Tuân thủ GDPR và doanh nghiệp nhỏ

Không, họ sẽ không được miễn. GDPR sẽ áp dụng bất cứ khi nào doanh nghiệp thu thập dữ liệu cá nhân từ một cá nhân đang ở trong khu vực EU. Quy định này vẫn áp dụng bất kể bạn là mô hình kinh doanh cá thể hay sở hữu văn phòng trên cả sáu châu lục.

Mặc dù vậy, bạn không cần phải lưu hồ sơ bằng văn bản về các hoạt động xử lý dữ liệu nếu doanh nghiệp có dưới 250 nhân viên, ngoại trừ các trường hợp sau:

• Các hoạt động xử lý dữ liệu mà bạn thực hiện có thể ảnh hưởng đến quyền và sự tự do của cá nhân

• Bạn sẽ xử lý dữ liệu theo phạm vi điều chỉnh của Điều 9 trong GDPR. Đây là những dữ liệu tiết lộ về một cá nhân liên quan đến:
  • Chủng tộc hoặc sắc tộc
  • Quan điểm chính trị, tín ngưỡng tôn giáo hoặc quan điểm triết học
  • Tư cách thành viên công đoàn
  • Dữ liệu di truyền, sinh trắc học hoặc dữ liệu về sức khỏe hay xu hướng tình dục của người đó

• Bạn xử lý dữ liệu cá nhân thuộc phạm vi điều chỉnh của điều 10, tức là dữ liệu liên quan đến các hành vi phạm tội và các bản án kết tội

• Bạn xử lý dữ liệu cá nhân một cách thường xuyên

Nhiều doanh nghiệp nhỏ và hộ kinh doanh cá thể sẽ không thuộc diện áp dụng ba trường hợp miễn trừ đầu tiên này.

Tuy nhiên, còn trường hợp miễn trừ thứ tư thì như thế nào? Uỷ ban Bảo vệ Quyền riêng tư của Bỉ cho rằng không phải mọi hoạt động xử lý dữ liệu đều được coi là “thường xuyên”, ngay cả khi bạn thực hiện công việc đó mỗi ngày. Theo cách hiểu này, bạn không cần phải lưu hồ sơ dữ liệu cá nhân dùng cho việc đặt hàng hay trao đổi với khách hàng. Tuy nhiên, một tài liệu định hướng quan điểm của Nhóm soạn thảo Điều 29 — tiền thân của Ủy ban Bảo vệ Dữ liệu Châu Âu — lại cho rằng bạn nên hiểu từ “thường xuyên” đúng theo nghĩa đen. Và Ủy ban Bảo vệ Dữ liệu Châu Âu cũng đã thống nhất với quan điểm này. Do quan điểm hướng dẫn còn chưa nhất quán, giải pháp an toàn là duy trì việc lưu giữ sổ sách, ngay cả khi bạn nghĩ mình thuộc diện miễn trừ áp dụng. Cẩn tắc vô áy náy.

Có. GDPR áp dụng cho các công ty tại Mỹ nếu họ:

• Kinh doanh tại EU

• Dù không hoạt động kinh doanh tại EU, nhưng vẫn thu thập hoặc theo dõi dữ liệu cá nhân của những người đang có mặt tại EU (bao gồm cả những người đang đi du lịch chứ không sinh sống cố định ở đây). Bạn có thể đang thực hiện việc này mà không hề nhận ra. Ví dụ: nếu cookie của trang web của bạn có thể được dùng để nhận diện một cá nhân, chúng sẽ được coi là dữ liệu cá nhân theo GDPR

Nếu muốn tiếp tục kinh doanh ở EU, bạn phải tuân thủ GDPR. Hoặc nếu không tuân thủ, bạn có thể bị phạt nặng. Nếu bạn không kinh doanh ở EU, bạn có hai lựa chọn:

• Dù sao đi nữa, hãy tuân thủ GDPR

• Hạn chế quyền truy cập vào trang web của bạn, nhằm tránh việc tự động thu thập dữ liệu cá nhân từ người dùng đang ở EU

