Chi tiết bài viết

Trong nền kinh tế số, có một loại tài sản đang ngày càng trở nên quan trọng nhưng thường không được nhìn nhận đầy đủ như một tài sản truyền thống. Đó chính là dữ liệu. Nếu trước đây doanh nghiệp cạnh tranh chủ yếu dựa trên vốn, nhà máy, máy móc, thương hiệu và nguồn nhân lực thì ngày nay, dữ liệu khách hàng, dữ liệu giao dịch, dữ liệu hành vi, dữ liệu vận hành và dữ liệu nội bộ đang trở thành một trong những nguồn lực có giá trị nhất.

Một doanh nghiệp có thể sở hữu hàng triệu thông tin về khách hàng, hàng nghìn hợp đồng, lịch sử giao dịch, dữ liệu bán hàng, dữ liệu nhân sự hoặc dữ liệu về hoạt động sản xuất. Khi được phân tích và khai thác đúng cách, những dữ liệu này có thể giúp doanh nghiệp hiểu khách hàng, dự báo thị trường, tối ưu chi phí, phát triển sản phẩm và đưa ra quyết định nhanh hơn. Trong thời đại trí tuệ nhân tạo, dữ liệu thậm chí còn trở thành "nhiên liệu" quan trọng để huấn luyện và vận hành các mô hình AI.

Tuy nhiên, khi dữ liệu ngày càng có giá trị, một câu hỏi pháp lý và quản trị quan trọng cũng ngày càng được đặt ra: Ai thực sự sở hữu dữ liệu? Ai có quyền sử dụng dữ liệu? Doanh nghiệp có thể bán hoặc chia sẻ dữ liệu đến đâu? Và nếu dữ liệu bị lộ, ai sẽ là người chịu trách nhiệm?

Đây không còn là những câu hỏi chỉ dành cho các tập đoàn công nghệ. Bất kỳ doanh nghiệp nào đang thu thập, lưu trữ hoặc xử lý dữ liệu đều có thể phải đối mặt với những vấn đề này.

Dữ liệu có thực sự là tài sản của doanh nghiệp ?

Trong hoạt động kinh doanh, doanh nghiệp thường có xu hướng coi dữ liệu mà mình thu thập được là tài sản thuộc quyền kiểm soát của mình. Tuy nhiên, về góc độ pháp lý, vấn đề không đơn giản như vậy.

Một doanh nghiệp có thể đang lưu trữ dữ liệu khách hàng trong hệ thống CRM, nhưng điều đó không đồng nghĩa với việc doanh nghiệp đương nhiên "sở hữu" mọi quyền đối với những dữ liệu đó. Đặc biệt, nếu dữ liệu bao gồm thông tin cá nhân, doanh nghiệp có thể chỉ là chủ thể thu thập, lưu trữ hoặc xử lý dữ liệu theo một mục đích nhất định, trong khi cá nhân liên quan vẫn có các quyền pháp lý đối với thông tin của chính mình.

Sự khác biệt giữa "sở hữu dữ liệu", "kiểm soát dữ liệu" và "được quyền xử lý dữ liệu" là vấn đề mà doanh nghiệp cần hiểu rõ. Một doanh nghiệp có thể có quyền sử dụng dữ liệu để cung cấp dịch vụ cho khách hàng nhưng không nhất thiết có quyền tự do bán dữ liệu đó cho một bên thứ ba. Tương tự, việc doanh nghiệp lưu trữ dữ liệu trên hệ thống của mình cũng không có nghĩa doanh nghiệp được phép sử dụng dữ liệu cho mọi mục đích mà không có giới hạn.

Đây chính là lý do quản trị dữ liệu doanh nghiệp đang trở thành một lĩnh vực quan trọng. Doanh nghiệp không chỉ cần biết mình đang có dữ liệu gì mà còn phải biết dữ liệu đó đến từ đâu, được thu thập bằng cách nào, ai có quyền truy cập, được sử dụng cho mục đích gì và khi nào cần xóa hoặc hủy.

