Một hộ kinh doanh hay shop nhỏ cần làm sáu việc: biết mình đang giữ dữ liệu gì của ai và để làm gì; thu ít nhất có thể; xin đồng ý đúng cách và lưu lại bằng chứng; thông báo rõ cho khách và nhân viên; khoá chặt chỗ lưu và phân quyền; đáp ứng khi người ta hỏi về dữ liệu của họ, kể cả khi bị lộ. Phần lớn những việc này làm trong vài buổi, sau đó chỉ cần duy trì.
Từ khi khung pháp lý về dữ liệu cá nhân được nâng lên thành luật, nhiều chủ tiệm lo lắng vì nghe nói có các nghĩa vụ như hồ sơ đánh giá tác động, người phụ trách bảo vệ dữ liệu. Văn bản có cơ chế giảm nhẹ một số nghĩa vụ hành chính cho doanh nghiệp nhỏ, siêu nhỏ và hộ kinh doanh trong giai đoạn đầu, trừ khi xử lý dữ liệu nhạy cảm hoặc số lượng lớn. Phạm vi miễn giảm cụ thể nên tra văn bản hiện hành hoặc hỏi luật sư; còn những việc cốt lõi trong bài này thì không ai được miễn.
Bài này là khung tổng thể, đi từ "đang có gì" tới "làm gì trước, làm gì sau", lấy ví dụ từ tiệm cà phê, spa, shop online và người làm dịch vụ tự do.
Hộ kinh doanh có thật sự phải lo chuyện này không?
Có. Pháp luật về bảo vệ dữ liệu cá nhân áp cho mọi tổ chức, cá nhân có xử lý dữ liệu cá nhân, và "xử lý" được hiểu rất rộng: thu thập, ghi, lưu trữ, sắp xếp, sử dụng, chia sẻ, xoá. Một tiệm nail ghi số điện thoại khách vào sổ để hẹn lịch là đang xử lý dữ liệu cá nhân.
Điều người ta hay hiểu nhầm là đánh đồng "phải tuân thủ" với "phải làm thủ tục nặng nề". Với tiệm nhỏ, tuân thủ chủ yếu là thói quen: hỏi đúng, ghi đúng, cất đúng, xoá đúng lúc. Thủ tục hành chính như lập hồ sơ đánh giá tác động thì tuỳ quy mô và loại dữ liệu, nhiều tiệm nhỏ có thể được giảm trong giai đoạn đầu.
Cũng có những tiệm nhỏ mà dữ liệu lại nhạy cảm: phòng khám tư, nha khoa, spa trị liệu có ảnh cơ thể, trung tâm dạy học có hồ sơ trẻ em, tiệm cầm đồ có thông tin tài chính. Quy mô nhỏ không làm dữ liệu bớt nhạy cảm. Nhóm này nên hỏi luật sư sớm thay vì tự đoán mình được miễn gì.
Còn một lý do thực tế hơn luật: khách ngày càng để ý ai đang giữ số điện thoại của mình. Một tiệm làm minh bạch, hỏi tử tế, không gửi tin làm phiền, thì khách quay lại. Một tiệm để lộ danh sách và khách bị gọi lừa thì mất khách nhanh hơn mọi khoản phạt.
Dữ liệu cơ bản và dữ liệu nhạy cảm: tiệm nhỏ hay đụng loại nào
Tên, số điện thoại, địa chỉ, email. Dữ liệu cơ bản, gặp ở mọi tiệm. Vẫn phải xin đồng ý và giữ an toàn.
Số định danh cá nhân, ảnh giấy tờ. Thường gặp ở hồ sơ nhân viên, hợp đồng thuê. Dễ bị dùng để mạo danh nên cần giữ chặt.
Ảnh có mặt người, giọng nói. Ảnh khách, video thử đồ, ghi âm cuộc gọi. Gắn với quyền hình ảnh và dữ liệu cá nhân.
Thông tin sức khoẻ. Phiếu tư vấn ở spa ghi dị ứng, bệnh nền; giấy khám sức khoẻ nhân viên. Thuộc nhóm nhạy cảm.
Dữ liệu sinh trắc. Vân tay, khuôn mặt ở máy chấm công. Nhạy cảm.
Thông tin tài chính. Số tài khoản nhận lương, thông tin thẻ, lịch sử thanh toán. Cần bảo vệ cao.
Vị trí. Ứng dụng giao hàng theo dõi vị trí shipper riêng của tiệm, địa chỉ nhà khách thường xuyên. Cẩn thận khi chia sẻ.
