Trong kỷ nguyên số, việc thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng đã trở thành một thách thức lớn về quyền riêng tư và nghĩa vụ của doanh nghiệp. Bài viết này của NPLaw sẽ đi sâu phân tích vấn đề này.

I. Thực trạng thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng trong giai đoạn hiện nay

Trong bối cảnh chuyển đổi số mạnh mẽ, việc thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng đang là một thực trạng phổ biến, tiềm ẩn nhiều rủi ro pháp lý và gây mất niềm tin nơi người dùng. Phần này sẽ phân tích chi tiết tình hình hiện tại và những hệ lụy.

Thực tế cho thấy, nhiều doanh nghiệp, từ các tập đoàn lớn đến các cửa hàng trực tuyến nhỏ lẻ, đều đang thu thập một lượng lớn dữ liệu cá nhân của khách hàng thông qua nhiều kênh khác nhau như website, ứng dụng di động, mạng xã hội, hoặc các chương trình khuyến mãi. Tuy nhiên, không phải lúc nào mục đích sử dụng những dữ liệu này cũng được công khai rõ ràng và minh bạch cho khách hàng.

Ví dụ, khi người dùng truy cập một trang web hoặc tải một ứng dụng, họ thường được yêu cầu đồng ý với các "Điều khoản sử dụng" hoặc "Chính sách bảo mật" rất dài và phức tạp, chứa đựng những ngôn ngữ pháp lý khó hiểu. Nhiều người dùng chỉ đơn thuần "tick" vào ô đồng ý mà không thực sự đọc hoặc hiểu rõ về việc dữ liệu của họ sẽ được sử dụng vào mục đích gì, bởi ai, và trong bao lâu. 

Tình trạng này dẫn đến việc doanh nghiệp có thể âm thầm thu thập email, số điện thoại, lịch sử duyệt web, thông tin vị trí, thậm chí cả thói quen tiêu dùng mà không công bố rõ ràng rằng những dữ liệu đó sẽ được dùng để phân tích hành vi, gửi quảng cáo cá nhân hóa, hoặc thậm chí là chia sẻ với bên thứ ba.

Thực trạng này không chỉ gây ra những lo ngại về quyền riêng tư cá nhân mà còn tạo ra một môi trường thiếu minh bạch, dễ dẫn đến lạm dụng dữ liệu. Khi khách hàng không biết rõ mục đích sử dụng, họ không thể thực hiện quyền kiểm soát của mình đối với dữ liệu cá nhân, từ đó làm giảm niềm tin vào các dịch vụ trực tuyến. 

Đây là một vấn đề cấp thiết đòi hỏi sự hiểu biết sâu sắc về pháp luật và hành động kịp thời từ cả doanh nghiệp và người dùng.

II. Tìm hiểu về thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng

Phần này, NPLaw sẽ đi sâu phân tích các khía cạnh liên quan, từ động cơ của doanh nghiệp đến quyền của khách hàng.

1. Tại sao một số doanh nghiệp lại thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng?

Trong môi trường kinh doanh cạnh tranh, việc thu thập dữ liệu khách hàng mang lại nhiều lợi ích chiến lược. Tuy nhiên, một số doanh nghiệp lựa chọn không công khai mục đích sử dụng vì nhiều lý do khác nhau, thường liên quan đến chiến lược kinh doanh và tối ưu hóa lợi nhuận, cụ thể:

  • Tối đa hóa phạm vi sử dụng dữ liệu: Bằng cách không công khai cụ thể, doanh nghiệp có thể giữ cho các lựa chọn sử dụng dữ liệu được linh hoạt hơn trong tương lai, không bị ràng buộc bởi một mục đích cụ thể nào. Điều này cho phép họ khai thác dữ liệu cho các mục đích mới phát sinh mà không cần phải xin lại sự đồng ý từ khách hàng.
  • Tránh sự phản đối của khách hàng: Một số mục đích sử dụng dữ liệu, như chia sẻ cho bên thứ ba vì mục đích tiếp thị hoặc phân tích hành vi quá sâu, có thể khiến khách hàng cảm thấy không thoải mái hoặc bị xâm phạm quyền riêng tư. Việc không công khai có thể giúp doanh nghiệp tránh được sự phản đối hoặc sự từ chối cung cấp dữ liệu từ phía khách hàng.
  • Lợi thế cạnh tranh: Dữ liệu là tài sản quý giá. Việc thu thập và sử dụng dữ liệu một cách "tự do" hơn có thể mang lại lợi thế cạnh tranh trong việc phát triển sản phẩm, dịch vụ cá nhân hóa hoặc chiến lược tiếp thị nhắm mục tiêu.
  • Thiếu hiểu biết hoặc cố ý vi phạm pháp luật: Một số doanh nghiệp có thể thiếu nhận thức đầy đủ về các quy định pháp luật về bảo vệ dữ liệu cá nhân, hoặc cố ý phớt lờ các quy định này để đạt được lợi ích kinh tế nhanh chóng.

Như vậy, các doanh nghiệp lựa chọn thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng chủ yếu vì mục tiêu chiến lược kinh doanh, mong muốn linh hoạt trong việc khai thác dữ liệu và đôi khi là do thiếu hiểu biết hoặc cố ý bỏ qua các quy định pháp luật.

2. Việc thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng có vi phạm luật bảo vệ dữ liệu cá nhân không?

Việc thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng có vi phạm luật bảo vệ dữ liệu cá nhân. Các quy định pháp luật về bảo vệ dữ liệu cá nhân ở Việt Nam, đặc biệt là Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, đã đặt ra những nguyên tắc cơ bản và yêu cầu nghiêm ngặt đối với việc xử lý dữ liệu cá nhân.

Theo nguyên tắc công khai về mục đích xử lý dữ liệu cá nhân tại khoản 3 Điều 3 Nghị định 13/2023/NĐ-CP quy định dữ liệu cá nhân được xử lý theo đúng mục đích đã đăng ký, tuyên bố về xử lý dữ liệu cá nhân, Điều 13 Nghị định 13 nêu rõ trách nhiệm của Bên Kiểm soát dữ liệu cá nhân (tức doanh nghiệp) là thông báo cho Chủ thể dữ liệu về loại dữ liệu cá nhân được xử lý, mục đích xử lý, hình thức xử lý, các tổ chức, cá nhân khác có liên quan tới mục đích xử lý, các quyền và nghĩa vụ của Chủ thể dữ liệu theo quy định. Việc không công khai mục đích sử dụng dữ liệu rõ ràng cho khách hàng (chủ thể dữ liệu) là hành vi vi phạm trực tiếp các nguyên tắc và yêu cầu này. Khách hàng có quyền được biết rõ dữ liệu của họ sẽ được dùng để làm gì.

Do đó, việc thu thập dữ liệu khách hàng mà không công khai mục đích sử dụng là vi phạm pháp luật hiện hành về bảo vệ dữ liệu cá nhân tại Việt Nam, cụ thể là Nghị định 13/2023/NĐ-CP. Hành vi này đi ngược lại các nguyên tắc cơ bản và có thể dẫn đến các chế tài pháp lý nghiêm khắc. 

3. Khách hàng có quyền biết về mục đích thu thập dữ liệu của họ không?

Khách hàng hoàn toàn có quyền biết về mục đích thu thập dữ liệu của họ. Đây là một trong những quyền cơ bản và quan trọng nhất của chủ thể dữ liệu theo luật định. Cụ thể, khoản 1 Điều 9 Nghị định 13/2023/NĐ-CP quy định rõ chủ thể dữ liệu có quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. Quyền này bao hàm việc chủ thể dữ liệu phải được thông báo một cách rõ ràng, dễ hiểu về các thông tin liên quan đến việc xử lý dữ liệu của họ, trong đó quan trọng nhất là mục đích xử lý. Nếu doanh nghiệp không công khai, khách hàng không thể thực hiện quyền này.

