Quyền sở hữu dữ liệu được xác định như thế nào?

Không có một quy tắc phổ quát buộc mọi tổ chức phải gán cùng một chức danh làm chủ sở hữu cho cùng một loại dữ liệu. ISO/IEC 25642:2025 thậm chí nêu rõ tiêu chuẩn này không xác định cá nhân hay nhóm cụ thể nào là “rightful owner” của dữ liệu; việc đó phải do từng tổ chức xác lập. Trong khi đó, ISO/IEC 38505-1:2026 đặt quản trị dữ liệu trong phạm vi quản trị tổ chức và hướng đến việc sử dụng, bảo vệ và kiểm soát dữ liệu một cách hiệu quả, phù hợp.

Vì vậy, câu hỏi quan trọng không phải là “ai đang giữ dữ liệu?” mà là “ai có thẩm quyền kinh doanh và phải chịu trách nhiệm cuối cùng khi dữ liệu này được định nghĩa, sử dụng, chia sẻ, thay đổi hoặc phát sinh vấn đề?”

Quyền sở hữu dữ liệu được xác định theo trách nhiệm kinh doanh và quyền ra quyết định

Một Data Owner phù hợp thường là cá nhân hoặc vai trò có đủ accountability đối với một data domain, data asset hoặc nhóm dữ liệu có ý nghĩa kinh doanh rõ ràng. Chủ sở hữu không nhất thiết phải trực tiếp nhập liệu, quản trị cơ sở dữ liệu hay xử lý các lỗi hàng ngày; họ phải có khả năng đưa ra hoặc phê duyệt những quyết định quan trọng liên quan đến dữ liệu.

Có thể kiểm tra một ứng viên Data Owner theo năm tiêu chí chính:

Hướng dẫn của Chính phủ Anh mô tả Data Owner là người có trách nhiệm tổng thể đối với ý nghĩa, nội dung, chất lượng và việc phân phối một tập dữ liệu, đồng thời khuyến nghị vai trò này nằm ở cấp đủ cao để sử dụng thẩm quyền và hiểu biết về chiến lược, quy trình kinh doanh khi ra quyết định.

Điều đó cũng giải thích vì sao bộ phận IT không mặc nhiên là Data Owner chỉ vì hệ thống được đặt dưới sự quản lý của IT. Quyền quản trị máy chủ, database hoặc ứng dụng là quyền vận hành kỹ thuật; quyền quyết định dữ liệu có ý nghĩa gì, chất lượng nào được chấp nhận và ai được phép sử dụng cho mục đích nào thường thuộc về phía kinh doanh.

Có thể gán Data Owner cho từng loại dữ liệu theo một quy trình 5 bước

1. Xác định phạm vi dữ liệu cần có chủ sở hữu

Trước tiên phải xác định đơn vị sở hữu là gì: một data domain, một data asset, một dataset hay một nhóm critical data element.

Chẳng hạn, thay vì gán người sở hữu riêng cho hàng trăm bảng trong hệ thống CRM, tổ chức có thể xác định một domain như “Khách hàng”. Các bảng, trường và dữ liệu dẫn xuất sau đó được quản lý dưới phạm vi đã xác định, trừ khi một phần dữ liệu có đặc điểm rủi ro hoặc trách nhiệm đủ khác biệt để cần một owner riêng.

Phạm vi càng mơ hồ thì accountability càng khó thực thi. Một người được ghi là “Owner dữ liệu khách hàng” nhưng không xác định họ chịu trách nhiệm cho dữ liệu nguồn nào, hệ thống nào và quyết định nào thì trên thực tế chưa tạo được quyền sở hữu có thể vận hành.

2. Liệt kê các quyết định cần một đầu mối chịu trách nhiệm

Không nên bắt đầu bằng câu hỏi “chọn ai làm owner?”, mà nên xác định những quyết định nào phải có người chịu trách nhiệm cuối cùng.

Với một data domain, các quyết định đó thường liên quan đến:

·         Định nghĩa và ý nghĩa nghiệp vụ của dữ liệu

·         Yêu cầu và ngưỡng chất lượng

·         Điều kiện truy cập và chia sẻ

·         Mục đích sử dụng được chấp nhận

·         Thay đổi định nghĩa hoặc cấu trúc có tác động đến đơn vị khác

·         Thời gian lưu giữ và xử lý cuối vòng đời

·         Cách giải quyết các vấn đề hoặc xung đột có ảnh hưởng đáng kể

Khi các decision rights đã rõ, việc tìm owner trở thành bài toán xác định ai thực sự có thẩm quyền đối với những quyết định đó.

