Nghị định 13/2023 về dữ liệu cá nhân: doanh nghiệp giữ data khách cần làm gì?

Từ 07/2023, Nghị định 13/2023/NĐ-CP đưa việc bảo vệ dữ liệu cá nhân thành nghĩa vụ pháp lý của mọi doanh nghiệp Việt — kể cả SME chỉ giữ vài nghìn số điện thoại khách. Danh sách khách trong file Excel chuyền qua Zalo giờ là một rủi ro kép: vừa mất tài sản, vừa vi phạm.

Doanh nghiệp giữ data khách phải làm gì?

• Có sự đồng ý: thu thập SĐT/email phải cho khách biết mục đích — form website cần checkbox đồng ý rõ ràng.
• Dùng đúng mục đích đã báo: xin số để tư vấn thì đừng bán data hay nhắn nội dung không liên quan.
• Bảo vệ dữ liệu: phân quyền truy cập, mã hoá, không để file khách hàng trôi nổi trên máy cá nhân.
• Đáp ứng quyền của chủ thể: khách yêu cầu xoá/sửa thông tin thì phải làm được và có quy trình.
• Thông báo khi rò rỉ: có sự cố phải báo cơ quan chức năng trong 72 giờ.

CRM là công cụ tuân thủ, không chỉ công cụ bán hàng

Những nghĩa vụ trên gần như bất khả thi với "hệ thống Excel": không phân quyền được, không biết ai đã copy file, không xoá triệt để được một khách. CRM chuẩn giải quyết tự nhiên: phân quyền theo vai trò, nhật ký truy cập, xoá/ẩn danh một hồ sơ trong một thao tác, và checkbox đồng ý gắn ngay trên form thu lead.

Lộ trình tuân thủ 30 ngày cho SME

Tuân thủ Nghị định 13/2023/NĐ-CP không cần dự án tư vấn đắt đỏ — SME làm được trong 30 ngày với lộ trình gọn. Tuần 1: kiểm kê — liệt kê mọi nơi đang giữ dữ liệu cá nhân (CRM, Excel, Zalo nhóm, email, phần mềm kế toán), phân loại cơ bản và nhạy cảm (tài chính, sức khoẻ, sinh trắc). Tuần 2: hợp pháp hoá đầu vào — bổ sung mục đồng ý thu thập vào mọi form (website, sự kiện, hợp đồng), viết thông báo xử lý dữ liệu ngắn gọn công bố trên website. Tuần 3: siết nội bộ — phân quyền CRM theo vai trò (sale chỉ thấy khách của mình, xuất Excel toàn bộ chỉ dành cho quản lý), quy định cấm lưu dữ liệu khách trên thiết bị cá nhân. Tuần 4: hồ sơ và ứng phó — lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo mẫu, chỉ định đầu mối phụ trách, viết quy trình 72 giờ khi có sự cố lộ dữ liệu. Xong bốn tuần này, doanh nghiệp đã đứng vững trước các yêu cầu thanh tra phổ biến nhất.

• Quyền của chủ thể phải đáp ứng được: khách yêu cầu xem, sửa, xoá dữ liệu của họ — CRM tốt xử lý trong vài phút.
• Hợp đồng với bên xử lý thuê ngoài (agency chạy quảng cáo, đơn vị telesale) phải có điều khoản bảo vệ dữ liệu.
• Mức phạt đề xuất cho vi phạm nghiêm trọng lên tới 5% doanh thu — phòng luôn rẻ hơn chữa.

CRM đúng chuẩn giúp tuân thủ thành phản xạ

Điểm ít người nhận ra: một CRM thiết kế tốt biến phần lớn nghĩa vụ pháp lý thành tính năng chạy tự động. Trường "nguồn và căn cứ thu thập" gắn theo từng liên hệ trả lời câu hỏi "dữ liệu này ở đâu ra"; nhật ký truy cập (ai xem, ai sửa, ai xuất, lúc nào) chính là bằng chứng kiểm soát nội bộ khi bị hỏi; tính năng ẩn danh hoá/xoá theo yêu cầu đáp ứng quyền được quên; và phân quyền chi tiết chặn đứng kịch bản rủi ro nhất của SME Việt — nhân viên nghỉ việc mang theo toàn bộ file Excel khách hàng. So sánh với cách vận hành "dữ liệu khách trong Zalo cá nhân từng sale": không chỉ vi phạm nghị định mà còn là rủi ro kinh doanh trần trụi. Tuân thủ và bảo vệ tài sản, hoá ra, là cùng một việc.

Oh CRM lưu trữ dữ liệu tách biệt từng doanh nghiệp, mã hoá truyền tải, phân quyền chi tiết — thiết kế sẵn cho yêu cầu của Nghị định 13. Chi tiết chính sách dữ liệu xem tại trang Chính sách bảo vệ dữ liệu cá nhân của ttis.vn.