Dữ liệu cá nhân xuất hiện trong hầu hết hoạt động kinh doanh: form tư vấn, hợp đồng dịch vụ, hồ sơ nhân sự, tài khoản khách hàng, chương trình chăm sóc khách hàng, quảng cáo trực tuyến và hệ thống quản trị bán hàng. Khi dữ liệu được thu thập và khai thác đúng cách, doanh nghiệp hiểu khách hàng tốt hơn. Khi dữ liệu bị thu thập quá mức, chia sẻ không kiểm soát hoặc lưu trữ thiếu an toàn, doanh nghiệp có thể đối mặt với khiếu nại, mất uy tín và rủi ro pháp lý.
Trong bối cảnh Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đã đặt ra yêu cầu rõ hơn đối với hoạt động xử lý dữ liệu, doanh nghiệp cần nhìn nhận tuân thủ dữ liệu như một phần của quản trị rủi ro, không chỉ là một trang “chính sách bảo mật” đặt trên website.
Biết mình đang thu thập dữ liệu gì
Bước đầu tiên là lập bản đồ dữ liệu. Doanh nghiệp cần biết mình đang thu thập họ tên, số điện thoại, email, địa chỉ, giấy tờ tùy thân, thông tin thanh toán, lịch sử giao dịch, hình ảnh, dữ liệu hành vi hay dữ liệu nhân sự. Với mỗi loại dữ liệu, cần xác định nguồn thu thập, mục đích sử dụng, nơi lưu trữ, người có quyền truy cập và thời hạn lưu.
Nhiều rủi ro phát sinh vì doanh nghiệp thu thập dữ liệu theo thói quen mà không còn cần thiết cho mục đích hiện tại. Nguyên tắc thực tiễn là chỉ thu thập những thông tin cần thiết, sử dụng đúng mục đích đã thông báo và xóa hoặc ẩn dữ liệu khi không còn nhu cầu hợp lý.
Thông báo và sự đồng ý phải rõ ràng
Khi thu thập thông tin khách hàng, doanh nghiệp nên có thông báo minh bạch về mục đích xử lý, loại dữ liệu, phạm vi sử dụng, đơn vị tiếp nhận, quyền của chủ thể dữ liệu và kênh liên hệ khi có yêu cầu. Nếu cần sự đồng ý, cách thức ghi nhận sự đồng ý phải đủ rõ để chứng minh về sau.
Không nên gộp quá nhiều mục đích vào một câu đồng ý chung. Ví dụ, việc dùng dữ liệu để thực hiện hợp đồng khác với việc gửi quảng cáo, chuyển dữ liệu cho đối tác hoặc phân tích hành vi người dùng. Mỗi mục đích có mức độ rủi ro khác nhau và nên được thiết kế phù hợp.
Phân quyền truy cập và quản lý nhà cung cấp
Dữ liệu không chỉ nằm trong máy chủ của doanh nghiệp. Nó có thể được lưu trong CRM, phần mềm kế toán, nền tảng email marketing, dịch vụ lưu trữ đám mây, đơn vị giao hàng hoặc nhà thầu chăm sóc khách hàng. Doanh nghiệp cần kiểm tra hợp đồng với nhà cung cấp, phạm vi xử lý dữ liệu, trách nhiệm bảo mật, cơ chế báo cáo sự cố và nghĩa vụ xóa dữ liệu khi kết thúc dịch vụ.
Nội bộ doanh nghiệp cũng cần phân quyền theo vai trò. Không phải nhân sự nào cũng cần xem toàn bộ dữ liệu khách hàng. Tài khoản nghỉ việc phải được khóa kịp thời; dữ liệu tải xuống cần được kiểm soát; thiết bị cá nhân dùng cho công việc cần có quy định bảo mật tối thiểu.
Chuẩn bị trước cho tình huống sự cố
Sự cố dữ liệu có thể xảy ra do tấn công mạng, gửi nhầm email, thất lạc thiết bị, nhân sự truy cập trái phép hoặc cấu hình sai hệ thống. Doanh nghiệp cần có quy trình phản ứng: phát hiện, cô lập, đánh giá phạm vi, thông báo nội bộ, khắc phục, lưu hồ sơ và truyền thông với khách hàng nếu cần.
Global Legal hỗ trợ doanh nghiệp rà soát chính sách bảo mật, điều khoản thu thập dữ liệu, hợp đồng với nhà cung cấp và quy trình xử lý yêu cầu của chủ thể dữ liệu. Tuân thủ dữ liệu không làm chậm kinh doanh; ngược lại, nó tạo niềm tin và giảm rủi ro khi doanh nghiệp mở rộng quy mô.
Nội dung bài viết có giá trị tham khảo chung, không thay thế ý kiến tư vấn pháp lý cho từng hồ sơ cụ thể. Khi có tranh chấp, giao dịch giá trị lớn hoặc yếu tố nước ngoài, doanh nghiệp nên được luật sư rà soát độc lập trước khi quyết định.