Dữ liệu của trẻ em. Lớp năng khiếu, phòng khám nhi, khu vui chơi. Cần thêm đồng ý của cha mẹ, người giám hộ.
Lập bản đồ dữ liệu: ví dụ một tiệm cà phê có giao hàng
Việc đầu tiên là biết mình đang có gì. Bảng dưới là bản đồ dữ liệu mẫu của một tiệm cà phê vài nhân viên, có tích điểm và nhận đơn giao hàng. Mỗi tiệm tự điền bảng của mình theo đúng thực tế.
| Nguồn dữ liệu | Gồm gì | Để làm gì | Ai được xem | Giữ đến khi nào |
|---|---|---|---|---|
| Tích điểm ở quầy | Số điện thoại, tên gọi, lịch sử mua | Tích điểm, ưu đãi nếu khách chọn | Thu ngân, chủ tiệm | Khi khách huỷ hoặc lâu không ghé theo mốc tiệm tự đặt |
| Đơn giao hàng | Tên, số điện thoại, địa chỉ | Giao đơn | Người nhận đơn, bên giao hàng | Theo nhu cầu đối soát và sổ sách |
| Hoá đơn điện tử | Thông tin người mua nếu khách yêu cầu | Nghĩa vụ thuế, kế toán | Chủ tiệm, kế toán | Theo thời hạn lưu trữ kế toán |
| Camera | Hình ảnh khách, nhân viên | An ninh | Chủ tiệm | Theo thời gian ghi đè đã đặt |
| Hồ sơ nhân viên | Bản sao giấy tờ, tài khoản lương, mã số thuế | Hợp đồng, lương, thuế, bảo hiểm | Chủ tiệm, kế toán | Theo thời hạn luật định sau khi nghỉ |
| Fanpage, Zalo | Tin nhắn, ảnh, số điện thoại | Trả lời khách, nhận đơn | Người trực trang | Rà và dọn định kỳ |
Điền xong bảng này, chủ tiệm thường phát hiện ít nhất một chỗ dữ liệu nằm mà mình quên: bảng tính cũ trên máy kế toán, nhóm chat có cộng tác viên đã nghỉ, tài khoản phần mềm dùng thử năm ngoái.
Sáu bước dựng khung bảo vệ dữ liệu trong một tuần
Trình tự dưới đây dành cho tiệm vài nhân viên, chủ tiệm tự làm được, mỗi bước một buổi:
- Lập bản đồ dữ liệu. Điền bảng như trên cho tiệm mình. Hỏi từng nhân viên đang giữ gì trên máy.
- Cắt bớt. Bỏ những trường không cần, xoá danh sách cũ, gỡ nhóm chat thừa.
- Sửa cách xin đồng ý. Câu hỏi ở quầy, ô đánh dấu khi đặt hàng, phiếu đồng ý cho ảnh và dữ liệu nhạy cảm.
- Viết thông báo xử lý dữ liệu. Một trang ngắn: thu gì, để làm gì, chia cho ai, giữ bao lâu, khách hỏi ở đâu. Đặt trên trang web, fanpage, dán ở quầy.
- Khoá và phân quyền. Mỗi người một tài khoản, mật khẩu mạnh, xác thực hai lớp, tủ hồ sơ có khoá.
- Viết sẵn quy trình khi có chuyện. Một tờ giấy: khi khách hỏi về dữ liệu thì ai trả lời; khi bị lộ thì làm gì trước.
Không cần làm hết trong một tuần. Nhưng làm theo thứ tự này thì mỗi bước đều dựa trên bước trước, không phải làm lại.
Thông báo xử lý dữ liệu: viết bằng lời thường
Nhiều tiệm chép một bản chính sách quyền riêng tư dài từ trang web của công ty lớn, đổi tên rồi đăng. Kết quả là văn bản nói về những thứ tiệm không hề làm, như cookie quảng cáo hay chuyển dữ liệu cho công ty mẹ, và thiếu những thứ tiệm làm thật, như nhóm Zalo đơn hàng.
Một thông báo tốt cho tiệm nhỏ chỉ cần trả lời bằng lời thường: tiệm thu những thông tin gì; để làm gì; chia cho những bên nào, ví dụ đơn vị giao hàng, kế toán; giữ trong bao lâu hoặc theo nguyên tắc nào; khách muốn xem, sửa, xoá, rút đồng ý thì liên hệ ai, bằng cách nào.
Đặt thông báo ở nơi khách thấy trước khi đưa dữ liệu: trên trang đặt hàng, phần giới thiệu fanpage, một tấm thẻ nhỏ ở quầy với mã quét dẫn tới bản đầy đủ. Với nhân viên, đưa vào nội quy hoặc phụ lục hợp đồng.
