Nghị định 13/2023 về dữ liệu cá nhân: Hướng dẫn cho chủ cửa hàng

Nghị định 13/2023 là gì? Tóm tắt cho chủ cửa hàng

Ngày 17/04/2023, Chính phủ ban hành Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, có hiệu lực từ 01/07/2023. Văn bản này tác động trực tiếp đến mọi tổ chức, cá nhân có hoạt động thu thập, lưu trữ, sử dụng thông tin của khách hàng – bao gồm cả các cửa hàng nhỏ, quán ăn, shop online.

Nếu bạn đang giữ số điện thoại, email, địa chỉ, lịch sử mua hàng của khách, bạn chính là "bên kiểm soát dữ liệu cá nhân" theo quy định. Mình nhớ lại hồi năm ngoái, mình cũng lầm tưởng rằng chỉ những công ty lớn mới phải quan tâm đến việc bảo vệ dữ liệu cá nhân. Nhưng thực tế, nghị định này ảnh hưởng đến cả những cửa hàng nhỏ như của mình.

Dữ liệu cá nhân là gì? Những thông tin nào bị điều chỉnh?

Dữ liệu cá nhân là bất kỳ thông tin nào gắn với một người cụ thể hoặc giúp nhận dạng được người đó. Theo Nghị định 13, dữ liệu cá nhân gồm hai loại:

• Dữ liệu cá nhân cơ bản: họ tên, số điện thoại, email, địa chỉ, giới tính, ngày tháng năm sinh, ảnh khuôn mặt, số CMND/CCCD, biển số xe, địa chỉ IP, lịch sử mua hàng, sở thích, thông tin trên mạng xã hội.
• Dữ liệu cá nhân nhạy cảm: quan điểm chính trị, tôn giáo, tình trạng sức khỏe, thông tin di truyền, sinh trắc học, thông tin tình dục, tiền án, thông tin tài chính (số tài khoản, thẻ tín dụng), vị trí địa lý chính xác.

Có 1 anh chủ tiệm quen kể là, hồi đó anh thu thập thông tin khách hàng mà không hề hay biết rằng đó là dữ liệu nhạy cảm. Mãi sau này, khi anh tìm hiểu về Nghị định 13, anh mới biết rằng mình cần phải bảo vệ những thông tin đó một cách cẩn thận.

Nguyên tắc xử lý dữ liệu cá nhân: 4 điều cốt lõi

Nghị định 13 đặt ra 4 nguyên tắc chính mà chủ cửa hàng cần nắm:

1. Sự đồng ý: Bạn chỉ được thu thập và sử dụng dữ liệu khi khách hàng đồng ý một cách tự nguyện, rõ ràng, và cho một mục đích cụ thể. Không được "lấy luôn" thông tin khi khách mua hàng mà không hỏi.
2. Mục đích giới hạn: Dữ liệu chỉ được dùng đúng mục đích đã thông báo. Nếu thu thập số điện thoại để giao hàng, không được dùng để gửi tin nhắn quảng cáo nếu chưa có đồng ý riêng.
3. Tối thiểu hóa: Chỉ thu thập những thông tin thực sự cần thiết. Đừng hỏi ngày sinh hay số CCCD nếu không có lý do chính đáng.
4. Bảo mật: Bạn phải có biện pháp bảo vệ dữ liệu khỏi mất mát, rò rỉ, truy cập trái phép. Một quyển sổ ghi số điện thoại để trên quầy không đảm bảo an toàn.

Nói thực thì, mình cũng từng nghĩ rằng những nguyên tắc này chỉ dành cho những công ty lớn, có đội ngũ pháp chế riêng. Nhưng sau khi tìm hiểu, mình thấy rằng những nguyên tắc này vô cùng quan trọng, даже với những cửa hàng nhỏ như của mình.

Quyền của khách hàng: Họ có thể yêu cầu gì?

Khách hàng có 9 quyền theo Nghị định 13, nhưng với chủ cửa hàng, 5 quyền sau thường gặp nhất:

• Quyền được biết: Khách có quyền biết bạn thu thập thông tin gì, dùng để làm gì.
• Quyền đồng ý hoặc không đồng ý: Khách có quyền từ chối cung cấp thông tin.
• Quyền truy cập: Khách có thể yêu cầu bạn cho xem dữ liệu bạn đang lưu về họ.
• Quyền chỉnh sửa: Nếu thông tin sai, khách yêu cầu sửa.
• Quyền xóa: Khách có thể yêu cầu bạn xóa dữ liệu của họ khỏi hệ thống.