Ai sở hữu dữ liệu và ai có quyền kiểm soát dữ liệu ?

Đây là một trong những câu hỏi phức tạp nhất của nền kinh tế số.

Hãy hình dung một ứng dụng thương mại điện tử thu thập thông tin của khách hàng. Doanh nghiệp có thể lưu trữ tên, số điện thoại, địa chỉ, lịch sử mua hàng và hành vi truy cập. Nhưng những thông tin này không đơn thuần là tài sản mà doanh nghiệp có thể tùy ý định đoạt.

Trong trường hợp dữ liệu có chứa thông tin cá nhân, quyền của cá nhân đối với dữ liệu của mình cần được xem xét song song với quyền và nghĩa vụ của doanh nghiệp đang xử lý dữ liệu. Doanh nghiệp có thể có quyền xử lý dữ liệu trong phạm vi mục đích hợp pháp, nhưng việc thu thập và sử dụng dữ liệu phải tuân thủ các nguyên tắc về bảo vệ dữ liệu và quyền riêng tư.

Điều này dẫn đến một cách tiếp cận mới: thay vì chỉ hỏi "Ai sở hữu dữ liệu?", doanh nghiệp cần đặt ra nhiều câu hỏi hơn, chẳng hạn như "Ai là chủ thể dữ liệu?", "Ai quyết định mục đích xử lý?", "Ai thực hiện việc xử lý?", "Ai có quyền truy cập?", "Ai được phép chia sẻ dữ liệu?" và "Ai chịu trách nhiệm khi dữ liệu bị sử dụng sai mục đích?"

Trong thực tế, quyền đối với dữ liệu có thể được phân bổ giữa nhiều chủ thể khác nhau. Một khách hàng cung cấp dữ liệu cá nhân cho doanh nghiệp; doanh nghiệp thu thập và xử lý dữ liệu; một nhà cung cấp cloud lưu trữ dữ liệu; một công ty công nghệ cung cấp phần mềm phân tích; và một đối tác có thể nhận dữ liệu để thực hiện một phần dịch vụ. Khi đó, việc xác định trách nhiệm không thể chỉ dựa trên việc dữ liệu đang nằm trên máy chủ của ai.

Doanh nghiệp được sử dụng dữ liệu đến đâu ?

Một trong những sai lầm phổ biến là cho rằng nếu doanh nghiệp đã thu thập dữ liệu hợp pháp thì có thể sử dụng dữ liệu đó cho bất kỳ mục đích nào.

Thực tế, mục đích thu thập và mục đích sử dụng dữ liệu có thể là hai vấn đề khác nhau. Một doanh nghiệp thu thập số điện thoại khách hàng để giao hàng không có nghĩa doanh nghiệp đương nhiên được sử dụng số điện thoại đó cho mọi hoạt động marketing hoặc chia sẻ cho đối tác khác.

Trong quá trình chuyển đổi số, dữ liệu thường được sử dụng cho nhiều mục đích mới mà ban đầu doanh nghiệp chưa dự tính. Dữ liệu bán hàng có thể được sử dụng để phân tích hành vi khách hàng. Dữ liệu hành vi có thể được đưa vào hệ thống AI. Dữ liệu khách hàng có thể được kết nối với nền tảng quảng cáo. Dữ liệu nội bộ có thể được đưa lên hệ thống cloud hoặc cung cấp cho một nhà cung cấp phần mềm.

Mỗi lần dữ liệu được chuyển sang một mục đích mới, doanh nghiệp cần đặt câu hỏi liệu việc sử dụng đó có phù hợp với mục đích ban đầu và cơ sở pháp lý hay không.

Đặc biệt, khi AI và dữ liệu doanh nghiệp ngày càng gắn kết, vấn đề này càng trở nên phức tạp. Một doanh nghiệp có thể muốn đưa dữ liệu khách hàng vào một mô hình AI để phân tích hoặc tự động hóa. Nhưng nếu dữ liệu chứa thông tin cá nhân, bí mật kinh doanh hoặc thông tin nhạy cảm, việc đưa dữ liệu vào hệ thống AI cần được đánh giá cẩn trọng.

