Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân là một trong những văn bản pháp lý quan trọng nhất mà doanh nghiệp hoạt động tại Việt Nam cần nắm được, dù doanh nghiệp hoạt động trong lĩnh vực nào. Bài viết này tóm tắt những điểm doanh nghiệp nên hiểu trước khi bắt đầu rà soát nội bộ.
Nghị định áp dụng cho ai?
Nghị định 13/2023 áp dụng cho các tổ chức, cá nhân xử lý dữ liệu cá nhân tại Việt Nam, bao gồm cả doanh nghiệp có trụ sở ở nước ngoài nhưng xử lý dữ liệu cá nhân của người tại Việt Nam. "Xử lý dữ liệu cá nhân" được hiểu rộng: thu thập, lưu trữ, sử dụng, chia sẻ, xóa dữ liệu đều nằm trong phạm vi điều chỉnh.
Những nghĩa vụ chính doanh nghiệp cần lưu ý
Ở mức tổng quan, doanh nghiệp thường cần rà soát các nhóm nội dung sau:
- Căn cứ xử lý hợp pháp — xác định rõ vì sao doanh nghiệp được phép thu thập và sử dụng một loại dữ liệu cá nhân cụ thể (ví dụ: sự đồng ý của chủ thể dữ liệu, thực hiện hợp đồng, hoặc nghĩa vụ pháp luật).
- Quyền của chủ thể dữ liệu — cá nhân có quyền được biết, truy cập, chỉnh sửa, rút lại sự đồng ý và yêu cầu xóa dữ liệu của mình trong một số trường hợp.
- Biện pháp bảo vệ dữ liệu — áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân khỏi truy cập, sử dụng hoặc tiết lộ trái phép.
- Thông báo và ứng phó sự cố — có quy trình phát hiện, xử lý và thông báo khi xảy ra sự cố liên quan đến dữ liệu cá nhân.
- Quản lý bên thứ ba — kiểm soát việc chia sẻ dữ liệu cá nhân cho đối tác, nhà cung cấp hoặc bên xử lý dữ liệu khác.
Doanh nghiệp nên bắt đầu từ đâu?
Một cách tiếp cận thực tế là bắt đầu bằng việc nhận diện: doanh nghiệp đang thu thập những loại dữ liệu cá nhân nào, ở đâu, và vì mục đích gì. Sau khi có bức tranh tổng thể, doanh nghiệp đối chiếu với từng nhóm nghĩa vụ ở trên để xác định khoảng trống cần hoàn thiện.
Đây cũng chính là cách tiếp cận trong bài đánh giá tuân thủ miễn phí của AISA — một công cụ tham khảo giúp doanh nghiệp tự rà soát nhanh 7 nhóm nội dung liên quan, trước khi đi sâu vào tư vấn pháp lý chi tiết.
Công nghệ hỗ trợ như thế nào?
Về mặt biện pháp bảo vệ kỹ thuật, các nền tảng bảo mật dữ liệu lấy tài liệu làm trung tâm — như Sản phẩm — hỗ trợ doanh nghiệp kiểm soát quyền truy cập, ghi nhận nhật ký sử dụng và giới hạn việc chia sẻ dữ liệu cá nhân chứa trong tài liệu. Đây là một phần trong bức tranh tổng thể, không thay thế cho việc xây dựng chính sách nội bộ và tư vấn pháp lý.
