Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, xử lý dữ liệu lớn phải đáp ứng yêu cầu gì?

02/07/2026
5 lượt xem
0 bình luận

Nghị định định nghĩa rõ thế nào là xử lý dữ liệu lớn, và đưa ra một yêu cầu kỹ thuật cụ thể hiếm thấy: tối thiểu phải xác thực đa yếu tố.

Nhiều doanh nghiệp không chắc hoạt động phân tích của mình có bị coi là xử lý dữ liệu lớn hay không. Điều 9 Nghị định 356/2025/NĐ-CP đưa ra định nghĩa khá cụ thể.

Thế nào là xử lý dữ liệu lớn

Điều 9 Nghị định 356/2025/NĐ-CP định nghĩa: xử lý dữ liệu lớn có chứa dữ liệu cá nhân là hoạt động xử lý dữ liệu cá nhân ở quy mô lớn, có tính liên tục, tích hợp từ nhiều nguồn khác nhau, có khả năng phân tích hành vi, dự đoán xu hướng hoặc phân loại người dùng.

Bốn dấu hiệu nhận biết

Định nghĩa gồm bốn yếu tố: quy mô lớn, tính liên tục, tích hợp từ nhiều nguồn, và khả năng phân tích hành vi hoặc dự đoán hoặc phân loại người dùng.

Yếu tố cuối cùng là yếu tố dễ nhận ra nhất trong thực tế. Nếu hệ thống của bạn đang chia khách hàng thành các nhóm để đối xử khác nhau, hoặc dự đoán hành vi tiếp theo của họ, thì gần như chắc chắn thuộc phạm vi này — kể cả khi số lượng bản ghi chưa thật lớn.

Sáu trách nhiệm

Điều 9 Nghị định 356/2025/NĐ-CP quy định trường hợp xử lý dữ liệu lớn có chứa dữ liệu cá nhân, cơ quan, tổ chức, cá nhân có liên quan có trách nhiệm:

Tuân thủ các quy định về bảo vệ dữ liệu cá nhân ngay từ thời điểm bắt đầu xử lý;
Chỉ thu thập, xử lý và lưu trữ dữ liệu cá nhân đúng phạm vi, phù hợp với mục đích cụ thể, rõ ràng;
Xây dựng chính sách lưu trữ, xóa, hủy dữ liệu cá nhân phù hợp, đúng quy định pháp luật;
Tổ chức đào tạo, phổ biến và nâng cao nhận thức về bảo mật dữ liệu cá nhân cho nhân viên định kỳ, đặc biệt là nhân sự trực tiếp xử lý dữ liệu cá nhân;
Có thỏa thuận với bên thứ ba, đối tác và nhà cung cấp dịch vụ bảo đảm tuân thủ đầy đủ các quy định về bảo vệ dữ liệu cá nhân;
Có cơ chế thông báo và giải thích phù hợp cho chủ thể dữ liệu về việc dữ liệu cá nhân của họ được sử dụng trong hệ thống phân tích dữ liệu lớn.

Trách nhiệm cuối cùng thường bị bỏ qua

Người dùng thường biết mình cung cấp dữ liệu, nhưng không biết dữ liệu đó được đưa vào hệ thống phân tích để phân loại hoặc dự đoán. Nghĩa vụ thông báo và giải thích này yêu cầu doanh nghiệp nói rõ điều đó — thường là trong chính sách bảo mật và tại thời điểm xin đồng ý.

Yêu cầu kỹ thuật cụ thể

Điều 9 Nghị định 356/2025/NĐ-CP nêu các biện pháp bảo vệ phải áp dụng trong quá trình xử lý dữ liệu lớn:

Áp dụng các biện pháp bảo đảm an ninh mạng, bảo mật dữ liệu, phòng chống thất thoát dữ liệu cá nhân trong quá trình lưu trữ, xử lý, truyền tải;
Sử dụng phương thức xác thực mạnh, yêu cầu tối thiểu xác thực đa yếu tố — mật khẩu hoặc mã PIN kết hợp với mật khẩu dùng một lần, thiết bị ký số hoặc yếu tố sinh trắc học — phù hợp với mức độ nhạy cảm của dữ liệu; phân quyền truy cập để chỉ những người có quyền mới truy cập được dữ liệu cá nhân;
Thực hiện mã hóa, ẩn danh dữ liệu cá nhân, tức tách các dữ liệu xác định một con người cụ thể để lưu trữ và bảo mật riêng biệt.

Xác thực đa yếu tố là yêu cầu tối thiểu

Đây là một trong ít điểm mà Nghị định nêu thẳng một biện pháp kỹ thuật cụ thể thay vì diễn đạt chung. Với hệ thống phân tích dữ liệu lớn, việc đăng nhập chỉ bằng tên người dùng và mật khẩu không đạt yêu cầu.

Trong thực tế, đây cũng là biện pháp có tỷ lệ hiệu quả trên chi phí cao nhất: bật xác thực đa yếu tố cho các tài khoản có quyền truy cập kho dữ liệu là việc làm được trong một buổi và chặn được phần lớn các vụ chiếm đoạt tài khoản.

Nguyên tắc từ Luật

Khoản 1 Điều 30 Luật 91/2025/QH15 yêu cầu dữ liệu cá nhân trong môi trường dữ liệu lớn phải được xử lý đúng mục đích và giới hạn trong phạm vi cần thiết, bảo đảm quyền và lợi ích hợp pháp của chủ thể dữ liệu. Khoản 3 Điều 30 yêu cầu tích hợp biện pháp bảo mật phù hợp, sử dụng phương thức xác thực, định danh phù hợp và phân quyền truy cập.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 9
Luật 91/2025/QH15 Điều 30

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.