Dữ liệu lớn trong kinh doanh: quyền sử dụng thuộc về ai?

Dữ liệu trong hoạt động kinh doanh và vấn đề quyền sử dụng

Trong nền kinh tế số, dữ liệu phát sinh từ giao dịch, vận hành hệ thống, tương tác khách hàng, cảm biến, nền tảng số và chuỗi cung ứng đã trở thành một loại tài sản khai thác thường xuyên. Tuy nhiên, pháp luật hiện hành không đồng nhất hóa mọi dữ liệu thành một quyền sở hữu tuyệt đối theo nghĩa truyền thống của vật quyền. Việc “ai có quyền sử dụng” phải được xác định theo loại dữ liệu, chủ thể tạo lập, điều kiện thu thập, mục đích xử lý và các ràng buộc pháp luật chuyên ngành.

Về mặt học thuật và thực tiễn, cần tách bạch giữa quyền tiếp cận, quyền khai thác, quyền kiểm soát và quyền định đoạt dữ liệu. Một doanh nghiệp có thể có quyền sử dụng dữ liệu do chính mình thu thập, tạo ra hoặc mua lại hợp pháp, nhưng quyền đó luôn bị giới hạn bởi quyền của chủ thể dữ liệu, nghĩa vụ bảo mật, điều kiện hợp đồng và các lệnh cấm pháp lý liên quan.

Cơ sở pháp lý hiện hành về dữ liệu trong kinh doanh

Khung pháp lý hiện hành ở Việt Nam đã chuyển từ cách nhìn dữ liệu như một yếu tố kỹ thuật sang cách tiếp cận dữ liệu như một đối tượng quản trị và khai thác có điều kiện. Theo khoản 1 Điều 3 Luật Dữ liệu 2024, dữ liệu là dữ liệu số về đối tượng, sự kiện, sự việc hoặc hoạt động, được thể hiện dưới dạng ký hiệu, chữ, số, hình ảnh, âm thanh hoặc dạng tương tự. Theo khoản 1 Điều 7 Luật Dữ liệu 2024, việc xử lý dữ liệu phải bảo đảm hợp pháp, chính xác, kịp thời và an toàn, đặt nền cho nguyên tắc sử dụng dữ liệu trong kinh doanh.

Đối với dữ liệu điện tử, theo khoản 1 Điều 3 Luật Giao dịch điện tử 2023, dữ liệu điện tử là dữ liệu được tạo ra, xử lý và lưu trữ bằng phương tiện điện tử. Theo khoản 2 Điều 5 Luật Giao dịch điện tử 2023, thông điệp dữ liệu có giá trị như bản gốc khi đáp ứng điều kiện về tính toàn vẹn và khả năng truy cập. Điều này có ý nghĩa trực tiếp đối với doanh nghiệp vì dữ liệu phát sinh từ giao dịch điện tử, nhật ký hệ thống, hóa đơn điện tử, đơn hàng số và lịch sử tương tác có thể trở thành nguồn chứng cứ và nguồn khai thác hợp pháp.

Đối với dữ liệu cá nhân, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân vẫn là văn bản áp dụng trọng tâm trong năm 2026. Theo Điều 3 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể. Theo Điều 4, Điều 5 và Điều 17 Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân phải có căn cứ phù hợp, trong đó có sự đồng ý của chủ thể dữ liệu hoặc căn cứ khác theo luật định.

Ai có quyền sử dụng dữ liệu lớn phát sinh trong doanh nghiệp?

Với dữ liệu lớn phát sinh từ hoạt động kinh doanh, chủ thể có quyền sử dụng trước hết là tổ chức hoặc cá nhân có căn cứ hợp pháp để thu thập, tạo lập, lưu trữ và khai thác dữ liệu. Nếu dữ liệu được doanh nghiệp tạo ra từ hệ thống của mình, từ hoạt động vận hành nội bộ, từ quy trình sản xuất, từ máy móc, cảm biến, phần mềm hoặc nền tảng do doanh nghiệp kiểm soát, quyền sử dụng thường thuộc về doanh nghiệp theo nguyên tắc tài sản do chủ thể hợp pháp tạo lập và kiểm soát. Trường hợp dữ liệu do bên thứ ba tạo ra theo hợp đồng dịch vụ, quyền sử dụng phải được xác định chủ yếu bằng thỏa thuận giữa các bên.

Đối với dữ liệu được tạo ra trong quan hệ lao động, quyền sử dụng thường không mặc nhiên thuộc hoàn toàn về người lao động hay nhà quản lý hệ thống. Nếu dữ liệu phát sinh trong quá trình thực hiện nhiệm vụ được giao, bằng công cụ, hệ thống, ngân sách và quy trình của doanh nghiệp, doanh nghiệp thường là chủ thể có quyền khai thác chính, miễn là hợp đồng lao động, nội quy và chính sách dữ liệu quy định rõ. Tuy nhiên, dữ liệu đó vẫn có thể chứa dữ liệu cá nhân của người lao động, khách hàng hoặc đối tác nên việc sử dụng phải tuân thủ đồng thời quy định về bảo vệ dữ liệu cá nhân.

