Theo Luật An ninh mạng 2025, quỹ đầu tư mạo hiểm bảo mật hồ sơ doanh nghiệp khởi nghiệp thế nào?

Quỹ đầu tư nhận hồ sơ chi tiết của hàng trăm doanh nghiệp, phần lớn sẽ bị từ chối. Bài viết bàn về nghĩa vụ với dữ liệu của bên không được đầu tư.

Một quỹ đầu tư mạo hiểm mỗi năm tiếp nhận hồ sơ của hàng trăm doanh nghiệp khởi nghiệp, thẩm định kỹ vài chục, và rót vốn vào vài trường hợp. Điều đó có nghĩa quỹ đang giữ dữ liệu chi tiết của rất nhiều doanh nghiệp mà mình không có quan hệ đầu tư — và nhiều trong số đó là đối thủ của nhau.

Lưu ý trước: hoạt động của quỹ đầu tư chịu điều chỉnh của pháp luật chuyên ngành về đầu tư, doanh nghiệp, chứng khoán tùy mô hình. Bài viết bàn về khía cạnh bảo vệ dữ liệu và bảo mật thông tin.

Dữ liệu nhận được trong quá trình thẩm định

Hồ sơ gọi vốn thường chứa những thứ nhạy cảm nhất của một doanh nghiệp: mô hình kinh doanh chi tiết, số liệu tài chính chưa công bố, danh sách khách hàng, cơ cấu chi phí, kế hoạch sản phẩm, thông tin về đội ngũ, và đôi khi cả bí mật công nghệ.

Với doanh nghiệp khởi nghiệp, những thông tin này thường là toàn bộ giá trị của họ.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Nghĩa vụ với hồ sơ bị từ chối

Đây là điểm ít được xây dựng quy trình nhất trong ngành. Bảy nguyên tắc:

• Có thời hạn lưu rõ ràng cho hồ sơ đã từ chối, không giữ vô thời hạn;
• Xóa hoặc trả lại tài liệu chi tiết sau khi kết thúc thẩm định;
• Không dùng thông tin để hỗ trợ doanh nghiệp cạnh tranh trong danh mục;
• Không chuyển hồ sơ cho quỹ khác khi doanh nghiệp chưa đồng ý;
• Giới hạn số người tiếp cận hồ sơ trong quá trình thẩm định;
• Ghi nhật ký truy cập;
• Thỏa thuận bảo mật ký từ đầu, có hiệu lực cả khi không đầu tư.

Điểm thứ ba là rủi ro nghiêm trọng nhất và cũng khó chứng minh nhất: quỹ đã đầu tư vào doanh nghiệp A, sau đó thẩm định doanh nghiệp B là đối thủ của A, rồi từ chối. Thông tin từ hồ sơ B nếu chảy sang A là vi phạm nghiêm trọng về đạo đức và có thể vi phạm thỏa thuận bảo mật.

Biện pháp thực chất: có quy trình tách bạch — người phụ trách danh mục hiện hữu không tham gia thẩm định doanh nghiệp cạnh tranh, và ghi nhận việc này thành văn bản.

Điểm thứ tư cũng quan trọng: giới thiệu doanh nghiệp cho quỹ khác là việc tốt, nhưng phải có sự đồng ý và chỉ chia sẻ ở mức doanh nghiệp cho phép.

An ninh hệ thống

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Điều 16 quy định về các hoạt động bảo vệ an ninh mạng.

Quỹ đầu tư là mục tiêu hấp dẫn: một lần xâm nhập cho kẻ tấn công quyền tiếp cận thông tin của cả danh mục. Tám biện pháp:

• Xác thực nhiều lớp cho mọi tài khoản;
• Mã hóa dữ liệu lưu trữ và khi truyền;
• Phòng dữ liệu ảo có kiểm soát cho quá trình thẩm định, thay vì gửi tệp qua thư điện tử;
• Đóng dấu chìm tài liệu theo người xem;
• Chặn tải xuống với tài liệu nhạy cảm nhất;
• Thu hồi quyền tự động khi kết thúc thẩm định;
• Cảnh báo tải hàng loạt;
• Đào tạo chống lừa đảo qua thư điện tử — nhân sự quỹ là mục tiêu của thư giả mạo yêu cầu chuyển tiền.