Doanh nghiệp cần biết dữ liệu được đưa vào đâu, hệ thống có lưu lại dữ liệu hay không, dữ liệu có được sử dụng để huấn luyện mô hình hay không, ai có thể truy cập kết quả phân tích và dữ liệu có được chuyển ra ngoài lãnh thổ hay không.

Dữ liệu càng có giá trị, rủi ro càng lớn

Một nghịch lý của nền kinh tế số là dữ liệu càng có giá trị thì doanh nghiệp càng muốn thu thập nhiều, nhưng dữ liệu càng nhiều thì rủi ro cũng càng lớn.

Một cơ sở dữ liệu khách hàng lớn có thể giúp doanh nghiệp nâng cao hiệu quả kinh doanh, nhưng đồng thời cũng trở thành mục tiêu hấp dẫn của tội phạm mạng. Một hệ thống chứa dữ liệu tài chính có thể giúp doanh nghiệp phân tích hoạt động kinh doanh, nhưng nếu bị xâm nhập có thể gây ra thiệt hại nghiêm trọng.

Khi dữ liệu được phân tán trên nhiều hệ thống, rủi ro còn phức tạp hơn. Dữ liệu có thể nằm trên máy chủ nội bộ, cloud, laptop nhân viên, điện thoại, email, hệ thống CRM, phần mềm kế toán hoặc các nền tảng SaaS của bên thứ ba.

Do đó, doanh nghiệp cần chuyển từ tư duy "bảo vệ hệ thống" sang tư duy rộng hơn là bảo vệ vòng đời dữ liệu. Dữ liệu cần được bảo vệ từ thời điểm thu thập, lưu trữ, sử dụng, chia sẻ, truyền tải cho đến khi được xóa hoặc hủy.

Khi dữ liệu bị lộ, ai chịu trách nhiệm ?

Đây có lẽ là câu hỏi mà mọi doanh nghiệp cần quan tâm nhất.

Một vụ rò rỉ dữ liệu có thể xảy ra theo nhiều cách. Hệ thống có thể bị hacker tấn công. Nhân viên có thể gửi nhầm email. Một tài khoản quản trị có thể bị đánh cắp. Nhà cung cấp cloud có thể gặp sự cố. Một nhân viên có thể sao chép dữ liệu ra thiết bị cá nhân. Hoặc dữ liệu có thể bị chia sẻ sai đối tượng.

Trong mỗi trường hợp, trách nhiệm pháp lý có thể khác nhau.

Điều quan trọng là doanh nghiệp không thể mặc định rằng "dữ liệu bị hacker lấy cắp thì doanh nghiệp không chịu trách nhiệm". Trên thực tế, trách nhiệm có thể được xem xét dựa trên việc doanh nghiệp đã thực hiện những biện pháp bảo vệ dữ liệu phù hợp hay chưa, có kiểm soát quyền truy cập hay không, có đánh giá rủi ro hay không, có quản lý nhà cung cấp hay không và có quy trình ứng phó sự cố hay không.

Nói cách khác, vấn đề không chỉ là "ai đã tấn công?" mà còn là "doanh nghiệp đã làm gì để ngăn chặn và giảm thiểu rủi ro?"

Nếu doanh nghiệp biết hệ thống có lỗ hổng nhưng không khắc phục, cấp quyền truy cập quá rộng, không mã hóa dữ liệu nhạy cảm hoặc không có quy trình quản lý sự cố, trách nhiệm pháp lý có thể trở nên phức tạp hơn.

Trách nhiệm có thể thuộc về nhiều bên

Trong một vụ việc rò rỉ dữ liệu, rất khó để chỉ ra một chủ thể duy nhất chịu trách nhiệm trong mọi trường hợp.

Ví dụ, một doanh nghiệp sử dụng dịch vụ cloud của một nhà cung cấp bên ngoài. Dữ liệu khách hàng được lưu trữ trên hệ thống cloud. Nếu xảy ra sự cố, câu hỏi đặt ra là lỗi xuất phát từ doanh nghiệp hay nhà cung cấp?