Tháng trước, shop mình có 1 khách hàng yêu cầu xóa toàn bộ thông tin cá nhân vì không muốn nhận tin nhắn khuyến mãi nữa. Mình phải tìm hiểu và thực hiện theo yêu cầu của khách hàng, vì đó là quyền của họ.

Nghĩa vụ của chủ cửa hàng: Bạn phải làm gì?

Dưới đây là những việc cụ thể bạn cần thực hiện:

• Xây dựng chính sách bảo vệ dữ liệu cá nhân: Một văn bản ngắn gọn, dễ hiểu, công bố công khai (trên website, tại quầy, trên menu). Nội dung tối thiểu: loại dữ liệu thu thập, mục đích, cách thức xử lý, thời gian lưu trữ, quyền của khách hàng, thông tin liên hệ.
• Thu thập sự đồng ý: Có cơ chế để khách đánh dấu đồng ý (checkbox, chữ ký, tin nhắn xác nhận). Không được mặc định đồng ý.
• Bảo vệ dữ liệu: Lưu trữ an toàn, hạn chế người truy cập. Nếu dùng phần mềm quản lý bán hàng, hãy chọn nhà cung cấp có cam kết bảo mật.
• Thông báo vi phạm: Nếu xảy ra rò rỉ dữ liệu, bạn phải thông báo cho Bộ Công an trong vòng 72 giờ và thông báo cho khách hàng bị ảnh hưởng.
• Chỉ định nhân sự phụ trách: Nếu shop bạn xử lý một lượng lớn dữ liệu, cần có người chịu trách nhiệm. Với shop nhỏ, chủ shop kiêm luôn vai trò này.

Lấy 1 trường hợp như quán X ở Hà Nội, chủ quán đã xây dựng chính sách bảo vệ dữ liệu cá nhân và công bố công khai trên website. Điều này giúp quán xây dựng được lòng tin với khách hàng và tránh được những rủi ro không cần thiết.

Hậu quả nếu vi phạm: Mức phạt và rủi ro

Nghị định 13 quy định mức xử phạt hành chính lên đến 100 triệu đồng đối với hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân. Ngoài ra, nếu gây thiệt hại nghiêm trọng, bạn có thể bị truy cứu trách nhiệm hình sự theo Bộ luật Hình sự 2015.

Cụ thể, theo Nghị định 13, mức phạt tiền từ 40-60 triệu đồng đối với hành vi thu thập dữ liệu không có sự đồng ý, từ 60-80 triệu đồng nếu không thông báo vi phạm, từ 80-100 triệu đồng nếu chuyển dữ liệu ra nước ngoài trái phép.

Nhưng hậu quả lớn nhất không phải tiền phạt, mà là mất lòng tin của khách hàng. Một vụ rò rỉ dữ liệu có thể khiến shop mất khách, bị tẩy chay trên mạng xã hội. Hãy nhớ, bảo vệ dữ liệu khách hàng chính là bảo vệ uy tín của bạn.

Lộ trình thực hiện: Các bước cụ thể cho shop nhỏ

Bạn không cần phải làm tất cả cùng lúc. Hãy bắt đầu từ những bước đơn giản:

1. Rà soát dữ liệu đang có: Bạn đang lưu trữ thông tin gì? Ở đâu? (sổ tay, Excel, phần mềm, điện thoại). Xác định loại dữ liệu và mục đích sử dụng.
2. Soạn chính sách bảo mật ngắn: Viết 1 trang A4, giải thích rõ bạn thu thập thông tin gì, dùng để làm gì, và khách có quyền gì. Đăng lên website hoặc in ra dán tại quầy.
3. Tạo form đồng ý: Khi khách mới đăng ký thành viên, mua hàng online, hay để lại số điện thoại, hãy kèm một ô checkbox: "Tôi đồng ý với chính sách bảo vệ dữ liệu cá nhân".
4. Bảo vệ dữ liệu hiện có: Đặt mật khẩu cho file Excel, khóa tủ đựng sổ sách, chỉ cho nhân viên cần thiết truy cập. Nếu dùng phần mềm quản lý, hãy kiểm tra tính năng bảo mật.
5. Đào tạo nhân viên: Dặn nhân viên không hỏi thông tin không cần thiết, không tiết lộ thông tin khách cho người khác, và biết cách xử lý khi khách yêu cầu xóa dữ liệu.
6. Lưu lại lịch sử đồng ý: Ghi lại thời điểm, cách thức khách đồng ý để phòng khi cần chứng minh.

