Theo Luật Dữ Liệu 2024 và Luật Bảo Vệ Dữ Liệu Cá Nhân 2025 (Luật BVDLCN 2025), một số dịch vụ liên quan đến dữ liệu, bao gồm “dịch vụ xử lý dữ liệu cá nhân”, dịch vụ bảo vệ dữ liệu cá nhân (Dịch Vụ DPO), dịch vụ trung gian dữ liệu, sàn dữ liệu, và dịch vụ phân tích, tổng hợp dữ liệu (gọi chung là Các Dịch Vụ Dữ Liệu Mới) nay được xếp vào ngành, nghề đầu tư kinh doanh có điều kiện. Các Dịch Vụ Dữ Liệu Mới này (có thể bao gồm hàng chục dịch vụ thành phần) phải đáp ứng các giấy phép và điều kiện hoạt động cụ thể. Trước đây, các dịch vụ xử lý hoặc khai thác dữ liệu tại Việt Nam không thuộc nhóm ngành, nghề đầu tư kinh doanh có điều kiện, qua đó cho phép các nhà cung cấp có thể hoạt động mà chỉ cần đáp ứng các yêu cầu pháp lý ở mức tối thiểu.

Tóm lại, Chính Phủ dường như tạo ra (hoặc ít nhất là có ý định tạo ra) nhiều hơn chỉ là một hệ thống quản lý đơn thuần; Chính Phủ đã thực sự thiết lập một nền kinh tế tuân thủ phức tạp. Khuôn khổ pháp lý mới này gắn doanh nghiệp vào một hệ sinh thái trung gian tốn kém, trải dài từ các đơn vị tư vấn xin giấy phép cần thiết cho đến các cơ sở đào tạo bắt buộc và các tổ chức xếp hạng tín nhiệm. Để duy trì hoạt động, doanh nghiệp nay buộc phải gánh chịu đồng thời chi phí ban đầu để xin giấy phép và chi phí định kỳ để duy trì đội ngũ nhân sự đạt chuẩn cùng các xếp hạng cần thiết. Khi các nghĩa vụ này ngày càng gia tăng, câu hỏi then chốt đặt ra là: liệu bộ máy tốn kém này có thực sự góp phần làm giảm bớt các cuộc gọi, tin nhắn lừa đảo mà người dân Việt Nam phải chịu đựng hằng ngày, hay chỉ đơn thuần làm gia tăng chi phí kinh doanh?

Bài viết này phân tích các gánh nặng tuân thủ phát sinh từ các điều kiện cấp phép đối với Các Dịch Vụ Dữ Liệu Mới.

1) Gánh nặng tài chính - Nghĩa vụ ký quỹ bắt buộc

Trong số Các Dịch Vụ Dữ Liệu Mới, dịch vụ trung gian dữ liệu là dịch vụ duy nhất phải đáp ứng yêu cầu ký quỹ tối thiểu như một điều kiện để được cấp giấy phép. Theo Điều 25.4 của Nghị Định 169/2025, tổ chức cung cấp dịch vụ trung gian dữ liệu để kết nối bên sử dụng dịch vụ với cơ quan nhà nước phải duy trì khoản ký quỹ tối thiểu 05 tỷ đồng tại một ngân hàng thương mại hoạt động ở Việt Nam. Mặc dù được thiết kế với mục tiêu bảo đảm khả năng thực hiện nghĩa vụ bồi thường, yêu cầu này trên thực tế làm đóng băng một phần đáng kể vốn lưu động, qua đó tạo ra rào cản gia nhập thị trường đối với các doanh nghiệp nhỏ và công ty khởi nghiệp.

2) Gánh nặng tuyển dụng - Tiêu chuẩn trình độ nhân sự cao

Ngoài các yêu cầu chung (như có bằng đại học hoặc kinh nghiệm chuyên môn trong một số năm tối thiểu), Luật Dữ Liệu 2024 và Luật BVDLCN 2025 còn đặt ra các tiêu chuẩn nhân sự nghiêm ngặt hơn đối với Các Dịch Vụ Dữ Liệu Mới, như là điều kiện để được cấp giấy phép. Cụ thể,

● Chứng chỉ chuyên môn bắt buộc: Tất cả Các Dịch Vụ Dữ Liệu Mới đều yêu cầu đội ngũ nhân sự đạt chuẩn, sở hữu chứng chỉ hoàn thành các khóa đào tạo chuyên ngành (ví dụ về khoa học dữ liệu, phân tích dữ liệu, quản trị dữ liệu hoặc bảo vệ dữ liệu cá nhân). Đáng chú ý, đối với dịch vụ xử lý dữ liệu cá nhân và Dịch Vụ DPO, nhân sự phải có chứng chỉ hoàn thành khóa đào tạo do một “tổ chức Việt Nam đủ điều kiện” cấp và phải đáp ứng các tiêu chuẩn theo chương trình đánh giá chuyên môn của Bộ Công An. Đặc biệt, theo Dự Thảo Nghị Định Luật BVDLCN, các chứng chỉ này chỉ có hiệu lực trong 2 năm, do đó có thể buộc doanh nghiệp phải tổ chức đào tạo lại để nhân sự được cấp chứng chỉ mới.

