Dữ liệu nào được phép giao dịch trên sàn? Ranh giới pháp lý cần lưu ý từ ngày 25/9/2026

Sự hình thành của thị trường dữ liệu đặt ra một vấn đề pháp lý nền tảng: dữ liệu có thể được khai thác như một nguồn lực kinh tế đến giới hạn nào mà không làm suy giảm quyền riêng tư và quyền tự quyết thông tin của cá nhân. Nghị định số 314/2026/NĐ-CP ngày 08/8/2026 của Chính phủ quy định về hoạt động của sàn dữ liệu (sau đây gọi là Nghị định 314/2026/NĐ-CP), có hiệu lực từ ngày 25/9/2026, giải quyết vấn đề này bằng cách thiết lập ranh giới giữa dữ liệu có thể giao dịch và dữ liệu cá nhân không được phép mua bán trên sàn dữ liệu. Quy định mới vì vậy không chỉ điều chỉnh một phương thức giao dịch, mà còn phản ánh quan niệm lập pháp về địa vị pháp lý đặc thù của dữ liệu cá nhân trong nền kinh tế số.

1. Bối cảnh pháp lý và giới hạn của quyền thương mại hóa dữ liệu

Trong mô hình kinh tế dựa trên dữ liệu, giá trị của một tập dữ liệu thường được xác định bởi khả năng phân tích hành vi, dự báo nhu cầu hoặc hỗ trợ ra quyết định. Tuy nhiên, giá trị kinh tế không đồng nhất với quyền định đoạt pháp lý. Khoản 6 Điều 4 Nghị định 314/2026/NĐ-CP quy định hoạt động của sàn dữ liệu phải tuân thủ pháp luật về bảo vệ dữ liệu cá nhân, đồng thời nghiêm cấm việc lợi dụng sàn để mua, bán dữ liệu cá nhân hoặc xử lý dữ liệu cá nhân trái pháp luật. Xét từ cấu trúc quy phạm, đây là một điều cấm trực tiếp đối với hành vi giao dịch chứ không chỉ là yêu cầu về thủ tục. Chủ thể đang lưu giữ dữ liệu, kể cả khi đã đầu tư chi phí để thu thập và xử lý, không mặc nhiên trở thành chủ sở hữu có quyền bán dữ liệu theo cách tương tự một tài sản thông thường. Quyền khai thác phải được đặt trong mối quan hệ với mục đích thu thập ban đầu, căn cứ xử lý, phạm vi đồng ý và quyền của chủ thể dữ liệu theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 của Quốc hội (sau đây gọi là Luật Bảo vệ dữ liệu cá nhân năm 2025).

Cách tiếp cận này cho thấy pháp luật đang phân biệt giữa lợi ích kinh tế phát sinh từ hoạt động xử lý dữ liệu và các quyền nhân thân gắn với người có thể được nhận diện từ dữ liệu. Một doanh nghiệp có thể được phép sử dụng thông tin để thực hiện hợp đồng với khách hàng, nhưng quyền sử dụng đó không đương nhiên bao gồm quyền chuyển giao thông tin cho một bên thứ ba vì mục đích thương mại độc lập. Bởi vậy, câu hỏi pháp lý cần đặt ra trước khi niêm yết dữ liệu không phải chỉ là doanh nghiệp có đang nắm giữ dữ liệu hay không, mà là doanh nghiệp có căn cứ nào để thực hiện một mục đích xử lý mới, chủ thể dữ liệu đã được thông tin đến đâu, và việc chuyển giao có còn nằm trong giới hạn cần thiết, hợp lý hay không. Đây là điểm chuyển quan trọng từ tư duy quản lý dữ liệu như một hàng hóa sang tư duy quản trị quyền và rủi ro trong toàn bộ vòng đời dữ liệu.

2. Điều kiện giao dịch đối với sản phẩm hình thành từ dữ liệu cá nhân

Nghị định 314/2026/NĐ-CP không loại bỏ hoàn toàn khả năng thương mại hóa sản phẩm được tạo lập từ dữ liệu cá nhân. Dữ liệu, sản phẩm dữ liệu hoặc dịch vụ dữ liệu có nguồn gốc từ dữ liệu cá nhân có thể được giao dịch nếu đã được khử nhận dạng và đáp ứng đầy đủ các điều kiện khác của pháp luật về bảo vệ dữ liệu cá nhân. Quy định này phải được hiểu theo hướng hai điều kiện được áp dụng đồng thời. Việc xóa tên hoặc số điện thoại mới chỉ là một biện pháp kỹ thuật ban đầu; nếu tập dữ liệu vẫn chứa số định danh, địa chỉ chi tiết, lịch sử vị trí, mã thiết bị hoặc một tổ hợp thuộc tính có thể liên kết với nguồn dữ liệu khác để xác định một cá nhân, nguy cơ tái nhận dạng vẫn tồn tại. Trong trường hợp đó, hình thức biểu hiện của dữ liệu đã thay đổi nhưng bản chất pháp lý của dữ liệu cá nhân chưa chắc đã được loại bỏ.