Khi tiệm thay đổi cách làm, như thêm chương trình tích điểm chung với tiệm khác hay đổi phần mềm, thì cập nhật thông báo. Một thông báo nói đúng điều tiệm đang làm có giá trị hơn mười trang chép về.
Quyền của khách và nhân viên với dữ liệu của chính họ
Quyền được biết. Tiệm đang giữ gì, để làm gì, chia cho ai.
Quyền đồng ý và rút lại. Rút lại phải dễ như đồng ý. Rút lại không làm mất hiệu lực những việc đã làm hợp pháp trước đó.
Quyền xem và yêu cầu sửa. Số điện thoại sai, tên ghi nhầm, khách có quyền yêu cầu sửa.
Quyền yêu cầu xoá. Trừ những dữ liệu tiệm phải giữ theo luật, như hoá đơn, chứng từ kế toán.
Quyền hạn chế, phản đối. Ví dụ khách đồng ý tích điểm nhưng phản đối nhận quảng cáo.
Quyền khiếu nại, tố cáo. Khách có thể khiếu nại tới cơ quan có thẩm quyền nếu tiệm không đáp ứng.
Cách đáp ứng ở tiệm nhỏ. Một người đầu mối, một kênh nhận yêu cầu, ghi lại yêu cầu và ngày xử lý. Thời hạn trả lời cụ thể tra văn bản hiện hành.
Xác minh người yêu cầu. Trước khi đưa dữ liệu, chắc chắn người hỏi là chính chủ, không phải kẻ mạo danh muốn moi thông tin của người khác.
Một ngày ở spa nhỏ: dữ liệu đi qua những đâu
Sáng, khách nhắn fanpage đặt lịch, để lại số điện thoại. Lễ tân chép sang sổ lịch hẹn. Trưa, khách tới, điền phiếu tư vấn có câu hỏi về dị ứng và tình trạng da. Kỹ thuật viên chụp ảnh da trước khi làm. Chiều, khách thanh toán, được hỏi có muốn nhận ưu đãi không. Tối, chủ spa đăng ảnh kết quả lên trang.
Trong một ngày, dữ liệu của một khách đã đi qua: tin nhắn fanpage, sổ lịch hẹn, phiếu tư vấn giấy, điện thoại của kỹ thuật viên, phần mềm thanh toán, danh sách ưu đãi, và có thể là trang công khai. Phiếu tư vấn chứa thông tin sức khoẻ. Ảnh da trước sau là ảnh cơ thể. Hai thứ này là chỗ spa cần làm kỹ nhất.
Sửa cho đúng không phức tạp: phiếu tư vấn cất tủ có khoá hoặc nhập thẳng vào phần mềm; ảnh chụp bằng máy của tiệm, không bằng điện thoại riêng; ảnh trước sau chỉ đăng khi có phiếu đồng ý riêng, như đã nói trong bài đăng ảnh khách và feedback lên fanpage; danh sách ưu đãi chỉ gồm người đã chọn nhận.
Cũng spa đó, nếu muốn gửi tin nhắc lịch kèm ưu đãi tháng, thì phải tách tin nhắc lịch khỏi tin quảng cáo, như bài nhắn tin, gọi điện tiếp thị khách cũ đã phân tích.
Việc gấp và việc để sau
Không tiệm nào làm hết được trong một lúc. Đây là thứ tự ưu tiên thực tế, theo mức rủi ro cho khách:
| Làm ngay trong tuần | Làm trong tháng | Làm khi mở rộng |
|---|---|---|
| Đổi mật khẩu mặc định, tách tài khoản dùng chung | Viết thông báo xử lý dữ liệu | Rà nghĩa vụ đánh giá tác động khi số khách lớn |
| Thu hồi quyền của người đã nghỉ | Sửa câu hỏi xin đồng ý ở quầy và khi đặt hàng | Chỉ định người phụ trách dữ liệu nếu thuộc diện |
| Xoá ảnh giấy tờ trong nhóm chat | Thoả thuận bảo mật với cộng tác viên, đối tác | Rà hợp đồng phần mềm, nơi đặt máy chủ |
| Cất hồ sơ có dữ liệu nhạy cảm vào chỗ có khoá | Đặt mốc xoá dữ liệu khách lâu không giao dịch | Đào tạo nhân viên định kỳ |
Thứ tự này đặt việc chặn rủi ro lên trước việc làm giấy tờ. Một văn bản chính sách đẹp không cứu được tiệm nếu mật khẩu phần mềm vẫn là dãy số mặc định.
