Đánh giá tín nhiệm doanh nghiệp theo Luật Bảo vệ Dữ liệu cá nhân và tác động đến hoạt động doanh nghiệp

Trong xu thế hội nhập kinh tế toàn cầu, bảo mật thông tin không còn đơn thuần là một nghĩa vụ pháp lý nội bộ mà đã nâng tầm thành thước đo chiến lược quyết định năng lực cạnh tranh của doanh nghiệp trên thị trường quốc tế. 

Bài viết dưới đây VDPC sẽ phân tích chi tiết mối liên hệ mật thiết giữa các quy định bảo mật dữ liệu và các khung đánh giá quốc tế nhằm giúp doanh nghiệp xây dựng lộ trình phát triển bền vững tối ưu.

1. Tuân thủ quy định pháp luật về Bảo vệ dữ liệu cá nhân 

Căn cứ pháp lý: Điều 2, 9, 13, 14, 15, 16, 17, 20 Luật Bảo vệ dữ liệu cá nhân năm 2025

1. Doanh nghiệp cần phải đảm bảo có sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, phân tích, sử dụng, xử lý dữ liệu cá nhân 
2. Doanh nghiệp cần phân loại dữ liệu cá nhân: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm 
3. Trong trường hợp chỉnh sửa dữ liệu cá nhân: Doanh nghiệp cần thực hiện chỉnh sửa dữ liệu cá nhân khi chủ thể dữ liệu cá nhân yêu cầu hoặc chỉnh sửa dữ liệu cá nhân theo quy định của pháp luật
4. Trường hợp xoá, huỷ khử nhận dạng dữ liệu cá nhân: Doanh nghiệp cần tuân thủ về các trường hợp xoá, huỷ nhận dạng dữ liệu cá nhân và không được khôi phục trái phép dữ liệu cá nhân.
5. Doanh nghiệp cần cung cấp dữ liệu cá nhân theo đúng quy định của pháp luật
6. Doanh nghiệp thực hiện công khai dữ liệu cá nhân đúng quy định của pháp luật
7. Doanh nghiệp đã thực hiện chuyển giao dữ liệu cá nhân xuyên biên giới theo đúng quy định của pháp luật
8. Doanh nghiệp phải thực hiện lập và cập nhật hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (đối với trường hợp 1.7) và hồ sơ đánh giá tác động tác động xử lý dữ liệu cá nhân. 

2. Các tiêu chí ESG liên quan đến việc tuân thủ quy định Luật Bảo vệ dữ liệu cá nhân

2.1. ESG (Environmental, Social, and Governance) là một khung đánh giá nhằm đo lường tính bền vững và trách nhiệm đối với môi trường, xã hội của doanh nghiệp.

Gồm ba trụ cột chính là Môi trường, Xã hội, Quản trị. Trong đó hai trụ cột Xã hội và Quản trị liên quan mật thiết đến trách nhiệm tuân thủ quy định về bảo vệ dữ liệu cá nhân. 

Khi đó, nếu doanh nghiệp tuân thủ các quy định về bảo vệ dữ liệu cá nhân thì điểm đánh giá ESG sẽ cao.

2.2. Tiêu chí ESG tác động đến hoạt động của doanh nghiệp 

• Điểm ESG cao là thỏi nam châm thu hút các quỹ đầu tư, tổ chức tín dụng và nguồn vốn FDI vì họ ưu tiên các dự án phát triển bền vững.
• Thực hành quản trị minh bạch, tuân thủ pháp luật và đạo đức kinh doanh giúp doanh nghiệp tránh được các án phạt, tranh chấp và sự can thiệp bất lợi từ cơ quan nhà nước.
• Nâng cao uy tín thương hiệu và sức cạnh tranh

2.3. Tiêu chí ESG trong việc tuân thủ quy định về bảo vệ dữ liệu cá nhân 

Trong bộ tiêu chí này phần trụ cột về Xã hội và Quản trị quan đến bảo mật dữ liệu cá nhân 

a. Xã hội: Tiêu chí về quyền lợi của người lao động 

Các tiêu chí gồm: 

• Đánh giá và phân loại dữ liệu nhân sự 
• Xây dựng chính sách bảo vệ dữ liệu nội bộ 

Doanh nghiệp cần thực hiện các quyền về bảo vệ dữ liệu của người lao động theo Luật bảo vệ dữ liệu cá nhân 

Lưu ý: Việc chấm công bằng vân tay hoặc khuôn mặt thuộc dữ liệu cá nhân nhạy cảm, doanh nghiệp cần có văn bản đồng ý của người lao động trước khi thu thập 

b. Quản trị: Tiêu chí về tuân thủ quy định về bảo vệ dữ liệu cá nhân đối với khách hàng. 

