Quy trình bảo vệ dữ liệu khách hàng cho hộ kinh doanh gồm 6 bước: kiểm kê dữ liệu đang có, công khai thông báo cho khách, xin sự đồng ý đúng cách, đặt quy chế cho nhân viên, xử lý yêu cầu của khách đúng hạn và chuẩn bị sẵn cách xử lý khi lộ dữ liệu. Các bước này không đòi hỏi phần mềm đắt tiền; phần lớn là sổ sách, biểu mẫu và thói quen làm việc. Hộ kinh doanh thường không phải lập hồ sơ DPIA hay chỉ định nhân sự bảo vệ dữ liệu, nhưng vẫn phải thực hiện các nghĩa vụ dưới đây. Nếu chưa rõ cửa hàng đang có rủi ro ở đâu, có thể bắt đầu bằng một buổi tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
Bước 1: Kiểm kê dữ liệu, điểm bắt đầu của quy trình bảo vệ dữ liệu khách hàng#
Chủ hộ rà soát cửa hàng để trả lời 4 câu hỏi:
- Cửa hàng đang thu thập những thông tin gì? (Họ tên, số điện thoại, địa chỉ, ngày sinh, ảnh khuôn mặt, thông tin thẻ ngân hàng hoặc chuyển khoản.)
- Dữ liệu đang được lưu ở đâu? (Sổ tay ở quầy, danh bạ điện thoại của chủ và nhân viên, file Excel, phần mềm bán hàng, nhóm Zalo, Telegram bán hàng, ổ cứng camera.)
- Ai được quyền truy cập? (Chủ hộ, quản lý ca, thu ngân, shipper, kỹ thuật viên bảo hành.)
- Dữ liệu có được chia sẻ cho bên nào không? (Đơn vị vận chuyển như GHTK, Viettel Post, Ahamove; phần mềm hóa đơn điện tử; tài khoản quảng cáo Facebook, Google.)
Kết quả là một bảng ngắn: loại dữ liệu, nơi lưu, người được xem, bên nhận. Bảng này là căn cứ để viết thông báo ở bước 2 và phân quyền ở bước 4.
Bước 2: Soạn và công khai thông báo bảo vệ dữ liệu#
Sự đồng ý của khách chỉ có hiệu lực khi khách biết rõ loại dữ liệu được xử lý, mục đích xử lý, ai là bên kiểm soát dữ liệu và quyền của họ (khoản 2 Điều 9 Luật 91/2025/QH15). Cách đơn giản nhất là một bản thông báo khoảng một trang A4, đặt ở:
- Quầy thu ngân, quầy lễ tân (bản tóm tắt).
- Phần giới thiệu của Fanpage, Zalo OA, TikTok Shop hoặc chân trang website.
Mẫu tham khảo (sửa theo kết quả kiểm kê ở bước 1):
THÔNG BÁO BẢO VỆ DỮ LIỆU CÁ NHÂN KHÁCH HÀNG
- Đơn vị xử lý dữ liệu: [Tên hộ kinh doanh], địa chỉ [...], số điện thoại [...].
- Thông tin thu thập và mục đích: họ tên, số điện thoại, địa chỉ nhận hàng để xử lý đơn, giao hàng, bảo hành và tích điểm. Chúng tôi chỉ gửi thông tin ưu đãi khi quý khách đã đồng ý riêng.
- Bên nhận thông tin: đơn vị vận chuyển (để giao hàng) và nhà cung cấp hóa đơn điện tử (khi xuất hóa đơn). Chúng tôi không bán và không chia sẻ thông tin của quý khách cho bên khác để quảng cáo.
- Quyền của quý khách: xem, chỉnh sửa, yêu cầu xóa thông tin, rút lại sự đồng ý nhận tin ưu đãi bất kỳ lúc nào.
- Kênh tiếp nhận: nhân viên thu ngân tại quầy hoặc Hotline/Zalo của cửa hàng. Cửa hàng phản hồi trong 02 ngày làm việc và xử lý yêu cầu trong thời hạn pháp luật quy định.
Không viết những cam kết cửa hàng không làm được, ví dụ "không chia sẻ cho bất kỳ bên thứ ba nào" trong khi vẫn gửi địa chỉ cho đơn vị vận chuyển.
Bước 3: Chuẩn hóa biểu mẫu xin sự đồng ý#
- Cửa hàng truyền thống: trên phiếu đăng ký thành viên, in dòng "Bằng việc điền thông tin, quý khách đồng ý cho cửa hàng sử dụng số điện thoại để tích điểm" và một ô riêng để trống: "☐ Tôi đồng ý nhận thông báo ưu đãi qua số điện thoại. Tôi có thể hủy nhận tin bất kỳ lúc nào". Sự đồng ý phải được thể hiện với từng mục đích, nên không gộp tích điểm và quảng cáo vào cùng một câu (điểm a khoản 4 Điều 9 Luật).
- Bán hàng online: khi khách nhắn tin đặt hàng hoặc điền form chốt đơn, ô đồng ý nhận khuyến mãi phải để trống. Không được thiết lập mặc định đồng ý (khoản 3 Điều 6 Nghị định 356/2025/NĐ-CP).
- Lưu lại bằng chứng: giữ phiếu giấy có chữ ký hoặc bản ghi form online có thời điểm đồng ý. Cửa hàng phải lưu sự đồng ý và chịu trách nhiệm chứng minh khi có tranh chấp (khoản 2 Điều 6 Nghị định 356).