3. Truy ngược về đơn vị chịu trách nhiệm cho quy trình kinh doanh

Data Owner thường phải nằm gần nơi chịu trách nhiệm về ý nghĩa và kết quả kinh doanh của dữ liệu, chứ không nhất thiết gần nơi dữ liệu được lưu trữ.

Nếu dữ liệu phát sinh từ một quy trình nghiệp vụ cụ thể, nên xem xét người chịu trách nhiệm cao nhất cho quy trình hoặc domain đó. Nếu nhiều đơn vị cùng sử dụng dữ liệu, cần phân biệt đơn vị tạo và định nghĩa dữ liệu gốc với các đơn vị chỉ tiêu thụ dữ liệu cho mục đích riêng.

4. Kiểm tra xem người được chọn có thật sự có quyền giải quyết xung đột hay không

Một Data Owner trên danh nghĩa nhưng không thể phê duyệt thay đổi, yêu cầu đơn vị khác sửa dữ liệu hoặc giải quyết tranh chấp về định nghĩa sẽ tạo ra khoảng trống accountability.

Một phép thử thực tế là đặt câu hỏi: nếu hai phòng ban đưa ra hai định nghĩa khác nhau cho cùng một trường dữ liệu, người này có quyền đưa ra quyết định cuối cùng hoặc đưa vấn đề đến đúng cấp quyết định không?

Nếu câu trả lời là không, vai trò đó phù hợp hơn với Data Steward hoặc một đầu mối vận hành.

5. Ghi nhận quyền sở hữu thành một cơ chế quản trị chính thức

Việc gán owner chỉ hoàn thành khi phạm vi và quyền hạn của họ được ghi nhận trong hệ thống quản trị, chẳng hạn data catalog, governance register hoặc ma trận trách nhiệm.

Tối thiểu nên xác định:

·         Data domain hoặc data asset thuộc phạm vi sở hữu

·         Data Owner và chức danh chịu trách nhiệm

·         Data Steward và Data Custodian liên quan

·         Những quyết định owner có quyền phê duyệt

·         Yêu cầu chất lượng quan trọng

·         Nguyên tắc truy cập và sử dụng

·         Yêu cầu lưu giữ hoặc tiêu hủy

·         Ràng buộc pháp lý hoặc hợp đồng có liên quan

·         Cơ chế escalation khi xảy ra xung đột

·         Các tình huống bắt buộc phải xem xét lại ownership

Cách này biến data ownership từ một trường thông tin trong catalog thành một cơ chế phân bổ quyền quyết định và nghĩa vụ giải trình.

Data Owner, Data Steward và Data Custodian khác nhau ở trách nhiệm

Một nguyên nhân phổ biến khiến quyền sở hữu dữ liệu khó xác định là tổ chức trộn lẫn các vai trò quản trị, vận hành và kỹ thuật.

Mô hình của Chính phủ Anh cũng phân tách ba vai trò theo logic tương tự: Data Owner định hướng và chịu accountability ở cấp chiến lược; Data Steward thực hiện các hoạt động quản trị hàng ngày; Data Custodian triển khai yêu cầu trong hệ thống kỹ thuật.

Sự phân tách này cho phép Data Owner ủy quyền việc thực thi nhưng không chuyển giao accountability. Một steward có thể theo dõi lỗi chất lượng và điều phối remediation, nhưng việc quyết định mức chất lượng nào được chấp nhận đối với một quy trình kinh doanh quan trọng vẫn cần owner có thẩm quyền.

Dữ liệu dùng chung, dữ liệu hợp nhất và dữ liệu cá nhân cần xử lý ownership khác nhau

Không phải dataset nào cũng có thể gán ownership bằng cách nhìn vào nơi dữ liệu được tạo ra.

Với dữ liệu được hợp nhất từ nhiều nguồn, cần tách trách nhiệm đối với dữ liệu nguồn khỏi trách nhiệm đối với sản phẩm dữ liệu mới. Chủ sở hữu nguồn vẫn cần xác định điều kiện cung cấp, ý nghĩa và các giới hạn liên quan đến dữ liệu của mình; trong khi dataset hoặc data product được tạo ra từ nhiều nguồn có thể cần một owner hoặc product/service owner chịu trách nhiệm đối với cách dữ liệu được kết hợp và cung cấp cho người dùng. Hướng dẫn của Chính phủ Anh đặc biệt lưu ý rằng dữ liệu hợp nhất, data lake và các dịch vụ dữ liệu cần xác lập rõ accountability thay vì giả định ownership tự động chuyển sang nền tảng nhận dữ liệu.

