Phân biệt bảo vệ dữ liệu và an toàn thông tin

Đây là điểm khác biệt cốt lõi giữa hai nhóm nghĩa vụ: bảo vệ dữ liệu kiểm soát việc dữ liệu cá nhân có được xử lý đúng hay không; an toàn thông tin kiểm soát thông tin, dữ liệu và hệ thống có được bảo vệ an toàn hay không.

Tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026. Trong khi đó, từ ngày 01/07/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực và đồng thời Luật An toàn thông tin mạng 2015 cùng Luật An ninh mạng 2018 hết hiệu lực. Vì vậy, khi nói về “an toàn thông tin” ở thời điểm hiện tại, cần đặt khái niệm này trong hệ thống pháp luật mới về an ninh mạng, an ninh thông tin mạng và an ninh dữ liệu.

Khác biệt nằm ở đối tượng mà mỗi nghĩa vụ bảo vệ

Luật Bảo vệ dữ liệu cá nhân điều chỉnh dữ liệu có khả năng xác định hoặc giúp xác định một con người cụ thể. Nghĩa vụ phát sinh từ việc thu thập, sử dụng, lưu trữ, cung cấp, chia sẻ, chỉnh sửa, xóa hoặc thực hiện các hoạt động xử lý khác đối với dữ liệu cá nhân. Luật yêu cầu dữ liệu chỉ được thu thập và xử lý trong phạm vi, mục đích cụ thể, rõ ràng; đồng thời phải áp dụng đồng bộ các biện pháp về thể chế, kỹ thuật và con người để bảo vệ dữ liệu.

An toàn thông tin có phạm vi khác. Theo hệ thống pháp luật hiện hành về an ninh mạng, “an ninh thông tin mạng” gắn với việc bảo đảm tính nguyên vẹn, tính bảo mật và tính khả dụng của thông tin trên không gian mạng, tránh truy cập, sử dụng, tiết lộ, sửa đổi trái phép, phá hoại hoặc các hành vi gây phương hại khác. Đối tượng cần bảo vệ vì vậy không chỉ là dữ liệu cá nhân mà còn có thể bao gồm dữ liệu doanh nghiệp, bí mật kinh doanh, thông tin nghiệp vụ, tài khoản, phần mềm, hạ tầng và toàn bộ hệ thống thông tin.

Có thể hình dung:

Do đó, cơ sở dữ liệu khách hàng được mã hóa, phân quyền chặt và giám sát truy cập tốt vẫn có thể không tuân thủ pháp luật bảo vệ dữ liệu nếu doanh nghiệp thu thập những trường dữ liệu không cần thiết hoặc sử dụng dữ liệu cho một mục đích khác với mục đích được phép.

Nghĩa vụ bảo vệ dữ liệu đi xa hơn việc giữ dữ liệu không bị lộ

Nghĩa vụ bảo vệ dữ liệu bắt đầu trước cả khi xảy ra vấn đề bảo mật. Tổ chức phải xem xét vì sao dữ liệu được thu thập, dữ liệu nào thực sự cần thiết, ai có quyền quyết định mục đích xử lý, dữ liệu được chia sẻ cho ai, được lưu bao lâu và chủ thể dữ liệu có thể thực hiện quyền của mình bằng cách nào.

Luật số 91/2025/QH15 quy định bên kiểm soát dữ liệu cá nhân phải xác định mục đích và phương tiện xử lý, áp dụng biện pháp quản lý và kỹ thuật thích hợp, lựa chọn bên xử lý phù hợp, bảo đảm quyền của chủ thể dữ liệu, ngăn chặn việc thu thập dữ liệu trái phép từ hệ thống của mình và chịu trách nhiệm về thiệt hại do quá trình xử lý dữ liệu gây ra theo phạm vi luật định.

Điều đó tạo ra một chuỗi nghĩa vụ rộng hơn bảo mật kỹ thuật:

·         Xác định đúng mục đích và phạm vi xử lý

·         Chỉ thu thập lượng dữ liệu phù hợp, cần thiết

·         Quản lý căn cứ và điều kiện xử lý

·         Bảo đảm tính chính xác và thời hạn lưu trữ phù hợp

·         Quản lý quan hệ giữa bên kiểm soát, bên xử lý và các bên liên quan

·         Thực hiện quyền của chủ thể dữ liệu

·         Đánh giá tác động trong những trường hợp pháp luật yêu cầu

·         Kiểm soát việc chuyển dữ liệu cá nhân xuyên biên giới

·         Áp dụng biện pháp quản lý, con người và kỹ thuật để bảo vệ dữ liệu

·         Xử lý và thông báo vi phạm theo điều kiện pháp luật quy định

Nghị định 356/2025/NĐ-CP còn đặt ra cơ chế tổ chức tuân thủ, trong đó bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân có thể phải xây dựng chính sách, quy trình, biểu mẫu, tổ chức thực hiện quyền của chủ thể dữ liệu và định kỳ đánh giá mức độ tuân thủ.

Vì vậy, “bảo vệ dữ liệu” không đồng nghĩa với “không để rò rỉ dữ liệu”. Một hoạt động xử lý vẫn có thể vi phạm dù chưa hề xảy ra sự cố an ninh.

Nghĩa vụ an toàn thông tin tập trung mạnh vào khả năng phòng vệ của hệ thống

Nếu bảo vệ dữ liệu đặt câu hỏi “có được phép xử lý dữ liệu như vậy không?”, nghĩa vụ an toàn thông tin quan tâm nhiều hơn đến câu hỏi “hệ thống có đủ khả năng ngăn chặn, phát hiện và xử lý nguy cơ hay không?”.

Trong khuôn khổ Luật An ninh mạng 2025, nghĩa vụ có thể bao gồm bảo vệ hệ thống theo cấp độ; áp dụng biện pháp kỹ thuật, nghiệp vụ; kiểm tra và giám sát an ninh mạng; phòng chống phần mềm độc hại và tấn công mạng; xử lý sự cố; lưu nhật ký; phối hợp với cơ quan có thẩm quyền và thực hiện các yêu cầu chuyên biệt tùy loại hệ thống, dịch vụ và chủ thể.

Điểm quan trọng là không phải mọi tổ chức đều có cùng một tập nghĩa vụ an toàn thông tin. Yêu cầu phụ thuộc vào vai trò, loại hệ thống, cấp độ hệ thống, lĩnh vực hoạt động và dịch vụ mà tổ chức cung cấp.

Ví dụ, doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, Internet hoặc dịch vụ gia tăng trên không gian mạng tại Việt Nam thuộc trường hợp Điều 25 Luật An ninh mạng 2025 có các trách nhiệm đặc thù như bảo mật thông tin và tài khoản người dùng, lưu nhật ký, xử lý thông tin vi phạm và cung cấp thông tin theo yêu cầu của lực lượng chuyên trách trong thời hạn luật định. Một số yêu cầu có mốc 24 giờ, 6 giờ hoặc ngắn hơn trong tình huống khẩn cấp. Các nghĩa vụ này không thể mặc nhiên áp dụng cho mọi doanh nghiệp chỉ vì doanh nghiệp đó có website hoặc lưu dữ liệu khách hàng.

Đây cũng là lý do kiểm tra tuân thủ an toàn thông tin thường phải bắt đầu từ việc xác định hệ thống nào đang vận hành, chủ quản là ai, cấp độ hoặc nhóm nghĩa vụ nào áp dụng và rủi ro kỹ thuật nào phải kiểm soát.

Một sự cố có thể đồng thời kích hoạt cả hai nhóm nghĩa vụ

Hai lĩnh vực không tách biệt hoàn toàn. Chúng giao nhau rõ nhất khi xảy ra sự cố liên quan đến dữ liệu cá nhân.

Giả sử kẻ tấn công khai thác một lỗ hổng trên hệ thống CRM và lấy được dữ liệu khách hàng. Xét dưới góc độ an toàn thông tin, tổ chức phải quan tâm đến lỗ hổng, quyền truy cập, nhật ký, mã độc, phạm vi xâm nhập, cô lập hệ thống, khắc phục sự cố và phòng ngừa tái diễn.

Nhưng cùng một sự kiện đó, dưới góc độ bảo vệ dữ liệu, còn phải đánh giá dữ liệu cá nhân nào đã bị ảnh hưởng, chủ thể nào bị tác động, trách nhiệm thuộc bên kiểm soát hay bên xử lý, mức độ tổn hại đối với cá nhân và các nghĩa vụ thông báo hoặc khắc phục liên quan.

Luật Bảo vệ dữ liệu cá nhân quy định rằng khi bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu hoặc bên thứ ba phát hiện vi phạm có khả năng gây các loại tổn hại được luật xác định, việc thông báo cho cơ quan chuyên trách phải được thực hiện chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm. Bên xử lý dữ liệu khi phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu.

Như vậy, cùng một vụ xâm nhập có hai câu hỏi tuân thủ độc lập:

Về an toàn thông tin: Vì sao hệ thống bị xâm nhập và phải xử lý nguy cơ kỹ thuật như thế nào?

Về bảo vệ dữ liệu: Dữ liệu cá nhân đã bị xử lý trái phép ra sao, quyền lợi của cá nhân bị ảnh hưởng thế nào và những nghĩa vụ pháp lý nào được kích hoạt?

Xử lý được câu hỏi thứ nhất chưa chắc đã hoàn thành câu hỏi thứ hai.

Đạt chuẩn an toàn thông tin không đồng nghĩa tuân thủ bảo vệ dữ liệu

Một nhầm lẫn phổ biến là cho rằng doanh nghiệp đã có firewall, mã hóa, kiểm thử xâm nhập, ISO hoặc đội ngũ an ninh mạng thì đồng nghĩa dữ liệu cá nhân đã được bảo vệ đúng luật.

Các biện pháp đó chủ yếu chứng minh năng lực kiểm soát rủi ro kỹ thuật. Chúng không tự trả lời được những câu hỏi như:

·         Có cần thu thập dữ liệu này ngay từ đầu hay không?

·         Mục đích sử dụng hiện tại có phù hợp với mục đích đã xác định không?

·         Dữ liệu có đang được lưu lâu hơn cần thiết không?

·         Đơn vị nhận dữ liệu có đúng vai trò pháp lý không?

·         Chủ thể dữ liệu có được thực hiện quyền theo luật không?

·         Việc cung cấp hoặc chuyển dữ liệu có đáp ứng điều kiện pháp lý không?

Chiều ngược lại cũng tương tự. Một doanh nghiệp có chính sách quyền riêng tư, hồ sơ xử lý dữ liệu và quy trình tiếp nhận yêu cầu của chủ thể dữ liệu nhưng mật khẩu quản trị dùng chung, phân quyền lỏng lẻo hoặc không theo dõi nhật ký truy cập thì vẫn tồn tại khoảng trống nghiêm trọng về an toàn hệ thống.

Vì thế, phần giao nhau giữa hai lĩnh vực là security controls, nhưng mục tiêu pháp lý của chúng khác nhau. Trong bảo vệ dữ liệu, biện pháp bảo mật là phương tiện để bảo vệ dữ liệu cá nhân và quyền của con người. Trong an toàn thông tin, việc bảo đảm bí mật, toàn vẹn và khả dụng của thông tin và hệ thống tự thân đã là một mục tiêu trọng yếu.

Doanh nghiệp nên tách hai lớp nghĩa vụ nhưng quản trị trên cùng một hệ thống

Cách quản trị thực tế không nên là chọn “bảo vệ dữ liệu” hoặc “an toàn thông tin”. Hai lớp kiểm soát cần được phân biệt để tránh bỏ sót nghĩa vụ nhưng phải kết nối với nhau trong vận hành.

Một hoạt động xử lý dữ liệu khách hàng có thể được kiểm tra theo hai chiều.

Lớp bảo vệ dữ liệu xác định:

·         Dữ liệu cá nhân nào được xử lý

·         Mục đích và phạm vi xử lý

·         Vai trò của từng bên

·         Điều kiện pháp lý áp dụng

·         Thời hạn lưu giữ

·         Quyền của chủ thể dữ liệu

·         Hoạt động chia sẻ hoặc chuyển dữ liệu

·         Hồ sơ và nghĩa vụ chứng minh tuân thủ

·         Nghĩa vụ khi xảy ra vi phạm

Lớp an toàn thông tin xác định:

·         Ai được truy cập

·         Xác thực được thực hiện như thế nào

·         Dữ liệu có được bảo vệ khi lưu trữ và truyền dẫn hay không

·         Hệ thống được phân vùng và giám sát ra sao

·         Nhật ký có đủ phục vụ phát hiện và điều tra sự cố hay không

·         Lỗ hổng được quản lý như thế nào

·         Sao lưu và phục hồi có đáp ứng yêu cầu không

·         Quy trình ứng cứu sự cố hoạt động ra sao

·         Các yêu cầu an ninh mạng đặc thù nào áp dụng cho hệ thống hoặc dịch vụ

Khi hai lớp này được liên kết, một thay đổi nghiệp vụ — chẳng hạn bổ sung nhà cung cấp cloud mới — sẽ đồng thời kích hoạt đánh giá về quyền xử lý dữ liệu, quan hệ với bên xử lý, phạm vi dữ liệu, chuyển dữ liệu và các kiểm soát truy cập, mã hóa, logging, sao lưu hoặc ứng cứu sự cố.

Đó mới là cách tiếp cận đầy đủ đối với bảo vệ dữ liệu và an toàn thông tin.

Bảo vệ dữ liệu và an toàn thông tin giao nhau ở yêu cầu bảo mật nhưng không phải hai cách gọi cho cùng một nghĩa vụ. Bảo vệ dữ liệu điều chỉnh tính hợp pháp, trách nhiệm và quyền trong toàn bộ vòng đời xử lý dữ liệu cá nhân; an toàn thông tin tập trung vào khả năng bảo vệ thông tin, dữ liệu và hệ thống trước các nguy cơ và hành vi trái phép.

Doanh nghiệp vì vậy không nên dùng kết quả kiểm tra an ninh mạng để thay cho đánh giá tuân thủ dữ liệu cá nhân, cũng không nên coi bộ hồ sơ bảo vệ dữ liệu là bằng chứng rằng hệ thống đã an toàn. Muốn đáp ứng đầy đủ, cần kiểm tra song song cả quyền được xử lý dữ liệu và khả năng bảo vệ dữ liệu, thông tin và hệ thống trong thực tế.

Bảo vệ dữ liệu có phải là một phần của an toàn thông tin không?

Không hoàn toàn. Hai lĩnh vực có phần giao nhau về biện pháp bảo mật nhưng bảo vệ dữ liệu còn điều chỉnh mục đích xử lý, phạm vi thu thập, quyền của chủ thể dữ liệu, thời hạn lưu giữ, chia sẻ dữ liệu và nhiều trách nhiệm khác mà an toàn thông tin không thể thay thế.

Mã hóa dữ liệu có đủ để tuân thủ pháp luật bảo vệ dữ liệu không?

Không. Mã hóa là một biện pháp kỹ thuật quan trọng nhưng không làm cho một hoạt động xử lý vốn sai mục đích, vượt phạm vi hoặc không đáp ứng điều kiện pháp luật trở thành hợp pháp.

Dữ liệu không phải dữ liệu cá nhân có cần bảo đảm an toàn thông tin không?

Có thể có. An toàn thông tin và an ninh mạng có phạm vi rộng hơn dữ liệu cá nhân, bao gồm thông tin, dữ liệu và hệ thống thuộc phạm vi điều chỉnh tương ứng. Vì vậy, dữ liệu nghiệp vụ hoặc dữ liệu kỹ thuật không xác định cá nhân vẫn có thể phải được bảo vệ.

Khi lộ dữ liệu cá nhân thì chỉ cần xử lý như một sự cố an toàn thông tin có đúng không?

Không. Sự cố cần được xử lý về mặt kỹ thuật, nhưng nếu liên quan đến dữ liệu cá nhân thì còn phải đánh giá các nghĩa vụ riêng theo pháp luật bảo vệ dữ liệu, bao gồm trách nhiệm của các bên, hậu quả đối với chủ thể dữ liệu và nghĩa vụ thông báo khi đủ điều kiện luật định.