Bước 4: Ban hành quy chế bảo mật nội bộ và cam kết của nhân viên#
Nhân viên là người tiếp xúc dữ liệu khách hàng nhiều nhất, và việc nhân viên nghỉ việc mang danh sách khách sang đối thủ là lỗi hay gặp ở hộ kinh doanh. Chủ hộ phải có biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu (điểm c khoản 1 Điều 37 Luật). Với cửa hàng nhỏ, phần nội bộ của quy trình bảo vệ dữ liệu khách hàng thường gồm:
- Mọi nhân viên, kể cả thời vụ và part-time, ký cam kết bảo mật thông tin khách hàng khi nhận việc.
- Quy định bằng văn bản: không dùng điện thoại cá nhân chụp danh sách khách; không mang sổ khách ra khỏi cửa hàng; không chia sẻ tài khoản phần mềm bán hàng.
- Đặt mật khẩu cho máy tính thu ngân, bật xác thực 2 lớp cho tài khoản quản trị Fanpage và phần mềm bán hàng, tắt quyền xuất file Excel với tài khoản nhân viên.
Bước 5: Tiếp nhận và xử lý yêu cầu của khách đúng thời hạn#
Khi khách nhắn "Xóa số điện thoại của tôi", "Đừng gọi quảng cáo cho tôi nữa" hay "Cho tôi xem lịch sử mua hàng", cửa hàng xử lý theo 3 bước:
- Tiếp nhận và xác thực: xác nhận đúng khách chính chủ.
- Thực hiện: xóa số khỏi danh sách gửi tin ưu đãi hoặc đánh dấu "ngừng nhận tin" trên phần mềm bán hàng.
- Phản hồi: nhắn lại cho khách, ví dụ "Cửa hàng đã xóa thông tin của anh/chị khỏi danh sách nhận tin ưu đãi theo yêu cầu".
Thời hạn theo Điều 5 Nghị định 356: phản hồi khách trong 02 ngày làm việc kể từ khi nhận yêu cầu hợp lệ, sau đó thực hiện trong 15 ngày với yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý (như ngừng nhận tin quảng cáo), 10 ngày với yêu cầu xem, chỉnh sửa, cung cấp dữ liệu và 20 ngày với yêu cầu xóa dữ liệu. Nếu phải nhờ đơn vị cung cấp phần mềm hoặc bên thứ ba thực hiện, thời hạn lần lượt là 20, 15 và 30 ngày. Với yêu cầu đơn giản như gỡ số khỏi danh sách nhắn tin, nên làm ngay trong ngày.
Bước 6: Đưa kịch bản xử lý sự cố vào quy trình bảo vệ dữ liệu khách hàng#
Khi tài khoản phần mềm bán hàng bị chiếm, máy tính thu ngân nhiễm mã độc hoặc nhân viên làm lộ file khách hàng, chủ hộ làm theo 4 việc:
- Khóa và ngắt kết nối: đổi mật khẩu các tài khoản quản trị, đăng xuất khỏi thiết bị lạ, ngắt Internet của máy nghi nhiễm mã độc.
- Đánh giá phạm vi: bao nhiêu khách bị lộ, lộ những thông tin gì (chỉ số điện thoại hay cả thông tin tài khoản ngân hàng, mật khẩu).
- Thông báo: nếu có nguy cơ khách bị lừa đảo, nhắn tin cảnh báo khách về các đối tượng giả danh cửa hàng. Nếu vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của khách, chủ hộ phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05, Bộ Công an) chậm nhất 72 giờ kể từ khi phát hiện (khoản 1 Điều 23 Luật; Mẫu số 08 Nghị định 356). Ưu đãi của hộ kinh doanh tại khoản 3 Điều 38 Luật không miễn nghĩa vụ này. Cách xác định khi nào phải báo và mốc 72 giờ được giải thích trong cẩm nang data breach và quy tắc 72 giờ.
- Khắc phục và lưu hồ sơ: vá lỗ hổng, sửa quy trình nội bộ, lập biên bản xác nhận về việc xảy ra vi phạm (khoản 2 Điều 23 Luật) để giải trình khi cơ quan quản lý yêu cầu.
Nếu sau này cửa hàng lắp camera nhận diện khuôn mặt, chấm công bằng vân tay, lưu hồ sơ sức khỏe của khách hoặc tệp khách hàng vượt 100.000 người, hộ kinh doanh mất ưu đãi tại khoản 3 Điều 38 Luật và phải lập hồ sơ đánh giá tác động. Các trường hợp này được phân tích trong bài hộ kinh doanh có phải tuân thủ Luật PDPD.
Checklist tự đánh giá quy trình bảo vệ dữ liệu khách hàng (10 tiêu chí)#
- Có bảng liệt kê các nơi đang lưu thông tin khách hàng không?
- Có dán thông báo bảo vệ dữ liệu tại quầy và đăng trên kênh bán hàng online không?
- Thông báo có nêu đúng các bên nhận dữ liệu (đơn vị vận chuyển, hóa đơn điện tử) không?
- Có xin sự đồng ý riêng trước khi gửi tin nhắn quảng cáo, và ô đồng ý có để trống không?
- Có lưu phiếu hoặc bản ghi thể hiện khách đã đồng ý không?
- Nhân viên mới có ký cam kết bảo mật thông tin không?
- Máy tính thu ngân có mật khẩu và phần mềm bán hàng có chặn nhân viên xuất file không?
- Khu vực có camera có biển thông báo không?
- Có quy trình phản hồi khách trong 02 ngày làm việc và xóa số điện thoại đúng thời hạn không?
- Có người được giao việc đánh giá sự cố và gửi thông báo cho Cục A05 trong 72 giờ khi cần không?