Tóm lại, khách hàng (chủ thể dữ liệu) có quyền cơ bản và được pháp luật bảo vệ để biết rõ về mục đích thu thập dữ liệu khách hàng của họ. Mọi hành vi thu thập dữ liệu khách hàng không công khai mục đích sử dụng đều xâm phạm nghiêm trọng đến quyền này.

4. Sự khác biệt giữa việc thu thập dữ liệu khách hàng công khai và không công khai mục đích sử dụng là gì?

Sự khác biệt giữa việc thu thập dữ liệu khách hàng công khai và không công khai mục đích sử dụng nằm ở tính minh bạch, tuân thủ pháp luật và mức độ tin cậy của khách hàng, cụ thể:

  • Thu thập dữ liệu khách hàng công khai mục đích sử dụng:
    • Minh bạch: Doanh nghiệp thông báo rõ ràng cho khách hàng (thông qua chính sách quyền riêng tư, thông báo pop-up, điều khoản sử dụng) về loại dữ liệu sẽ thu thập, mục đích cụ thể của việc thu thập (ví dụ: để cá nhân hóa trải nghiệm, gửi thông tin khuyến mãi, phân tích thị trường), cách thức xử lý, thời gian lưu trữ, và liệu dữ liệu có được chia sẻ cho bên thứ ba hay không.
    • Đồng ý rõ ràng: Yêu cầu sự đồng ý (consent) của khách hàng trước khi thu thập, đặc biệt đối với dữ liệu nhạy cảm.
    • Tuân thủ pháp luật: Đáp ứng các yêu cầu của Nghị định 13/2023/NĐ-CP và các quy định liên quan.
    • Tạo dựng niềm tin: Khách hàng cảm thấy an toàn và được tôn trọng khi biết dữ liệu của mình được sử dụng một cách có trách nhiệm.
  • Thu thập dữ liệu khách hàng không công khai mục đích sử dụng:
    • Thiếu minh bạch: Doanh nghiệp thu thập dữ liệu mà không thông báo hoặc thông báo một cách chung chung, mơ hồ, không rõ ràng về mục đích sử dụng cụ thể. Khách hàng không biết chính xác dữ liệu của họ sẽ đi đâu và làm gì.
    • Thiếu sự đồng ý: Có thể thu thập dữ liệu mà không có sự đồng ý rõ ràng từ khách hàng cho từng mục đích cụ thể.
    • Vi phạm pháp luật: Gần như chắc chắn vi phạm các nguyên tắc công khai, minh bạch và quyền được biết của chủ thể dữ liệu.
    • Rủi ro cao: Dễ dẫn đến mất lòng tin, bị khiếu nại, xử phạt hành chính và ảnh hưởng nghiêm trọng đến uy tín thương hiệu.

Như vậy, điểm khác biệt cốt lõi là sự minh bạch và tuân thủ pháp luật. Việc thu thập dữ liệu khách hàng không công khai mục đích sử dụng là một hành vi thiếu chuyên nghiệp, vi phạm pháp luật và tiềm ẩn nhiều rủi ro, trái ngược hoàn toàn với phương thức thu thập minh bạch, tôn trọng quyền riêng tư.

III. Các quy định pháp luật có liên quan đến thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng

Phần này, NPLaw sẽ phân tích chi tiết các tình huống vi phạm và yêu cầu pháp lý đối với hoạt động này.

1. Khi nào thì việc thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng có thể là hành vi sai trái?

Việc thu thập dữ liệu khách hàng không công khai mục đích sử dụng luôn tiềm ẩn nguy cơ là hành vi sai trái và vi phạm pháp luật trong hầu hết các trường hợp, đặc biệt là khi dữ liệu đó là dữ liệu cá nhân, cụ thể: 

  • Vi phạm nguyên tắc công khai, minh bạch tại khoản 4 Điều 3 Nghị định 13/2023/NĐ-CP yêu cầu doanh nghiệp phải thông báo cho chủ thể dữ liệu về mục đích xử lý. Việc không công khai đồng nghĩa với việc vi phạm nguyên tắc này.
  • Không có sự đồng ý của chủ thể dữ liệu tại khoản 2 Điều 9 Nghị định 13/2023/NĐ-CP, theo đó, xử lý dữ liệu cá nhân chỉ được thực hiện khi có sự đồng ý của chủ thể dữ liệu, trừ một số trường hợp được quy định. Sự đồng ý phải dựa trên thông tin đầy đủ và minh bạch về mục đích. Nếu không công khai mục đích, sự đồng ý (nếu có) có thể bị coi là không hợp lệ hoặc không có giá trị pháp lý.

