Một cửa hàng, một doanh nghiệp bắt đầu chuyển đổi số thường làm rất nhiều việc liên quan đến dữ liệu khách hàng mà không để ý: thu thập số điện thoại khi đặt hàng online, lưu email để gửi khuyến mãi, xây dựng hệ thống CRM lưu lịch sử mua hàng. Tất cả đều là những bước hợp lý để vận hành tốt hơn, nhưng cũng chính là những hoạt động nằm trong phạm vi điều chỉnh của Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Vấn đề là phần lớn doanh nghiệp làm những việc này mỗi ngày mà chưa từng đối chiếu xem mình đã làm đúng quy định hay chưa.
Nghị định 13/2023/NĐ-CP tấm khiên pháp lý bảo vệ người tiêu dùng
Nghị định 13/2023/NĐ-CP quy định cách các tổ chức, doanh nghiệp phải thu thập, xử lý, lưu trữ và bảo vệ dữ liệu cá nhân của khách hàng, người dùng, nhân viên, bất kỳ ai mà đơn vị có thu thập thông tin định danh được. Nói đơn giản: đây là “luật chơi” xác định ranh giới giữa việc dùng dữ liệu khách hàng để phục vụ họ tốt hơn, và việc dùng dữ liệu sai mục đích hoặc không đủ bảo mật, thứ có thể khiến doanh nghiệp gặp rủi ro pháp lý dù không hề cố ý.
Năm dấu hiệu cảnh báo cho thấy doanh nghiệp có thể đang làm chưa đúng
Dấu hiệu thứ nhất: thu thập thông tin khách hàng mà không có bước xác nhận đồng ý rõ ràng. Nếu form đăng ký, form đặt hàng của doanh nghiệp chỉ thu thập thông tin mà không có ô xác nhận đồng ý (hoặc có nhưng đặt ẩn, khó nhận thấy), đây là dấu hiệu đầu tiên cần rà soát, vì nghị định yêu cầu phải có sự đồng ý rõ ràng của chủ thể dữ liệu trước khi thu thập, trừ một số trường hợp được luật cho phép.
Dấu hiệu thứ hai: dùng dữ liệu khách hàng cho mục đích khác với lúc thu thập ban đầu, mà không thông báo lại. Ví dụ phổ biến: thu thập số điện thoại để giao hàng, sau đó dùng chính số điện thoại đó để gọi mời các sản phẩm khác mà chưa từng thông báo trước cho khách hàng về việc này. Đây là lỗi rất dễ mắc phải vì có vẻ “vô hại” trên thực tế, nhưng lại đi ngược nguyên tắc sử dụng đúng mục đích đã thông báo.
Dấu hiệu thứ ba: không có quy trình xử lý khi khách hàng yêu cầu xóa hoặc chỉnh sửa dữ liệu của họ. Nghị định trao cho chủ thể dữ liệu quyền yêu cầu chỉnh sửa, xóa, hoặc rút lại sự đồng ý đã cho. Nếu doanh nghiệp chưa từng chuẩn bị quy trình nội bộ để tiếp nhận và xử lý các yêu cầu này, đó là một khoảng trống cần lấp ngay.
Dấu hiệu thứ tư: lưu trữ dữ liệu khách hàng trên hệ thống không có biện pháp bảo mật cơ bản. Một file Excel chứa danh sách khách hàng được chia sẻ qua nhóm chat nội bộ không đặt mật khẩu, hay một hệ thống CRM dùng chung tài khoản đăng nhập cho toàn bộ nhân viên, đều là những tình huống thực tế phổ biến hơn nhiều người nghĩ, và đều tiềm ẩn rủi ro nếu xảy ra sự cố rò rỉ.
Dấu hiệu thứ năm: chưa từng có kế hoạch xử lý nếu xảy ra sự cố rò rỉ dữ liệu. Nghị định yêu cầu tổ chức phải thông báo khi xảy ra sự cố ảnh hưởng đến dữ liệu cá nhân. Một doanh nghiệp chưa từng nghĩ đến tình huống này thường sẽ lúng túng, phản ứng chậm và có thể vi phạm thêm nghĩa vụ thông báo nếu sự cố thực sự xảy ra.
Nếu doanh nghiệp của anh/chị có từ hai dấu hiệu trở lên, đây là lúc nên rà soát lại toàn bộ quy trình xử lý dữ liệu khách hàng trước khi vấn đề trở thành rủi ro thực sự. Thường thì các vấn đề này chỉ được phát hiện khi đã có sự cố hoặc khiếu nại, lúc đó việc khắc phục vừa tốn kém vừa ảnh hưởng đến uy tín.
Đừng để doanh nghiệp của bạn bị ảnh hưởng tới uy tín
Geneat rà soát toàn bộ quy trình thu thập, sử dụng, lưu trữ dữ liệu khách hàng hiện có của doanh nghiệp, đối chiếu với các yêu cầu của Nghị định 13/2023, từ đó tư vấn thiết kế lại quy trình và hệ thống theo nguyên tắc bảo vệ dữ liệu ngay từ khâu thiết kế, thay vì bổ sung biện pháp bảo mật sau khi hệ thống đã vận hành.
Nếu doanh nghiệp anh chị đang triển khai một hệ thống mới có thu thập dữ liệu khách hàng (website bán hàng, ứng dụng đặt lịch, hệ thống CRM…), hoặc muốn kiểm tra nhanh xem quy trình hiện tại có đang lọt vào một trong năm dấu hiệu cảnh báo ở trên hay không, Geneat có thể hỗ trợ đánh giá nhanh và đưa ra khuyến nghị cụ thể trước khi bắt tay vào triển khai chính thức.
Hãy liên hệ ngay với các chuyên gia tư của Geneat để được tư vấn chi tiết nhất
Nội dung bài viết mang tính tổng hợp, tham khảo dựa trên Nghị định 13/2023/NĐ-CP và các nguồn thông tin công khai, không thay thế cho tư vấn pháp lý chính thức. Quy định pháp luật có thể được sửa đổi, bổ sung theo thời gian — để có thông tin áp dụng chính xác cho trường hợp cụ thể của đơn vị mình, quý anh/chị vui lòng liên hệ Geneat để được tư vấn trực tiếp.