Khi quy định GDPR mới bắt đầu có hiệu lực, nhiều trang web tại Mỹ đã chủ động chặn người dùng tại EU để tránh vi phạm các quy định này. Chẳng hạn, tính đến thời điểm tháng 8 năm 2018, trên 1.1 trang web tin tức tại Mỹ đã rơi vào trạng thái không truy cập được từ EU. Một số nhà xuất bản đã quyết định rút khỏi EU vĩnh viễn. Charles Arms, người phát ngôn của Lee Enterprises, chia sẻ: “Lưu lượng truy cập Internet vào các trang tin tức địa phương của chúng tôi đến từ khu vực EU và EEA là không đáng kể. Vì vậy, chúng tôi tin rằng việc chặn lượng truy cập này là giải pháp tối ưu nhất cho các khách hàng truyền thông địa phương.” Dù vậy, nhiều trang web của Mỹ hiện đã có thể hoạt động trở lại bình thường tại EU mà không gặp phải bất kỳ sự cố nào. Và trang web của doanh nghiệp nhỏ hoàn toàn có thể tiếp cận người dùng EU mà không lo gặp rắc rối. Điều này dẫn chúng ta đến ý tiếp theo.

Bắt đầu lộ trình tuân thủ GDPR cho doanh nghiệp nhỏ không quá phức tạp như bạn nghĩ. Dưới đây là danh sách kiểm tra tuân thủ GDPR giúp bạn bắt đầu.

1. Bạn thu thập dữ liệu cá nhân nào?

Bạn cần nắm rõ mình đang thu thập những thông tin cá nhân nào và liệu có dữ liệu nhạy cảm hay không, tức là có thuộc các nhóm dữ liệu quy định tại Điều 9 và Điều 10 của GDPR hay không. Bạn cũng nên tự đặt câu hỏi như sau:

• Thông tin này thu thập từ nguồn nào?

• Bạn thu thập thông tin đó để làm gì?

• Bạn sẽ làm gì với thông tin đó?

Bạn cần sẵn sàng giải đáp các câu hỏi này khi có yêu cầu.

2. Bạn có sự đồng ý hay chưa?

Trừ khi có căn cứ pháp lý khác để sử dụng dữ liệu cá nhân, bạn bắt buộc phải có sự chấp thuận từ người dùng. Sự đồng ý này phải:

• Được đưa ra một cách tự nguyện

• Cụ thể

• Được thông báo đầy đủ

• Không mơ hồ

Bạn phải lưu giữ hồ sơ bằng văn bản về sự đồng ý. Bạn cũng phải đảm bảo việc rút lại sự đồng ý diễn ra nhanh chóng và dễ dàng. Việc sử dụng Phần mềm quản lý mối quan hệ khách hàng tuân thủ GDPR sẽ hỗ trợ hiệu quả cho bạn trong bước này. Cụ thể, phần mềm này có thể:

• Lưu lại hồ sơ bằng văn bản về tên của người dùng và dữ liệu cá nhân bạn lưu giữ về họ

• Ghi lại sự đồng ý của họ, nêu rõ họ đồng ý cho bạn sử dụng dữ liệu của họ vào mục đích gì (ví dụ, để nhận bản tin hàng tháng của bạn)

• Cung cấp cho người dùng phương thức thuận tiện để rút lại sự đồng ý khi họ thay đổi quyết định (ví dụ: thông qua nút "hủy đăng ký" chỉ với một cú nhấp chuột)

3. Dữ liệu có được đảm bảo an toàn không?

Doanh nghiệp của bạn chịu trách nhiệm về dữ liệu cá nhân mà bạn thu thập. Và bạn sẽ có nguy cơ bị xử phạt nếu dữ liệu này rơi vào tay kẻ xấu. Vậy nên hãy:

