An ninh dữ liệu - nhìn từ kinh nghiệm quốc tếQuản lý an ninh đi đôi với khơi thông dòng dữ liệu

Phân luồng để quản lý hiệu quả

Trung Quốc đã cho thấy những bước đi đáng chú ý trong điều chỉnh cơ chế quản lý dữ liệu xuyên biên giới. Quy định thúc đẩy và chuẩn hóa dòng dữ liệu xuyên biên giới (Regulations on Promoting and Regulating Cross-Border Data Flows), có hiệu lực từ ngày 22/3/2024, xác định những trường hợp được miễn một số thủ tục. Theo Điều 3, dữ liệu phát sinh trong thương mại quốc tế, vận tải xuyên biên giới, hợp tác học thuật, sản xuất và tiếp thị quốc tế, nếu không chứa thông tin cá nhân hoặc dữ liệu quan trọng, được miễn thủ tục đánh giá an ninh, hợp đồng tiêu chuẩn và chứng nhận liên quan.

Giá trị của cách tiếp cận này nằm ở việc tách những dòng dữ liệu phục vụ hoạt động thông thường khỏi nhóm cần kiểm soát chặt hơn. Doanh nghiệp có căn cứ để xác định con đường tuân thủ, còn cơ quan quản lý có thể tập trung nguồn lực vào những giao dịch tiềm ẩn nguy cơ lớn.

Các hướng dẫn thực hiện tiếp tục làm rõ điều kiện áp dụng. Trong giải đáp tháng 10/2025, cơ quan quản lý Trung Quốc nhấn mạnh trường hợp miễn thủ tục để thực hiện hợp đồng với cá nhân phải đáp ứng yêu cầu thực sự cần chuyển thông tin ra nước ngoài. Ví dụ, việc một cá nhân trong nước đặt khách sạn trong nước không tự động đáp ứng điều kiện miễn chỉ vì doanh nghiệp có hệ thống xử lý thông tin ở nước ngoài.

Chi tiết này cho thấy thiết kế ngoại lệ cần gắn với mục đích và tính cần thiết. Một danh sách miễn trừ đủ cụ thể giúp giảm thủ tục; hướng dẫn theo tình huống giúp hạn chế cách hiểu quá rộng.

Đến tháng 9/2026, cơ quan quản lý Trung Quốc tiếp tục giải thích cơ chế chứng nhận chuyển thông tin cá nhân ra nước ngoài. Hướng dẫn khẳng định không được chia nhỏ số lượng để đưa hoạt động đáng lẽ phải đánh giá an ninh sang cơ chế chứng nhận. Khi quy mô vượt ngưỡng phải đánh giá, kết quả chứng nhận đã có có thể được cung cấp để cơ quan quản lý tham khảo.

Như vậy, sự thuận lợi đi cùng yêu cầu chống né tránh và khả năng kế thừa kết quả tuân thủ. Đây là những yếu tố đáng cân nhắc khi xây dựng quy trình quản lý: doanh nghiệp cần biết khi nào nghĩa vụ thay đổi và những hồ sơ đã hoàn thành có thể được sử dụng tiếp đến đâu.

Kiểm soát quyền tiếp cận dữ liệu

Chương trình An ninh dữ liệu của Mỹ, có hiệu lực từ ngày 8/4/2025, lại tập trung vào nguy cơ một số quốc gia và chủ thể thuộc diện điều chỉnh tiếp cận dữ liệu liên quan Chính phủ hoặc dữ liệu cá nhân nhạy cảm của người Mỹ với quy mô lớn thông qua hoạt động thương mại.