Đánh giá khử nhận dạng vì vậy cần dựa trên bối cảnh sử dụng và năng lực tái liên kết hợp lý của bên nhận dữ liệu, thay vì chỉ kiểm tra từng trường thông tin một cách biệt lập. Một hồ sơ tuân thủ có giá trị giải trình nên thể hiện nguồn dữ liệu, phương pháp khử nhận dạng, phiên bản dữ liệu, kết quả thử nghiệm tái nhận dạng, chủ thể phê duyệt và các giới hạn sử dụng sau chuyển giao. Song song với đó, khoản 5 Điều 4 Nghị định 314/2026/NĐ-CP yêu cầu dữ liệu giao dịch phải chính xác, hợp lệ, đầy đủ, cập nhật, nhất quán và truy xuất được nguồn gốc. Đối với dữ liệu hình thành từ cơ sở dữ liệu quốc gia hoặc cơ sở dữ liệu chuyên ngành, điểm c khoản 5 Điều 18 còn đòi hỏi việc giao dịch không làm lộ bí mật nhà nước, dữ liệu cá nhân, dữ liệu hạn chế truy cập hoặc dữ liệu không được phép chia sẻ. Như vậy, tính hợp pháp của giao dịch là kết quả của cả quá trình kiểm tra nguồn gốc, chất lượng, quyền xử lý và mức độ bảo vệ, chứ không thể được suy đoán từ việc dữ liệu đã xuất hiện trên một nền tảng được cấp phép.

3. Trách nhiệm của sàn dữ liệu và hệ quả đối với các bên giao dịch

Nghị định đặt đơn vị vận hành sàn vào vị trí của một chủ thể kiểm soát có trách nhiệm. Khoản 5 Điều 11 yêu cầu đơn vị cung cấp dịch vụ đấu giá từ chối dữ liệu là dữ liệu cá nhân, dữ liệu không được phép giao dịch hoặc có dấu hiệu vi phạm pháp luật về bảo vệ dữ liệu cá nhân. Điểm b khoản 2 Điều 31 tiếp tục yêu cầu tạm ngừng hoặc loại bỏ dữ liệu, sản phẩm, dịch vụ có dấu hiệu vi phạm và thông báo cho các bên liên quan. Từ góc độ pháp lý, các quy định này phủ nhận cách hiểu rằng sàn chỉ là hạ tầng kỹ thuật trung lập. Sàn cần có cơ chế phân loại dữ liệu, yêu cầu bên bán chứng minh nguồn gốc và căn cứ xử lý, kiểm tra mẫu dữ liệu, lưu nhật ký thẩm định, tiếp nhận khiếu nại và thực hiện biện pháp gỡ bỏ khẩn cấp. Điều khoản miễn trừ trách nhiệm trong quy chế hoạt động không thể thay thế nghĩa vụ kiểm soát do pháp luật quy định.

Đối với bên bán, rủi ro trọng yếu là nhầm lẫn giữa quyền tiếp cận hoặc quyền sử dụng dữ liệu với quyền thương mại hóa dữ liệu. Đối với bên mua, việc dữ liệu đã được cung cấp trên sàn không loại trừ nghĩa vụ thẩm định mục đích sử dụng, giới hạn chuyển giao tiếp và nguy cơ tái nhận dạng. Một giao dịch vi phạm điều cấm có thể kéo theo tranh chấp về hiệu lực hợp đồng, hoàn trả lợi ích, bồi thường thiệt hại và trách nhiệm xử lý sự cố dữ liệu, ngoài các chế tài hành chính theo pháp luật chuyên ngành. Do đó, cả ba chủ thể gồm bên bán, bên mua và sàn dữ liệu đều cần duy trì một chuỗi chứng cứ về tính hợp pháp của dữ liệu. Chuỗi chứng cứ này phải tồn tại trước thời điểm giao dịch và tiếp tục được cập nhật trong quá trình khai thác, bởi quyền sử dụng dữ liệu có thể thay đổi khi mục đích, chủ thể tiếp nhận hoặc phương thức xử lý thay đổi.

4. Kết luận

Nghị định 314/2026/NĐ-CP không đóng lại khả năng phát triển thị trường dữ liệu, mà tái xác định điều kiện để thị trường đó vận hành hợp pháp. Dữ liệu cá nhân không trở thành hàng hóa chỉ vì có thể định giá hoặc chuyển giao bằng phương tiện kỹ thuật; còn sản phẩm có nguồn gốc từ dữ liệu cá nhân chỉ có thể giao dịch khi rủi ro nhận diện đã được xử lý thực chất và toàn bộ căn cứ xử lý vẫn được bảo đảm. Từ quan điểm quản trị pháp lý, doanh nghiệp cần chuyển trọng tâm từ việc chứng minh mình đang nắm giữ dữ liệu sang việc chứng minh mình có quyền xử lý dữ liệu cho đúng mục đích, trong đúng phạm vi và với các biện pháp bảo vệ tương xứng. Chính khả năng giải trình về nguồn gốc, chất lượng và quyền sử dụng mới là yếu tố quyết định tính bền vững của một giao dịch dữ liệu.