Dữ Liệu Cá Nhân Trên Website Doanh Nghiệp | Mahaton

Bản kiểm kê: website đang thu những gì

Khi tôi hỏi một chủ doanh nghiệp rằng website của anh chị đang giữ dữ liệu cá nhân nào của khách hàng, câu trả lời thường gặp là "chắc chỉ có mấy đơn liên hệ thôi". Thực tế gần như luôn nhiều hơn thế. Một website doanh nghiệp bình thường thường có nhiều điểm thu dữ liệu hơn chủ doanh nghiệp nghĩ, trong đó một phần chạy ngầm và không ai trong công ty chủ động bật lên — chúng đi kèm mặc định khi đơn vị làm web gắn công cụ đo đạc hoặc khi anh chị bắt đầu chạy quảng cáo.

Vì vậy việc đầu tiên không phải là đi tìm văn bản pháp luật để đọc. Việc đầu tiên là ngồi xuống liệt kê cho hết. Không kiểm kê được thì không bảo vệ được, và cũng không trả lời được khi khách hàng lớn hoặc một đối tác nước ngoài hỏi doanh nghiệp anh chị đang xử lý dữ liệu của họ ra sao.

Hộp trò chuyện là điểm hay bị bỏ sót nhất. Nếu anh chị đang dùng một hộp trò chuyện tự động trên website, toàn bộ nội dung khách nhắn — kể cả những câu khách khai luôn số hợp đồng hay giá đang mua của nhà cung cấp cũ — đang nằm trên máy chủ của bên thứ ba chứ không nằm trong công ty anh chị. Tương tự, công cụ phân tích truy cập và các mã theo dõi chuyển đổi gắn qua trình quản lý thẻ đều tạo ra dấu vết gắn với một người cụ thể, dù anh chị không bao giờ nhìn thấy tên người đó trong báo cáo.

Dữ liệu đang nằm ở đâu và ai chạm được vào

Kiểm kê xong cột "thu gì" thì phải làm tiếp cột "cất ở đâu, ai mở được". Đây là chỗ phần lớn doanh nghiệp vừa và nhỏ ở Việt Nam lộ ra vấn đề thật, và vấn đề hầu như không nằm ở công nghệ mà nằm ở thói quen làm việc.

Những tình huống tôi gặp đi gặp lại: danh sách khách hàng tiềm năng nằm trong một bảng tính được chia sẻ bằng đường dẫn công khai, ai có đường dẫn là mở được; một nhân viên kinh doanh nghỉ việc ba tháng trước vẫn còn quyền truy cập hộp thư nhận đơn liên hệ; nội dung khách nhắn được chụp màn hình rồi dán vào nhóm trò chuyện nội bộ có cả người ngoài công ty; bản sao lưu website tải về máy tính cá nhân của một bạn kỹ thuật rồi nằm đó vĩnh viễn.

Với bản sao lưu, anh chị nên đặt luôn quy định về nơi lưu và thời hạn xoá khi xây quy trình sao lưu và khôi phục website sau sự cố, vì một bản sao bỏ quên trên máy cá nhân chứa đủ dữ liệu khách hàng như máy chủ thật. Và nếu website do một đơn vị bên ngoài làm, quyền quản trị cùng danh sách tài khoản phải được ghi rõ trong biên bản bàn giao website — không có biên bản thì sáu tháng sau không ai biết còn bao nhiêu người ngoài đang giữ chìa khoá.

Nguyên tắc để tự chấm điểm rất đơn giản: mỗi tập dữ liệu chỉ nên có một nơi lưu chính thức, một người chịu trách nhiệm, và một danh sách người được phép mở. Ba thứ đó viết ra giấy được thì doanh nghiệp anh chị đã đi trước phần lớn thị trường.

Nói rõ mục đích và xin đồng ý trước khi thu

Nguyên tắc chung của việc xử lý dữ liệu cá nhân ở đâu cũng giống nhau: người ta phải biết anh chị lấy thông tin của họ để làm gì, và phải đồng ý trước khi anh chị lấy. Đồng ý ở đây là đồng ý thật — khách đọc được, hiểu được, và có thể từ chối mà vẫn dùng được website.

