Hỏi: Công ty A chuyên buôn bán đồ dùng, rau củ… và có hoạt động thu thập, xử lý dữ liệu của khách hàng, người tiêu dùng. Công ty A thắc mắc phải bảo vệ dữ liệu, thông tin cá nhân của khách hàng trong hoạt động kinh doanh như thế nào cho đúng quy định?
Bài viết sau VDPC sẽ tổng hợp chi tiết các quy định và giải đáp vấn đề bảo vệ thông tin cá nhân của khách hàng trong hoạt động kinh doanh thế nào cho đúng quy định của pháp luật.
A. BẢO VỆ THÔNG TIN NGƯỜI TIÊU DÙNG
Căn cứ pháp lý:
- Điều 3, 15, 16, 17, 31 Luật Bảo vệ quyền lợi Người tiêu dùng năm 2023
- Điều 46 Nghị định 24/2025/NĐ-CP
- Điều 608 Bộ luật Dân sự năm 2015
1. Tổng quan về Bảo vệ quyền lợi Người tiêu dùng
Người tiêu dùng là người mua, sử dụng sản phẩm, hàng hóa, dịch vụ cho mục đích tiêu dùng, sinh hoạt của cá nhân, gia đình, cơ quan, tổ chức và không vì mục đích thương mại.
Tổ chức kinh doanh là tổ chức thực hiện liên tục một, một số hoặc tất cả các công đoạn của quá trình từ đầu tư, sản xuất đến tiêu thụ sản phẩm, hàng hóa hoặc cung cấp dịch vụ trên thị trường nhằm mục đích sinh lợi.
Thông tin của người tiêu dùng bao gồm thông tin cá nhân của người tiêu dùng, thông tin về quá trình mua, sử dụng sản phẩm, hàng hóa, dịch vụ của người tiêu dùng và thông tin khác liên quan đến giao dịch giữa người tiêu dùng và tổ chức, cá nhân kinh doanh.
Như vậy, trong hoạt động kinh doanh của Công ty A, các vai trò được xác định như sau:
- Người tiêu dùng: Khách hàng
- Tổ chức kinh doanh: Công ty A
- Thông tin của người tiêu dùng: Họ và tên, ngày tháng năm sinh, giới tính, số điện thoại, địa chỉ liên hệ, thông tin về yêu cầu thiết kế bàn ghế phòng ăn, phòng khách,…
2. Trách nhiệm của Công ty A trong hoạt động kinh doanh
2.1. Trách nhiệm bảo vệ thông tin của Người tiêu dùng
- Công ty A thực hiện việc thu thập, lưu trữ, sử dụng, chỉnh sửa, cập nhật, hủy bỏ thông tin của người tiêu dùng phải bảo đảm an toàn, an ninh thông tin của người tiêu dùng theo quy định.
2.2. Trách nhiệm Xây dựng quy tắc bảo vệ thông tin của người tiêu dùng
- Công ty A thu thập, lưu trữ, sử dụng thông tin của người tiêu dùng phải xây dựng quy tắc bảo vệ thông tin áp dụng chung cho người tiêu dùng với các nội dung sau đây:
-
- Mục đích thu thập thông tin;
- Phạm vi sử dụng thông tin;
- Thời hạn lưu trữ thông tin;
- Biện pháp bảo vệ thông tin, bảo đảm an ninh thông tin của người tiêu dùng.
2.3. Trách nhiệm Thông báo khi thu thập, sử dụng thông tin của người tiêu dùng
- Công ty A phải thông báo rõ ràng, công khai, bằng hình thức phù hợp với người tiêu dùng về mục đích, phạm vi thu thập, sử dụng thông tin, thời hạn lưu trữ thông tin của người tiêu dùng trước khi thực hiện và phải được người tiêu dùng đồng ý.
2.4. Trách nhiệm tiếp nhận và giải quyết phản ánh, yêu cầu, khiếu nại của người tiêu dùng
- Công ty A có trách nhiệm thông báo cho khách hàng về việc tiếp nhận khiếu nại trong vòng 03 ngày làm việc.
3. Trách nhiệm khi vi phạm về Bảo vệ thông tin Người tiêu dùng
3.1. Mức phạt chính:
Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi vi phạm sau đây:
- Sử dụng thông tin của người tiêu dùng không chính xác, không phù hợp với mục đích, phạm vi đã thông báo;
- Không xây dựng hoặc xây dựng quy tắc bảo vệ thông tin áp dụng chung cho người tiêu dùng không đầy đủ;
- …
Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với một trong các hành vi vi phạm sau đây:
- Không tiếp nhận hoặc không giải quyết phản ánh, yêu cầu, khiếu nại của người tiêu dùng;
- Không có biện pháp bảo đảm an toàn, an ninh thông tin của người tiêu dùng khi thu thập, lưu trữ, sử dụng hoặc không có biện pháp ngăn ngừa các hành vi vi phạm an toàn, an ninh thông tin của người tiêu dùng theo quy định;
- …
3.2. Bồi thường thiệt hại:
- Tổ chức kinh doanh xâm phạm quyền lợi của người tiêu dùng gây thiệt hại thì phải bồi thường thiệt hại, ở đây bao gồm cả tổn thất thực tế và bồi thường tổn thất về tinh thần.
