Kiến thức CRM
CRM là gì? Tìm hiểu hệ thống quản lý khách hàng CRM
Trách nhiệm của chủ quản dữ liệu theo Luật Dữ liệu (cập nhật 2026)
Chủ quản dữ liệu phải làm gì theo quy định mới nhất? Tổng hợp trách nhiệm theo từng điều luật, cách phân biệt với chủ sở hữu, bên kiểm soát và checklist tuân thủ (cập nhật 2026).
Luật Dữ liệu có hiệu lực từ ngày 01/07/2025 lần đầu tiên xác lập vai trò "chủ quản dữ liệu", tức bên trực tiếp xây dựng, vận hành và khai thác dữ liệu thay cho chủ sở hữu. Nhiều doanh nghiệp đang lưu trữ dữ liệu cho khách hàng, vận hành hệ thống cloud, CRM hoặc kho dữ liệu nội bộ nhưng chưa rõ mình có thuộc nhóm này không. Bài viết tổng hợp trách nhiệm của chủ quản dữ liệu theo quy định mới nhất và cách áp dụng vào thực tế vận hành năm 2026.
1. Chủ quản dữ liệu là gì?
Theo khoản 13 Điều 3 Luật Dữ liệu số 60/2024/QH15, chủ quản dữ liệu là cơ quan, tổ chức, cá nhân thực hiện hoạt động xây dựng, quản lý, vận hành, khai thác dữ liệu theo yêu cầu của chủ sở hữu dữ liệu. Nói ngắn gọn, đây là bên trực tiếp "cầm" và vận hành dữ liệu, nhưng không phải bên có quyền quyết định số phận của dữ liệu đó.
Một tổ chức được xem là chủ quản dữ liệu khi đồng thời có ba dấu hiệu:
-
Trực tiếp thực hiện các hoạt động xây dựng, quản lý, vận hành hoặc khai thác dữ liệu.
-
Hành động theo yêu cầu của chủ sở hữu, thường thông qua quyết định giao nhiệm vụ, hợp đồng hoặc thỏa thuận dịch vụ.
-
Không tự quyết định mục đích sử dụng, chia sẻ hay trao đổi giá trị của dữ liệu.
Trong thực tế, vai trò này xuất hiện ở nhiều mô hình quen thuộc. Một trung tâm dữ liệu được giao vận hành cơ sở dữ liệu chuyên ngành cho một bộ. Một nhà cung cấp cloud hoặc phần mềm CRM lưu trữ, sao lưu và vận hành dữ liệu khách hàng cho doanh nghiệp. Hoặc phòng IT được ban giám đốc giao quản lý kho dữ liệu nội bộ.
Cần lưu ý, một số bản dịch tiếng Anh gọi chủ quản dữ liệu là "data controller". Cách gọi này dễ gây nhầm với bên kiểm soát dữ liệu trong Luật Bảo vệ dữ liệu cá nhân. Về bản chất, chủ quản dữ liệu gần với khái niệm "data custodian" hơn, tức bên quản lý và vận hành dữ liệu thay cho chủ sở hữu.
2. Phân biệt chủ quản dữ liệu với các chủ thể liên quan
Điểm khác biệt cốt lõi nằm ở quyền quyết định: chủ sở hữu quyết định, chủ quản thực thi, còn chủ thể dữ liệu là đối tượng mà dữ liệu phản ánh. Hai khái niệm bên kiểm soát và bên xử lý thuộc một hệ thống khác, chỉ áp dụng riêng cho dữ liệu cá nhân và được hướng dẫn chi tiết trong bài quản trị dữ liệu khách hàng đúng luật.
