Nghị định 13 về bảo vệ dữ liệu cá nhân — doanh nghiệp nhỏ có thực sự phải tuân thủ?

Có, doanh nghiệp nhỏ vẫn phải tuân thủ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân nếu có thu thập, lưu trữ, hoặc xử lý thông tin cá nhân khách hàng (tên, số điện thoại, email, địa chỉ) — không có ngoại lệ theo quy mô doanh nghiệp trong phần lớn nghĩa vụ cơ bản. Việc cần làm ngay không phải một hệ thống bảo mật phức tạp, mà là 3 việc nền tảng: có văn bản thông báo mục đích thu thập dữ liệu, xin sự đồng ý rõ ràng, và có biện pháp bảo vệ dữ liệu tối thiểu (giới hạn người truy cập, không chia sẻ tùy tiện cho bên thứ ba). Đây là mảng pháp lý mới mà rất nhiều SME Việt Nam chưa cập nhật kịp.

Tôi thường thấy chủ doanh nghiệp nhỏ nhìn Nghị định 13 như một thủ tục pháp lý phải đối phó, nhưng bản chất của nó gần với lời hứa hơn là quy định — mỗi lần khách hàng đưa số điện thoại hay email cho doanh nghiệp, họ đang trao một phần niềm tin, không chỉ một dòng dữ liệu. Ba việc nền tảng (thông báo, xin đồng ý, giới hạn truy cập) không tốn nhiều tiền nhưng cần làm sớm, vì sửa một hệ thống thu thập dữ liệu đã vận hành sai suốt nhiều năm luôn khó và tốn kém hơn làm đúng từ ngày đầu. Đừng chờ đến khi có khách hàng khiếu nại mới bắt đầu rà soát.

• ☐ Đã liệt kê đủ mọi điểm đang thu thập dữ liệu cá nhân (form đăng ký, CRM, chương trình khách hàng thân thiết, form khảo sát) chưa?
• ☐ Mỗi điểm thu thập đã có dòng thông báo mục đích sử dụng và một bước xác nhận đồng ý (checkbox, chữ ký) chưa, hay vẫn đang mặc định thu thập rồi dùng tùy ý?
• ☐ Quyền xem danh sách khách hàng đã được phân theo đúng vị trí công việc, hay toàn bộ nhân viên vẫn truy cập được như nhau?
• ☐ Đã có quy trình tiếp nhận và xử lý yêu cầu xem/sửa/xóa dữ liệu của khách hàng trong thời hạn quy định chưa?
• ☐ Việc chia sẻ dữ liệu khách hàng cho bên thứ ba (đối tác, nhà cung cấp dịch vụ) có đang đúng với mục đích đã thông báo ban đầu không?