Theo Luật Chuyển đổi số 2025, trước khi triển khai hệ thống mới cần đánh giá những gì?

Sửa một hệ thống đã chạy tốn kém gấp nhiều lần so với thiết kế đúng từ đầu. Bài viết đưa ra bộ câu hỏi rà soát trước khi ký hợp đồng triển khai.

Doanh nghiệp chuẩn bị triển khai một hệ thống mới — phần mềm quản lý khách hàng, ứng dụng bán hàng, hệ thống nhân sự. Thời điểm tốt nhất để xử lý các vấn đề về dữ liệu và an ninh là trước khi ký hợp đồng, không phải sau khi hệ thống đã chạy.

Bài viết đưa ra bộ câu hỏi rà soát, sắp xếp theo thứ tự nên hỏi.

Nhóm một — hệ thống này thu thập gì

Bắt đầu từ câu hỏi đơn giản nhất nhưng hay bị trả lời qua loa: liệt kê từng trường dữ liệu hệ thống sẽ thu thập.

Không phải "thông tin khách hàng" mà là: họ tên, số điện thoại, địa chỉ, ngày sinh, giới tính, số giấy tờ, lịch sử mua hàng, hành vi duyệt web, vị trí, danh bạ...

Với mỗi trường, đặt ba câu hỏi:

• Dùng để làm gì? Nếu không trả lời được ngay thì có thể không cần thu;
• Không có thì hệ thống có chạy được không? Nếu có thì nên chuyển thành trường tùy chọn;
• Lưu bao lâu? Phải có con số, không để "vô thời hạn".

Bài tập này thường cắt được 20-30% số trường dữ liệu trong thiết kế ban đầu. Ít dữ liệu hơn nghĩa là ít rủi ro hơn, ít nghĩa vụ hơn, và thường là trải nghiệm người dùng tốt hơn vì biểu mẫu ngắn lại.

Nhóm hai — dữ liệu đi đâu

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật. Muốn tuân thủ thì trước hết phải biết dữ liệu đi những đâu.

Bốn câu hỏi:

• Lưu ở đâu? Máy chủ của doanh nghiệp, của nhà cung cấp, hay dịch vụ đám mây bên thứ ba;
• Có ra nước ngoài không? Nhiều dịch vụ mặc định lưu ở khu vực gần nhất về mặt kỹ thuật, không phải Việt Nam;
• Có thành phần bên thứ ba nào không? Công cụ phân tích, công cụ hỗ trợ trực tuyến, mã quảng cáo — mỗi thứ đều gửi dữ liệu ra ngoài;
• Nhà cung cấp có quyền dùng dữ liệu của mình không? Đọc kỹ điều khoản dịch vụ.

Câu thứ ba là câu hay bị bỏ sót nhất. Một trang bán hàng thông thường có thể gửi dữ liệu tới năm, sáu dịch vụ bên ngoài mà chủ doanh nghiệp không biết, vì các đoạn mã đó do đơn vị thiết kế web thêm vào.

Nhóm ba — ai truy cập được

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Phân quyền là biện pháp cơ bản nhất và hiệu quả nhất. Câu hỏi rà soát:

• Hệ thống có phân quyền theo vai trò không, hay chỉ có hai mức quản trị và người dùng?
• Có thể giới hạn theo phạm vi dữ liệu không — chi nhánh này chỉ xem khách của chi nhánh mình?
• Có ghi nhật ký truy cập không, và nhật ký lưu bao lâu?
• Ai có quyền xuất toàn bộ dữ liệu? Quyền này có tách riêng không?
• Khi nhân viên nghỉ việc, quy trình thu hồi quyền thế nào?

Câu thứ tư đáng lưu ý nhất. Chức năng xuất dữ liệu ra tệp là con đường rò rỉ phổ biến nhất, và nhiều hệ thống mặc định cho mọi người dùng quyền này.

Nhóm bốn — người dùng biết gì và chọn được gì

Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng được lựa chọn sử dụng hoặc ngừng sử dụng sản phẩm, dịch vụ số trên cơ sở được cung cấp thông tin đầy đủ, rõ ràng, chính xác, minh bạch, kịp thời về điều khoản, điều kiện sử dụng; không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.