Với dữ liệu cá nhân, Data Owner nội bộ cũng không đồng nghĩa với chủ thể pháp lý quyết định mọi quyền đối với dữ liệu. Chẳng hạn, GDPR sử dụng khái niệm controller cho cá nhân hoặc tổ chức quyết định mục đích và phương tiện xử lý dữ liệu cá nhân; một tổ chức có thể là controller trong khi bên trong tổ chức có nhiều Data Owner chịu accountability đối với từng domain.

Do đó, data ownership nội bộ phải luôn hoạt động bên trong các giới hạn pháp luật, hợp đồng, quyền của chủ thể dữ liệu và các điều kiện sử dụng hiện hữu. Việc một cá nhân được chỉ định làm Data Owner không trao cho người đó quyền vượt qua các ràng buộc này.

Tương tự, với dữ liệu mua hoặc nhận từ bên thứ ba, tổ chức vẫn cần một người chịu trách nhiệm quản trị việc sử dụng dữ liệu, nhưng phạm vi quyết định của Data Owner bị giới hạn bởi giấy phép, hợp đồng và điều kiện mà bên cung cấp đặt ra.

Data Owner phải được gắn với trách nhiệm cụ thể để ownership có thể vận hành

Một mô hình quyền sở hữu dữ liệu chỉ có giá trị khi tổ chức có thể chỉ ra Data Owner phải quyết định hoặc bảo đảm điều gì.

Đối với phần lớn data domain, phạm vi accountability nên bao gồm các nhóm trách nhiệm sau:

Định nghĩa dữ liệu: bảo đảm các khái niệm quan trọng có định nghĩa nghiệp vụ thống nhất và có người xử lý khi xuất hiện tranh chấp.

Chất lượng dữ liệu: xác định dữ liệu cần đáp ứng yêu cầu nào dựa trên mục đích sử dụng, ai theo dõi và khi nào một vấn đề phải được escalation.

Truy cập và sử dụng: xác định nguyên tắc ai được sử dụng dữ liệu, trong điều kiện nào và các trường hợp nào cần phê duyệt.

Thay đổi: đánh giá hoặc phê duyệt những thay đổi có thể ảnh hưởng đến ý nghĩa, chất lượng hoặc người sử dụng dữ liệu ở phía downstream.

Vòng đời dữ liệu: bảo đảm tồn tại yêu cầu phù hợp đối với lưu giữ, lưu trữ, chuyển giao và tiêu hủy.

Rủi ro và tuân thủ: phối hợp với các chức năng pháp lý, privacy, security và risk khi dữ liệu thuộc phạm vi có yêu cầu đặc biệt.

Data Owner không nhất thiết tự thực hiện tất cả các hoạt động trên. Giá trị của vai trò nằm ở chỗ luôn có thể xác định ai chịu trách nhiệm cuối cùng khi một quyết định không thể giải quyết ở cấp vận hành.

Ownership cũng cần được xem xét lại khi phạm vi kinh doanh thay đổi. Những sự kiện như thay đổi nguồn dữ liệu, hợp nhất hai domain, triển khai nền tảng mới, chuyển dữ liệu sang một data product dùng chung hoặc phát sinh yêu cầu pháp lý mới đều có thể khiến cách phân bổ trách nhiệm cũ không còn phù hợp.

Quyền sở hữu dữ liệu trong quản trị dữ liệu vì thế nên được xác định từ accountability, business authority và decision rights, sau đó mới ánh xạ trách nhiệm đó xuống dataset, data domain và hệ thống cụ thể. Người giữ hệ thống, người vận hành dữ liệu hàng ngày và người chịu trách nhiệm cuối cùng có thể là ba vai trò khác nhau.

Một mô hình tốt phải trả lời được một câu hỏi rất thực tế: khi có tranh chấp về định nghĩa, chất lượng, quyền truy cập, cách sử dụng hoặc thay đổi dữ liệu, ai có thẩm quyền quyết định và ai phải chịu trách nhiệm về kết quả? Khi câu trả lời này được xác định rõ cho từng phạm vi dữ liệu và được ghi nhận trong cơ chế quản trị, quyền sở hữu dữ liệu mới thực sự có thể vận hành.