Doanh nghiệp nhỏ mã hóa dữ liệu khách hàng thế nào theo luật mới

Với một doanh nghiệp nhỏ, mã hóa dữ liệu khách hàng nghĩa là làm cho bảng tính đơn hàng, hồ sơ bệnh nhân, ảnh chụp giấy tờ của khách trở nên vô dụng với người không có khóa, dù họ lấy được máy tính, ổ cứng hay bản sao lưu. Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) và Nghị định 356/2025/NĐ-CP đều có hiệu lực từ 1/1/2026, đặt ra nghĩa vụ bảo vệ dữ liệu xuyên suốt và mức phạt cụ thể từ tháng 8/2026. Mã hóa không phải là toàn bộ nghĩa vụ, nhưng là biện pháp kỹ thuật rẻ nhất mà hiệu quả nhất một cửa hàng hay văn phòng vài người có thể làm ngay.

Luật mới đòi hỏi gì ở doanh nghiệp nhỏ

Theo phân tích của VnEconomy ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân chuyển trọng tâm từ ghi nhận quyền sang yêu cầu thực thi có trách nhiệm, với các nội dung như bảo vệ dữ liệu ngay từ khâu thiết kế, công nghệ tăng cường quyền riêng tư và năng lực ứng phó sự cố. Sự cố nghiêm trọng phải được báo cáo cơ quan chuyên trách trong 72 giờ kể từ khi phát hiện (Điều 23 khoản 1).

Nghị định 356 còn mở rộng danh mục dữ liệu cá nhân nhạy cảm. Theo bản tóm tắt điểm mới của Luật Việt An, danh mục này nay gồm dữ liệu ngân hàng như tên đăng nhập, mật khẩu, thông tin thẻ, lịch sử giao dịch, cùng dữ liệu theo dõi hành vi từ viễn thông, mạng xã hội và các dịch vụ trực tuyến khác. Nhiều shop online lưu số tài khoản, ảnh biên lai chuyển khoản của khách trong nhóm chat hoặc bảng tính, tức là đang giữ loại dữ liệu cần bảo vệ cao hơn mà không để ý.

Bước một: biết mình đang giữ gì, ở đâu

Mã hóa mà không biết dữ liệu nằm đâu thì sẽ bỏ sót. Hãy dành một buổi liệt kê:

• Bảng tính, phần mềm bán hàng: họ tên, số điện thoại, địa chỉ giao hàng, lịch sử mua.
• Ảnh chụp giấy tờ: căn cước khi làm hợp đồng, đăng ký thẻ thành viên, cho thuê xe.
• Dữ liệu thanh toán: số tài khoản để hoàn tiền, ảnh biên lai chuyển khoản.
• Ứng dụng nhắn tin: nhóm chat nội bộ thường chứa ảnh đơn hàng có đầy đủ thông tin khách.
• Bản sao lưu: ổ cứng gắn ngoài, USB, thư mục đồng bộ đám mây.
• Máy cá nhân của nhân viên: laptop riêng, điện thoại riêng dùng cho công việc.

Kết quả thường cho thấy dữ liệu khách hàng tồn tại ở năm, sáu nơi khác nhau. Mỗi nơi là một điểm cần mã hóa hoặc xóa bớt.

Bước hai: bỏ bớt trước khi mã hóa

Dữ liệu không giữ thì không thể bị lộ. Nghị định 330/2026/NĐ-CP, hiệu lực từ 19/8/2026, phạt 20 đến 40 triệu đồng với việc lưu trữ dữ liệu lâu hơn cần thiết hoặc xử lý vượt phạm vi, mục đích, kèm biện pháp buộc tiêu hủy hoặc xóa dữ liệu không thể khôi phục, theo tổng hợp của VOV ngày 22/8/2026. Câu hỏi nên đặt ra cho từng loại dữ liệu: có thật sự cần không, cần trong bao lâu?