Nếu nguyên nhân là lỗ hổng bảo mật của nhà cung cấp, trách nhiệm có thể thuộc về nhà cung cấp trong phạm vi nghĩa vụ của họ. Tuy nhiên, nếu doanh nghiệp cấu hình sai hệ thống, cấp quyền truy cập không phù hợp hoặc không thực hiện các biện pháp bảo vệ cần thiết, doanh nghiệp vẫn có thể phải chịu trách nhiệm.

Điều này cho thấy quản trị rủi ro dữ liệu không thể dừng lại ở phạm vi nội bộ. Doanh nghiệp cần kiểm soát cả chuỗi cung ứng dữ liệu và các bên thứ ba có quyền truy cập hoặc xử lý dữ liệu.

Hợp đồng về dữ liệu sẽ trở nên quan trọng hơn

Trong nền kinh tế số, dữ liệu thường xuyên được chia sẻ giữa nhiều doanh nghiệp. Một công ty có thể thuê đơn vị marketing xử lý dữ liệu khách hàng, thuê nhà cung cấp cloud lưu trữ dữ liệu hoặc thuê công ty công nghệ phân tích dữ liệu.

Khi đó, hợp đồng cần làm rõ nhiều vấn đề: dữ liệu thuộc quyền kiểm soát của ai, bên nào được xử lý dữ liệu, xử lý cho mục đích gì, được lưu trữ ở đâu, thời gian lưu trữ bao lâu, ai có quyền truy cập, có được chuyển giao cho bên thứ ba hay không và điều gì xảy ra khi hợp đồng chấm dứt.

Đặc biệt, hợp đồng cần quy định rõ trách nhiệm khi xảy ra sự cố rò rỉ dữ liệu. Các bên cần xác định ai có trách nhiệm phát hiện, thông báo, điều tra, khắc phục và chịu chi phí liên quan đến sự cố.

Một hợp đồng công nghệ chỉ tập trung vào giá cả và chức năng phần mềm mà bỏ qua vấn đề dữ liệu có thể tạo ra rủi ro rất lớn trong tương lai.

Dữ liệu khách hàng không phải lúc nào cũng là "tài sản để bán"

Trong nhiều ngành kinh doanh, dữ liệu khách hàng có giá trị thương mại rất lớn. Doanh nghiệp có thể muốn bán dữ liệu, chia sẻ dữ liệu hoặc sử dụng dữ liệu để tạo ra doanh thu mới.

Tuy nhiên, cần phân biệt giữa dữ liệu thương mại và dữ liệu cá nhân.

Một tập dữ liệu thống kê đã được tổng hợp và loại bỏ thông tin nhận diện cá nhân có thể có cách tiếp cận khác với một danh sách chứa tên, số điện thoại, email và địa chỉ của từng khách hàng.

Do đó, doanh nghiệp cần hết sức thận trọng trước khi biến dữ liệu thành một sản phẩm thương mại. Không phải mọi dữ liệu mà doanh nghiệp đang nắm giữ đều có thể tự do bán hoặc chuyển giao.

Trong tương lai, thị trường dữ liệu có thể phát triển mạnh, nhưng đi cùng với đó sẽ là yêu cầu ngày càng cao về quyền riêng tư, bảo vệ dữ liệu cá nhân và minh bạch trong sử dụng dữ liệu.

AI đang làm thay đổi cách doanh nghiệp nhìn nhận dữ liệu

Sự phát triển của trí tuệ nhân tạo đang khiến dữ liệu trở nên có giá trị hơn bao giờ hết.

Một mô hình AI có thể phân tích hàng triệu dữ liệu để tìm ra xu hướng mà con người khó nhận biết. Dữ liệu khách hàng có thể giúp doanh nghiệp dự đoán nhu cầu. Dữ liệu vận hành có thể giúp tối ưu sản xuất. Dữ liệu pháp lý có thể hỗ trợ phân tích hợp đồng. Dữ liệu tài chính có thể giúp phát hiện rủi ro.

