Trong kỷ nguyên số, dữ liệu cá nhân được ví như "dầu mỏ" mới của doanh nghiệp. Tuy nhiên, việc khai thác nguồn tài nguyên này không còn là chuyện tự ý. Với sự ra đời của Nghị định 13/2023/NĐ-CP và Luật Bảo vệ quyền lợi người tiêu dùng 2023, các Công ty TNHH một thành viên phải đối mặt với những quy chuẩn khắt khe hơn bao giờ hết để bảo vệ quyền riêng tư của khách hàng.

Thiết lập chính sách bảo vệ dữ liệu: Không chỉ là hình thức

Theo quy định tại Điều 13 Nghị định 13/2023/NĐ-CP, doanh nghiệp phải thông báo cho chủ thể dữ liệu về hoạt động xử lý dữ liệu cá nhân trước khi tiến hành. Chính sách này không được viết chung chung mà phải cụ thể hóa các nội dung:

• Mục đích xử lý: Phải nêu rõ dữ liệu được dùng để làm gì (ví dụ: để giao hàng, để chăm sóc khách hàng).
• Loại dữ liệu: Liệt kê rõ các thông tin thu thập (họ tên, số điện thoại, địa chỉ...).
• Thời gian lưu trữ: Phải có thời hạn cụ thể hoặc tiêu chí xác định thời hạn.
• Quyền của khách hàng: Bao gồm quyền truy cập, chỉnh sửa, xóa dữ liệu hoặc rút lại sự đồng ý.

Đặc biệt, đối với các website thương mại điện tử, Điều 69 Nghị định 52/2013/NĐ-CP yêu cầu chính sách này phải được công bố công khai tại vị trí dễ thấy nhất.

Sự đồng ý của khách hàng: "Chìa khóa vàng" pháp lý

Một trong những thay đổi quan trọng nhất là cơ chế xin phép. Doanh nghiệp không được mặc định khách hàng đồng ý. Theo Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý phải được thể hiện rõ ràng, cụ thể và tự nguyện.

"Sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý."

Bên cạnh đó, Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng 2023 nhấn mạnh doanh nghiệp phải có cơ chế riêng để khách hàng lựa chọn việc cho phép chia sẻ thông tin cho bên thứ ba hoặc sử dụng thông tin để quảng cáo.

Nghĩa vụ bảo đảm an toàn và báo cáo sự cố

Khi đã nắm giữ dữ liệu, Công ty TNHH một thành viên trở thành "Bên kiểm soát dữ liệu". Theo Điều 26 Nghị định 13/2023/NĐ-CP, doanh nghiệp phải áp dụng các biện pháp quản lý và kỹ thuật để ngăn chặn việc đánh cắp hoặc tiếp cận thông tin trái phép.

Trong trường hợp xảy ra sự cố rò rỉ dữ liệu, doanh nghiệp phải thông báo cho cơ quan chức năng (Bộ Công an) trong vòng 72 giờ kể từ khi phát hiện vi phạm. Việc chậm trễ hoặc che giấu sự cố có thể dẫn đến những hình phạt hành chính cực nặng, thậm chí là truy cứu trách nhiệm hình sự nếu gây hậu quả nghiêm trọng.

Lời khuyên cho doanh nghiệp

Để đảm bảo an toàn pháp lý, các Công ty TNHH một thành viên nên chủ động rà soát lại toàn bộ quy trình thu thập dữ liệu hiện tại. Hãy đảm bảo rằng mọi biểu mẫu đăng ký đều có ô tích chọn (checkbox) không mặc định để khách hàng bày tỏ sự đồng ý. Đồng thời, việc xây dựng một hệ thống lưu trữ bảo mật và có quy trình ứng phó sự cố dữ liệu là điều không thể thiếu trong bối cảnh hiện nay.