B. BẢO VỆ DỮ LIỆU CÁ NHÂN CỦA KHÁCH HÀNG
Căn cứ pháp lý:
- Điều 2, 37 Luật Bảo vệ dữ liệu cá nhân năm 2025
- Điều 3, 4 Nghị định 356/2025/NĐ-CP
1. Tổng quan về Dữ liệu cá nhân
Về các vấn đề liên quan đến Bảo vệ dữ liệu cá nhân, pháp luật quy định như sau:
- Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
- Xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân.
- Chủ thể dữ liệu cá nhân là người được dữ liệu cá nhân phản ánh.
- Bên kiểm soát và xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.
Như vậy, Hành vi làm lộ dữ liệu cá nhân xảy ra khi thông tin trên của chủ thể dữ liệu bị truy cập, sử dụng, tiết lộ, chuyển giao hoặc chia sẻ cho các bên không có thẩm quyền mà không được sự đồng ý của chủ thể dữ liệu hoặc không có căn cứ pháp lý rõ ràng.
Trong quá trình kinh doanh Công ty A, các vai trò được xác định như sau:
- Chủ thể dữ liệu: Khách hàng
- Loại dữ liệu cá nhân:
-
- Dữ liệu cá nhân cơ bản: Họ và tên, ngày tháng năm sinh, giới tính, số điện thoại, địa chỉ liên hệ,…
- Dữ liệu cá nhân nhạy cảm: Không có
- Bên kiểm soát và xử lý dữ liệu cá nhân: Công ty A
2. Trách nhiệm về Bảo vệ dữ liệu cá nhân của Khách hàng
Trách nhiệm của (Doanh nghiệp) Bên kiểm soát và xử lý dữ liệu cá nhân như sau:
2.1. Đối với nội bộ doanh nghiệp
Tuân thủ các quy định về Bảo vệ dữ liệu cá nhân, bao gồm:
- Chỉ định nhân sự bảo vệ dữ liệu hoặc thành lập bộ phận chuyên trách bằng văn bản chính thức, trong đó nêu rõ chức năng, nhiệm vụ và quyền hạn;
- Tổ chức phải ban hành các chính sách, quy trình, biểu mẫu nội bộ để tuân thủ pháp luật và tổ chức đào tạo, bồi dưỡng kiến thức bảo vệ dữ liệu cho nhân viên;
- Áp dụng các biện pháp quản lý và kỹ thuật phù hợp;
- Phải lập biên bản xác nhận khi xảy ra hành vi vi phạm quy định bảo vệ dữ liệu cá nhân.
2.2. Đối với chủ thể dữ liệu
- Phải thông báo rõ ràng về loại dữ liệu, mục đích, phạm vi xử lý và chỉ được thực hiện khi có sự đồng ý tự nguyện của chủ thể;
- Đáp ứng các yêu cầu của chủ thể dữ liệu về việc xem, chỉnh sửa, xóa dữ liệu hoặc rút lại sự đồng ý;
- Thông báo khi xảy ra sự cố;
- Bồi thường thiệt hại.
2.3. Đối với cơ quan bảo vệ Dữ liệu cá nhân
- Tuân thủ nghĩa vụ nộp hồ sơ DPIA (đánh giá tác động xử lý dữ liệu cá nhân), TIA (đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới);
- Thông báo trong vòng 72 giờ khi xảy ra sự cố;
- Cung cấp thông tin và hỗ trợ Bộ Công an trong điều tra, xử lý vi phạm.
3. Trách nhiệm khi vi phạm về Bảo vệ dữ liệu cá nhân của Khách hàng
- Khách hàng là Chủ thể dữ liệu có quyền khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật trong trường hợp dữ liệu cá nhân của mình bị lộ.
- Vì vậy, khi người lao động của doanh nghiệp làm lộ thông tin khách hàng, doanh nghiệp có thể phải chịu những trách nhiệm như Bồi thường thiệt hại, phạt vi phạm hành chính.
Mức phạt vi phạm hành chính được quy định cụ thể như sau:
| Phạt vi phạm các điều cấm của Luật | Phạt do không tuân thủ trách nhiệm | ||||||
Hình thức xử phạt bổ sung:
|
Hình thức xử phạt bổ sung:
|
||||||
Kết luận
Tựu trung lại, hoạt động bảo vệ thông tin cá nhân của khách hàng trong vận hành thương mại là trách nhiệm đan xen chặt chẽ giữa nghĩa vụ bảo vệ quyền lợi người tiêu dùng và tuân thủ an toàn dữ liệu cá nhân. Doanh nghiệp cần nắm chắc quy định để tránh phải đối diện với các mức phạt nặng nề cũng như uy tín trong hoạt động kinh doanh.
Trên đây là Quy định về bảo vệ thông tin cá nhân của khách hàng trong hoạt động kinh doanh. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.
Trân trọng cảm ơn!
Zalo: 098.159.5243
Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!
Xem thêm:
- Đánh giá tín nhiệm doanh nghiệp theo Dự thảo Luật bảo vệ Dữ liệu cá nhân
- Tư cách của doanh nghiệp khi được mua vốn từ nhà đầu tư nước ngoài
- Trách nhiệm Bảo vệ dữ liệu cá nhân của Công ty FDI gia công cơ khí
- Vấn đề bảo vệ dữ liệu cá nhân cho doanh nghiệp khởi nghiệp công nghệ tại Hải Phòng
- Thủ tục thông báo đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài theo Dự thảo Nghị định quy định chi tiết một số điều Luật Bảo vệ dữ liệu cá nhân ngày 12.09.2025
