Bảo vệ dữ liệu cá nhân là bảo đảm thông tin của khách hàng, người lao động và đối tác được thu thập, sử dụng và lưu trữ hợp pháp, đúng mục đích và an toàn. Trong ESG, đây là chỉ số thuộc trụ cột Xã hội (trách nhiệm với khách hàng) và có liên hệ chặt chẽ với trụ cột Quản trị (quản trị rủi ro công nghệ).
Tóm tắt nhanh
- Nghị định 13/2023/NĐ-CP đặt nền tảng; Luật Bảo vệ dữ liệu cá nhân được Quốc hội thông qua năm 2025 nâng mức yêu cầu.
- Nguyên tắc cốt lõi: có căn cứ xử lý (như sự đồng ý), đúng mục đích, tối thiểu hóa, bảo mật, minh bạch.
- GRI 418 yêu cầu công bố khiếu nại có căn cứ về vi phạm quyền riêng tư và mất dữ liệu khách hàng.
Vì sao dữ liệu cá nhân là vấn đề ESG?
- Quyền con người: quyền riêng tư là quyền cơ bản.
- Rủi ro tài chính và pháp lý: xử phạt, bồi thường, gián đoạn kinh doanh khi rò rỉ dữ liệu.
- Niềm tin: sự cố dữ liệu làm tổn hại thương hiệu nhanh hơn hầu hết các sự cố khác.
7 việc doanh nghiệp cần làm
- Lập bản đồ dữ liệu: thu thập gì, ở đâu, ai truy cập, lưu bao lâu.
- Xác định căn cứ xử lý và quản lý sự đồng ý của chủ thể dữ liệu.
- Thực hiện đánh giá tác động xử lý dữ liệu theo quy định.
- Kiểm soát truy cập, mã hóa, sao lưu; quản lý nhà cung cấp xử lý dữ liệu.
- Quy trình tiếp nhận yêu cầu của chủ thể dữ liệu (truy cập, chỉnh sửa, xóa).
- Kế hoạch ứng phó sự cố và thông báo vi phạm theo thời hạn luật định.
- Đào tạo nhân viên và báo cáo định kỳ lên Ban điều hành, HĐQT.
Liên hệ với quản trị doanh nghiệp
An ninh mạng và dữ liệu nên nằm trong danh mục rủi ro trọng yếu được Hội đồng quản trị giám sát. Dữ liệu cá nhân của người lao động cũng là một phần trong thẩm định nhân quyền.
Thu thập ít dữ liệu hơn là biện pháp bảo mật rẻ nhất.
Câu hỏi thường gặp
Doanh nghiệp nhỏ có phải tuân thủ quy định bảo vệ dữ liệu cá nhân?
Có. Quy định áp dụng cho tổ chức, cá nhân xử lý dữ liệu cá nhân tại Việt Nam; mức độ nghĩa vụ cụ thể có thể khác nhau tùy loại dữ liệu và quy mô xử lý.
Dữ liệu cá nhân nhạy cảm gồm những gì?
Thường gồm dữ liệu về sức khỏe, sinh trắc học, tài chính, vị trí, đời sống riêng tư và một số loại khác theo quy định; loại dữ liệu này đòi hỏi biện pháp bảo vệ cao hơn.
Chỉ số nào về dữ liệu cá nhân đưa vào báo cáo ESG?
Số khiếu nại có căn cứ về vi phạm quyền riêng tư, số sự cố rò rỉ, mất dữ liệu khách hàng (GRI 418-1) và mô tả hệ thống quản lý bảo mật dữ liệu.
VietESG — Tổ chức độc lập đánh giá & xếp hạng ESG. Đánh giá dựa trên dữ liệu công bố, tài liệu minh chứng và phương pháp luận công khai theo chuẩn GRI và SDGs.
