Ngành logistics và bài toán dữ liệu cá nhân: Khi thông tin trở thành hàng hóa cần được bảo vệ

Theo thống kê của Hiệp hội Thương mại Điện tử Việt Nam, thị trường thương mại điện tử Việt Nam xử lý hơn 4 triệu đơn hàng mỗi ngày. Mỗi đơn hàng kéo theo ít nhất một tên người nhận, một số điện thoại, một địa chỉ giao hàng và lịch sử giao dịch. Nhân con số đó với chuỗi vận hành gồm nền tảng đặt hàng, hệ thống quản lý vận tải (TMS), hệ thống quản lý kho (WMS), ứng dụng giao hàng và đối tác vận chuyển, và bạn đang nhìn vào hàng chục triệu bản ghi dữ liệu cá nhân được tạo ra, chuyển giao và lưu trữ mỗi ngày, phần lớn trong số đó chưa được quản lý bài bản.

Luật Bảo vệ Dữ liệu Cá nhân (PDPL) 2025 có hiệu lực từ 01/01/2026 không chỉ yêu cầu doanh nghiệp bảo vệ dữ liệu, mà yêu cầu họ chứng minh được rằng họ đang bảo vệ dữ liệu. Đây là ranh giới mà phần lớn doanh nghiệp logistics Việt Nam hiện chưa vượt qua được.

Nội dung chính

1
2 Dữ liệu đang ở khắp nơi, nhưng không ai kiểm soát toàn bộ
3 Dữ liệu vị trí tài xế bị xử lý như dữ liệu thường
4 Không theo dõi được consent, không chứng minh được tuân thủ
5 Thiếu một nguồn dữ liệu thống nhất giữa các bộ phận
6 Kiểm soát dữ liệu phải bắt đầu từ consent

Dữ liệu đang ở khắp nơi, nhưng không ai kiểm soát toàn bộ

Một đơn hàng thông thường đi qua ít nhất năm điểm xử lý dữ liệu độc lập: nền tảng thương mại điện tử, TMS của đơn vị vận chuyển, WMS của kho bãi, ứng dụng giao hàng trên thiết bị tài xế, và cổng tracking để người mua theo dõi kiện hàng. Mỗi hệ thống lưu trữ một phần dữ liệu theo định dạng riêng, được phát triển bởi nhà cung cấp khác nhau và thường không kết nối với nhau.

Điều này tạo ra một nghịch lý đặc trưng của ngành: doanh nghiệp logistics là bên chịu trách nhiệm pháp lý với toàn bộ dữ liệu trong chuỗi, nhưng lại không có khả năng nhìn thấy toàn bộ chuỗi đó từ một điểm duy nhất. Theo PDPL, doanh nghiệp khi quyết định mục đích và phương tiện xử lý dữ liệu cá nhân được xác định là bên kiểm soát và xử lý dữ liệu cá nhân. Vai trò đó đi kèm với trách nhiệm cụ thể: phải biết dữ liệu đang ở đâu, được chia sẻ với ai, dựa trên cơ sở pháp lý nào, và có thể thu hồi hoặc xóa khi có yêu cầu.

Thực tế vận hành hiện tại của phần lớn doanh nghiệp logistics không đáp ứng được bất kỳ điều kiện nào trong số đó.

Dữ liệu vị trí tài xế bị xử lý như dữ liệu thường

Dữ liệu GPS của tài xế, lộ trình giao hàng theo thời gian thực, lịch sử giao nhận gắn với tên và vị trí cụ thể, theo PDPL, tất cả đều thuộc nhóm dữ liệu cá nhân nhạy cảm khi gắn với một cá nhân được xác định. Nhóm dữ liệu này chịu tiêu chuẩn bảo vệ cao hơn đáng kể so với dữ liệu thông thường, bao gồm yêu cầu về cơ sở pháp lý riêng, thông báo rõ ràng và giới hạn mục đích sử dụng chặt chẽ hơn.

Trong khi đó, phần lớn ứng dụng giao hàng nội bộ hiện nay thu thập GPS liên tục mà không có cơ chế thông báo đầy đủ cho tài xế về mục đích sử dụng hay thời gian lưu trữ. Nghiêm trọng hơn, tài xế thường dùng thiết bị cá nhân để chụp ảnh xác nhận giao hàng. Ảnh đó có thể tự động đồng bộ lên dịch vụ lưu trữ đám mây (cloud) cá nhân như Google Photos hay iCloud và nằm hoàn toàn ngoài tầm kiểm soát của doanh nghiệp. Đây không phải lỗi của tài xế. Đây là lỗ hổng trong quy trình vận hành mà doanh nghiệp, với tư cách bên kiểm soát dữ liệu, phải chịu trách nhiệm.

Báo cáo của Kaspersky năm 2023 chỉ ra rằng 64% sự cố bảo mật tại doanh nghiệp xuất phát từ lỗi con người, không phải từ tấn công kỹ thuật. Trong logistics, nơi hàng nghìn tài xế và nhân viên kho bãi tiếp xúc với dữ liệu khách hàng mỗi ngày, con số này có trọng lượng đặc biệt lớn.

