19/09/2026
Bình luận(0)Dữ liệu cá nhân từ năm 2026 không còn là câu chuyện riêng của bộ phận công nghệ hay pháp chế. Với doanh nghiệp đang sử dụng ERP, CRM, HRM và nhiều nền tảng trực tuyến, đây là bài toán trực tiếp liên quan đến cách dữ liệu được tạo, sử dụng, chia sẻ, lưu giữ và xóa trong hoạt động hằng ngày.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026. Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành cũng có hiệu lực cùng ngày. Đến ngày 19/08/2026, Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân tiếp tục bổ sung bối cảnh thực thi cho doanh nghiệp.
Nhưng với nhà quản trị, câu hỏi khó nhất không chỉ là “luật yêu cầu điều gì”. Câu hỏi thực tế hơn là doanh nghiệp có biết dữ liệu cá nhân đang nằm ở đâu, ai đang sử dụng, được chuyển sang những hệ thống nào và còn tồn tại bao nhiêu bản sao ngoài tầm nhìn của bộ phận quản lý hay không. Đó là lý do bảo vệ dữ liệu cần được nhìn từ cách doanh nghiệp vận hành, không chỉ từ chính sách.
Dữ liệu cá nhân nằm ở nhiều nơi hơn doanh nghiệp thường nghĩ
Khi nói đến dữ liệu cá nhân, nhiều người nghĩ ngay đến căn cước, số điện thoại hoặc hồ sơ nhân viên. Trong môi trường doanh nghiệp, phạm vi thực tế rộng hơn rất nhiều. CRM lưu tên khách hàng, người liên hệ, email, số điện thoại, chức vụ và lịch sử tương tác. ERP có thể giữ thông tin người đại diện, người nhận hàng, người phê duyệt hoặc thông tin thanh toán. HRM chứa hồ sơ tuyển dụng, hợp đồng, lương, tài khoản ngân hàng, người phụ thuộc và dữ liệu chấm công.
Ngoài ba hệ thống chính còn có thư điện tử, phần mềm chăm sóc khách hàng, nền tảng tiếp thị, kho tài liệu, bảng tính và các công cụ AI mà nhân viên đang sử dụng. Nếu chỉ nhìn từng phần mềm riêng lẻ, doanh nghiệp có thể thấy mọi thứ vẫn hoạt động bình thường. Nhưng khi nhìn theo hành trình dữ liệu, nhiều câu hỏi khác xuất hiện.
Một thông tin được sửa ở CRM có được cập nhật sang hệ thống gửi email hay không? Một nhân viên nghỉ việc thì quyền ở ERP, HRM, thư điện tử và kho tài liệu có được thu hồi đồng thời không? Một file xuất ra từ ERP hiện đang được lưu ở đâu và ai có thể tiếp tục sử dụng? Một dữ liệu đã bị xóa khỏi hệ thống chính có còn tồn tại ở bản sao, file tải về hay nền tảng kết nối hay không?
Nếu doanh nghiệp chưa trả lời được những câu hỏi này, rủi ro không nằm ở một phần mềm đơn lẻ. Rủi ro nằm ở khoảng trống giữa các hệ thống.
Bảo vệ dữ liệu không chỉ là chống truy cập trái phép
Nhiều doanh nghiệp thường đồng nhất bảo vệ dữ liệu với bảo mật hệ thống. Bảo mật rất quan trọng, nhưng chưa đủ. Dữ liệu có thể không bị tấn công nhưng vẫn được sử dụng sai mục đích, được chia sẻ rộng hơn cần thiết, được giữ lâu hơn chính sách cho phép hoặc được tải ra khỏi hệ thống mà không còn khả năng kiểm soát.
Một ví dụ gần với vận hành là dữ liệu nhân sự. Khi một nhân viên nghỉ việc, doanh nghiệp không chỉ cần khóa tài khoản. Cần xác định dữ liệu nào tiếp tục được lưu theo căn cứ áp dụng, dữ liệu nào cần xử lý, hệ thống nào còn giữ bản sao và quyền nào phải được thu hồi. Nếu việc này phụ thuộc hoàn toàn vào một bảng kiểm thủ công, chỉ cần bỏ sót một hệ thống là khoảng trống đã xuất hiện.
