Trong bối cảnh hiện nay, việc sử dụng dữ liệu cá nhân không chỉ phục vụ hoạt động kinh doanh mà còn phản ánh mức độ chuyên nghiệp và năng lực quản trị của mỗi doanh nghiệp. Đi cùng với cơ hội khai thác dữ liệu là những yêu cầu pháp lý rõ ràng nhằm bảo đảm quyền riêng tư của người dùng.

Hoạt động thu thập và xử lý dữ liệu vì vậy không còn đơn thuần là các bước kỹ thuật, mà cần được xây dựng trên nền tảng tuân thủ Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP. Việc thực hiện đúng ngay từ đầu giúp doanh nghiệp hạn chế rủi ro pháp lý, đồng thời củng cố niềm tin của khách hàng và đối tác trong quá trình vận hành lâu dài.

1. Xác định đúng dữ liệu cá nhân và phân loại ngay từ đầu

Bước đầu tiên và quan trọng nhất khi thu thập dữ liệu cá nhân là hiểu rõ loại dữ liệu đang xử lý. Theo Nghị định 356/2025/NĐ-CP, dữ liệu cá nhân được chia thành hai nhóm chính:

Dữ liệu cá nhân cơ bản

Là các thông tin định danh phổ biến, thường phát sinh trong hoạt động kinh doanh, bao gồm: họ tên, ngày tháng năm sinh, giới tính, nơi cư trú, số điện thoại, email, tài khoản mạng xã hội và lịch sử hoạt động trên không gian mạng.

Dữ liệu cá nhân nhạy cảm

Đây là nhóm dữ liệu có mức độ rủi ro cao, khi bị xâm phạm có thể ảnh hưởng nghiêm trọng đến quyền và lợi ích hợp pháp của cá nhân, như: quan điểm chính trị, tôn giáo, tình trạng sức khỏe, dữ liệu di truyền, dữ liệu sinh trắc học, dữ liệu vị trí, thông tin về đời sống riêng tư và quan hệ gia đình.

Lưu ý: Việc xử lý dữ liệu cá nhân nhạy cảm luôn đi kèm yêu cầu bảo mật cao hơn và các thủ tục bắt buộc theo Nghị định 356.

2. Các nguyên tắc bắt buộc khi thu thập thông tin cá nhân

Để việc thu thập dữ liệu cá nhân hợp pháp, doanh nghiệp cần tuân thủ 04 nguyên tắc cốt lõi:

2.1. Nguyên tắc về sự đồng ý của chủ thể dữ liệu

Đây là nguyên tắc quan trọng hàng đầu được nhấn mạnh trong các thảo luận trước:

• Không được mặc định: Sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý. Doanh nghiệp không được sử dụng các ô đánh dấu sẵn (pre-ticked boxes) hoặc các biện pháp kỹ thuật để ép buộc người dùng đồng ý.

• Quyền lựa chọn chi tiết: Chủ thể dữ liệu phải có quyền đồng ý hoặc không đồng ý với từng mục đích xử lý cụ thể, thay vì bị bắt buộc đồng ý “trọn gói” để sử dụng dịch vụ.

• Lưu trữ bằng chứng: Đơn vị thu thập phải lưu trữ bằng chứng xác thực về sự đồng ý này (bằng văn bản, ghi âm, hoặc log hệ thống) để phục vụ công tác thanh tra.

2.2. Nguyên tắc tối thiểu hóa và đúng mục đích

• Chỉ thu thập dữ liệu cần thiết: Doanh nghiệp chỉ được phép thu thập những dữ liệu phục vụ trực tiếp cho mục đích đã thông báo.

• Phân loại dữ liệu: Cần phân định rõ giữa dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Việc thu thập dữ liệu nhạy cảm (như sinh trắc học, sức khỏe, vị trí…) đòi hỏi các biện pháp bảo vệ và quy trình chấp thuận nghiêm ngặt hơn so với dữ liệu cơ bản.

2.3. Nguyên tắc minh bạch và đảm bảo quyền của chủ thể

Doanh nghiệp phải đảm bảo khả năng đáp ứng các quyền của người dùng trong các thời hạn cụ thể (đã được đề cập trong lịch sử hội thoại):

• Thông báo xử lý: Phải thông báo rõ ràng cho chủ thể về loại dữ liệu, mục đích và bên thứ ba có liên quan.

• Thời hạn phản hồi: Đảm bảo quy trình kỹ thuật để phản hồi yêu cầu của khách hàng (ví dụ: phản hồi tiếp nhận trong 02 ngày, cho phép chỉnh sửa trong 10 ngày, xóa dữ liệu trong 20 ngày).

2.4. Nguyên tắc bảo mật và an toàn dữ liệu

Nghị định 356 quy định các biện pháp thi hành Luật, trong đó yêu cầu:

• Áp dụng biện pháp kỹ thuật: Sử dụng các phương pháp như khử nhận dạng (làm ẩn danh dữ liệu) hoặc mã hóa để bảo vệ thông tin.

• Nhân sự chuyên trách: Phải chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân (DPO) nếu hoạt động xử lý dữ liệu thuộc nhóm quy định bắt buộc.

3. Nghĩa vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA)

Theo Nghị định 356/2023/NĐ-CP, doanh nghiệp phải lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, đặc biệt khi xử lý dữ liệu nhạy cảm.

Xem thêm: Hướng dẫn 5 bước lập Hồ sơ Đánh giá Tác động Dữ liệu cá nhân chuẩn Nghị định 356/2025/NĐ-CP

4. Rủi ro và chế tài khi vi phạm quy định về dữ liệu cá nhân

Việc vi phạm quy định về bảo vệ dữ liệu cá nhân có thể khiến doanh nghiệp:

– Bị xử phạt hành chính với mức phạt lên đến hàng trăm triệu đồng
– Bị đình chỉ hoạt động xử lý dữ liệu
– Gánh chịu tổn thất nghiêm trọng về uy tín thương hiệu
– Thậm chí bị truy cứu trách nhiệm hình sự nếu gây hậu quả nghiêm trọng

Tìm hiểu thêm: 4 Chế tài nghiêm trọng khi vi phạm luật bảo vệ dữ liệu cá nhân doanh nghiệp cần lưu ý

Kết luận

Thu thập thông tin cá nhân là một phần không thể thiếu trong hoạt động kinh doanh hiện đại, nhưng phải được thực hiện trên nền tảng minh bạch – tuân thủ – tôn trọng quyền riêng tư. Doanh nghiệp cần rà soát lại toàn bộ quy trình thu thập dữ liệu, xây dựng chính sách bảo vệ dữ liệu rõ ràng và nâng cao nhận thức cho đội ngũ nhân sự.
Tuân thủ pháp luật không chỉ giúp giảm thiểu rủi ro mà còn là cách hiệu quả nhất để xây dựng niềm tin bền vững với khách hàng.