Ví dụ thực tế: ảnh căn cước của khách thuê xe chỉ cần tới khi trả xe và hết thời hạn khiếu nại; ảnh biên lai chuyển khoản không cần giữ khi giao dịch đã đối soát xong. Đặt lịch xóa định kỳ hằng tháng giúp kho dữ liệu nhỏ lại đáng kể.

Bước ba: mã hóa từng lớp

Mã hóa toàn bộ ổ đĩa trên máy tính

Laptop bị trộm ở quán cà phê là tình huống phổ biến nhất khiến dữ liệu khách hàng rơi ra ngoài. Mã hóa toàn bộ ổ đĩa khiến kẻ lấy máy không đọc được dữ liệu kể cả khi tháo ổ cứng. Trên Windows có BitLocker hoặc Device Encryption tùy phiên bản; trên macOS có FileVault. Bài hướng dẫn mã hóa bằng BitLocker mô tả cách bật và lưu khóa khôi phục. Khóa khôi phục phải cất ở nơi tách biệt với máy, nếu không mã hóa có thể khiến chính bạn mất dữ liệu.

Mã hóa ổ cứng sao lưu và USB

Bản sao lưu thường bị quên. Một ổ cứng gắn ngoài chứa toàn bộ dữ liệu bán hàng hai năm, để trong ngăn kéo không khóa, là mục tiêu dễ dàng. Hãy mã hóa ổ sao lưu bằng cùng công cụ của hệ điều hành, và dùng mật khẩu khác với mật khẩu máy tính.

Mã hóa tệp khi gửi đi

Khi phải gửi danh sách khách hàng cho đơn vị vận chuyển, kế toán thuê ngoài hay đối tác, đừng đính kèm bảng tính trần qua email. Nén tệp với mật khẩu mạnh dùng AES và gửi mật khẩu qua kênh khác, hoặc dùng mã hóa khóa công khai như trong bài bảo vệ tài liệu quan trọng bằng GPG/PGP.

Dịch vụ đám mây và phần mềm bán hàng

Phần lớn dịch vụ đám mây lớn đã mã hóa dữ liệu khi lưu và khi truyền. Việc của doanh nghiệp là bật xác thực hai lớp cho mọi tài khoản quản trị, phân quyền đúng người và tắt chia sẻ công khai qua đường link. Một thư mục được chia sẻ “ai có link đều xem được” hủy bỏ mọi lớp mã hóa phía sau.

Bước bốn: quy trình cho con người

Công cụ chỉ phát huy khi đi kèm quy tắc rõ ràng. Một bộ quy tắc tối thiểu cho văn phòng dưới mười người có thể gồm:

Khi khách hàng yêu cầu xem, sửa hay xóa dữ liệu

Nghị định 356 quy định thời hạn cụ thể. Theo bản tóm tắt của Luật Việt An, yêu cầu truy cập, chỉnh sửa, cung cấp dữ liệu phải hoàn thành trong 10 ngày (15 ngày nếu có bên xử lý hoặc bên thứ ba); yêu cầu xóa trong 20 ngày (30 ngày nếu có bên thứ ba); yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý phải phản hồi trong 2 ngày làm việc và hoàn tất trong 15 ngày. Doanh nghiệp biết rõ dữ liệu nằm ở đâu, nhờ bước kiểm kê ban đầu, sẽ đáp ứng được những thời hạn này dễ dàng hơn nhiều.

Chọn thuật toán: đừng tự chế

Doanh nghiệp nhỏ không cần tự chọn thuật toán. Công cụ tích hợp sẵn của hệ điều hành và phần mềm phổ biến đã dùng AES hoặc ChaCha20, đều là chuẩn mạnh, xem so sánh trong bài AES-256 và ChaCha20. Rủi ro thật sự nằm ở mật khẩu yếu, khóa khôi phục để lẫn với máy, và những bản sao chưa mã hóa nằm rải rác.