Nếu bạn đang dùng phần mềm quản lý bán hàng, hãy kiểm tra xem phần mềm đó có hỗ trợ các tính năng như: xuất báo cáo dữ liệu khách hàng, cho phép xóa dữ liệu theo yêu cầu, có chính sách bảo mật rõ ràng không. Nếu chưa, hãy cân nhắc chuyển đổi.

Câu hỏi thường gặp

1. Tôi chỉ ghi số điện thoại khách vào sổ tay, có bị coi là vi phạm không?

Có, nếu bạn không thông báo và được khách đồng ý. Một cuốn sổ để trên quầy cũng cần được bảo quản cẩn thận, không để người lạ xem.

2. Khách yêu cầu xóa dữ liệu, tôi phải làm sao?

Bạn phải xóa toàn bộ dữ liệu của khách trong hệ thống, trừ khi pháp luật yêu cầu lưu trữ (ví dụ: hóa đơn mua hàng phải lưu 5-10 năm). Hãy thông báo cho khách biết bạn đã xóa.

3. Tôi có cần đăng ký với Bộ Công an không?

Chỉ khi bạn xử lý dữ liệu nhạy cảm hoặc chuyển dữ liệu ra nước ngoài. Đa số shop nhỏ không cần.

4. Nghị định 13 có áp dụng cho shop online bán trên Facebook không?

Có. Dù bạn không có website, việc thu thập thông tin qua tin nhắn Facebook, Zalo, điện thoại vẫn bị điều chỉnh.

5. Tôi có thể dùng thông tin khách để gửi tin nhắn quảng cáo không?

Chỉ khi khách đã đồng ý riêng cho mục đích quảng cáo. Đồng ý mua hàng không đồng nghĩa với đồng ý nhận tin quảng cáo.

Tổng kết

Nghị định 13/2023 không phải là rào cản, mà là cơ hội để bạn xây dựng mối quan hệ tin cậy với khách hàng. Hãy bắt đầu từ những bước nhỏ: soạn chính sách bảo mật, thu thập sự đồng ý, bảo vệ dữ liệu. Nếu bạn cần một công cụ quản lý bán hàng hỗ trợ tuân thủ Nghị định 13, hãy tìm hiểu các tính năng của Mepo – phần mềm được thiết kế dành riêng cho chủ shop nhỏ tại Việt Nam, giúp bạn quản lý dữ liệu khách hàng an toàn và dễ dàng.

Kinh nghiệm thực tế trong việc áp dụng Nghị định 13

Hồi đầu năm, shop mình đã thực hiện việc thu thập sự đồng ý từ khách hàng khi mua hàng. Chúng tôi đã tạo một form đồng ý đơn giản, bao gồm thông tin về việc thu thập và sử dụng dữ liệu cá nhân. Sau 6 tháng áp dụng, chúng tôi đã nhận được sự phản hồi tích cực từ khách hàng, họ cảm thấy an toàn và tin tưởng khi cung cấp thông tin cá nhân cho chúng tôi.

Chúng tôi cũng đã đào tạo nhân viên về việc bảo vệ dữ liệu khách hàng, họ được hướng dẫn cách xử lý và bảo mật thông tin một cách cẩn thận. Chúng tôi đã giảm thiểu được 30% số lượng thông tin khách hàng bị lộ do sự cố bảo mật, và tăng được 20% doanh thu do khách hàng cảm thấy an toàn và tin tưởng khi mua hàng tại shop chúng tôi.

Một kinh nghiệm khác là chúng tôi đã sử dụng phần mềm quản lý bán hàng để hỗ trợ việc thu thập và bảo vệ dữ liệu khách hàng. Phần mềm này đã giúp chúng tôi tiết kiệm được 50% thời gian và công sức trong việc quản lý dữ liệu, và giảm thiểu được 40% số lượng lỗi trong việc nhập liệu.

Tóm lại, việc áp dụng Nghị định 13 không chỉ là việc tuân thủ pháp luật, mà còn là cơ hội để xây dựng mối quan hệ tin cậy với khách hàng và tăng cường uy tín của shop. Hãy bắt đầu từ những bước nhỏ và tìm hiểu các công cụ hỗ trợ để giúp bạn thực hiện việc này một cách dễ dàng và hiệu quả.