|
Tiêu chí |
Chủ sở hữu dữ liệu |
Chủ quản dữ liệu |
Chủ thể dữ liệu |
Bên kiểm soát / bên xử lý dữ liệu cá nhân |
|
Căn cứ |
Khoản 14 Điều 3 Luật Dữ liệu |
Khoản 13 Điều 3 Luật Dữ liệu |
Khoản 12 Điều 3 Luật Dữ liệu |
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 |
|
Phạm vi dữ liệu |
Mọi loại dữ liệu số |
Mọi loại dữ liệu số |
Mọi loại dữ liệu số |
Chỉ dữ liệu cá nhân |
|
Quyền quyết định |
Quyết định xây dựng, phát triển, bảo vệ, quản trị, xử lý, sử dụng và trao đổi giá trị dữ liệu |
Không tự quyết, thực hiện theo yêu cầu chủ sở hữu |
Có các quyền đối với dữ liệu phản ánh về mình |
Bên kiểm soát quyết định mục đích, phương tiện xử lý; bên xử lý làm theo hợp đồng |
|
Vai trò thực tế |
"Người chủ" của tài sản dữ liệu |
"Người vận hành" tài sản dữ liệu |
"Người được phản ánh" trong dữ liệu |
Vai trò trong từng hoạt động xử lý dữ liệu cá nhân |
|
Ví dụ |
Doanh nghiệp sở hữu dữ liệu khách hàng |
Nhà cung cấp cloud/CRM vận hành dữ liệu đó |
Khách hàng có thông tin trong hệ thống |
Doanh nghiệp (kiểm soát), đơn vị thuê ngoài (xử lý) |
Một tổ chức hoàn toàn có thể mang nhiều vai trò cùng lúc. Doanh nghiệp tự xây dựng và tự vận hành hệ thống dữ liệu của mình vừa là chủ sở hữu vừa là chủ quản. Nếu dữ liệu đó có thông tin cá nhân, doanh nghiệp còn đồng thời là bên kiểm soát dữ liệu cá nhân và phải tuân thủ cả hai luật.
3. Trách nhiệm của chủ quản dữ liệu theo quy định mới nhất (cập nhật 2026)
Năm 2026, trách nhiệm của chủ quản dữ liệu chịu sự điều chỉnh của ba văn bản chính: Luật Dữ liệu số 60/2024/QH15 (hiệu lực từ 01/07/2025), Nghị định 165/2025/NĐ-CP quy định chi tiết Luật Dữ liệu (hiệu lực từ 01/07/2025) và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026) khi dữ liệu có yếu tố cá nhân. Các nghĩa vụ được gom thành sáu nhóm:
|
Điều luật (Luật Dữ liệu) |
Nhóm trách nhiệm |
|
Điều 15, 31 |
Quản trị, vận hành dữ liệu và hạ tầng |
|
Điều 16 |
Kiểm soát truy cập, khai thác đúng mục đích |
|
Điều 20, 22 |
Xác thực và mã hóa dữ liệu |
|
Điều 25 |
Đánh giá rủi ro, xử lý sự cố |
|
Điều 26 |
Khôi phục, xóa dữ liệu |
|
Điều 27, 43 |
Bảo vệ dữ liệu suốt quá trình xử lý, bảo đảm dịch vụ liên tục |
3.1. Quản trị, vận hành dữ liệu theo yêu cầu của chủ sở hữu
Chủ quản phải tổ chức quản lý dữ liệu khách hàng theo chính sách, quy trình và tiêu chuẩn mà chủ sở hữu đặt ra, đồng thời quản lý hạ tầng lưu trữ, xử lý dữ liệu mình được giao. Với dữ liệu thuộc hệ thống nhà nước, chủ quản còn phải phối hợp với Trung tâm dữ liệu quốc gia trong quản trị, kết nối và chia sẻ. Trong thực tế, doanh nghiệp cần có văn bản giao nhiệm vụ hoặc hợp đồng xác định rõ phạm vi dữ liệu được vận hành.
3.2. Kiểm soát truy cập và bảo đảm khai thác đúng mục đích
Theo Điều 16, chủ sở hữu và chủ quản dữ liệu phải thiết lập cơ chế truy cập, cung cấp công cụ khai thác và bảo đảm dữ liệu chỉ được sử dụng cho mục đích hợp pháp. Điều này đòi hỏi phân quyền theo vai trò, xác thực người dùng và lưu nhật ký truy cập để truy vết khi cần, tương ứng với nhóm tính năng phân quyền và ghi vết trên các hệ thống CRM hiện nay. Trong thực tế, nguyên tắc "quyền tối thiểu" (mỗi người chỉ truy cập đúng phần dữ liệu công việc cần) là cách đơn giản nhất để đáp ứng yêu cầu này.
3.3. Xác thực và mã hóa dữ liệu
Điều 20 cho phép chủ quản tự xác thực dữ liệu hoặc sử dụng dịch vụ xác thực để bảo đảm dữ liệu chính xác, toàn vẹn. Điều 22 giao cho chủ quản quyền và trách nhiệm lựa chọn phương thức mã hóa, giải mã phù hợp với mức độ quan trọng của dữ liệu. Doanh nghiệp nên mã hóa cả khi lưu trữ và khi truyền tải, đồng thời quản lý khóa mã hóa tách biệt với dữ liệu. Đây cũng là một trong các tiêu chí khi chọn hệ thống CRM bảo mật dữ liệu đáp ứng quy định mới.
