Trong bối cảnh kinh tế số phát triển mạnh mẽ vào đầu năm 2020, việc thu thập và xử lý dữ liệu cá nhân đã trở thành một phần không thể thiếu trong hoạt động của các doanh nghiệp thương mại điện tử. Tuy nhiên, ranh giới giữa việc khai thác dữ liệu để phục vụ kinh doanh và hành vi xâm phạm quyền riêng tư là rất mong manh. Để hoạt động hợp pháp, các đơn vị cần nắm vững các quy định nghiêm ngặt tại Nghị định 52/2013/NĐ-CP.
1. Nghĩa vụ xây dựng và công khai chính sách bảo vệ thông tin
Theo quy định tại Điều 68 Nghị định 52/2013/NĐ-CP, doanh nghiệp thu thập thông tin cá nhân phải xây dựng và hiển thị rõ ràng chính sách bảo vệ thông tin cho người tiêu dùng. Chính sách này không được để ở dạng ẩn mà phải xuất hiện trước hoặc tại thời điểm thu thập dữ liệu.
Các nội dung bắt buộc phải có trong chính sách bao gồm:
- Mục đích và phạm vi: Nêu rõ thu thập để làm gì và sử dụng trong giới hạn nào.
- Thời gian lưu trữ: Dữ liệu sẽ được giữ trong bao lâu?
- Đối tượng tiếp cận: Những bên thứ ba nào (nếu có) được quyền xem dữ liệu này.
- Thông tin liên hệ: Địa chỉ và cách thức để khách hàng khiếu nại hoặc yêu cầu chỉnh sửa dữ liệu.
"Đơn vị thu thập thông tin phải thiết lập cơ chế để chủ thể thông tin tiếp cận, chỉnh sửa hoặc yêu cầu hủy bỏ thông tin cá nhân của mình trên hệ thống."
2. Cơ chế xin phép và sự đồng ý của người tiêu dùng
Một sai lầm phổ biến của nhiều website là tự ý thu thập dữ liệu mà không có sự xác nhận từ người dùng. Pháp luật quy định doanh nghiệp phải được sự đồng ý trước của chủ thể thông tin, trừ các trường hợp đặc biệt như thu thập dữ liệu đã công khai hoặc để thực hiện hợp đồng mua bán.
Đặc biệt, doanh nghiệp phải có cơ chế riêng để khách hàng lựa chọn việc cho phép hoặc không cho phép chia sẻ thông tin cho bên thứ ba hoặc sử dụng thông tin để gửi quảng cáo. Việc mặc định "đồng ý tất cả" mà không cho người dùng lựa chọn là hành vi vi phạm quy định về bảo vệ quyền lợi người tiêu dùng.
3. Đảm bảo an toàn hệ thống và chế tài xử phạt
Không chỉ dừng lại ở việc xin phép, doanh nghiệp còn có trách nhiệm bảo đảm an toàn, ngăn chặn các hành vi đánh cắp, tiếp cận trái phép hoặc phá hủy dữ liệu. Trong trường hợp hệ thống bị tấn công, đơn vị phải thông báo cho cơ quan chức năng trong vòng 24 giờ kể từ khi phát hiện sự cố.
Nếu không tuân thủ các quy định nêu trên, doanh nghiệp có thể đối mặt với các mức xử phạt hành chính nghiêm khắc. Cụ thể, tại Điều 66 Nghị định 174/2013/NĐ-CP, hành vi thu thập, sử dụng, phát tán, kinh doanh thông tin cá nhân trái pháp luật có thể bị phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng (đối với cá nhân) và gấp đôi đối với tổ chức.
Việc tuân thủ pháp luật không chỉ giúp doanh nghiệp tránh được các rủi ro pháp lý mà còn là cách để xây dựng niềm tin bền vững với khách hàng trong kỷ nguyên số.