Sai lầm thường gặp của tiệm nhỏ
Nghĩ luật chỉ dành cho công ty lớn. Nghĩa vụ cốt lõi áp cho mọi bên xử lý dữ liệu.
Thu càng nhiều càng tốt "để sau dùng". Dữ liệu không dùng là rủi ro không có lợi ích.
Chép chính sách của công ty khác. Văn bản không khớp với cách làm thật thì không bảo vệ được tiệm.
Một ô đồng ý cho mọi thứ. Gộp tích điểm, quảng cáo, chia sẻ đối tác vào một ô là không đạt.
Lưu dữ liệu trên điện thoại cá nhân của nhân viên. Nhân viên nghỉ là dữ liệu đi theo.
Không ai là đầu mối. Khách hỏi về dữ liệu, mỗi nhân viên trả lời một kiểu.
Coi máy chấm công vân tay là chuyện nhỏ. Đó là dữ liệu sinh trắc, cách làm đúng có trong bài giữ hồ sơ nhân viên và vân tay chấm công.
Không sao lưu. Mất dữ liệu do hỏng máy cũng là một dạng sự cố, khách mất điểm tích luỹ, tiệm mất lịch sử.
Khi nào nên hỏi luật sư hoặc cơ quan có thẩm quyền?
Tiệm xử lý dữ liệu nhạy cảm. Phòng khám, nha khoa, spa trị liệu, trung tâm có trẻ em. Hỏi sớm về nghĩa vụ cụ thể.
Số khách lớn hoặc nhiều chi nhánh. Có thể không còn thuộc diện được giảm nghĩa vụ.
Chuyển dữ liệu ra nước ngoài. Dùng phần mềm, lưu trữ đặt máy chủ ở nước ngoài, hoặc làm việc với đối tác nước ngoài.
Muốn dùng dữ liệu cho việc mới. Ví dụ phân tích hành vi để chạy quảng cáo, ghép dữ liệu với đối tác.
Mua bán, sáp nhập cửa hàng. Chuyển giao danh sách khách cần xem kỹ.
Có khiếu nại hoặc văn bản từ cơ quan chức năng. Để người có chuyên môn trả lời.
Bị lộ dữ liệu. Có thời hạn thông báo; hỏi ngay, không chờ.
Câu hỏi thường gặp
Hộ kinh doanh có phải lập hồ sơ đánh giá tác động xử lý dữ liệu không?
Tuỳ quy mô và loại dữ liệu. Văn bản có cơ chế giảm nhẹ một số nghĩa vụ cho hộ kinh doanh và doanh nghiệp nhỏ trong giai đoạn đầu, trừ khi xử lý dữ liệu nhạy cảm hoặc số lượng lớn. Nên tra bản hiện hành hoặc hỏi luật sư để biết chính xác.
Tiệm nhỏ có cần chỉ định người phụ trách bảo vệ dữ liệu không?
Nghĩa vụ chỉ định chính thức tuỳ quy mô và có thể được giảm cho đơn vị nhỏ. Dù vậy, tiệm nào cũng nên có một người đầu mối trả lời khách khi họ hỏi về dữ liệu của mình.
Chính sách quyền riêng tư cho shop online cần những gì?
Thu thông tin gì, để làm gì, chia cho bên nào, giữ bao lâu, và khách liên hệ ai để xem, sửa, xoá. Viết đúng với cách shop đang làm, không chép của nơi khác.
Khách yêu cầu xoá dữ liệu nhưng tiệm đã xuất hoá đơn thì sao?
Hoá đơn và chứng từ kế toán phải lưu theo luật nên không xoá được. Tiệm xoá những dữ liệu khác như danh sách tích điểm, danh sách nhận tin, và giải thích cho khách phần nào phải giữ.
Làm sao biết thông tin nào là dữ liệu nhạy cảm?
Các loại thường gặp ở tiệm nhỏ là thông tin sức khoẻ, sinh trắc như vân tay, khuôn mặt, thông tin tài chính, vị trí, dữ liệu trẻ em. Danh mục đầy đủ có trong văn bản pháp luật về bảo vệ dữ liệu cá nhân.
Không làm những việc này thì bị phạt bao nhiêu?
Mức xử lý được quy định trong văn bản hiện hành và có thể thay đổi, nên cần tra trực tiếp hoặc hỏi luật sư. Với tiệm nhỏ, thiệt hại lớn hơn thường là mất khách khi dữ liệu bị lộ.