  • Sử dụng dữ liệu sai mục đích khi không công khai mục đích, doanh nghiệp dễ dàng sử dụng dữ liệu cho các mục đích khác mà chủ thể dữ liệu không hề biết hoặc không đồng ý, dẫn đến vi phạm nghiêm trọng quyền riêng tư.
  • Thu thập dữ liệu nhạy cảm. Hành vi này đặc biệt nghiêm trọng khi liên quan đến dữ liệu cá nhân nhạy cảm (Điều 28 Nghị định 13/2023/NĐ-CP) như thông tin về sức khỏe, tài chính, chính trị,...vốn yêu cầu sự đồng ý rõ ràng và chặt chẽ hơn.

Việc thu thập dữ liệu khách hàng không công khai mục đích sử dụng là hành vi sai trái và có thể bị coi là vi phạm pháp luật khi nó không tuân thủ nguyên tắc công khai, không có sự đồng ý hợp lệ của chủ thể dữ liệu, hoặc khi dữ liệu bị sử dụng sai mục đích.

2. Có quy định nào yêu cầu doanh nghiệp phải công khai mục đích thu thập dữ liệu khách hàng không?

Pháp luật Việt Nam, đặc biệt là Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, đã quy định rõ ràng yêu cầu doanh nghiệp phải công khai mục đích thu thập dữ liệu khách hàng.

Theo khoản 2 Điều 3 Nghị định 13/2023/NĐ-CP chủ thể dữ liệu được biết về hoạt động liên quan tới xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác hay dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba đăng ký, tuyên bố về xử lý dữ liệu cá nhân,... Và khoản 2 Điều 9 Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân phải có sự đồng ý của chủ thể dữ liệu. Để sự đồng ý này có giá trị, nó phải dựa trên thông tin đầy đủ về mục đích xử lý.

Do đó, trách nhiệm của doanh nghiệp (bên Kiểm soát dữ liệu cá nhân) là phải chủ động cung cấp thông tin minh bạch về mục đích xử lý dữ liệu cá nhân cho khách hàng. Việc này thường được thực hiện thông qua:

  • Chính sách quyền riêng tư (Privacy Policy): Được đăng tải công khai trên website, ứng dụng.
  • Thông báo trực tiếp: Khi thu thập dữ liệu qua các biểu mẫu, popup, hoặc trong quá trình đăng ký tài khoản.
  • Điều khoản dịch vụ: Lồng ghép các quy định về thu thập và sử dụng dữ liệu.

Như vậy, pháp luật Việt Nam bắt buộc doanh nghiệp phải công khai mục đích thu thập dữ liệu cá nhân, đây là một phần không thể thiếu của nghĩa vụ minh bạch và tạo cơ sở cho sự đồng ý hợp lệ của khách hàng.

3. Nếu khách hàng không đồng ý, doanh nghiệp có quyền thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng không?

Nếu khách hàng không đồng ý, doanh nghiệp hoàn toàn không có quyền thu thập dữ liệu khách hàng, đặc biệt là khi không công khai mục đích sử dụng.

Nguyên tắc sự đồng ý của chủ thể dữ liệu là nền tảng của pháp luật bảo vệ dữ liệu cá nhân. Theo khoản 2 Điều 9 Nghị định 13/2023/NĐ-CP quy định rõ việc chủ thể dữ liệu được quyền đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác. Sự đồng ý này phải:

  • Tự nguyện: Không bị ép buộc, đe dọa.
  • Dựa trên thông tin đầy đủ: Khách hàng phải biết rõ dữ liệu nào sẽ được thu thập, mục đích sử dụng, ai sẽ truy cập, và các rủi ro liên quan.

