Khi một nhóm phần mềm Việt Nam phục vụ khách hàng ở Singapore hay Jakarta, hợp đồng chỉ là một phần của thương vụ. Ai đó phải xác định loại dữ liệu nào đang được chuyển đi, ai chịu trách nhiệm về nó và quy định nào áp dụng ở mỗi bên biên giới. ASEAN đã xây dựng quy tắc cho loại hình thương mại này suốt một phần tư thế kỷ, từ Hiệp định khung e-ASEAN năm 2000 đến Hiệp định Thương mại điện tử ASEAN năm 2018 (ASEAN 2000; MTI Singapore 2018). Niềm tin, bảo vệ và hợp tác đã nằm trong chương trình nghị sự ngay từ đầu.
Năm 2023, Toh cho rằng tương lai số của ASEAN đầy hứa hẹn nhưng chịu rủi ro từ khủng hoảng Myanmar, sức ép bảo hộ số và các rào cản giữa các nước thành viên (Toh 2023). Ở Việt Nam, lời cảnh báo đó đã trở nên cụ thể. Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân nay đã có hiệu lực, đúng lúc ASEAN hoàn tất đàm phán Hiệp định khung về Kinh tế số (DEFA).
Lập luận của tôi là lợi ích Việt Nam thu được từ hội nhập số ASEAN một phần phụ thuộc vào việc doanh nghiệp có thể xác định và thực hiện nghĩa vụ dữ liệu giữa các thị trường một cách dễ dự đoán đến đâu. Việc thực thi nên được đánh giá theo ba tiêu chí: chi phí cung cấp dịch vụ, khả năng tham gia của doanh nghiệp và mức độ bảo vệ mà chủ thể dữ liệu thực sự nhận được.
Thương mại là có thật, nhưng không đồng đều
Thương mại số dễ bị thổi phồng vì nhiều thước đo khác nhau bị trộn lẫn. Cuốn Handbook on Measuring Digital Trade (Sổ tay đo lường thương mại số) phân biệt hàng hóa và dịch vụ được đặt mua trực tuyến với dịch vụ được cung cấp qua mạng (IMF et al. 2023). Nhóm thứ hai là nơi quy tắc dữ liệu tác động mạnh nhất, nên đây là trọng tâm của bài viết.
Theo ước tính của WTO, xuất khẩu dịch vụ cung cấp bằng phương thức số của Việt Nam tăng từ khoảng 3,98 tỷ USD năm 2023 lên 5,07 tỷ USD năm 2024 và 5,18 tỷ USD năm 2025: tăng 27,4% rồi chỉ còn 2,3% (WTO 2026). Các dịch vụ kinh doanh khác chiếm khoảng 37,5% kim ngạch xuất khẩu năm 2025; cộng thêm dịch vụ máy tính và thông tin là khoảng 82,2%. Cơ hội vượt xa phạm vi một vài doanh nghiệp công nghệ đầu ngành, nhưng con đường tăng trưởng không bằng phẳng, và một năm tăng mạnh không phải là dự báo.
Số liệu doanh nghiệp cũng cần được đọc thận trọng như vậy. FPT báo cáo doanh thu dịch vụ CNTT nước ngoài năm 2025 đạt 35.382 tỷ đồng, tăng 14,3% (FPT 2026), nhưng doanh thu này gộp nhiều cách phục vụ khách hàng khác nhau. Viettel Global chủ yếu phục vụ các thị trường như Campuchia thông qua các công ty mà tập đoàn sở hữu tại đó (Viettel Global 2025) – một kênh khác, với những nghĩa vụ khác, so với dịch vụ được cung cấp xuyên biên giới từ Việt Nam.
Quy tắc khu vực góp phần tạo điều kiện cho loại hình thương mại này. Các điều khoản về thương mại số cho thấy các hiệp định xây dựng quy tắc chung như thế nào, nhưng không cho biết doanh nghiệp sử dụng chúng tốt đến đâu (Burri & Polanco 2020), và OECD (2026) nhận thấy môi trường pháp lý giữa các nước ASEAN vẫn còn khác biệt. ASEAN tuyên bố kết thúc đàm phán DEFA vào tháng 6/
Quy định của Việt Nam bảo vệ những lợi ích có thật. Vấn đề là áp dụng thế nào
Chính sách dữ liệu hiếm khi chỉ có một động cơ. Quyền riêng tư, an ninh, năng lực thực thi và phát triển kinh tế đều có thể cùng tác động, như Han (2024) chỉ ra khi so sánh việc nội địa hóa dữ liệu ở Việt Nam, Singapore và Indonesia. Động cơ không chứng minh một quy định là hiệu quả hay mang tính bảo hộ; chính các công cụ mới là thứ cần được đánh giá.
Bước đầu tiên là phân loại. Điều 23 Luật Dữ liệu (số 60/
Bước thứ hai là điểm lại những cơ chế giảm nhẹ đã có trong luật. Luật 91 tránh một số đánh giá trùng lặp (khoản 4 Điều 5), quy định ngoại lệ đối với một yêu cầu tại khoản 3 Điều 20 trong các trường hợp nêu ở khoản 6, và cho phép doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp lựa chọn thực hiện một số nghĩa vụ muộn hơn theo Điều 38, kèm điều kiện. Nghị định 356/
Một ngoại lệ được ghi vào luật không chứng minh rằng doanh nghiệp có thể dễ dàng sử dụng nó.
Như Zhang và Mitchell (2022) lập luận, một yêu cầu nội địa hóa nên được đánh giá trong bối cảnh pháp lý và thực tiễn của nó, thay vì bị gán nhãn vi phạm từ trước. Bằng chứng quan trọng là bằng chứng thực tiễn: doanh nghiệp xác định quy định nào áp dụng ra sao, phải chuẩn bị những hồ sơ gì, ai chịu trách nhiệm và công việc nào vẫn còn bị lặp lại.