3.4. Đánh giá rủi ro và xử lý sự cố dữ liệu
Điều 25 yêu cầu chủ quản đánh giá rủi ro trong quá trình xử lý dữ liệu, đặc biệt với dữ liệu cốt lõi và dữ liệu quan trọng phải đánh giá định kỳ. Khi xảy ra sự cố, chủ quản phải xử lý kịp thời và thông báo cho cơ quan có thẩm quyền cùng các bên bị ảnh hưởng. Nghị định 165/2025/NĐ-CP hướng dẫn cụ thể các loại rủi ro cần nhận diện, gồm rủi ro quyền riêng tư, an ninh mạng, kiểm soát truy cập và chất lượng dữ liệu.
3.5. Khôi phục, xóa dữ liệu theo yêu cầu
Theo Điều 26, chủ quản phải xây dựng quy trình khôi phục và xóa dữ liệu khi có yêu cầu hợp lệ. Việc xóa phải bảo đảm không thể khôi phục trái phép, còn việc khôi phục phải dựa trên bản sao lưu dữ liệu trên CRM hoặc hệ thống lưu trữ đáng tin cậy. Doanh nghiệp cần quy định rõ ai có quyền yêu cầu, thời hạn xử lý và cách lưu biên bản cho từng lần thực hiện.
3.6. Bảo vệ dữ liệu trong suốt quá trình xử lý
Điều 27 yêu cầu chủ quản áp dụng biện pháp bảo vệ dữ liệu xuyên suốt vòng đời, từ thu thập, lưu trữ, sử dụng đến chia sẻ và xóa. Với các đơn vị cung cấp dịch vụ dữ liệu, Điều 43 bổ sung nghĩa vụ bảo đảm dịch vụ liên tục, giám sát an toàn dữ liệu và tuân thủ pháp luật về an ninh mạng. Nếu dữ liệu có thông tin cá nhân, chủ quản còn phải đáp ứng thêm các yêu cầu của Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP.
4. Chủ quản dữ liệu chịu hậu quả gì nếu vi phạm?
Tùy tính chất và mức độ, chủ quản vi phạm quy định về dữ liệu có thể bị xử lý kỷ luật, xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự, và phải bồi thường nếu gây thiệt hại. Điều 10 Luật Dữ liệu liệt kê các hành vi bị nghiêm cấm, trong đó có việc làm sai lệch, phá hoại dữ liệu hoặc lợi dụng xử lý dữ liệu để xâm phạm lợi ích hợp pháp của người khác.
Với dữ liệu cá nhân, mức phạt theo Luật Bảo vệ dữ liệu cá nhân nặng hơn đáng kể. Tổ chức vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt đến 5% doanh thu năm liền trước, các vi phạm khác có mức phạt tối đa 3 tỷ đồng. Hành vi mua bán dữ liệu cá nhân bị phạt theo bội số khoản thu có được từ vi phạm.
Ngoài chế tài pháp lý, một sự cố thất thoát dữ liệu khách hàng còn kéo theo rủi ro mất hợp đồng, mất uy tín và gián đoạn vận hành. Với các đơn vị cung cấp dịch vụ dữ liệu, một sự cố có thể ảnh hưởng cùng lúc đến hàng trăm khách hàng.
Về ranh giới trách nhiệm, chủ sở hữu chịu trách nhiệm về các quyết định liên quan đến dữ liệu, còn chủ quản chịu trách nhiệm về cách thực thi. Nếu sự cố xuất phát từ lỗi vận hành, bảo mật hoặc làm sai yêu cầu đã thống nhất, phần lỗi thuộc về chủ quản. Vì vậy, hợp đồng giữa hai bên cần ghi rõ phạm vi công việc, tiêu chuẩn bảo mật và cơ chế phân chia trách nhiệm khi có sự cố.
5. Checklist tuân thủ dành cho doanh nghiệp đóng vai trò chủ quản dữ liệu
Doanh nghiệp có thể dùng danh sách dưới đây để tự rà soát mức độ sẵn sàng:
-
Lập danh mục các luồng dữ liệu và xác định vai trò của mình trong từng luồng (sở hữu, chủ quản, kiểm soát hay xử lý).
-
Ký hợp đồng hoặc thỏa thuận phân định trách nhiệm với chủ sở hữu dữ liệu.