Tương tự với khách hàng, một thay đổi về mục đích sử dụng hoặc yêu cầu liên quan đến dữ liệu có thể tác động đến nhiều nền tảng cùng lúc. Nếu CRM đã thay đổi trạng thái nhưng hệ thống tiếp thị vẫn tiếp tục sử dụng dữ liệu cũ, doanh nghiệp đang có sự lệch pha giữa chính sách và vận hành.
ERP, CRM và HRM cần được kiểm soát theo cách khác nhau
ERP thường chứa dữ liệu giao dịch cốt lõi nên doanh nghiệp có xu hướng đầu tư khá nhiều vào phân quyền. Tuy nhiên, một điểm dễ bị bỏ qua là quyền xuất dữ liệu. Một người có thể không được xem toàn bộ thông tin trên hệ thống nhưng lại được phép tải báo cáo ra bảng tính. Khi file đã rời ERP, các giới hạn truy cập của ERP không còn đi cùng file đó.
CRM có đặc thù khác vì dữ liệu thường xuất hiện rất sớm trong hành trình khách hàng. Một người liên hệ có thể đến từ website, hội thảo, quảng cáo, đối tác hoặc hoạt động bán hàng trực tiếp. Sau đó dữ liệu có thể được chuyển sang hệ thống tiếp thị, công cụ bán hàng và cuối cùng mới đi vào ERP. Nếu doanh nghiệp chỉ quản lý CRM như một danh sách liên hệ, sẽ rất khó biết dữ liệu được thu thập từ đâu và hiện đang được dùng cho mục đích gì.
HRM lại là khu vực chứa mật độ dữ liệu cá nhân cao hơn. Không phải nhân viên nhân sự nào cũng cần xem toàn bộ thông tin lương, hồ sơ tuyển dụng hoặc dữ liệu nhạy cảm. Quyền nên được phân theo nhu cầu công việc thực tế, không chỉ theo tên phòng ban. Khi nhân viên chuyển vị trí hoặc nghỉ việc, thay đổi về quyền cần đi cùng thay đổi về trạng thái nhân sự, thay vì phụ thuộc vào việc một người nhớ phải cập nhật từng hệ thống.
Điểm khó nhất nằm ở luồng dữ liệu giữa các hệ thống
Một doanh nghiệp có thể cấu hình từng phần mềm khá tốt nhưng vẫn gặp rủi ro nếu không kiểm soát được dữ liệu di chuyển giữa chúng. CRM chuyển khách hàng sang ERP. HRM kết nối hệ thống chấm công. ERP chuyển dữ liệu sang nền tảng thanh toán. Hệ thống tiếp thị lấy thông tin từ CRM. Bộ phận tài chính xuất báo cáo ra bảng tính để xử lý tiếp.
Mỗi lần dữ liệu được chuyển, doanh nghiệp tạo thêm một điểm cần kiểm soát. Vấn đề càng lớn khi các kết nối này được triển khai trong nhiều năm và không còn ai có bức tranh đầy đủ. Một hệ thống có thể đã được thay thế nhưng dữ liệu vẫn còn trên nền tảng cũ. Một tài khoản dịch vụ có thể tiếp tục hoạt động dù người phụ trách ban đầu đã nghỉ việc. Một kết nối được tạo ra cho một dự án ngắn hạn có thể tồn tại lâu hơn mục đích ban đầu.
Đây là lý do doanh nghiệp cần có một bản đồ luồng dữ liệu đủ rõ để trả lời dữ liệu đến từ đâu, đi đâu, ai chịu trách nhiệm và hệ thống nào là nguồn chính. Bản đồ này không cần bắt đầu bằng một dự án kỹ thuật phức tạp. Nó có thể bắt đầu từ những nhóm dữ liệu quan trọng nhất và những kết nối đang ảnh hưởng trực tiếp đến khách hàng, nhân sự, tài chính và hoạt động quản trị.