Khi tuân thủ trở thành quyết định kinh doanh
Nghĩa vụ trở thành hệ quả kinh doanh thông qua công việc cụ thể. Doanh nghiệp phải xác định loại dữ liệu liên quan, vai trò của từng bên và các điều kiện áp dụng. Tư vấn pháp lý, sửa đổi hợp đồng, quản lý nhà cung cấp và chứng minh các biện pháp bảo vệ đều tốn thời gian và tiền bạc. Nếu những việc này làm chậm một lần ra mắt hoặc đẩy chi phí lên, doanh nghiệp có thể thiết kế lại dịch vụ, thu hẹp thị trường phục vụ hoặc lập pháp nhân tại chỗ thay vì cung cấp từ Việt Nam.
Các nghiên cứu ủng hộ việc xem dữ liệu như một yếu tố đầu vào. Van der Marel và Ferracane (2021) liên hệ các hạn chế dữ liệu với việc nhập khẩu dịch vụ thâm dụng dữ liệu giảm, còn Ferracane, Kren và van der Marel (2020) gắn chúng với năng suất của các doanh nghiệp phụ thuộc vào dữ liệu. Cả hai nghiên cứu đều dùng dữ liệu từ trước khi Việt Nam ban hành các luật mới, nên chúng giải thích cơ chế tác động; chúng không định lượng chi phí của một đạo luật năm 2026.
Tác động cũng khó có thể đồng đều. Nếu một phần chi phí tuân thủ là chi phí cố định, doanh nghiệp lớn có thể phân bổ nó cho nhiều hợp đồng. Doanh nghiệp nhỏ có thể cần hướng dẫn rõ ràng và năng lực nội bộ trước khi tận dụng được các cơ chế giảm nhẹ dành cho mình. Ngược lại, bảo vệ dữ liệu cũng mang lại lợi ích: trách nhiệm giải trình rõ ràng có thể giảm rủi ro sự cố và giúp giành được những khách hàng đòi hỏi điều đó. Mức phạt tối đa là rủi ro khi doanh nghiệp vi phạm pháp luật, không phải chi phí kinh doanh trung bình.
Có một giới hạn đáng lưu ý ở đây. Chuỗi số liệu của WTO kết thúc ở năm 2025, trong khi Luật 91 và Nghị định 356 có hiệu lực từ năm 2026, nên số liệu thương mại chưa thể cho thấy tác động của chúng. Đánh giá việc thực thi trong năm nay cần bằng chứng về thủ tục và trải nghiệm thực tế của doanh nghiệp.
Hai ưu tiên để quy tắc dễ áp dụng
Thứ nhất, kiểm tra xem các công cụ hiện có có vận hành được không. Cơ quan bảo vệ dữ liệu thuộc Bộ Công an, phối hợp với Bộ Công Thương và các cơ quan quản lý ngành trong phạm vi nhiệm vụ của mình, nên rà soát lần lượt các tình huống cung cấp dịch vụ phổ biến. Kết quả sẽ là bộ hướng dẫn theo tình huống, kết nối các văn bản và biểu mẫu hiện hành, làm rõ loại dữ liệu, vai trò của từng bên, nghĩa vụ, ngoại lệ và đầu mối liên hệ. Hướng dẫn này nên lấp khoảng trống và thống nhất các cách hiểu trái ngược, chứ không tạo thêm một vòng thủ tục nộp hồ sơ mới.
Thứ hai, xây dựng khả năng tương thích đi kèm các biện pháp bảo vệ. Việt Nam có thể đối chiếu Các điều khoản hợp đồng mẫu của ASEAN với nghĩa vụ của mình và của các đối tác chủ chốt, rồi thí điểm sử dụng ở những nơi pháp luật cho phép. Hợp đồng phải phân định trách nhiệm và biện pháp khắc phục khi có vi phạm. Singapore coi các điều khoản này là một công cụ tự nguyện theo luật của nước mình (PDPC 2021); chúng không phải là cơ chế công nhận tự động trong toàn ASEAN, và không nên mặc định rằng DEFA sẽ tạo ra cơ chế đó.
| Kết quả | Thước đo đề xuất |
|---|---|
| Nghĩa vụ dễ xác định | Thời gian giải quyết một tình huống chuẩn; mức độ nhất quán của các câu trả lời chính thức |
| Giảm công việc lặp lại | Số lần cùng một thông tin phải chuẩn bị hoặc nộp lại; số giờ công theo quy mô doanh nghiệp |
| Công cụ dùng được | Tỷ lệ tình huống áp dụng đúng các cơ chế giảm nhẹ hiện có |
| Bảo vệ có hiệu quả | Truy được trách nhiệm; cách xử lý yêu cầu của chủ thể dữ liệu và sự cố |
Đây là các thước đo đề xuất, không phải kết quả đã quan sát. Cần xác lập mốc cơ sở trước khi có bất kỳ thay đổi nào.
Phép thử quan trọng
Toh đã đúng khi cho rằng triển vọng số của ASEAN đối mặt với những rào cản nội khối khó khăn. Với Việt Nam, rào cản đáng xem xét nhất không phải là việc có quy tắc dữ liệu hay không, mà là doanh nghiệp có sử dụng được chúng hay không. Nếu nghĩa vụ rõ ràng và các cơ chế giảm nhẹ sẵn có trong luật vận hành được, hội nhập khu vực và bảo vệ dữ liệu có thể hỗ trợ lẫn nhau. Nếu không, chi phí sẽ phân bổ không đều, và những doanh nghiệp ít khả năng gánh chịu nhất sẽ là những doanh nghiệp đầu tiên rút khỏi thị trường khu vực.