-
Phân loại data khách hàng và dữ liệu đang vận hành, đánh dấu riêng dữ liệu cốt lõi, dữ liệu quan trọng và dữ liệu cá nhân.
-
Thiết lập phân quyền truy cập theo vai trò và bật nhật ký truy cập.
-
Áp dụng mã hóa khi lưu trữ, khi truyền tải và quản lý khóa mã hóa tách biệt.
-
Ban hành quy trình ứng phó sự cố, kèm đầu mối và kênh thông báo cho cơ quan chức năng, chủ sở hữu.
-
Ban hành quy trình sao lưu, khôi phục và xóa dữ liệu có biên bản.
-
Đánh giá rủi ro định kỳ và đào tạo nhân sự trực tiếp vận hành dữ liệu.
6. Câu hỏi thường gặp
6.1. Doanh nghiệp thuê cloud thì nhà cung cấp cloud có phải là chủ quản dữ liệu không?
Có, nếu nhà cung cấp trực tiếp quản lý, vận hành dữ liệu theo yêu cầu của doanh nghiệp. Khi đó doanh nghiệp là chủ sở hữu, nhà cung cấp là chủ quản. Nếu nhà cung cấp chỉ cho thuê hạ tầng và doanh nghiệp tự vận hành, chẳng hạn tự quản trị hệ thống CRM của mình, vai trò chủ quản vẫn thuộc về doanh nghiệp.
6.2. Chủ quản dữ liệu có được tự ý chia sẻ dữ liệu cho bên thứ ba không?
Không. Quyền quyết định sử dụng và trao đổi giá trị dữ liệu thuộc về chủ sở hữu. Chủ quản chỉ chia sẻ khi có yêu cầu của chủ sở hữu hoặc theo yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền.
6.3. Một tổ chức có thể vừa là chủ sở hữu vừa là chủ quản dữ liệu không?
Có. Đây là trường hợp phổ biến khi doanh nghiệp tự xây dựng và tự vận hành hệ thống dữ liệu. Khi đó doanh nghiệp phải thực hiện đồng thời nghĩa vụ của cả hai vai trò.
6.4. Luật Dữ liệu áp dụng với doanh nghiệp tư nhân ra sao?
Luật Dữ liệu áp dụng với cơ quan, tổ chức, cá nhân Việt Nam và tổ chức nước ngoài có hoạt động dữ liệu số liên quan đến Việt Nam, nên bao gồm cả doanh nghiệp tư nhân. Doanh nghiệp xử lý dữ liệu cốt lõi, dữ liệu quan trọng hoặc cung cấp dịch vụ dữ liệu sẽ chịu thêm các nghĩa vụ riêng.
Với Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân cùng có hiệu lực, năm 2026 là thời điểm doanh nghiệp không thể xem việc vận hành dữ liệu chỉ là công việc kỹ thuật. Chủ quản dữ liệu không có quyền quyết định số phận của dữ liệu, nhưng lại là bên chịu trách nhiệm trực tiếp khi dữ liệu bị truy cập trái phép, sai lệch hay thất thoát. Bước đầu tiên và quan trọng nhất là xác định đúng vai trò của mình trong từng luồng dữ liệu, sau đó phân định trách nhiệm rõ ràng bằng văn bản với chủ sở hữu. Doanh nghiệp chuẩn bị sớm sẽ vừa giảm rủi ro pháp lý, vừa có thêm lợi thế khi khách hàng và đối tác ngày càng đánh giá cao năng lực bảo vệ dữ liệu.
Tại sao bạn nên ở lại trang web này?
Bạn không nên bỏ lỡ
Getfly CRM là nền tảng CRM toàn diện dành riêng cho SMEs, với sứ mệnh "Quản trị đơn giản - Thành công khác biệt". Hệ thống giải pháp của Getfly bao gồm: Marketing: CRM, Marketing Automation, Chăm sóc khách hàng, Social CRM, Quản trị Nhân sự, Tài chính - Kế toán… Getfly CRM là nền tảng CRM toàn diện dành riêng cho SMEs, với sứ mệnh "Quản trị đơn giản - Thành công khác biệt". Hệ thống giải pháp của Getfly bao gồm: Marketing: CRM, Marketing Automation, Chăm sóc khách hàng, Social CRM, Quản trị Nhân sự, Tài chính - Kế toán… tất cả tích hợp trên một nền tảng duy nhất, giúp doanh nghiệp tinh gọn và vận hành hiệu quả.
DÀNH RIÊNG CHO BẠN