Khi có khách hàng phản ánh về dữ liệu cá nhân ví dụ khiếu nại về công khai dữ liệu cá nhân mà chưa có sự đồng ý của khách hàng,… là điểm trừ khi đánh giá các tiêu chí ESG

3. Các tiêu chuẩn GRI 418 liên quan đến việc tuân thủ quy định Luật Bảo vệ dữ liệu cá nhân

3.1. Tiêu chuẩn GRI và GRI 418

Tiêu chuẩn GRI (Báo cáo toàn cầu) 

• Tiêu chuẩn GRI về Báo cáo phát triển bền vững là một hệ thống tiêu chuẩn quốc tế được phát hành vào năm 2016, với mục tiêu hỗ trợ các tổ chức báo cáo về hoạt động tài trợ bền vững để đảm bảo tính minh bạch. GRI cung cấp một khuôn khổ để thu thập, phân tích và báo cáo dữ liệu về các khía cạnh xã hội, môi trường và thương mại của một tổ chức. 
• Gồm 36 bộ tiêu chuẩn trong đó Bộ tiêu chuẩn GRI 400 về Xã hội có tiêu chí về GRI 418. 

Tiêu chí GRI 418: Quyền riêng tư của khách hàng 

Nội dung: Khiếu nại cơ bản liên quan đến vi phạm quyền riêng tư của khách hàng và mất dữ liệu khách hàng 

Doanh nghiệp cần báo cáo cụ thể các số liệu trong kỳ báo cáo bao gồm

• Số lượng khiếu nại đã được chứng minh 
• Nguồn gốc khiếu nại: Khiếu nại từ khách hàng hoặc bên thứ ba 
• Các vụ rò rỉ, đánh cắp hoặc thất thoát dữ liệu 

Điều này sẽ dẫn đến điểm ESG thấp, như vậy doanh nghiệp cần thực hiện tuân thủ các quy định của pháp luật về bảo vệ dữ liệu cá nhân.

3.2. Tiêu chuẩn GRI tác động đến hoạt động của doanh nghiệp

• GRI là khung làm việc toàn diện, linh hoạt và phù hợp với thông lệ quốc tế, từ đó thu hút được nguồn vốn đầu tư nước ngoài. 
• Hoạt động theo GRI giúp doanh nghiệp chủ động tuân thủ trước các luật gắt gao như GDPR tránh được các khoản phạt khổng lồ và nguy cơ bị đình chỉ hoạt động.
• Tăng lợi thế cạnh tranh và thu hút được các nhà đầu tư lớn

4. Đánh giá CSR liên quan đến việc tuân thủ quy định Luật Bảo vệ dữ liệu cá nhân

4.1. CSR (Trách nhiệm xã hội của doanh nghiệp) là khái niệm chỉ những hoạt động đóng góp cho cộng đồng, môi trường, phát triển bền vững… thể hiện trách nhiệm xã hội của doanh nghiệp.

Bao gồm 06 tiêu chuẩn trong đó tiêu chuẩn

• SA8000 gồm các tiêu chí đảm bảo quyền lợi cơ bản của người lao động trong doanh nghiệp. Trong quyền lợi cơ bản của người lao động bao gồm quyền bảo vệ dữ liệu cá nhân. 
• Tiêu chuẩn ISO 27001 là tiêu chuẩn quốc tế hàng đầu về Hệ thống Quản lý An toàn Thông tin (ISMS) 

Hiện nay tiêu chuẩn này đã được EU (Liên minh Châu Âu) yêu cầu áp dụng CSR cho toàn chuỗi cung ứng nông sản toàn cầu. 

Như vậy, CSR là yếu tố bắt buộc với các doanh nghiệp hoạt động trong lĩnh vực xuất khẩu nông sản, và cũng là thước đo để đánh giá doanh nghiệp nói chung.