Nếu khách hàng đã thể hiện rõ ràng sự không đồng ý của mình (ví dụ: không tick vào ô đồng ý, từ chối cấp quyền trên ứng dụng, hoặc gửi yêu cầu không thu thập), doanh nghiệp phải tôn trọng quyết định đó. Hành vi cố tình thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng và không có sự đồng ý là hành vi vi phạm pháp luật nghiêm trọng, có thể dẫn đến các chế tài xử phạt và mất uy tín.

Tóm lại, sự đồng ý của khách hàng là điều kiện tiên quyết và bất khả xâm phạm. Không có sự đồng ý, doanh nghiệp không có quyền thu thập dữ liệu, càng không được phép làm điều đó khi không công khai mục đích.

4. Việc thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng có thể bị phạt nếu vi phạm quy định pháp luật không?

Theo Điều 23 Nghị định 13/2023/NĐ-CP về thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân, hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân sẽ bị xử lý theo quy định của pháp luật. Hiện tại, các chế tài xử phạt hành chính đối với hành vi vi phạm quy định bảo vệ dữ liệu cá nhân được quy định theo Điều 3 Nghị định 15/2020/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, tần số vô tuyến điện, công nghệ thông tin và giao dịch điện tử, đã được sửa đổi, bổ sung bởi Nghị định 14/2022/NĐ-CP, cụ thể như Điều 80 về vi phạm quy định về cung cấp, sử dụng trái phép thông tin trên mạng, Điều 84 về vi phạm quy định về thu thập, sử dụng thông tin cá nhân, Điều 86 về vi phạm quy định về bảo đảm an toàn thông tin cá nhân trên mạng,... Do đó, các hình thức xử phạt có thể bao gồm:

  • Phạt tiền: Mức phạt tiền có thể rất cao tùy thuộc vào mức độ vi phạm, số lượng dữ liệu bị ảnh hưởng, và hậu quả gây ra. Ví dụ, hành vi vi phạm các quy định về thu thập, sử dụng trái phép thông tin cá nhân trên mạng viễn thông, internet có thể bị phạt tiền đến hàng chục triệu đồng, thậm chí hàng trăm triệu đồng đối với tổ chức.
  • Buộc chấm dứt hành vi vi phạm: Cơ quan chức năng sẽ yêu cầu doanh nghiệp phải dừng ngay hành vi thu thập hoặc sử dụng dữ liệu trái phép.
  • Buộc khôi phục lại tình trạng ban đầu: Ví dụ, buộc phải xóa bỏ dữ liệu đã thu thập trái phép.
  • Buộc nộp lại khoản lợi bất hợp pháp có được do vi phạm.
  • Hình phạt bổ sung: Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn đối với một số loại hình doanh nghiệp.
  • Trách nhiệm hình sự: Trong các trường hợp vi phạm nghiêm trọng, có tổ chức, gây hậu quả đặc biệt lớn, hành vi vi phạm có thể bị truy cứu trách nhiệm hình sự theo Bộ luật Hình sự về tội "Đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông" (Điều 288) hoặc các tội danh khác liên quan đến an ninh mạng.

Như vậy, doanh nghiệp cần đặc biệt lưu ý và tuân thủ nghiêm ngặt các quy định về bảo vệ dữ liệu cá nhân, vì việc vi phạm có thể dẫn đến các chế tài xử phạt rất nặng, không chỉ gây tổn thất tài chính mà còn ảnh hưởng nghiêm trọng đến uy tín và hoạt động kinh doanh.

IV. Các thắc mắc thường gặp liên quan đến thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng

NPLaw sẽ giải đáp các thắc mắc phổ biến xoay quanh vấn đề thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng, giúp bạn hiểu rõ hơn về quyền và nghĩa vụ pháp lý.

1. Trong trường hợp không công khai mục đích sử dụng, liệu dữ liệu khách hàng có thể bị coi là thu thập trái phép không?

Trong hầu hết các trường hợp, nếu doanh nghiệp thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng, dữ liệu đó rất dễ bị coi là thu thập trái phép. Theo Điều 9 Nghị định 13/2023/NĐ-CP về quyền của chủ thể dữ liệu, cụ thể:

  • Quyền được biết: Chủ thể dữ liệu được biết về hoạt động xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác.
  • Quyền đồng ý: Chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp quy định tại Điều 17 Nghị định này
  • Quyền truy cập: Chủ thể dữ liệu được truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác.
  • Quyền rút lại sự đồng ý: Chủ thể dữ liệu được quyền rút lại sự đồng ý của mình, trừ trường hợp luật có quy định khác.
  • Quyền xóa dữ liệu: Chủ thể dữ liệu được xóa hoặc yêu cầu xóa dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác.
  • Quyền cung cấp dữ liệu: Chủ thể dữ liệu được yêu cầu Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân cung cấp cho bản thân dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác.
  • Quyền tự bảo vệ: Chủ thể dữ liệu có quyền tự bảo vệ theo quy định của Bộ luật Dân sự, luật khác có liên quan và Nghị định này, hoặc yêu cầu cơ quan, tổ chức có thẩm quyền thực hiện các phương thức bảo vệ quyền dân sự theo quy định tại Điều 11 Bộ luật Dân sự.

Nếu doanh nghiệp không công khai mục đích, chủ thể dữ liệu không thể đưa ra sự đồng ý có thông tin. Khi không có sự đồng ý hợp lệ (trừ các trường hợp được miễn thông báo hoặc không cần sự đồng ý theo Điều 17 Nghị định 13/2023/NĐ-CP, vốn rất hạn chế và cụ thể), việc thu thập dữ liệu sẽ bị coi là trái phép.

Như vậy, việc không công khai mục đích sử dụng dữ liệu là một yếu tố quan trọng để xác định tính hợp pháp của việc thu thập dữ liệu. Thiếu sự minh bạch này thường dẫn đến việc dữ liệu bị coi là thu thập trái phép theo quy định pháp luật.

2. Doanh nghiệp nên làm gì để hạn chế rủi ro pháp lý khi thu thập dữ liệu khách hàng mà không công khai mục đích sử dụng?

Để hạn chế rủi ro pháp lý, doanh nghiệp cần thay đổi hoàn toàn tư duy và hành động, chuyển từ việc thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng sang việc minh bạch và tuân thủ pháp luật. NPLaw khuyến nghị doanh nghiệp nên thực hiện các bước sau:

  • Xây dựng Chính sách quyền riêng tư (Privacy Policy) rõ ràng: Đây là văn bản pháp lý bắt buộc. Chính sách phải giải thích cụ thể, dễ hiểu về:
    • Loại dữ liệu cá nhân nào được thu thập.
    • Mục đích cụ thể của việc thu thập và xử lý từng loại dữ liệu.
    • Cách thức thu thập dữ liệu.
    • Thời gian lưu trữ dữ liệu.
    • Bên thứ ba nào có thể được chia sẻ dữ liệu (nếu có) và lý do.
    • Các biện pháp bảo mật dữ liệu.
    • Quyền của chủ thể dữ liệu và cách thức thực hiện các quyền đó.
  • Thu thập sự đồng ý tường minh: Đảm bảo khách hàng tích vào ô "Tôi đồng ý với Chính sách quyền riêng tư" hoặc các hình thức đồng ý rõ ràng khác trước khi cung cấp dữ liệu. Đối với dữ liệu nhạy cảm, cần sự đồng ý riêng biệt và rõ ràng hơn.
  • Thông báo kịp thời khi thay đổi mục đích: Nếu có ý định sử dụng dữ liệu đã thu thập cho một mục đích mới chưa từng công khai, doanh nghiệp phải thông báo và thu thập lại sự đồng ý từ khách hàng.
  • Đào tạo nhân viên: Đảm bảo toàn bộ nhân viên, đặc biệt là những người trực tiếp làm việc với dữ liệu khách hàng, hiểu rõ các quy định về bảo vệ dữ liệu cá nhân và chính sách nội bộ của công ty.
  • Thực hiện đánh giá tác động quyền riêng tư (DPIA): Đối với các hoạt động xử lý dữ liệu có rủi ro cao, cần thực hiện đánh giá để xác định và giảm thiểu rủi ro.
  • Chỉ thu thập dữ liệu cần thiết: Tuân thủ nguyên tắc "giảm thiểu dữ liệu", chỉ thu thập những thông tin thực sự cần thiết cho mục đích đã xác định.

Như vậy, để tránh rủi ro pháp lý, doanh nghiệp cần chuyển đổi từ việc thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng sang mô hình hoàn toàn minh bạch, dựa trên sự đồng ý có căn cứ của khách hàng và tuân thủ chặt chẽ các quy định pháp luật.

3. Liệu có thể sử dụng dữ liệu khách hàng đã thu thập trước đây mà không công khai mục đích sử dụng cho các mục đích mới không?

Về nguyên tắc, không thể sử dụng dữ liệu khách hàng đã thu thập trước đây mà không công khai mục đích sử dụng cho các mục đích mới.

Nếu dữ liệu được thu thập mà không công khai mục đích sử dụng ngay từ đầu, hoặc chỉ công khai một mục đích cụ thể nhưng nay muốn sử dụng cho mục đích khác, doanh nghiệp bắt buộc phải thực hiện lại quy trình thông báo và thu thập sự đồng ý từ khách hàng.

Theo khoản 2 Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý phải dựa trên thông tin đầy đủ về mục đích xử lý dữ liệu cá nhân. Nếu mục đích mới chưa từng được thông báo và đồng ý, việc sử dụng dữ liệu cho mục đích đó sẽ bị coi là xử lý dữ liệu trái phép.
Khi doanh nghiệp muốn sử dụng dữ liệu cho mục đích mới, cần:

  • Thông báo rõ ràng về mục đích mới: Giải thích cụ thể lý do và cách thức sử dụng dữ liệu.
  • Thu thập lại sự đồng ý: Yêu cầu khách hàng xác nhận sự đồng ý của họ đối với mục đích sử dụng mới.

Do đó, việc tự ý sử dụng dữ liệu đã thu thập cho mục đích mới mà không thông báo và thu thập lại sự đồng ý là hành vi vi phạm pháp luật nghiêm trọng.

4. Nếu khách hàng yêu cầu xóa dữ liệu, doanh nghiệp có quyền từ chối với lý do không công khai mục đích sử dụng không?

Doanh nghiệp hoàn toàn không có quyền từ chối yêu cầu xóa dữ liệu của khách hàng với lý do không công khai mục đích sử dụng. Ngược lại, việc không công khai mục đích sử dụng càng củng cố thêm quyền yêu cầu xóa của khách hàng và nghĩa vụ phải thực hiện của doanh nghiệp.
Theo khoản 5 Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu có quyền yêu cầu xóa dữ liệu cá nhân của mình. Và Điều 26 Nghị định 13/2023/NĐ-CP về biện pháp bảo vệ dữ liệu cá nhân thì doanh nghiệp phải thực hiện các biện pháp cần thiết để bảo đảm thực hiện các quyền của chủ thể dữ liệu.

Việc không công khai mục đích sử dụng dữ liệu có thể khiến việc thu thập dữ liệu bị coi là trái phép ngay từ đầu. Khi đó, chủ thể dữ liệu có quyền yêu cầu xóa dữ liệu dựa trên việc dữ liệu được thu thập không hợp pháp, hoặc đơn giản là dựa trên quyền cơ bản được xóa dữ liệu của mình. Doanh nghiệp không thể lấy lỗi của mình (không công khai mục đích) để từ chối yêu cầu chính đáng của khách hàng.

Tóm lại, quyền yêu cầu xóa dữ liệu của khách hàng là một quyền pháp lý được bảo vệ. Doanh nghiệp phải tuân thủ yêu cầu này, đặc biệt khi việc thu thập dữ liệu ban đầu có dấu hiệu vi phạm pháp luật.

