Doanh nghiệp trước 'thanh kiếm' dữ liệu cá nhân

Không còn “vùng xám” với các “mánh lới” thu thập dữ liệu

Trong bối cảnh kinh tế số và chuyển đổi số phát triển mạnh mẽ, dữ liệu cá nhân đang đóng vai trò trung tâm trong hoạt động thương mại, dịch vụ trực tuyến và quản trị doanh nghiệp. Dữ liệu người dùng là nguồn lực quan trọng giúp doanh nghiệp xây dựng trải nghiệm khách hàng, tối ưu sản phẩm và tạo lợi thế cạnh tranh. Tuy nhiên, thực tế này đồng thời tạo ra rủi ro về xâm phạm quyền riêng tư và sử dụng dữ liệu trái phép, khiến việc bảo vệ dữ liệu cá nhân trở thành yêu cầu cấp thiết, đòi hỏi hành lang pháp lý phải đầy đủ và minh bạch, nhanh chóng đi vào đời sống, giải quyết những khó khăn, bất cập hiện hành.

Luật Bảo vệ dữ liệu cá nhân đánh dấu bước ngoặt trong quản lý dữ liệu tại Việt Nam, đưa các vấn đề về quyền riêng tư và bảo vệ dữ liệu cá nhân thành một luật riêng biệt, thay vì rải rác quy định ở các văn bản pháp luật khác nhau như trước đây. Luật mới xác định rõ các quyền của chủ thể dữ liệu, như quyền được biết, đồng ý, yêu cầu chỉnh sửa, xem lại và xóa dữ liệu cá nhân, đồng thời đặt trách nhiệm pháp lý rõ ràng cho doanh nghiệp khi thu thập, xử lý, lưu trữ và chia sẻ thông tin cá nhân.

Điểm đáng chú ý của Luật là xóa bỏ “vùng xám” pháp lý mà doanh nghiệp từng khai thác trong thu thập dữ liệu: “mặc định đồng ý” không còn được xem là cơ sở pháp lý hợp lệ. Cụ thể, trước khi Luật Bảo vệ dữ liệu cá nhân được ban hành, không ít doanh nghiệp đã tận dụng các thủ thuật “mềm” để thu thập dữ liệu mà không phải xin phép rõ ràng. Những cách thức phổ biến như sử dụng ô tick đã được đánh sẵn, gộp nhiều mục đích xử lý dữ liệu vào một lần chấp nhận, hay ẩn nút từ chối ở nhiều lớp giao diện, gọi chung là “mánh lới” công nghệ, khiến người dùng vô tình chấp nhận chia sẻ thông tin mà không thật sự hiểu rõ hệ quả của quyết định này.

Luật mới đã đóng lại “vùng xám” này bằng cách khẳng định rằng “dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác”. Sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ các thông tin sau đây: Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân; Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân; Các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân. Sự đồng ý của chủ thể dữ liệu cá nhân phải bảo đảm các nguyên tắc như: Thể hiện sự đồng ý đối với từng mục đích; Không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận; Sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc theo quy định của pháp luật. Đặc biệt, sự im lặng hoặc không phản hồi không được coi là sự đồng ý. Mặt khác, Luật cũng yêu cầu doanh nghiệp phải triển khai các cơ chế xin phép rõ ràng, minh bạch và có thể rút lại sự đồng ý bất kỳ lúc nào khi thu thập, xử lý dữ liệu cá nhân của người dùng.

Quy định mới ảnh hưởng sâu rộng tới mọi doanh nghiệp đang sử dụng dữ liệu như một tài nguyên chiến lược, đặc biệt là những doanh nghiệp công nghệ, nền tảng số, thương mại điện tử, nền tảng quảng cáo trực tuyến hay startup dựa vào dữ liệu lớn để xây dựng mô hình kinh doanh. Đối với các tập đoàn công nghệ lớn, những công ty hoạt động dựa trên nền tảng dữ liệu toàn cầu, đây cũng là một yêu cầu pháp lý đáng quan tâm. Ví dụ, các nền tảng quảng cáo trực tuyến hoặc các dịch vụ dựa trên hành vi người dùng không thể tiếp tục thu thập dữ liệu rộng rãi mà không cung cấp lựa chọn rõ ràng cho người dùng Việt Nam.