4.2. Tiêu chuẩn SA800 gồm các tiêu chí đảm bảo quyền lợi cơ bản của người lao động trong doanh nghiệp, trong đó đặc biệt yêu cầu sự công khai, minh bạch trong các hoạt động sản xuất, kinh doanh. 

Quyền lợi của người lao động bao gồm cả quyền của chủ sở hữu dữ liệu cá nhân

Như vậy, muốn đáp ứng được tiêu chuẩn về SA800 cần phải thực hiện tuân thủ quy định của pháp luật về bảo vệ dữ liệu cá nhân

4.3. Đánh giá CSR tác động đến hoạt động của doanh nghiệp

Đối với từng ngành nghề lĩnh vực sẽ có các bộ tiêu chí CSR riêng

a. Doanh nghiệp hoạt động trong lĩnh vực dệt may, da giày thời trang

Tiêu chuẩn SA8000, ISO 27001 được các thương hiệu lớn như Nike, Adidas, Puma,… yêu cầu chặt chẽ. Từ đó, việc thực hiện tiêu chuẩn nếu muốn hợp tác kinh doanh với các thương hiệu lớn là điều bắt buộc.

Để đáp ứng tiêu chuẩn SA800 cần đáp ứng tiêu chuẩn về tuân thủ bảo vệ dữ liệu cá nhân cụ thể là dữ liệu cá nhân của khách hàng, người lao động, đặc biệt việc chuyển dữ liệu cá nhân xuyên biên giới.

b. Doanh nghiệp hoạt động trong lĩnh vực bán lẻ và tiêu dùng, tài chính ngân hàng.

Các chuỗi siêu thị lớn trên thế giới như Walmart, Target sử dụng SA8000, ISO 27001 như một công cụ bộ lọc nhà cung cấp nhập khẩu hàng hóa vào thị trường Mỹ và Châu Âu.

Với hệ thống bảo mật đạt chuẩn quốc tế, công ty có thể mở rộng được thị phần nhờ niềm tin của khách hàng và các nhà đầu tư lớn. 

Kết luận

Tựu trung lại, hoạt động tuân thủ bảo vệ dữ liệu cá nhân không còn là một lựa chọn mang tính khuyến khích mà đã trở thành điều kiện tiên quyết, bắt buộc đối với mọi doanh nghiệp muốn tham gia vào chuỗi cung ứng toàn cầu và nâng cao năng lực cạnh tranh. Dù soi chiếu dưới quy định hay tiêu chuẩn nào thì việc bảo vệ an toàn thông tin của khách hàng lẫn người lao động đều đóng vai trò quyết định.

Trên đây là Đánh giá tín nhiệm doanh nghiệp theo Luật Bảo vệ Dữ liệu cá nhân và tác động đến hoạt động doanh nghiệp. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Tài liệu tham khảo:

(1) KNA Cert. (n.d.). CSR là gì? Các bộ tiêu chuẩn trách nhiệm xã hội phổ biến. KNA Certification. https://knacert.com.vn/tin-tuc-tieu-chuan/csr-la-gi-cac-bo-tieu-chuan-trach-nhiem-xa-hoi-pho-bien/

(2) Base.vn. (2024, May 22). ESG là gì? Trọn bộ thông tin về ESG cho doanh nghiệp. Base Blog. https://base.vn/blog/esg-la-gi/

(3) Ủy ban Chứng khoán Nhà nước & UK PACT. (2024). Sổ tay về Triển khai và Công bố Thông tin ESG: Sản phẩm số 1 [File PDF]. EchoGreen. https://echogreen.vn/storage/esg-ukpack-ssc-2024-so-tay-ve-trien-khai-va-cong-bo-thong-tin.pdf

(4) Global Reporting Initiative. (2016). GRI 418: Customer Privacy 2016 [File PDF]. Google Drive. https://drive.google.com/file/d/1RxsvuEWjKoPbSYeksq1UVlFwi4eK0Njv/view

(5) Social Accountability International. (2016). SA8000:2014 guidance document [File PDF]. SAI. https://sa-intl.org/resources/sa80002014-guidance-document/

(6) International Organization for Standardization. (2022). ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements (3rd ed.). ISO Online Browsing Platform. https://www.iso.org/obp/ui/en/#iso:std:iso-iec:27001:ed-3:v1:en

Xem thêm: