Theo Luật Công nghiệp công nghệ số, doanh nghiệp lắp ráp ô tô số hoá sản xuất cần tuân thủ những gì?

Ô tô hiện đại là thiết bị kết nối chở người. Bài viết bàn về an toàn phần mềm, dữ liệu người lái và nghĩa vụ triệu hồi.

Ô tô hiện đại là một máy tính di động chở người: hàng chục bộ điều khiển điện tử, kết nối mạng, cập nhật phần mềm từ xa, thu thập dữ liệu liên tục. Điều này đặt doanh nghiệp sản xuất vào vị trí chịu trách nhiệm về cả an toàn cơ khí lẫn an toàn phần mềm.

Lưu ý trước: sản xuất, lắp ráp ô tô chịu điều chỉnh của pháp luật chuyên ngành về chất lượng an toàn kỹ thuật phương tiện giao thông. Bài viết bàn về khía cạnh công nghệ số và dữ liệu.

An toàn phần mềm — nguyên tắc thiết kế

Điều 10 Luật 71/2025/QH15 quy định: Cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động công nghiệp công nghệ số phải tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, pháp luật về dữ liệu, dữ liệu cá nhân và pháp luật khác có liên quan.

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng.

Mười nguyên tắc:

• Tách mạng hệ thống điều khiển an toàn khỏi hệ thống giải trí, kết nối;
• Không cho phép hệ thống giải trí gửi lệnh tới hệ thống lái, phanh;
• Chức năng an toàn cơ khí hoạt động độc lập với phần mềm;
• Không cập nhật phần mềm khi xe đang di chuyển;
• Xác thực bản cập nhật bằng ký số, xe từ chối bản không hợp lệ;
• Khả năng quay lại phiên bản trước;
• Không có tài khoản kỹ thuật ẩn với mật khẩu chung cả dòng xe;
• Kiểm thử bảo mật trước khi ra thị trường;
• Xe vận hành an toàn khi mất kết nối mạng;
• Kênh tiếp nhận báo cáo lỗ hổng từ bên ngoài.

Điểm thứ nhất và thứ hai là bài học từ các nghiên cứu bảo mật thực tế: hệ thống giải trí kết nối internet là đường vào dễ nhất, và nếu nó nối chung mạng với hệ thống điều khiển thì hậu quả có thể là mất kiểm soát phương tiện.

Điểm thứ tư là yêu cầu an toàn hiển nhiên nhưng đã từng bị vi phạm: xe khởi động lại để cập nhật giữa lúc đang chạy là tình huống không được phép xảy ra.

Điểm thứ mười là thực hành mà ngành ô tô toàn cầu đã áp dụng: nhà nghiên cứu bảo mật phát hiện lỗ hổng cần có nơi báo cáo, thay vì công bố ra công chúng.

Dữ liệu thu thập từ xe

Ô tô hiện đại ghi nhận rất nhiều: vị trí liên tục, tốc độ, thói quen lái, điểm đến thường xuyên, danh bạ điện thoại đã ghép nối, giọng nói nếu có trợ lý, đôi khi cả hình ảnh từ camera.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Mười một nguyên tắc:

• Thông báo rõ ràng xe thu thập gì, gửi đi đâu — không giấu trong sách hướng dẫn dày;
• Người dùng tắt được việc gửi dữ liệu không thiết yếu;
• Không mất chức năng cơ bản khi từ chối chia sẻ dữ liệu;
• Không bán dữ liệu hành trình cho bên thứ ba;
• Không chia sẻ cho công ty bảo hiểm khi chưa có đồng ý riêng;
• Xử lý dữ liệu trên xe khi có thể, hạn chế gửi lên máy chủ;
• Xóa dữ liệu khi bán xe — có chức năng đặt lại rõ ràng;
• Xóa danh bạ, lịch sử điện thoại đã ghép nối;
• Chủ mới không truy cập được dữ liệu chủ cũ;
• Chủ cũ mất quyền điều khiển từ xa sau khi bán;
• Người dùng xuất được dữ liệu của mình.

Điểm thứ năm là vấn đề đang nóng: dữ liệu về thói quen lái xe được dùng để định giá bảo hiểm, và việc này cần sự đồng ý minh bạch chứ không phải nằm trong điều khoản khi mua xe.

Điểm thứ bảy tới thứ mười là nhóm vấn đề thực tế nghiêm trọng với thị trường xe cũ: rất nhiều xe được bán lại vẫn mang theo danh bạ, lịch sử điểm đến — gồm cả địa chỉ nhà — của chủ cũ, và chủ cũ đôi khi vẫn mở khóa, định vị được xe qua ứng dụng.

Triệu hồi và cập nhật an toàn

Bảy nghĩa vụ: hệ thống truy xuất liên kết linh kiện với từng xe theo số khung; xác định nhanh phạm vi xe bị ảnh hưởng; kênh thông báo tới chủ xe, gồm cả người mua lại; không trì hoãn vì lo ngại chi phí; công bố công khai khi lỗi ảnh hưởng an toàn; cập nhật phần mềm khắc phục miễn phí; và ghi nhận đầy đủ quá trình xử lý.

Điểm thứ ba là thách thức thực tế: xe đã qua nhiều đời chủ, và thông tin liên hệ trong hệ thống thường là của người mua đầu tiên.

Điểm thứ tư là nguyên tắc đạo đức không thể thỏa hiệp trong ngành này: mỗi ngày chậm triệu hồi là thêm nhiều xe có lỗi lưu thông trên đường.

Bảo mật thiết kế và chuỗi cung ứng

Bảy biện pháp: phân tách dữ liệu thiết kế theo dự án; đóng dấu chìm tài liệu; kiểm soát mẫu thử nghiệm; ràng buộc bảo mật với nhà cung cấp linh kiện; kiểm soát nguồn gốc linh kiện điện tử, chống linh kiện giả; kiểm tra phần mềm của nhà cung cấp trước khi tích hợp; và giám sát tải tệp bất thường.

Điểm thứ sáu là rủi ro chuỗi cung ứng đáng chú ý: một bộ điều khiển từ nhà cung cấp có lỗ hổng hoặc mã độc trở thành lỗ hổng của cả chiếc xe.

Dữ liệu người lao động trong nhà máy

Sáu nguyên tắc: thông báo minh bạch phạm vi giám sát; dữ liệu sinh trắc lưu dạng đặc trưng, có phương án thay thế; không camera ở khu vực sinh hoạt; chỉ giám sát trong giờ làm việc; quy trình khiếu nại về dữ liệu năng suất; và bảo mật thông tin cá nhân, sức khỏe.

Ưu đãi cho nghiên cứu phát triển

Điều 16 Luật 71/2025/QH15 quy định về thúc đẩy nghiên cứu và phát triển sản phẩm, dịch vụ công nghệ số.

Khoản 1 nêu hoạt động nghiên cứu và phát triển sản phẩm, dịch vụ công nghệ số được hưởng ưu đãi cao nhất theo quy định pháp luật về khoa học, công nghệ và đổi mới sáng tạo; chuyển đổi số.

Khoản 4 quy định các khoản chi của doanh nghiệp cho nghiên cứu và phát triển công nghệ số được tăng mức chi bổ sung khi xác định thu nhập chịu thuế thu nhập doanh nghiệp theo quy định pháp luật về thuế thu nhập doanh nghiệp.

Với doanh nghiệp ô tô, phần mềm điều khiển và hệ thống hỗ trợ lái là nơi tập trung giá trị công nghệ. Ba việc: tách bạch chi phí nghiên cứu trong sổ sách; lưu hồ sơ đề tài và kết quả; và tra pháp luật thuế cùng pháp luật về khoa học công nghệ để biết mức cụ thể.

Danh sách kiểm tra

• Hệ thống giải trí có tách mạng khỏi hệ thống điều khiển an toàn không?
• Có tài khoản kỹ thuật ẩn với mật khẩu chung cả dòng xe không?
• Xe có vận hành an toàn khi mất kết nối không?
• Người dùng có tắt được việc gửi dữ liệu không thiết yếu không?
• Có chức năng xóa toàn bộ dữ liệu khi bán xe không?
• Chủ cũ có mất quyền điều khiển từ xa sau khi bán không?
• Có kênh tiếp nhận báo cáo lỗ hổng không?

Đọc thêm cùng chủ đề

• Đơn vị tổ chức sự kiện thu thập thông tin người tham dự thế nào cho đúng?
• Doanh nghiệp cho thuê xe tự lái xử lý dữ liệu hành trình thế nào?
• Hợp tác xã nông nghiệp số hóa truy xuất nguồn gốc cần chuẩn bị gì?

Căn cứ pháp lý

• Luật 71/2025/QH15 Điều 10
• Luật 71/2025/QH15 Điều 16
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 16

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.