• Sử dụng phần mềm mã hóa khi lưu trữ hoặc truyền dữ liệu cá nhân trực tuyến

• Bảo vệ mạng của bạn. Sự bất cẩn của nhân viên là nguyên nhân hàng đầu dẫn đến rò rỉ dữ liệu, vì vậy, bắt buộc phải thiết lập một chính sách CNTT chặt chẽ. Bạn cũng nên đầu tư vào phần mềm bảo mật, bao gồm cả tường lửa

• Tạo thông báo về cookie và chính sách quyền riêng tư tuân thủ GDPR. Các mẫu cookie này và mẫu về chính sách quyền riêng tư có thể hỗ trợ hiệu quả cho bạn. Bạn cũng có thể xem Trung tâm tin cậy của Microsoft để tìm hiểu thêm về những biện pháp tốt nhất liên quan đến GDPR

• Kiểm tra việc tuân thủ GDPR của các nhà cung cấp

4. Nếu xảy ra vi phạm nghiêm trọng thì sao?

Bạn cần thông báo các sự cố rò rỉ dữ liệu nghiêm trọng cho cơ quan quản lý trong vòng 72 giờ để tránh nguy cơ bị xử phạt. Hãy đảm bảo rằng bạn đã có sẵn quy trình báo cáo. Và, quan trọng hơn, hãy đào tạo nhân viên của bạn để:

• Nhận biết

• Hiểu vi phạm nghiêm trọng là gì

• Nhận diện các dấu hiệu cảnh báo

Cho đến nay, GDPR đã tác động như thế nào đến các doanh nghiệp nhỏ?

Không còn gì bàn cãi nữa rồi. Việc tuân thủ GDPR rất tốn thời gian và chi phí. Tính đến trước ngày 25 tháng 5 năm 2018, trung bình mỗi doanh nghiệp nhỏ tại Anh đã tiêu tốn khoảng 600 giờ cho công tác chuẩn bị tuân thủ GDPR. Và đó còn chưa tính đến chi phí tài chính. Trên toàn cầu, các doanh nghiệp nhỏ và vừa đã chi 1,3 triệu USD cho việc tuân thủ GDPR. Tương tự, việc không tuân thủ có thể gây ảnh hưởng rất lớn đến thu nhập thực của bạn. Trong vụ kiện đầu tiên về GDPR, một trang mạng xã hội của Đức đã bị phạt 20.000 Euro (khoảng 22.600 USD) vì không giữ an toàn dữ liệu cá nhân của người dùng sau khi một tin tặc đánh cắp 330.000 địa chỉ email và mật khẩu. Nhưng dù bạn dễ có xu hướng xem đây là một gánh nặng, việc tuân thủ GDPR cũng mang lại những tác động tích cực cho các doanh nghiệp nhỏ. Sau đây là lý do. Người tiêu dùng chưa bao giờ coi trọng quyền riêng tư của họ hơn lúc này. Và họ kỳ vọng các doanh nghiệp mà họ chia sẻ thông tin cũng sẽ có cùng quan điểm. Trong một nghiên cứu gần đây, 69% người tiêu dùng ở Mỹ thậm chí còn cho biết họ muốn một đạo luật tương tự như GDPR được ban hành ở Mỹ. Đáng chú ý hơn, nghiên cứu của Hội đồng CMO cho thấy các đơn vị chủ động chuẩn bị cho GDPR đã ghi nhận mức độ tương tác cao hơn, lòng trung thành gia tăng và niềm tin lớn hơn từ phía người tiêu dùng. Rõ ràng, GDPR không đơn thuần là một tập hợp các quy định bắt buộc phải tuân thủ chỉ để tránh bị phạt. Không ai thích thông tin cá nhân của mình bị lấy đi khi chưa có sự đồng ý. Hoặc bị lưu trữ ở một nơi mà tội phạm có thể lấy được. Do đó, bằng việc thực hiện các bước để tuân thủ GDPR, bạn có thể khẳng định vị thế của doanh nghiệp mình như một đơn vị thực sự tôn trọng và bảo vệ dữ liệu riêng tư của khách hàng. Và đây chính là yếu tố giúp bạn tạo nên lợi thế cạnh tranh.