Điều này đổ trực tiếp xuống cách thiết kế biểu mẫu. Một ô "đăng ký nhận tư vấn" mà bên dưới ghi mờ dòng chữ đồng ý nhận mọi thông tin khuyến mãi từ công ty và các đối tác, với ô đã tick sẵn, là kiểu làm cũ và nên bỏ. Cách làm sạch hơn gồm sáu việc:

1. Ghi rõ ngay cạnh biểu mẫu doanh nghiệp thu thập thông tin để làm gì, bằng một câu tiếng Việt thường, không phải một trang điều khoản dài.
2. Chỉ hỏi những trường thật sự cần cho việc báo giá hay tư vấn. Mỗi trường thừa là một rủi ro thừa.
3. Tách riêng việc liên hệ tư vấn và việc nhận thư quảng cáo định kỳ thành hai lựa chọn, không gộp làm một.
4. Để ô đồng ý ở trạng thái chưa chọn, khách tự tick.
5. Ghi lại thời điểm và nội dung khách đã đồng ý, vì khi có tranh chấp thì lời nói không chứng minh được gì.
6. Có một trang chính sách quyền riêng tư viết bằng ngôn ngữ người thường đọc hiểu, đặt ở chân trang và cạnh mọi biểu mẫu.

Xin nói thẳng một lần nữa cho rõ: bài viết này không phải tư vấn pháp luật. Việt Nam có quy định riêng về bảo vệ dữ liệu cá nhân và các quy định đó có ràng buộc thật với doanh nghiệp, nhưng phần nào áp dụng cho ngành của anh chị, hồ sơ phải lập ra sao, ngôn ngữ trong chính sách phải viết thế nào — những thứ đó phải hỏi luật sư. Việc của bài này là giúp anh chị đi họp với luật sư mà đã có sẵn bản kiểm kê trong tay, thay vì trả lời "em cũng không rõ bên em đang giữ gì".

Doanh nghiệp không bảo vệ được thứ mình chưa từng liệt kê ra giấy. Bản kiểm kê luôn đi trước mọi điều khoản.

Khách hàng có quyền gì với dữ liệu của họ

Cách nghĩ đúng: dữ liệu cá nhân của khách vẫn là của khách, doanh nghiệp chỉ đang giữ hộ cho một mục đích đã thoả thuận. Từ cách nghĩ đó suy ra những quyền mà anh chị nên chuẩn bị sẵn đường để đáp ứng.

Khách có quyền biết anh chị đang giữ gì về họ và dùng vào việc gì. Họ có quyền yêu cầu sửa lại thông tin sai. Họ có quyền rút lại sự đồng ý đã cho, chẳng hạn không muốn nhận thư giới thiệu sản phẩm nữa. Và họ có quyền yêu cầu xoá dữ liệu, trừ phần doanh nghiệp buộc phải lưu vì nghĩa vụ khác như chứng từ kế toán của một đơn hàng đã xuất.

Phần thực hành quan trọng hơn phần lý thuyết. Anh chị cần trả lời được ba câu: khách gửi yêu cầu đó vào đâu, ai trong công ty nhận, và bao lâu thì xử lý xong. Một địa chỉ thư điện tử chuyên trách ghi rõ trên trang chính sách, một người được giao nhiệm vụ, và một cam kết thời hạn cụ thể là đủ cho doanh nghiệp vừa và nhỏ. Điều tệ nhất là khách gửi yêu cầu xoá dữ liệu mà không ai trong công ty biết yêu cầu đó rơi vào hộp thư nào.

Đáp ứng được những quyền này còn có một lợi ích phụ mà ít người để ý: nó buộc doanh nghiệp phải dọn dữ liệu cho gọn. Một danh sách khách hàng sạch, biết rõ ai đồng ý nhận thông tin và ai không, luôn chạy tốt hơn một danh sách phình to nhưng nửa số liên hệ đã nguội.

Khi dữ liệu đi ra ngoài công ty

Rất hiếm doanh nghiệp giữ dữ liệu khách hàng một mình. Danh sách số điện thoại được đẩy lên nền tảng quảng cáo để tìm nhóm khách tương tự. Địa chỉ thư điện tử được nạp vào công cụ gửi thư hàng loạt. Thông tin khách được đồng bộ sang phần mềm quản lý quan hệ khách hàng. Đơn vị chạy quảng cáo thuê ngoài được cấp quyền vào tài khoản để đọc báo cáo chuyển đổi.

Mỗi lần dữ liệu rời khỏi công ty là một lần rủi ro nhân lên, và trách nhiệm với khách hàng thì vẫn nằm ở doanh nghiệp anh chị chứ không chuyển sang bên nhận. Vì vậy trước khi bấm nút đồng bộ, nên làm bốn việc: ghi lại đang gửi dữ liệu gì cho ai và để làm gì; kiểm tra xem mục đích đó có nằm trong điều khách đã đồng ý hay không; đưa cam kết bảo mật và cấm dùng sai mục đích vào hợp đồng với bên nhận; và cấp quyền ở mức nhỏ nhất đủ làm việc, không cấp quyền quản trị cho một người chỉ cần xem báo cáo.

Khi kết nối website với phần mềm quản lý khách hàng và luồng tự động, anh chị nên vẽ ra sơ đồ dữ liệu chạy từ đâu sang đâu rồi mới cho kỹ thuật làm — làm ngược lại thì sáu tháng sau không ai truy được một số điện thoại đang nằm ở bao nhiêu hệ thống. Nguyên tắc này cũng đúng khi doanh nghiệp bắt đầu đưa công cụ AI vào vận hành: phần chuẩn bị và làm sạch dữ liệu trước khi triển khai chính là lúc quyết định dữ liệu nào được phép đưa vào hệ thống và dữ liệu nào phải che đi.

Rủi ro khi để lộ và cách giảm thiệt hại

Hậu quả của một vụ lộ dữ liệu ở doanh nghiệp vừa và nhỏ thường không đến từ một vụ tấn công tinh vi. Nó đến từ những chuyện rất đời thường: một tài khoản quản trị dùng mật khẩu cũ và không bật xác thực hai bước, một bảng tính chia sẻ nhầm chế độ công khai, một nhân viên nghỉ việc mang theo danh sách khách hàng.

Thiệt hại thì có ba tầng. Tầng thứ nhất là mất niềm tin — khách hàng doanh nghiệp, nhất là khách xuất khẩu, rất nhạy với chuyện này. Tầng thứ hai là mất lợi thế cạnh tranh khi danh sách khách và lịch sử báo giá rơi vào tay đối thủ. Tầng thứ ba là trách nhiệm pháp lý, và tầng này anh chị phải hỏi luật sư chứ đừng đoán.

Phần giảm rủi ro thì nằm gọn trong mấy việc kỹ thuật cơ bản mà bất kỳ đơn vị làm web tử tế nào cũng làm được: mã hoá đường truyền cho toàn bộ website, tách quyền theo vai trò, bật xác thực hai bước cho mọi tài khoản quản trị, rà soát danh sách người có quyền mỗi quý. Nếu website của anh chị chưa chạy trên kết nối mã hoá hoặc chứng chỉ đã hết hạn, hãy xử lý trước khi làm bất cứ việc nào khác trong bài — phần nền bảo mật website cho doanh nghiệp vừa và nhỏ là điều kiện cần, không phải tuỳ chọn. Với các hệ thống có dùng công cụ AI, anh chị nên đọc thêm về rủi ro bảo mật dữ liệu khi triển khai và cách bảo vệ, vì dữ liệu đưa vào một hệ thống xử lý tự động thường khó rút lại hơn dữ liệu nằm trong một bảng tính.

Cuối cùng là chuẩn bị cho tình huống xấu: nếu lộ dữ liệu thật, ai là người quyết định thông báo, thông báo cho ai, và nói gì. Viết trước nửa trang giấy trong lúc bình yên tốt hơn nhiều so với họp khẩn lúc nửa đêm.

Bước tiếp theo

Nếu anh chị chỉ làm được một việc sau khi đọc bài này, hãy làm bản kiểm kê. Mở một bảng tính, ba cột: thu gì, cất ở đâu, ai mở được. Đi hết các điểm trong bảng ở phần đầu bài. Doanh nghiệp làm xong bản kiểm kê thường phát hiện vài chỗ đang hở mà trước đó không ai trong công ty biết.

Sau đó mới đến phần chuẩn bị: viết lại câu mục đích cạnh biểu mẫu, bỏ ô tick sẵn, mở một địa chỉ nhận yêu cầu từ khách, rà lại danh sách người có quyền truy cập, và mang bản kiểm kê đó đi hỏi luật sư cho phần nghĩa vụ pháp lý cụ thể của ngành mình.

Mahaton Project làm phần kỹ thuật và quy trình: rà soát các điểm thu dữ liệu trên website, dọn lại biểu mẫu và mã theo dõi, tách quyền truy cập, dựng đường tiếp nhận yêu cầu của khách hàng. Phần pháp lý anh chị vẫn cần luật sư, và chúng tôi nói thẳng điều đó với mọi khách hàng. Nếu muốn bắt đầu bằng một buổi rà soát, anh chị nhắn qua Zalo hoặc gửi thư về lochuynh@mahatonproject.com, kèm địa chỉ website để chúng tôi xem trước.