● Yêu cầu định biên nhân sự nghiêm ngặt: Nhà cung cấp tất cả Các Dịch Vụ Dữ Liệu Mới phải duy trì số lượng tối thiểu nhân sự đủ điều kiện. Ví dụ, theo Điều 25.2(b) của Nghị Định 169/2025, dịch vụ trung gian dữ liệu (kết nối bên sử dụng dịch vụ với cơ quan nhà nước) yêu cầu tối thiểu 5 nhân sự có chứng chỉ hoàn thành khóa đào tạo theo quy định.

Yêu cầu này có thể làm tăng đáng kể chi phí nhân sự cho doanh nghiệp, đặc biệt là chi phí tuyển dụng nhân sự có trình độ phù hợp hoặc bố trí ngân sách để đội ngũ hiện tại tham gia các khóa đào tạo bắt buộc và chuẩn bị cho các khóa đào tạo lại do thời hạn hiệu lực của chứng chỉ bị giới hạn. Ngoài ra, yêu cầu này còn tạo ra rào cản gia nhập đối với các nhà cung cấp dịch vụ từ nước ngoài, do đội ngũ nhân sự toàn cầu hiện có của họ khó có thể đáp ứng yêu cầu của pháp luật Việt Nam khi chứng chỉ bắt buộc phải do các tổ chức Việt Nam đủ điều kiện cấp.

3) Gánh nặng cấu trúc – Hiện diện tại Việt Nam và chi phí hạ tầng

Ngoại trừ nhà cung cấp Dịch Vụ DPO, Dự Thảo Nghị Định Luật BVDLCN và Nghị Định 169/2025 nhìn chung yêu cầu các nhà cung cấp Các Dịch Vụ Dữ Liệu Mới còn lại phải là doanh nghiệp được thành lập tại Việt Nam như một điều kiện để được cấp giấy phép. Quy định này trên thực tế loại bỏ khả năng để các công ty công nghệ nước ngoài cung cấp các dịch vụ này theo hình thức xuyên biên giới.

Ngoài ra, đối với dịch vụ trung gian dữ liệu (kết nối bên sử dụng dịch vụ với cơ quan nhà nước) và dịch vụ sàn dữ liệu, doanh nghiệp phải nộp hồ sơ chứng minh rằng họ sở hữu trang thiết bị kỹ thuật và cơ sở vật chất phù hợp, được đặt tại Việt Nam và đã được kiểm định an ninh an toàn thông tin. Các điều kiện này có thể làm tăng đáng kể chi phí đầu tư cho hạ tầng và hoạt động tại Việt Nam.

4) Gánh nặng hành chính – Thủ tục cấp phép phức tạp

Khối lượng công việc hành chính đối với các doanh nghiệp dữ liệu cung cấp Các Dịch Vụ Dữ Liệu Mới dự kiến sẽ tăng lên đáng kể do phải tuân thủ quy trình thẩm định và gia hạn giấy phép chặt chẽ. Cụ thể,

● Quy trình thẩm định nặng nề: Để xin giấy phép cung cấp các dịch vụ như dịch vụ trung gian dữ liệu, dịch vụ sàn dữ liệu hoặc dịch vụ xử lý dữ liệu cá nhân, doanh nghiệp phải soạn thảo và nộp “Đề Án” chi tiết với các nội dung bắt buộc về kiến trúc kỹ thuật, biện pháp bảo đảm an toàn, an ninh, hệ thống thanh toán và phương án kinh doanh để Bộ Công An thẩm định. Việc này có thể tốn nhiều thời gian và phát sinh chi phí hành chính đáng kể (ví dụ như chi phí thuê đơn vị tư vấn) để chuẩn bị hồ sơ.

● Yêu cầu xếp hạng tín nhiệm để gia hạn giấy phép: Theo Dự Thảo Nghị Định Luật BVDLCN, để gia hạn giấy phép 5 năm cung cấp dịch vụ xử lý dữ liệu cá nhân, nhà cung cấp phải có kết quả xếp hạng tín nhiệm về bảo vệ dữ liệu cá nhân ở mức “Đạt”, được cấp trong vòng 06 tháng gần nhất. Thêm vào đó, doanh nghiệp phải lên kế hoạch thực hiện đánh giá, xếp hạng này hằng năm. Hiện tại, Luật BVDLCN 2025 và Dự Thảo Nghị Định Luật BVDLCN vẫn chưa quy định rõ quy trình, thủ tục để xin cấp hoặc công nhận xếp hạng bảo vệ dữ liệu cá nhân nói trên. Theo kết quả tra cứu công khai, có thể thấy hoạt động đánh giá này dự kiến do Bộ Công An thực hiện hằng năm từ năm 2024 (xem tại đây). Song, cho đến nay vẫn chưa có kết quả xếp hạng nào được công bố chính thức. Sự mơ hồ trong quy định này tiềm ẩn rủi ro khiến doanh nghiệp có thể bị chậm trễ hoặc bị từ chối gia hạn giấy phép do cơ chế đánh giá chưa minh bạch.

Bài viết này được thực hiện bởi Trịnh Phương Thảo và biên tập bởi Nguyễn Quang Vũ.

Vietnam Business Law