Nhưng AI cũng tạo ra một vấn đề mới: khi dữ liệu được đưa vào AI, quyền kiểm soát dữ liệu có thể trở nên phức tạp hơn.

Doanh nghiệp cần biết liệu dữ liệu có được sử dụng để huấn luyện mô hình hay không, mô hình được vận hành bởi ai, dữ liệu được lưu trữ ở đâu và liệu thông tin đầu vào có thể xuất hiện trong kết quả đầu ra hay không.

Đối với dữ liệu cá nhân và bí mật kinh doanh, đây là vấn đề đặc biệt quan trọng. Một nhân viên đưa toàn bộ hợp đồng, hồ sơ khách hàng hoặc tài liệu nội bộ vào một công cụ AI công cộng có thể vô tình tạo ra một rủi ro mà doanh nghiệp không nhận biết ngay lập tức.

Vì vậy, AI Governance và Data Governance đang ngày càng trở thành hai lĩnh vực cần được quản lý song song.

Doanh nghiệp cần xây dựng "Data Governance"

Nếu dữ liệu thực sự là một tài sản quan trọng, doanh nghiệp cần có một cơ chế quản trị tương ứng.

Data Governance, hay quản trị dữ liệu, không chỉ đơn giản là bảo mật dữ liệu. Đó là một hệ thống xác định dữ liệu được tạo ra như thế nào, ai chịu trách nhiệm, ai được truy cập, dữ liệu được sử dụng ra sao, chất lượng dữ liệu được kiểm soát thế nào và khi nào dữ liệu cần được xóa.

Một hệ thống quản trị dữ liệu hiệu quả cần trả lời được những câu hỏi cơ bản: doanh nghiệp đang có những loại dữ liệu nào, dữ liệu nào là quan trọng, dữ liệu nào là dữ liệu cá nhân, dữ liệu nào là bí mật kinh doanh, ai là người chịu trách nhiệm đối với từng nhóm dữ liệu, dữ liệu được lưu trữ ở đâu và những ai đang có quyền truy cập.

Khi những câu hỏi này chưa có câu trả lời rõ ràng, doanh nghiệp rất khó kiểm soát rủi ro.

"Data Ownership" và "Data Responsibility" không phải là một

Một trong những thay đổi quan trọng trong tư duy quản trị dữ liệu là phân biệt giữa quyền sở hữu và trách nhiệm.

Một doanh nghiệp có thể không "sở hữu" toàn bộ dữ liệu theo nghĩa pháp lý truyền thống nhưng vẫn phải chịu trách nhiệm bảo vệ dữ liệu mà mình đang kiểm soát hoặc xử lý.

Ngược lại, một nhà cung cấp dịch vụ có thể không phải là chủ thể của dữ liệu nhưng vẫn có nghĩa vụ bảo mật dữ liệu trong phạm vi dịch vụ cung cấp.

Điều này dẫn đến một nguyên tắc quan trọng: Quyền kiểm soát dữ liệu luôn đi kèm với trách nhiệm bảo vệ dữ liệu.

Doanh nghiệp càng thu thập nhiều dữ liệu, càng cần đầu tư nhiều hơn cho bảo mật, quản trị và tuân thủ pháp luật.

Doanh nghiệp Việt Nam cần chuẩn bị gì ?

Trong bối cảnh chuyển đổi số ngày càng nhanh, doanh nghiệp Việt Nam cần bắt đầu nhìn nhận dữ liệu như một tài sản chiến lược nhưng đồng thời cũng là một nguồn trách nhiệm pháp lý.

Bước đầu tiên là lập danh mục dữ liệu. Doanh nghiệp cần biết mình đang có dữ liệu gì, dữ liệu đến từ đâu và đang được lưu trữ ở đâu. Bước tiếp theo là phân loại dữ liệu theo mức độ nhạy cảm và giá trị. Những dữ liệu chứa thông tin cá nhân, bí mật kinh doanh hoặc thông tin quan trọng cần được ưu tiên bảo vệ.