Điểm đáng chú ý trong quy định tại 28 CFR Part 202 của Hoa Kỳ là kiểm soát quyền tiếp cận dữ liệu phát sinh từ giao dịch. Đối với những loại dữ liệu và chủ thể thuộc phạm vi điều chỉnh, quy định phân biệt giao dịch bị cấm với giao dịch được thực hiện có điều kiện. Chẳng hạn, một số thỏa thuận cung cấp dịch vụ, tuyển dụng hoặc đầu tư tạo điều kiện cho bên liên quan tiếp cận dữ liệu nhạy cảm chỉ được thực hiện khi đáp ứng các yêu cầu an ninh tương ứng.

“Tiếp cận” được hiểu rộng, bao gồm khả năng đọc, sao chép, giải mã, chỉnh sửa hoặc nhận dữ liệu. Vì vậy, dữ liệu vẫn nằm trên máy chủ trong nước nhưng việc cấp tài khoản quản trị cho một bên ở nước ngoài có thể tạo ra khả năng tiếp cận cần được xem xét. Ví dụ, khi thuê dịch vụ hỗ trợ kỹ thuật từ xa, doanh nghiệp có thể đồng thời trao cho nhà cung cấp quyền truy cập cơ sở dữ liệu khách hàng. Rủi ro khi đó gắn với phạm vi quyền hạn được trao và cách quyền hạn ấy được sử dụng.

Từ cách tiếp cận này, việc đánh giá một hợp đồng công nghệ cần đi sâu vào những quyền cụ thể: nhân viên của nhà cung cấp được xem dữ liệu nào, có thể tải xuống hay sao chép không, có được cấp quyền cho nhà thầu phụ hay chuyển dữ liệu cho bên khác không? Những nội dung ấy cần được xác định trong hợp đồng và kiểm soát bằng biện pháp kỹ thuật, như giới hạn quyền truy cập, lưu nhật ký hoạt động và thu hồi tài khoản khi kết thúc công việc.

Kinh nghiệm tham khảo ở đây là kết hợp quản lý nơi lưu trữ với kiểm soát người được tiếp cận, mục đích sử dụng và khả năng chuyển tiếp dữ liệu. Nhờ đó, trách nhiệm bảo vệ có thể theo sát dữ liệu trong suốt quá trình cung cấp dịch vụ.

Từ các mô hình này có thể thấy, quản lý dữ liệu xuyên biên giới ngày càng đòi hỏi hiểu cả cấu trúc giao dịch, quyền tiếp cận và môi trường pháp lý mà dữ liệu đi qua.

Cần quy định rõ quy tắc để doanh nghiệp chủ động

Kinh nghiệm từ các nước cho thấy cần thiết kế cơ chế tuân thủ có thể dự liệu. Một doanh nghiệp cần trả lời được những câu hỏi cơ bản trước khi triển khai dịch vụ: dữ liệu thuộc nhóm nào, có phải đánh giá hay không, hồ sơ gửi đến đâu và trường hợp nào phải thực hiện lại thủ tục.

Cơ chế quản lý cũng cần phân biệt hoạt động ổn định với thay đổi làm tăng rủi ro. Thay nhà cung cấp, mở rộng quyền truy cập hoặc bổ sung mục đích khai thác có thể đòi hỏi rà soát; những cập nhật kỹ thuật thông thường cần được hướng dẫn để doanh nghiệp tránh thực hiện lại thủ tục không cần thiết.

Một đầu mối hướng dẫn thống nhất, biểu mẫu dễ sử dụng và các tình huống minh họa sẽ giúp giảm khoảng cách giữa quy định và thực tế. Cùng với đó, trách nhiệm của bên nhận, nghĩa vụ khi chuyển tiếp và phương án xử lý sự cố cần được xác lập ngay từ hợp đồng.

Khi doanh nghiệp biết rõ điều kiện được phép trao đổi dữ liệu và có công cụ đáp ứng những điều kiện ấy, an ninh trở thành nền tảng của kết nối. Đó cũng là cách tạo niềm tin để một quốc gia tham gia sâu hơn vào dịch vụ số, hợp tác nghiên cứu và chuỗi giá trị quốc tế.