AI đang tạo ra một luồng dữ liệu mới nhanh hơn tốc độ doanh nghiệp xây quy định
Một trong những thay đổi lớn nhất trong năm 2026 là việc AI đi vào công việc hằng ngày rất nhanh. Nhân viên bán hàng có thể đưa lịch sử khách hàng vào AI để soạn thư. Nhân sự có thể dùng AI đọc hồ sơ ứng viên. Tài chính có thể tải bảng giao dịch lên để phân tích. Người quản lý có thể dùng AI tóm tắt hợp đồng hoặc báo cáo.
Từng trường hợp đều có lý do hợp lý về năng suất. Nhưng ở góc độ dữ liệu, doanh nghiệp vừa tạo ra thêm một đường đi mới. Dữ liệu được gửi đến đâu? Tài khoản sử dụng là tài khoản cá nhân hay tài khoản doanh nghiệp? Nhà cung cấp có lưu nội dung hay không? Nhân viên có biết loại dữ liệu nào không nên đưa vào? Kết quả sau đó được lưu lại ở đâu và ai chịu trách nhiệm kiểm tra?
Nếu chưa có câu trả lời, AI đang được sử dụng nhanh hơn khả năng quản trị của doanh nghiệp. Điều này không có nghĩa doanh nghiệp nên cấm AI. Cách phù hợp hơn là đưa AI vào cùng cơ chế quản trị dữ liệu như các hệ thống khác: xác định loại dữ liệu được phép sử dụng, nhóm người dùng được phép truy cập, trường hợp cần xác nhận và cách lưu lại hoạt động quan trọng.
Bài viết về chuẩn hóa dữ liệu trước khi ứng dụng AI của ASOFT cũng nhấn mạnh cùng một nguyên tắc: chất lượng kết quả phụ thuộc rất lớn vào chất lượng và cách quản trị dữ liệu đầu vào.
Bảo vệ dữ liệu nên bắt đầu từ cách doanh nghiệp đang vận hành
Một chương trình bảo vệ dữ liệu hiệu quả không nhất thiết phải bắt đầu bằng việc mua thêm phần mềm. Điểm khởi đầu nên là nhìn lại dữ liệu đang thực sự đi qua tổ chức như thế nào.
Hệ thống nào là nguồn chính? Phòng ban nào chịu trách nhiệm? Ai có quyền truy cập? Dữ liệu đang được chia sẻ với hệ thống nào? Có bao nhiêu file đang nằm ngoài hệ thống? Một thay đổi ở nguồn dữ liệu có được cập nhật sang các nơi liên quan hay không?
Khi những câu hỏi này được trả lời rõ, doanh nghiệp mới có đủ nền để thiết kế phân quyền, thời gian lưu trữ, cách xử lý dữ liệu khi nhân sự thay đổi và cách kiểm soát việc sử dụng AI. ERP, CRM và HRM khi đó trở thành công cụ thực thi các nguyên tắc quản trị, thay vì được kỳ vọng tự giải quyết toàn bộ bài toán.
Đây cũng là điểm giúp pháp lý và công nghệ gặp nhau. Pháp luật xác định nghĩa vụ. Hệ thống giúp biến nghĩa vụ thành cách làm cụ thể trong vận hành. Con người chịu trách nhiệm đảm bảo hai phần đó thực sự kết nối với nhau.
Kết luận
Dữ liệu cá nhân từ năm 2026 cần được nhìn như một phần của quản trị doanh nghiệp, không chỉ là vấn đề bảo mật. ERP, CRM và HRM đều đang nắm giữ những phần khác nhau của dữ liệu khách hàng, nhân viên và đối tác. Khoảng trống lớn nhất thường xuất hiện khi dữ liệu đi qua nhiều hệ thống mà doanh nghiệp không còn nhìn thấy toàn bộ hành trình.
AI làm bài toán này phức tạp hơn vì tạo thêm những cách mới để dữ liệu được sử dụng và chuyển ra ngoài hệ thống truyền thống.
Nếu quý Doanh nghiệp chưa có một bức tranh rõ về dữ liệu đang nằm ở đâu, ai đang sử dụng và được chuyển qua những hệ thống nào, Phiên đánh giá mức độ sẵn sàng tuân thủ của ASOFT là bước đầu để xác định khoảng trống trước khi quyết định cần điều chỉnh quy trình hay công nghệ ở đâu.