Sau đó, doanh nghiệp cần xây dựng chính sách phân quyền truy cập, kiểm soát việc chia sẻ dữ liệu và quản lý các bên thứ ba. Các hợp đồng với nhà cung cấp công nghệ cũng cần được rà soát để xác định rõ quyền và trách nhiệm liên quan đến dữ liệu.

Quan trọng hơn, doanh nghiệp cần có một quy trình ứng phó khi xảy ra sự cố. Khi dữ liệu bị lộ, doanh nghiệp phải biết ai là người chịu trách nhiệm, ai sẽ điều tra, ai thông báo cho các bên liên quan, ai xử lý kỹ thuật và ai chịu trách nhiệm về mặt pháp lý.

Đây là lý do bảo vệ dữ liệu doanh nghiệp cần được xem là một phần của quản trị doanh nghiệp, chứ không chỉ là nhiệm vụ của bộ phận IT.

Kết luận: Tài sản dữ liệu càng lớn, trách nhiệm càng lớn

Dữ liệu đang trở thành một trong những tài sản quan trọng nhất của nền kinh tế số. Nhưng khác với nhà máy, máy móc hoặc bất động sản, dữ liệu có những đặc điểm rất khác biệt. Một dữ liệu có thể được sao chép vô hạn, truyền đi trong vài giây và đồng thời được nhiều bên sử dụng.

Chính vì vậy, câu hỏi "Ai sở hữu dữ liệu?" không còn đủ để giải quyết các vấn đề pháp lý của nền kinh tế số. Doanh nghiệp cần quan tâm đồng thời đến nhiều câu hỏi khác: ai được thu thập, ai được sử dụng, ai được chia sẻ, ai được truy cập, dữ liệu được lưu trữ ở đâu, dữ liệu được bảo vệ như thế nào và ai chịu trách nhiệm khi dữ liệu bị lộ?

Trong kỷ nguyên AI, cloud và chuyển đổi số, doanh nghiệp có thể tạo ra giá trị khổng lồ từ dữ liệu nhưng cũng có thể phải đối mặt với những rủi ro rất lớn nếu dữ liệu bị sử dụng sai mục đích hoặc bị rò rỉ.

Vì vậy, nguyên tắc quan trọng mà doanh nghiệp cần ghi nhớ là:

Dữ liệu càng có giá trị, trách nhiệm quản trị càng lớn.

Một doanh nghiệp hiện đại không chỉ cần chiến lược kinh doanh dữ liệu mà còn cần chiến lược bảo vệ dữ liệu, quản trị dữ liệu và quản trị trách nhiệm pháp lý đối với dữ liệu.

Trong tương lai, lợi thế cạnh tranh có thể thuộc về những doanh nghiệp không chỉ biết cách khai thác dữ liệu tốt nhất, mà còn biết cách sử dụng dữ liệu đúng pháp luật, bảo vệ dữ liệu hiệu quả và xây dựng được niềm tin với khách hàng.

Góc nhìn từ LawConnect365

Khi dữ liệu trở thành tài sản chiến lược, ranh giới giữa công nghệ và pháp luật ngày càng thu hẹp. Doanh nghiệp có thể cần sự phối hợp giữa luật sư công nghệ, chuyên gia bảo mật, bộ phận IT, quản trị rủi ro và lãnh đạo doanh nghiệp để giải quyết các vấn đề liên quan đến quyền dữ liệu, bảo vệ dữ liệu cá nhân, bí mật kinh doanh, hợp đồng công nghệ, AI Governance và xử lý sự cố rò rỉ dữ liệu.

Một câu hỏi mà mọi doanh nghiệp nên bắt đầu đặt ra ngay hôm nay không chỉ là "Chúng ta đang sở hữu bao nhiêu dữ liệu?", mà còn là: "Chúng ta có thực sự biết dữ liệu của mình đang ở đâu, ai đang sử dụng và ai sẽ chịu trách nhiệm nếu dữ liệu đó bị lộ hay không?"

Tác giả bài viết: Admin@lawconnect365.vn