5. Các hình thức xử phạt nào có thể áp dụng nếu doanh nghiệp thu thập dữ liệu khách hàng mà không công khai mục đích sử dụng?

Nếu doanh nghiệp thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng và vi phạm các quy định pháp luật, có nhiều hình thức xử phạt nghiêm khắc có thể được áp dụng.

Các hình thức xử phạt chính bao gồm:

  • Phạt tiền hành chính theo Nghị định 15/2020/NĐ-CP sửa đổi, bổ sung bởi Nghị định 14/2022/NĐ-CP. Đây là hình thức phổ biến nhất. Mức phạt có thể dao động từ vài chục triệu đồng đến hàng trăm triệu đồng, tùy thuộc vào hành vi cụ thể (ví dụ: không thông báo cho chủ thể dữ liệu về mục đích xử lý, thu thập dữ liệu mà không có sự đồng ý, chuyển giao dữ liệu trái phép...). Mức phạt đối với tổ chức thường gấp đôi so với cá nhân, chẳng hạn như Điều 84 về vi phạm quy định về thu thập, sử dụng thông tin cá nhân, nếu thu thập thông tin cá nhân khi chưa có sự đồng ý của chủ thể thông tin cá nhân về phạm vi, mục đích của việc thu thập và sử dụng thông tin đó sẽ bị phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng.
  • Buộc chấm dứt hành vi vi phạm: Doanh nghiệp sẽ bị yêu cầu dừng ngay việc thu thập hoặc sử dụng dữ liệu trái phép.
  • Buộc khôi phục lại tình trạng ban đầu: Ví dụ, buộc phải xóa bỏ dữ liệu đã thu thập không hợp pháp.
  • Buộc nộp lại số lợi bất hợp pháp có được do vi phạm.
  • Hình phạt bổ sung: Trong một số trường hợp, doanh nghiệp có thể bị tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn.
  • Xử lý hình sự: Đối với các hành vi vi phạm nghiêm trọng, có tổ chức, gây hậu quả đặc biệt lớn, hoặc thuộc các trường hợp cấu thành tội phạm theo Bộ luật Hình sự. Ví dụ, tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông theo Điều 288 Bộ luật Hình sự 2015, có thể bị phạt tiền từ 30.000.000 đồng đến 200.000.000 đồng, phạt cải tạo không giam giữ đến 3 năm hoặc phạt tù từ 6 tháng đến 7 năm, tùy theo mức độ vi phạm.

Như vậy, việc thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng là một hành vi tiềm ẩn rủi ro pháp lý rất lớn, có thể dẫn đến các hình phạt nghiêm khắc từ cơ quan quản lý nhà nước, bao gồm cả phạt hành chính và truy cứu trách nhiệm hình sự, gây tổn hại nặng nề cho doanh nghiệp.

V. Bạn đang tìm công ty luật uy tín để hỗ trợ vấn đề liên quan đến thu thập dữ liệu khách hàng nhưng không công khai mục đích sử dụng?

Việc tuân thủ đúng các quy định về bảo vệ dữ liệu cá nhân, đặc biệt là trong hoạt động thu thập và xử lý dữ liệu khách hàng, không chỉ giúp doanh nghiệp tránh được các khoản phạt không đáng có mà còn thể hiện sự chuyên nghiệp và trách nhiệm pháp lý. Tuy nhiên, với những quy định phức tạp và thường xuyên thay đổi, việc tự mình tìm hiểu và thực hiện có thể gặp nhiều khó khăn.

Nếu bạn đang gặp vướng mắc trong việc xác định nghĩa vụ công khai mục đích sử dụng dữ liệu, xây dựng chính sách quyền riêng tư, xử lý các yêu cầu từ chủ thể dữ liệu, hoặc muốn tìm hiểu sâu hơn về các trường hợp được miễn trừ, hãy liên hệ với NPLaw ngay hôm nay.

Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.