Không theo dõi được consent, không chứng minh được tuân thủ

PDPL yêu cầu sự đồng ý (consent) của người dùng phải được thu thập riêng theo từng mục đích xử lý. Khách hàng đồng ý cung cấp địa chỉ để giao hàng không có nghĩa họ đồng ý nhận thông tin marketing, hay cho phép dữ liệu của mình được chia sẻ với đối tác vận chuyển thứ ba. Consent cũng phải có thể rút lại bất kỳ lúc nào mà không gây khó khăn cho người dùng.

Thực tế tại phần lớn doanh nghiệp logistics hiện nay, consent chỉ là một checkbox trên giao diện đặt hàng. Không có timestamp ghi lại thời điểm đồng ý. Không có thông tin về phiên bản chính sách mà người dùng đã chấp nhận. Không có cơ chế theo dõi khi dữ liệu đó được chuyển sang TMS hay chia sẻ với đối tác giao nhận. Khi cơ quan chuyên trách yêu cầu xuất nhật ký kiểm tra (audit log), doanh nghiệp không có gì để trình.

Đây không chỉ là vấn đề kỹ thuật. Kinh nghiệm từ các quốc gia đã áp dụng Quy định Bảo vệ Dữ liệu Chung (GDPR) của Liên minh Châu Âu (EU) cho thấy yếu tố quyết định trong các vụ kiện thường không phải là vi phạm có xảy ra hay không, mà là doanh nghiệp có thể chứng minh rằng mình đã thực hiện đầy đủ nghĩa vụ bảo vệ dữ liệu hay không. Không có hồ sơ đồng nghĩa với không có cơ hội tự bào chữa.

Thiếu một nguồn dữ liệu thống nhất giữa các bộ phận

Rủi ro PDPL trong logistics không chỉ là rủi ro kỹ thuật. Nó là rủi ro tổ chức. Bộ phận vận hành nhìn thấy dữ liệu trên TMS và WMS. Bộ phận công nghệ thông tin (IT) quản lý hạ tầng hệ thống nhưng không nắm rõ luồng dữ liệu cá nhân đang chạy qua đó. Bộ phận pháp chế đang xây dựng chính sách bảo vệ dữ liệu nhưng không có nguồn thông tin tập trung để làm việc.

Hệ quả thực tế là khi khách hàng gửi yêu cầu xóa dữ liệu, PDPL yêu cầu doanh nghiệp phải xử lý trong vòng 10 đến 20 ngày tùy loại yêu cầu. Để làm điều đó, doanh nghiệp phải xác định được toàn bộ dữ liệu của khách hàng đang nằm ở đâu, đồng thời tác động vào từng hệ thống và thông báo cho các đối tác bên ngoài đã nhận dữ liệu đó. Với kiến trúc phân tán và thiếu nguồn dữ liệu thống nhất như hiện tại, đây gần như là bài toán không thể giải trong thời hạn luật định nếu không có công cụ hỗ trợ.

Global Shippers Forum và FIATA đã nhấn mạnh trong Hiến chương về Bảo vệ và Quản trị Dữ liệu trong Thương mại Quốc tế năm 2023 rằng thông tin tải lên nền tảng logistics thuộc về người gửi ban đầu, và các nền tảng không có quyền tự động sử dụng hay chia sẻ thông tin đó nếu không có sự cho phép rõ ràng. Nguyên tắc này hoàn toàn tương thích với tinh thần của PDPL, và đặt ra câu hỏi thực tế cho toàn bộ ngành logistics Việt Nam: ai đang giữ dữ liệu đó, và theo ủy quyền nào?

Kiểm soát dữ liệu phải bắt đầu từ consent

Tuân thủ PDPL không bắt đầu bằng việc đầu tư hạ tầng bảo mật. Nó bắt đầu bằng khả năng kiểm soát consent, vì consent là cơ sở pháp lý cho toàn bộ hoạt động xử lý dữ liệu phía sau. Nếu doanh nghiệp không biết ai đã đồng ý điều gì, họ không thể biết mình đang xử lý dữ liệu nào là hợp lệ, dữ liệu nào cần dừng lại, và dữ liệu nào cần xóa khi có yêu cầu.

Trong môi trường logistics, nơi dữ liệu xuất hiện đồng thời trên ứng dụng đặt hàng, TMS, WMS, kênh chăm sóc khách hàng và cả các form giấy tại điểm giao nhận, quản lý consent thủ công hoặc rời rạc gần như không khả thi. Một nền tảng quản lý sự đồng ý (CMP) đóng vai trò là lớp trung tâm giúp ghi nhận, lưu trữ và theo dõi consent theo từng mục đích xử lý, đồng thời tạo ra audit log đủ để chứng minh tuân thủ khi cần.

Câu hỏi không còn là liệu doanh nghiệp logistics có cần quản lý dữ liệu bài bản hay không. PDPL đã trả lời điều đó. Câu hỏi thực sự là doanh nghiệp sẽ bắt đầu xây dựng hệ thống đó từ đâu, và liệu có kịp trước ngày 01/01/2026 hay không.

Giải pháp CMP (nền tảng quản lý sự đồng ý của người dùng) của FPT giúp doanh nghiệp quản lý toàn bộ quá trình xin phép và sử dụng dữ liệu khách hàng một cách minh bạch, có hệ thống.

Mọi sự đồng ý đều được ghi nhận và lưu trữ đầy đủ, giúp doanh nghiệp tuân thủ quy định, giảm rủi ro pháp lý và vận hành hiệu quả hơn.