Bảo vệ dữ liệu cá nhân khi có khách hàng ở nhiều nước

Một hiểu lầm phổ biến: "doanh nghiệp tôi ở Việt Nam nên chỉ cần theo luật Việt Nam".

Với dữ liệu cá nhân thì không hẳn — quy định của nhiều nước áp dụng theo nơi người dùng cư trú, chứ không theo nơi doanh nghiệp đặt trụ sở.

Khi nào thuộc phạm vi

• Có khách hàng là cá nhân ở nước đó và thu thập thông tin của họ.
• Có trang thông tin hướng tới người dùng ở nước đó — ngôn ngữ bản địa, giá bằng đồng tiền của họ.
• Có nhân viên ở nước đó — dữ liệu nhân sự cũng là dữ liệu cá nhân.
• Có pháp nhân đặt tại nước đó.

🔴 Điểm thứ ba hay bị quên nhất — hồ sơ nhân sự của đội ngũ ở nước ngoài thuộc phạm vi quy định của nước đó.

Những gì thường được yêu cầu

1. Cơ sở pháp lý để xử lý dữ liệu — đồng ý, thực hiện hợp đồng, hoặc căn cứ khác theo quy định.
2. Thông báo rõ ràng cho người dùng về việc thu thập gì, dùng làm gì, lưu bao lâu.
3. Quyền của người dùng — được biết, được sửa, được xoá, được rút lại đồng ý.
4. Bảo mật dữ liệu bằng biện pháp kỹ thuật và tổ chức phù hợp.
5. Quy định về chuyển dữ liệu ra nước khác.

Nội dung và mức độ chi tiết khác nhau đáng kể giữa các nước — cần tư vấn theo từng thị trường, không áp dụng một chính sách chung cho tất cả.

Chuyển dữ liệu xuyên biên giới

⚠️ Dòng thứ ba gây bất ngờ nhiều nhất: chuyển dữ liệu khách hàng từ công ty con về công ty mẹ không phải việc nội bộ đơn thuần dưới góc nhìn của quy định.

Mức tối thiểu nên làm

• Liệt kê dữ liệu cá nhân mình đang giữ — của ai, loại gì, lưu ở đâu, ai truy cập được.
• Chính sách quyền riêng tư bằng ngôn ngữ của thị trường chính.
• Chỉ thu thập những gì thật sự cần — thu ít thì rủi ro ít.
• Xoá khi không còn cần, theo thời hạn đã công bố.
• Phân quyền truy cập trong nội bộ.

🔴 Điểm ba là biện pháp hiệu quả nhất và rẻ nhất: dữ liệu không thu thập là dữ liệu không thể rò rỉ và không phải bảo vệ.

Dữ liệu trong hoạt động marketing

Nhóm hay vi phạm nhất mà không biết, vì nó nằm ở bộ phận không quen nghĩ tới quy định:

1. Gửi thư quảng bá cho danh sách chưa có sự đồng ý phù hợp.
2. Mua danh sách liên hệ từ bên thứ ba — nguồn gốc dữ liệu thường không xác minh được.
3. Công cụ theo dõi trên trang hoạt động trước khi người dùng đồng ý.
4. Không có cách huỷ đăng ký rõ ràng và hiệu lực ngay.

🔴 Điểm hai nên tránh hoàn toàn với thị trường nước ngoài: danh sách mua về gần như không bao giờ có cơ sở pháp lý để mình sử dụng.

Khi có sự cố

1. Nhiều nước yêu cầu thông báo trong thời hạn rất ngắn khi có rò rỉ dữ liệu.
2. Thông báo cho cơ quan có thẩm quyền và có thể cả cho người bị ảnh hưởng.
3. Ghi lại toàn bộ diễn biến và biện pháp khắc phục.
4. Tham vấn tư vấn tại nước đó ngay, vì thời hạn tính bằng giờ hoặc ngày.

Nên có sẵn một quy trình xử lý sự cố trước khi cần tới — thời hạn quá ngắn để xây quy trình khi sự việc đã xảy ra.

Với đội ngũ ở nước ngoài

• Hồ sơ nhân sự, lương, đánh giá đều là dữ liệu cá nhân
• Cần cơ sở pháp lý để lưu và xử lý, kể cả khi người lao động đã ký hợp đồng
• Việc chuyển hồ sơ về trụ sở ở Việt Nam là chuyển xuyên biên giới
• Nhân viên có quyền yêu cầu xem dữ liệu về mình ở nhiều nước