Quản trị dữ liệu là gì?
Quản trị dữ liệu (data governance) là cách doanh nghiệp quyết định và giám sát việc sử dụng dữ liệu: ai chịu trách nhiệm cho từng tập dữ liệu, dữ liệu được thu thập vì mục đích gì, lưu trong bao lâu, ai được truy cập và chất lượng được đo ra sao. Quản trị dữ liệu không phải là một phần mềm, mà là tập hợp vai trò, chính sách và quy trình; phần mềm chỉ là nơi thực thi chúng.
Với doanh nghiệp tại Việt Nam, quản trị dữ liệu còn là cách thực tế để đáp ứng Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15, hiệu lực từ 01/01/2026) và Nghị định 356/2025/NĐ-CP: luật yêu cầu xử lý đúng mục đích, có sự đồng ý theo từng mục đích, lưu trữ trong thời gian phù hợp và xóa khi không còn cần.
Khung tham chiếu: DAMA-DMBOK đặt quản trị dữ liệu ở trung tâm
Một khung tham chiếu phổ biến là DAMA-DMBOK (Data Management Body of Knowledge) của tổ chức nghề nghiệp DAMA International. DMBOK chia quản lý dữ liệu thành 11 lĩnh vực kiến thức, với quản trị dữ liệu nằm ở trung tâm của "bánh xe DAMA". Mười lĩnh vực xung quanh gồm kiến trúc dữ liệu, mô hình hóa và thiết kế, lưu trữ và vận hành, bảo mật dữ liệu, tích hợp và liên thông, quản lý tài liệu và nội dung, dữ liệu chủ và dữ liệu tham chiếu, kho dữ liệu và BI, siêu dữ liệu (metadata), và chất lượng dữ liệu.
DAMA tự mô tả DMBOK là bộ nguyên tắc và thực hành tốt, không quy định công cụ hay công nghệ cụ thể, và không phải văn bản pháp lý. Phiên bản 2 đang được dùng; DAMA khởi động dự án DMBOK 3.0 từ năm 2025. Bài học thực tế: doanh nghiệp vừa và nhỏ không cần triển khai đủ 11 lĩnh vực, mà nên bắt đầu từ phần quản trị (vai trò, chính sách) rồi mở rộng sang metadata, chất lượng và bảo mật theo nhu cầu.
Bốn vai trò cốt lõi: owner, steward, custodian, user
Lỗi phổ biến nhất là "dữ liệu thuộc về phòng IT". IT giữ hệ thống, nhưng người hiểu dữ liệu nghĩa là gì và được dùng cho việc gì là bộ phận nghiệp vụ. Bảng dưới phân vai theo cách thường gặp trong các chương trình quản trị dữ liệu. Tên gọi có thể khác giữa các tổ chức; quan trọng là mỗi trách nhiệm có một người cụ thể.
| Vai trò | Thường là ai | Chịu trách nhiệm | Ví dụ |
|---|---|---|---|
| Data owner (chủ sở hữu dữ liệu) | Trưởng bộ phận nghiệp vụ | Quyết định mục đích sử dụng, ai được truy cập, thời hạn lưu; phê duyệt ngoại lệ | Trưởng phòng nhân sự với dữ liệu nhân viên |
| Data steward (người quản lý dữ liệu) | Chuyên viên am hiểu nghiệp vụ | Định nghĩa trường dữ liệu, quy tắc chất lượng, xử lý sai lệch, cập nhật danh mục dữ liệu | Chuyên viên C&B duy trì định nghĩa "ngày vào làm" |
| Data custodian (người giữ hệ thống) | IT, quản trị hệ thống, nhà cung cấp | Vận hành lưu trữ, sao lưu, phân quyền kỹ thuật, ghi nhật ký theo yêu cầu của owner | Quản trị viên hệ thống HRM |
| Data user (người dùng dữ liệu) | Nhân viên, đối tác, AI Agent | Dùng dữ liệu đúng mục đích và quyền được cấp; báo cáo sự cố | Quản lý trực tiếp xem hồ sơ nhân viên trong nhóm |
Liên hệ với vai trò trong Luật 91/2025
Luật dùng các khái niệm khác: bên kiểm soát dữ liệu cá nhân (quyết định mục đích và phương tiện xử lý), bên xử lý (xử lý theo yêu cầu của bên kiểm soát qua hợp đồng) và bên kiểm soát và xử lý. Doanh nghiệp thường là bên kiểm soát; data owner là người trong doanh nghiệp thực thi các quyết định đó. Nhà cung cấp phần mềm hay cloud thường là bên xử lý, nên cần hợp đồng ghi rõ quyền và nghĩa vụ.
Chính sách dữ liệu tối thiểu cần có
Chính sách không cần dài. Một bộ tối thiểu, mỗi phần một đến hai trang, thường đủ để bắt đầu:
- Chính sách phân loại dữ liệu: các mức (ví dụ công khai, nội bộ, mật, dữ liệu cá nhân nhạy cảm) và quy tắc xử lý cho từng mức.
- Chính sách truy cập: cấp quyền theo vai trò, ai phê duyệt, soát quyền định kỳ, thu hồi khi đổi vị trí hoặc nghỉ việc.
- Chính sách lưu trữ và xóa: thời hạn cho từng loại dữ liệu, căn cứ (luật chuyên ngành, hợp đồng, mục đích) và cách xóa an toàn.
- Chính sách chất lượng: trường bắt buộc, quy tắc kiểm tra, người sửa khi sai.
- Quy trình xử lý yêu cầu của chủ thể dữ liệu và sự cố dữ liệu.
Danh mục dữ liệu và phân loại: biết mình đang giữ gì
Không thể quản trị thứ mình không biết. Danh mục dữ liệu (data catalog) là bản liệt kê các tập dữ liệu: nằm ở hệ thống nào, ai là owner, gồm những trường gì, có dữ liệu cá nhân không, mục đích, thời hạn lưu. Với doanh nghiệp nhỏ, một bảng tính được duy trì nghiêm túc là đủ để bắt đầu; công cụ catalog chuyên dụng chỉ cần khi số hệ thống tăng.
Phân loại giúp áp dụng đúng mức bảo vệ. Theo Luật 91/2025, dữ liệu cá nhân gồm dữ liệu cơ bản và dữ liệu nhạy cảm, theo danh mục do Chính phủ ban hành, hiện là Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP. Hãy gắn nhãn trường nào thuộc dữ liệu cá nhân nhạy cảm trong danh mục để áp dụng quy tắc chặt hơn.
| Trường | Giá trị mẫu |
|---|---|
| Tập dữ liệu | Hồ sơ ứng viên |
| Hệ thống | Phần mềm tuyển dụng (ATS) |
| Owner / Steward | Trưởng phòng nhân sự / Chuyên viên tuyển dụng |
| Có dữ liệu cá nhân | Có; không thu dữ liệu nhạy cảm |
| Mục đích | Tuyển dụng cho vị trí đang mở |
| Căn cứ | Đồng ý của ứng viên |
| Thời hạn lưu | Xóa khi không tuyển dụng ứng viên, trừ khi có thỏa thuận khác (khoản 1 Điều 25 Luật 91/2025) |
| Ai được truy cập | Nhóm tuyển dụng, hội đồng phỏng vấn của vị trí |
Gắn quy tắc quản trị với Luật 91/2025 và Nghị định 356/2025
Bốn nguyên tắc cốt lõi (người chịu trách nhiệm, mục đích, thời hạn lưu, truy cập theo vai trò) khớp với các nghĩa vụ chính của luật:
| Quy tắc | Yêu cầu của luật | Việc cần làm |
|---|---|---|
| Mỗi tập dữ liệu có người chịu trách nhiệm | Bên kiểm soát quyết định mục đích, phương tiện và chịu trách nhiệm với chủ thể dữ liệu; doanh nghiệp chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ | Gán owner trong danh mục; chỉ định đầu mối bảo vệ dữ liệu |
| Ghi mục đích khi thu thập | Điều 3: chỉ thu thập, xử lý đúng phạm vi, mục đích cụ thể, rõ ràng | Mỗi trường có mục đích; không có mục đích thì không thu |
| Đồng ý theo từng mục đích | Khoản 4 Điều 9: đồng ý cho từng mục đích, không ép đồng ý mục đích khác, im lặng không phải là đồng ý | Tách ô đồng ý theo mục đích; lưu bằng chứng đồng ý; có cách rút lại |
| Thời hạn lưu là quyết định | Điều 3: lưu trong thời gian phù hợp với mục đích; Điều 14: xóa, hủy khi hoàn thành mục đích hoặc hết thời hạn lưu, bằng biện pháp an toàn | Ma trận thời hạn lưu; lịch xóa tự động; biên bản xóa |
| Truy cập theo vai trò | Điều 3: áp dụng đồng bộ biện pháp thể chế, kỹ thuật, con người để bảo vệ dữ liệu | Phân quyền theo vai trò, soát định kỳ, nhật ký truy cập |
Đưa quản trị vào phần mềm, không chỉ vào văn bản
Chính sách chỉ có tác dụng khi được nhúng vào công cụ làm việc hằng ngày: trường bắt buộc và kiểm tra định dạng khi nhập, phân quyền theo vai trò thay vì chia sẻ tài khoản, lịch xóa tự động theo thời hạn lưu, nhật ký truy cập có thể tra lại, và ô đồng ý tách theo mục đích trên mọi form.