Đối với dữ liệu do khách hàng tạo ra trong quá trình sử dụng sản phẩm, dịch vụ hoặc nền tảng số, quyền sử dụng của doanh nghiệp không đương nhiên là quyền tuyệt đối. Doanh nghiệp chỉ được xử lý dữ liệu trong phạm vi mục đích đã thông báo, căn cứ hợp pháp đã xác lập và thời hạn lưu trữ cần thiết. Khi dữ liệu đó là dữ liệu cá nhân, việc sử dụng còn phải tuân thủ các quy định về quyền của chủ thể dữ liệu, bao gồm quyền biết, quyền đồng ý, quyền truy cập, quyền rút lại sự đồng ý và quyền yêu cầu xóa, hạn chế xử lý theo Nghị định 13/2023/NĐ-CP.

Phân loại dữ liệu và hệ quả đối với quyền khai thác

Dữ liệu cá nhân

Dữ liệu cá nhân không phải là “tài sản tự do khai thác” của doanh nghiệp. Theo Điều 17 Nghị định 13/2023/NĐ-CP, chỉ khi có căn cứ xử lý dữ liệu hợp pháp, doanh nghiệp mới được phép thu thập, lưu trữ, phân tích, chia sẻ hoặc khai thác dữ liệu cá nhân. Vì vậy, trong môi trường kinh doanh, quyền sử dụng dữ liệu cá nhân luôn là quyền có điều kiện, gắn với nghĩa vụ thông báo, bảo mật, giới hạn mục đích và bảo đảm an toàn thông tin.

Dữ liệu phi cá nhân và dữ liệu vận hành

Dữ liệu phi cá nhân gồm dữ liệu máy móc, chỉ số vận hành, dữ liệu sản xuất, dữ liệu chuỗi cung ứng, dữ liệu thống kê đã được ẩn danh hoặc tách khỏi chủ thể xác định. Nhóm dữ liệu này có biên độ khai thác rộng hơn, vì không trực tiếp gắn với quyền nhân thân của cá nhân. Tuy nhiên, doanh nghiệp vẫn phải xem xét yếu tố bí mật kinh doanh, bí mật công nghệ, nghĩa vụ bảo mật theo hợp đồng và các quy định về cạnh tranh, an ninh mạng, an toàn dữ liệu.

Trong trường hợp dữ liệu phi cá nhân được cấu thành từ đầu tư đáng kể về hạ tầng, thuật toán, quy trình và tổ chức, quyền sử dụng có xu hướng thuộc về chủ thể đầu tư hợp pháp. Dù vậy, pháp luật Việt Nam hiện nay vẫn tiếp cận theo hướng bảo vệ lợi ích hợp pháp gắn với nguồn tạo lập và quyền kiểm soát dữ liệu, chứ không trao một quyền sở hữu tuyệt đối giống như đối với tài sản hữu hình.

Dữ liệu được tạo bởi nền tảng số và hệ thống tự động

Dữ liệu do hệ thống tự động sinh ra từ hành vi người dùng, thiết bị IoT, trí tuệ nhân tạo hoặc các công cụ phân tích thường tạo ra tranh chấp về quyền sử dụng. Nếu nền tảng là tài sản của doanh nghiệp và dữ liệu được sinh ra trong quá trình cung cấp dịch vụ, doanh nghiệp thường có quyền khai thác dữ liệu ở mức độ cần thiết cho vận hành, cải tiến dịch vụ và bảo vệ hệ thống. Tuy nhiên, với dữ liệu đầu vào là dữ liệu cá nhân hoặc dữ liệu thuộc quyền sở hữu trí tuệ của bên khác, phạm vi sử dụng vẫn bị giới hạn bởi cơ sở pháp lý của việc thu thập và xử lý.

Vai trò của hợp đồng, chính sách dữ liệu và bí mật kinh doanh

Trong thực tiễn doanh nghiệp, hợp đồng là công cụ quyết định nhiều nhất đến quyền sử dụng dữ liệu. Hợp đồng với khách hàng, nhà cung cấp, đối tác công nghệ, nhân sự và đơn vị gia công dữ liệu cần quy định rõ ai là bên kiểm soát dữ liệu, ai được quyền khai thác, mục đích sử dụng, thời hạn lưu trữ, quyền chia sẻ, trách nhiệm bảo mật và cơ chế xóa hoặc hoàn trả dữ liệu khi chấm dứt quan hệ. Nếu thiếu điều khoản rõ ràng, tranh chấp thường phát sinh từ việc mỗi bên tự hiểu dữ liệu theo lợi ích của mình.