Điểm thứ ba và thứ tư là thực hành đã phổ biến ở các quỹ chuyên nghiệp và nên là chuẩn mực.

Điểm thứ tám đáng nhấn mạnh vì thiệt hại trực tiếp: thư giả mạo mạo danh đối tác yêu cầu đổi tài khoản nhận vốn giải ngân là hình thức tấn công nhắm đúng vào loại hình này.

Dữ liệu nhà đầu tư góp vốn

Quỹ cũng giữ dữ liệu của các nhà đầu tư đã góp vốn: danh tính, giấy tờ, thông tin tài chính, cam kết góp vốn.

Năm nguyên tắc: bảo mật danh sách nhà đầu tư — nhiều người muốn giữ kín việc mình đầu tư; không tiết lộ mức góp của người này cho người khác; bảo mật giấy tờ định danh; báo cáo định kỳ gửi riêng cho từng người; và có quy trình xác minh chặt khi nhận yêu cầu thay đổi thông tin tài khoản.

Điểm cuối bảo vệ trước hình thức lừa đảo phổ biến: giả mạo nhà đầu tư yêu cầu chuyển tiền phân phối về tài khoản mới.

Không mua bán dữ liệu

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Ba tình huống: bán danh sách doanh nghiệp khởi nghiệp cho đơn vị cung cấp dịch vụ; chia sẻ danh sách nhà đầu tư cho bên tiếp thị sản phẩm tài chính; và dùng dữ liệu thẩm định để xây dựng báo cáo thị trường bán ra khi chưa có sự đồng ý.

Tình huống thứ ba là ranh giới tế nhị: báo cáo tổng hợp về xu hướng ngành là có ích, nhưng khi mẫu nhỏ thì số liệu tổng hợp vẫn suy ngược ra được từng doanh nghiệp.

Nhân sự và xung đột lợi ích

Nhân sự quỹ tiếp cận thông tin có giá trị. Sáu việc:

• Thỏa thuận bảo mật, có hiệu lực sau khi nghỉ việc;
• Quy định về đầu tư cá nhân, tránh xung đột lợi ích;
• Khai báo quan hệ với doanh nghiệp đang thẩm định;
• Không thảo luận hồ sơ ở nơi công cộng;
• Thu hồi toàn bộ quyền truy cập trong ngày cuối làm việc;
• Kiểm soát tài liệu mang ra ngoài.

Điểm thứ tư nghe nhỏ nhưng thực tế: các cuộc trao đổi về thương vụ tại quán cà phê, trên máy bay, trong thang máy là nguồn rò rỉ đã được ghi nhận nhiều lần.

Sau khi đầu tư

Khi đã rót vốn, quỹ nhận dữ liệu vận hành định kỳ. Bốn nguyên tắc: chỉ nhận dữ liệu ở mức đã thỏa thuận trong hợp đồng; không yêu cầu dữ liệu khách hàng cá nhân của doanh nghiệp khi không cần; nếu có người của quỹ trong hội đồng quản trị thì phải rõ ranh giới thông tin họ mang về quỹ; và bảo mật dữ liệu nhận được như tài sản của doanh nghiệp.

Danh sách kiểm tra

• Hồ sơ bị từ chối có thời hạn lưu và bị xóa không?
• Có quy trình tách bạch khi thẩm định đối thủ của doanh nghiệp trong danh mục không?
• Tài liệu thẩm định có gửi qua thư điện tử hay qua phòng dữ liệu có kiểm soát?
• Tài liệu có đóng dấu chìm theo người xem không?
• Có quy trình xác minh khi nhận yêu cầu đổi tài khoản nhận tiền không?
• Nhân sự có khai báo quan hệ với doanh nghiệp đang thẩm định không?
• Quyền truy cập có tự thu hồi khi kết thúc thẩm định không?

Đọc thêm cùng chủ đề

• Đơn vị tư vấn du học xử lý hồ sơ học sinh cần lưu ý những gì?
• Nội dung thông báo vi phạm dữ liệu gồm những gì?
• Hồ sơ đánh giá tác động xử lý dữ liệu gồm những gì?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 16
• Luật 148/2025/QH15 Điều 5

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.