Điều này càng quan trọng khi doanh nghiệp đưa AI vào vận hành. AI Agent cũng là một "data user": cần quyền tối thiểu, nhật ký hành động và chỉ đọc dữ liệu đúng mục đích. Trước khi triển khai AI, hãy xem checklist dữ liệu sẵn sàng cho AI và phân quyền, nhật ký kiểm toán cho AI Agent.
Lộ trình bắt đầu trong 5 bước
EYC thiết kế hạ tầng cloud và dữ liệu với phân quyền, nhật ký và vòng đời dữ liệu được đưa vào hệ thống. Nếu bạn cần rà soát một hệ thống cụ thể, hãy liên hệ EYC.
- Bước 1: Liệt kê hệ thống và tập dữ liệu chính; gán owner cho từng tập.
- Bước 2: Lập danh mục dữ liệu tối thiểu: mục đích, có dữ liệu cá nhân không, thời hạn lưu, ai truy cập.
- Bước 3: Rà form thu thập: bỏ trường không có mục đích, tách đồng ý theo mục đích.
- Bước 4: Thiết lập phân quyền theo vai trò và lịch xóa; bật nhật ký truy cập.
- Bước 5: Đối chiếu với nghĩa vụ hồ sơ theo Luật 91/2025 và Nghị định 356/2025, như hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; xem chi tiết tại Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025.
Câu hỏi thường gặp
Quản trị dữ liệu khác quản lý dữ liệu thế nào?
Theo cách nhìn của DAMA-DMBOK, quản lý dữ liệu gồm nhiều lĩnh vực như kiến trúc, lưu trữ, tích hợp, chất lượng, bảo mật. Quản trị dữ liệu là phần trung tâm quyết định vai trò, chính sách và trách nhiệm để các lĩnh vực đó vận hành nhất quán.
Doanh nghiệp nhỏ có cần quản trị dữ liệu không?
Có, ở mức tối thiểu. Luật 91/2025 áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân. Một danh mục dữ liệu dạng bảng tính, một owner cho mỗi tập dữ liệu, form đồng ý theo mục đích và lịch xóa là điểm bắt đầu hợp lý.
Data owner và data steward khác nhau thế nào?
Owner là người ra quyết định và chịu trách nhiệm (thường là trưởng bộ phận nghiệp vụ). Steward là người thực hiện hằng ngày: định nghĩa trường, giữ chất lượng, cập nhật danh mục. Custodian (thường là IT) vận hành hệ thống theo yêu cầu của owner.
Một lần đồng ý có dùng được cho nhiều mục đích không?
Không nên. Khoản 4 Điều 9 Luật 91/2025 yêu cầu sự đồng ý thể hiện cho từng mục đích, không được kèm điều kiện buộc đồng ý với mục đích khác, và im lặng không được coi là đồng ý.
Dữ liệu cá nhân nên lưu trong bao lâu?
Không có một con số chung. Luật yêu cầu lưu trong khoảng thời gian phù hợp với mục đích, trừ khi pháp luật khác quy định thời hạn riêng (ví dụ chứng từ kế toán). Mỗi loại dữ liệu cần thời hạn và căn cứ được ghi trong danh mục.