Câu hỏi rà soát:

• Người dùng có được thông báo rõ về việc thu thập gì, dùng làm gì không?
• Thông báo xuất hiện trước hay sau khi họ nhập dữ liệu?
• Có ô đồng ý được tích sẵn không? Nếu có, nên bỏ;
• Việc từ chối nhận tiếp thị có tách khỏi việc dùng dịch vụ không?
• Có kênh để người dùng yêu cầu xem, sửa, xóa dữ liệu không, và ai xử lý?

Câu cuối là câu nhiều doanh nghiệp trả lời "có" trên giấy nhưng thực tế không ai phụ trách. Cần chỉ đích danh người và đưa vào mô tả công việc.

Nhóm năm — an ninh

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng. Câu hỏi rà soát ở mức cơ bản mà mọi doanh nghiệp nên đạt:

• Dữ liệu có được mã hóa khi truyền và khi lưu trữ không?
• Có xác thực nhiều lớp cho tài khoản quản trị không?
• Sao lưu theo tần suất nào, lưu ở đâu, đã thử khôi phục chưa?
• Nhà cung cấp có cam kết cập nhật bảo mật trong bao lâu?
• Có quy trình xử lý sự cố chưa — ai làm gì trong bao lâu?

Câu thứ ba cần một lưu ý: bản sao lưu chưa từng được khôi phục thử thì chưa phải là bản sao lưu. Nên đưa một lần diễn tập khôi phục vào giai đoạn nghiệm thu.

Nhóm sáu — nếu ngừng dùng thì sao

Đây là nhóm câu hỏi ít ai hỏi lúc mua nhưng ai cũng cần lúc đổi nhà cung cấp:

• Có xuất được toàn bộ dữ liệu ra định dạng phổ thông không?
• Chi phí xuất dữ liệu bao nhiêu? Có bị tính phí không?
• Sau khi chấm dứt hợp đồng, nhà cung cấp xóa dữ liệu trong bao lâu và có xác nhận bằng văn bản không?
• Dữ liệu trong bản sao lưu của nhà cung cấp được xử lý thế nào?

Nên đưa các nội dung này vào hợp đồng ngay từ đầu. Đàm phán khi đang muốn rời đi thì vị thế đã yếu.

Kết quả rà soát nên được ghi lại

Toàn bộ quá trình trên nên tạo ra một tài liệu, dù ngắn. Nội dung tối thiểu: danh mục dữ liệu thu thập và mục đích; sơ đồ dữ liệu đi đâu; bảng phân quyền; các rủi ro đã nhận diện và biện pháp xử lý; những điểm chấp nhận rủi ro và lý do.

Tài liệu này có ba giá trị: giúp chính doanh nghiệp không quên; là căn cứ khi bàn giao giữa các đời quản lý; và chứng minh doanh nghiệp đã thực hiện nghĩa vụ cẩn trọng nếu có sự cố.

Thời điểm rà soát

Ba mốc:

Trước khi chọn nhà cung cấp — dùng bộ câu hỏi này làm tiêu chí so sánh giữa các phương án.

Trước khi nghiệm thu — kiểm tra thực tế những gì nhà cung cấp đã cam kết.

Định kỳ khi vận hành — hệ thống thay đổi, tính năng mới được thêm, dữ liệu mới được thu thập. Rà lại mỗi năm một lần là hợp lý với phần lớn doanh nghiệp.

Mốc thứ ba hay bị bỏ. Một hệ thống được thiết kế cẩn thận ban đầu có thể sau hai năm đã thu thập gấp đôi số dữ liệu ban đầu, qua các bản cập nhật mà không ai rà soát lại.

Đọc thêm cùng chủ đề

• Mức độ chuyển đổi số được đo lường và xếp hạng thế nào?
• Chiến lược quốc gia về trí tuệ nhân tạo được cập nhật bao lâu một lần?
• Giao dịch nào không được thực hiện bằng phương tiện điện tử?

Căn cứ pháp lý

• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 16
• Luật 148/2025/QH15 Điều 41
• Luật 148/2025/QH15 Điều 5

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.