ thuật. Phân quyền truy cập nội bộ.
- Cấp 3 - Dữ liệu cá nhân cơ bản (danh mục tại Điều 3 Nghị định 356): họ tên, số điện thoại, email, địa chỉ. Mã hóa khi truyền, phân quyền theo vai trò, xác định rõ căn cứ xử lý (sự đồng ý, hoặc trường hợp không cần sự đồng ý tại Điều 19 Luật).
- Cấp 4 - Dữ liệu cá nhân nhạy cảm theo danh mục tại khoản 1 Điều 4 Nghị định 356: sinh trắc học, sức khỏe, thông tin tài chính và ngân hàng, vị trí xác định qua dịch vụ định vị, dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng. Khi xử lý loại dữ liệu này, tổ chức phải có quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật (khoản 2 Điều 4 Nghị định 356); khi xin sự đồng ý phải thông báo rõ đây là dữ liệu nhạy cảm (khoản 4 Điều 6 Nghị định 356); và phải kê khai loại dữ liệu này trong hồ sơ đánh giá tác động. Dữ liệu của trẻ em không nằm trong danh mục này nhưng được bảo vệ theo cơ chế riêng tại Điều 24 Luật, nên thường được xếp vào cấp bảo vệ cao nhất.
3. Lộ trình 6 bước triển khai Khung Quản trị Dữ liệu cá nhân chuẩn hóa#
- Bước 1: Lập nhóm điều phối, chọn data owner và data steward cho từng phòng ban. Nhóm gồm đại diện ban giám đốc, pháp chế, IT, nhân sự, marketing và nhân sự bảo vệ dữ liệu. Ban hành văn bản chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân, nêu rõ chức năng, nhiệm vụ, quyền hạn (khoản 1 Điều 13 Nghị định 356).
- Bước 2: Khảo sát luồng dữ liệu và lập bản kê hoạt động xử lý dữ liệu (RoPA, thực hành tốt, chưa bắt buộc theo Nghị định 356) bằng data mapping.
- Bước 3: Ban hành quy chế bảo vệ dữ liệu cá nhân nội bộ, chính sách mã hóa, chính sách phân quyền và quy trình ứng phó sự cố 72 giờ.
- Bước 4: Triển khai công cụ kỹ thuật: mã hóa cơ sở dữ liệu, quản lý danh tính và truy cập (IAM), công cụ quản lý yêu cầu của chủ thể dữ liệu.
- Bước 5: Đào tạo định kỳ cho nhân viên, ưu tiên người trực tiếp xử lý dữ liệu, và ký cam kết bảo mật. Xây dựng kế hoạch đào tạo là nhiệm vụ của bộ phận bảo vệ dữ liệu (điểm đ khoản 1 Điều 14 Nghị định 356).
- Bước 6: Đánh giá định kỳ thực trạng tuân thủ và đề xuất cải thiện (điểm c khoản 1 Điều 14 Nghị định 356). Một số hoạt động bắt buộc đánh giá tuân thủ 01 năm/lần: tài chính, ngân hàng, thông tin tín dụng (khoản 1 Điều 8), hệ thống trí tuệ nhân tạo (điểm đ khoản 5 Điều 10), chuỗi khối (điểm c khoản 2 Điều 11) và nhà cung cấp điện toán đám mây (điểm d khoản 3 Điều 12). Các chỉ số nên theo dõi: tỷ lệ hệ thống đã gắn nhãn phân loại dữ liệu, tỷ lệ yêu cầu của chủ thể dữ liệu được phản hồi trong 02 ngày làm việc và xử lý đúng hạn theo Điều 5 Nghị định 356, số sự cố dữ liệu, và việc hồ sơ đánh giá tác động đã được cập nhật theo thay đổi thực tế.
4. Kiểm toán dòng chảy dữ liệu (Data Lineage Tracing) giữa các ứng dụng IT#
Truy vết nguồn gốc dữ liệu (data lineage) cho biết một bản ghi, ví dụ số điện thoại khách hàng, được sinh ra ở đâu (form đăng ký trên website), đi qua những hệ thống nào (CRM, ERP, kho dữ liệu) và được chia sẻ tới API bên thứ ba nào. Khi chủ thể dữ liệu yêu cầu xóa dữ liệu, bản đồ này giúp xóa trên mọi hệ thống, kể cả bản sao lưu, và biết cần yêu cầu bên xử lý nào xóa. Các mốc lưu trữ, khử nhận dạng và tiêu hủy cho từng loại dữ liệu được trình bày trong bài quản lý vòng đời dữ liệu cá nhân.
Nếu cần rà soát khung quản trị dữ liệu cá nhân hiện có so với Luật 91 và Nghị định 356, xem dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