Áp lực pháp lý, cơ hội chiến lược cho startup, doanh nghiệp

Không chỉ dừng lại ở việc yêu cầu đồng ý của cá nhân, Luật mới còn bổ sung các cơ chế bắt buộc như đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động khi chuyển dữ liệu cá nhân xuyên biên giới. Đơn cử, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Cùng với đó, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân thì phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm. 

Những quy định này cho thấy Việt Nam không chỉ bắt kịp xu hướng bảo vệ quyền riêng tư toàn cầu, mà còn đặt mục tiêu xây dựng môi trường số an toàn, nơi quyền lợi người dùng được tôn trọng. Các yêu cầu này áp dụng cho cả doanh nghiệp trong nước và doanh nghiệp xuyên biên giới đang hoạt động tại Việt Nam. Đơn cử, các doanh nghiệp fintech và ví điện tử tại Việt Nam như MoMo, ZaloPay… buộc phải chú trọng điều chỉnh các chính sách bảo mật hiện tại để tuân thủ quy định mới, cùng với củng cố lòng tin của khách hàng về dữ liệu cá nhân. Việc luật rõ ràng hóa trách nhiệm pháp lý của các tổ chức, doanh nghiệp không chỉ phát huy tác dụng trong bảo mật thông tin cá nhân, mà còn ngăn chặn các hành vi mua bán dữ liệu trái phép.

Ở một góc độ khác, yêu cầu mới về đánh giá tác động và minh bạch hóa quy trình xử lý dữ liệu đang đặt ra thách thức không nhỏ cho các startup công nghệ và doanh nghiệp nhỏ. Thiếu nguồn lực về pháp lý, công nghệ và quản trị dữ liệu, nhiều doanh nghiệp phải đối mặt với rào cản lớn khi xây dựng hệ thống tuân thủ ngay từ đầu, từ rà soát quy trình thu thập, xử lý dữ liệu đến xác định rõ trách nhiệm trong toàn bộ chuỗi dịch vụ số. Với các tập đoàn công nghệ lớn, dù có đủ năng lực để đáp ứng quy định, việc siết chặt khung pháp lý vẫn kéo theo chi phí tuân thủ và rủi ro pháp lý gia tăng. Doanh nghiệp buộc phải thiết kế lại quy trình nội bộ, giao diện người dùng, chính sách bảo mật và cơ chế bảo vệ quyền của chủ thể dữ liệu. Tuy vậy, đây cũng là cơ hội để củng cố niềm tin khách hàng - yếu tố ngày càng mang tính quyết định trong cạnh tranh toàn cầu và với nhiều nền tảng lớn, tuân thủ tốt luật mới chính là lợi thế cạnh tranh rõ rệt. Riêng với các doanh nghiệp hoạt động xuyên biên giới, từ mạng xã hội đến các dịch vụ công nghệ đặt máy chủ ở nước ngoài, quy định về chuyển dữ liệu cá nhân ra ngoài lãnh thổ trở thành điểm then chốt, tác động trực tiếp đến mô hình vận hành và chiến lược thị trường trong thời gian tới.

Có thể thấy, Luật Bảo vệ dữ liệu cá nhân không chỉ là bước tiến pháp lý, mà còn là dấu mốc trong quá trình xây dựng một hệ sinh thái số minh bạch và đáng tin cậy tại Việt Nam. Khi “vùng xám” trong thu thập dữ liệu bị xóa bỏ, doanh nghiệp không còn lựa chọn giữa tuân thủ hay không, mà phải chuyển sang tư duy tuân thủ để cạnh tranh. Với startup, doanh nghiệp công nghệ và các nền tảng xuyên biên giới, đây vừa là áp lực, vừa là cơ hội để tái định vị thương hiệu trên nền tảng tôn trọng quyền riêng tư, bảo mật dữ liệu cá nhân - những yếu tố ngày càng trở thành chuẩn mực của kinh doanh bền vững trong kỷ nguyên số.