Bên cạnh hợp đồng, chính sách dữ liệu nội bộ và quy chế bảo mật giữ vai trò nền tảng để hợp pháp hóa việc khai thác dữ liệu trong doanh nghiệp. Các tài liệu này phải xác định phân quyền truy cập, luồng dữ liệu, quy trình chuyển giao, lưu vết truy cập và kiểm soát sao chép. Đối với dữ liệu có giá trị thương mại đặc biệt, doanh nghiệp cần xác định đồng thời đó là dữ liệu, bí mật kinh doanh hay đối tượng sở hữu trí tuệ để áp dụng chế độ bảo vệ tương ứng theo Bộ luật Dân sự 2015 và Luật Sở hữu trí tuệ hiện hành.

Giới hạn pháp lý đối với việc sử dụng dữ liệu

Quyền sử dụng dữ liệu trong kinh doanh không thể vượt qua giới hạn của bảo vệ dữ liệu cá nhân và an ninh mạng. Theo Điều 4, Điều 17 và Điều 22 Nghị định 13/2023/NĐ-CP, việc chuyển giao, chia sẻ hoặc xử lý xuyên biên giới dữ liệu cá nhân phải tuân thủ điều kiện pháp luật định. Theo Luật An ninh mạng 2018 và văn bản hướng dẫn hiện hành, chủ thể kinh doanh còn phải bảo đảm an toàn hệ thống thông tin, phòng ngừa rò rỉ và sử dụng trái phép dữ liệu.

Điểm quan trọng là dữ liệu không thể được dùng như một căn cứ để xâm phạm quyền nhân thân, quyền riêng tư hoặc bí mật đời sống cá nhân. Việc gán quyền sử dụng dữ liệu cho doanh nghiệp chỉ hợp pháp khi dữ liệu đó được thu thập hợp lệ, có mục đích rõ ràng và việc khai thác phù hợp với phạm vi đã công bố. Do đó, quyền sử dụng dữ liệu trong kinh doanh là quyền khai thác có điều kiện, không phải quyền chiếm hữu tuyệt đối.

Nguyên tắc xác định chủ thể có quyền sử dụng dữ liệu

Từ hệ thống pháp luật hiện hành, có thể rút ra một số nguyên tắc xác định quyền sử dụng dữ liệu trong hoạt động kinh doanh. Thứ nhất, dữ liệu do doanh nghiệp tự tạo lập từ hệ thống, nguồn lực và quy trình hợp pháp thường thuộc quyền khai thác của doanh nghiệp. Thứ hai, dữ liệu cá nhân chỉ được sử dụng khi có căn cứ xử lý hợp pháp và trong phạm vi phù hợp với mục đích đã xác định. Thứ ba, quyền sử dụng dữ liệu phát sinh từ hợp đồng, chính sách nội bộ và các biện pháp bảo mật hợp pháp.

Thứ tư, dữ liệu do bên thứ ba cung cấp hoặc cùng tạo lập phải được phân định bằng thỏa thuận rõ ràng về quyền sở hữu, quyền truy cập và quyền khai thác. Thứ năm, mọi quyền sử dụng dữ liệu đều bị giới hạn bởi các quy định bắt buộc về an ninh mạng, bảo vệ bí mật kinh doanh, bảo vệ quyền sở hữu trí tuệ và bảo vệ người tiêu dùng. Cách tiếp cận này phản ánh đúng bản chất pháp lý của dữ liệu lớn trong kinh doanh: giá trị kinh tế cao nhưng quyền sử dụng luôn gắn với điều kiện và trách nhiệm pháp lý tương ứng.

Kết luận

Trong hoạt động kinh doanh, câu hỏi “ai có quyền sử dụng dữ liệu” không thể trả lời bằng một công thức chung cho mọi trường hợp. Quyền đó phụ thuộc vào nguồn gốc dữ liệu, loại dữ liệu, căn cứ thu thập, thỏa thuận giữa các bên và các giới hạn bắt buộc của pháp luật hiện hành. Doanh nghiệp chỉ có thể khai thác bền vững khi xây dựng được cơ chế quản trị dữ liệu rõ ràng, chuẩn hóa hợp đồng và tuân thủ nghiêm ngặt quy định về dữ liệu cá nhân, dữ liệu điện tử và an toàn thông tin.

Tài liệu tham khảo

• Luật Dữ liệu 2024.
• Luật Giao dịch điện tử 2023.
• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
• Bộ luật Dân sự 2015.
• Luật Sở hữu trí tuệ hiện hành.
• Luật An ninh mạng 2018.