Nhiều chương trình tuân thủ thất bại không phải vì thiếu văn bản, mà vì tổ chức đánh đồng văn bản với trạng thái vận hành. Nguồn bài viết chỉ ra năm kiểu lầm tưởng xoay quanh phạm vi áp dụng, sự đồng ý, chính sách, bảo mật và trách nhiệm của các bên. Điểm chung là chúng làm doanh nghiệp tin rằng chỉ cần một bộ phận hoặc một tài liệu có thể giải quyết toàn bộ nghĩa vụ. Trong thực tế được mô tả, tuân thủ cần giới hạn mục đích, quản lý thời gian lưu trữ, kiểm soát bên thứ ba, phân quyền, ghi nhật ký và xử lý yêu cầu của chủ thể dữ liệu. Mỗi tuyên bố cần đi cùng một bằng chứng triển khai.
Lầm tưởng 1 và 2: Chỉ doanh nghiệp lớn mới cần làm, có đồng ý là đủ
Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP được nguồn đặt trong phạm vi nghĩa vụ của mọi tổ chức có xử lý dữ liệu cá nhân, không chỉ doanh nghiệp công nghệ hoặc doanh nghiệp lớn. Quy mô có thể làm thay đổi bối cảnh rủi ro, nhưng không biến dữ liệu cá nhân thành vấn đề riêng của một ngành. Một đơn vị nhỏ vẫn có thể thu thập, lưu trữ và chia sẻ thông tin của khách hàng hoặc nhân viên.
Sự đồng ý cũng chỉ là một phần của quá trình. Có đồng ý không có nghĩa tổ chức được xử lý dữ liệu vượt khỏi mục đích đã nêu, giữ dữ liệu không giới hạn hoặc chuyển cho bên thứ ba mà không kiểm soát. Bài kiểm tra thực tế là doanh nghiệp có mô tả rõ mục đích, thời gian lưu trữ và phạm vi chia sẻ hay không.
- Bằng chứng cần có: danh mục hoạt động xử lý dữ liệu của chính tổ chức.
- Bằng chứng cần có: nội dung đồng ý gắn với mục đích cụ thể.
- Bằng chứng cần có: quy tắc lưu trữ và kiểm soát bên thứ ba.
Lầm tưởng 3: Ban hành chính sách đồng nghĩa đã tuân thủ
Một chính sách có thể nêu đúng nguyên tắc nhưng chưa cho thấy nhân viên thực hiện ra sao. Nếu hệ thống chưa phân quyền, không có nhật ký truy cập hoặc không có quy trình tiếp nhận yêu cầu của chủ thể dữ liệu, doanh nghiệp khó chứng minh chính sách đã đi vào hoạt động. Khoảng cách giữa văn bản và hệ thống là nơi lầm tưởng này bộc lộ rõ nhất.