Kể từ khi Nghị định 13/2023/NĐ-CP chính thức có hiệu lực, cộng đồng doanh nghiệp tại Việt Nam đã đứng trước một bài toán pháp lý mới đầy thách thức: Bảo vệ dữ liệu cá nhân. Một trong những câu hỏi gây tranh cãi nhất chính là liệu mọi tổ chức, từ cửa hàng nhỏ đến tập đoàn lớn, có bắt buộc phải thành lập một bộ phận chuyên trách cho nhiệm vụ này hay không?

Đối tượng nào "nằm trong tầm ngắm" của quy định thành lập bộ phận bảo vệ dữ liệu?

Thực tế, không phải mọi doanh nghiệp đều phải gánh vác nghĩa vụ này. Theo quy định tại khoản 2 Điều 28 Nghị định 13/2023/NĐ-CP, yêu cầu chỉ định bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân chỉ áp dụng đối với các doanh nghiệp có tiến hành xử lý dữ liệu cá nhân nhạy cảm.

"2. Tổ chức, cá nhân xử lý dữ liệu cá nhân phải chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân, chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân và trao đổi thông tin về bộ phận và nhân sự phụ trách bảo vệ dữ liệu cá nhân với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân..."

Điều này có nghĩa là nếu doanh nghiệp của bạn chỉ xử lý các dữ liệu cơ bản như họ tên, số điện thoại thông thường mà không chạm đến các thông tin "nhạy cảm", bạn có thể tạm thời chưa cần thiết lập bộ phận này. Tuy nhiên, ranh giới giữa dữ liệu thường và dữ liệu nhạy cảm đôi khi rất mong manh.

Nhận diện "Dữ liệu cá nhân nhạy cảm" – Bạn có đang xử lý chúng?

Để biết mình có thuộc diện bắt buộc hay không, doanh nghiệp cần đối chiếu với danh mục dữ liệu nhạy cảm. Theo pháp luật hiện hành, các loại thông tin sau được xếp vào nhóm đặc biệt cần bảo vệ:

• Thông tin tài chính: Dữ liệu khách hàng tại các tổ chức tín dụng, ngân hàng, bao gồm số dư tài khoản, lịch sử giao dịch và tài sản gửi.
• Thông tin sức khỏe: Tình trạng sức khỏe và đời tư ghi trong hồ sơ bệnh án (ngoại trừ nhóm máu).
• Dữ liệu định vị: Vị trí thực tế của cá nhân được xác định qua các dịch vụ GPS hoặc bản đồ số.
• Quan điểm và đời tư: Quan điểm chính trị, tôn giáo, nguồn gốc chủng tộc, đặc điểm di truyền và xu hướng tình dục.
• Dữ liệu tư pháp: Thông tin về hành vi phạm tội được thu thập bởi các cơ quan thực thi pháp luật.

Đặc quyền dành cho doanh nghiệp nhỏ và khởi nghiệp

Một điểm sáng trong chính sách là sự linh hoạt đối với các doanh nghiệp mới. Các doanh nghiệp siêu nhỏ, nhỏ, vừa và doanh nghiệp khởi nghiệp (startup) sẽ được miễn trừ nghĩa vụ chỉ định bộ phận bảo vệ dữ liệu trong vòng 02 năm đầu kể từ ngày thành lập. Đây là khoảng thời gian quý báu để các đơn vị này ổn định bộ máy trước khi bước vào guồng quay tuân thủ nghiêm ngặt.

Rủi ro khi "ngó lơ" quy định bảo mật

Việc không tuân thủ không chỉ dừng lại ở những lời nhắc nhở. Tùy theo mức độ vi phạm, doanh nghiệp có thể đối mặt với các hình thức xử phạt hành chính nặng nề, thậm chí là xử lý hình sự nếu gây ra hậu quả nghiêm trọng. Quan trọng hơn, việc rò rỉ dữ liệu cá nhân sẽ hủy hoại uy tín thương hiệu – thứ tài sản khó có thể gây dựng lại trong một sớm một chiều.

Lời khuyên cho các nhà quản lý là hãy chủ động rà soát lại toàn bộ quy trình thu thập và xử lý dữ liệu của mình ngay hôm nay. Nếu phát hiện có yếu tố "nhạy cảm", việc thành lập bộ phận chuyên trách và thông báo cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) là bước đi sống còn để bảo vệ doanh nghiệp trước những rủi ro pháp lý tiềm ẩn.