Privacy Notice, còn được gọi là thông báo bảo mật hoặc thông tin xử lý dữ liệu cá nhân, là tài liệu bắt buộc giúp chủ thể dữ liệu hiểu cách doanh nghiệp xử lý dữ liệu của họ. Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, bên kiểm soát dữ liệu cá nhân có nghĩa vụ thông báo cho chủ thể dữ liệu trước khi xử lý dữ liệu. Một Privacy Notice đầy đủ và dễ hiểu là cơ sở quan trọng để tuân thủ nghĩa vụ này.
Nội dung cần có trong Privacy Notice
Một Privacy Notice chuẩn PDPD cần có nhiều nội dung quan trọng. Thứ nhất là thông tin về bên kiểm soát dữ liệu, bao gồm tên, địa chỉ và thông tin liên hệ. Thứ hai là loại dữ liệu cá nhân được thu thập. Thứ ba là mục đích xử lý dữ liệu. Thứ tư là cơ sở pháp lý của việc xử lý. Thứ năm là các bên nhận dữ liệu hoặc bên xử lý dữ liệu. Thứ sáu là thời gian lưu trữ. Thứ bảy là quyền của chủ thể dữ liệu và cách thực hiện. Thứ tám là biện pháp bảo vệ dữ liệu. Thứ chín là thông tin về chuyển dữ liệu ra nước ngoài nếu có. Thứ mười là cách liên hệ với DPO hoặc bộ phận bảo vệ dữ liệu.
Cách trình bày Privacy Notice
Privacy Notice phải dễ tiếp cận, dễ hiểu và không che giấu trong điều khoản dài. Doanh nghiệp nên sử dụng ngôn ngữ đơn giản, tránh thuật ngữ pháp lý quá phức tạp. Privacy Notice nên được đặt ở footer website, trong form đăng ký, trong ứng dụng di động và tại các điểm tiếp xúc khác với khách hàng. Ngoài ra, doanh nghiệp nên cập nhật Privacy Notice khi thay đổi cách xử lý dữ liệu và thông báo cho người dùng về các thay đổi quan trọng.
Quyền của chủ thể dữ liệu
Privacy Notice cần nêu rõ các quyền của chủ thể dữ liệu theo Luật PDPD. Các quyền này bao gồm quyền được biết, quyền đồng ý, quyền truy cập, quyền sửa đổi, quyền xóa, quyền hạn chế xử lý, quyền cung cấp dữ liệu, quyền phản đối xử lý và quyền khiếu nại. Doanh nghiệp cần hướng dẫn cách chủ thể dữ liệu có thể thực hiện các quyền này và thời gian phản hồi.
Ví dụ thực tế
Một ứng dụng gọi xe xây dựng Privacy Notice nêu rõ tên công ty, loại dữ liệu thu thập bao gồm tên, số điện thoại, vị trí và lịch sử chuyến đi, mục đích kết nối tài xế và khách hàng, cơ sở pháp lý là thực hiện hợp đồng, thời gian lưu trữ là 03 năm, và quyền của khách hàng bao gồm xem, sửa và xóa dữ liệu. Ứng dụng cũng cung cấp email liên hệ DPO để khách hàng gửi yêu cầu.
Checklist soạn thảo Privacy Notice
- Cung cấp thông tin đầy đủ về bên kiểm soát dữ liệu.
- Liệt kê loại dữ liệu cá nhân được thu thập.
- Nêu rõ mục đích xử lý dữ liệu.
- Xác định cơ sở pháp lý.
- Liệt kê các bên nhận dữ liệu.
- Quy định thời gian lưu trữ.
- Trình bày quyền của chủ thể dữ liệu.
- Mô tả biện pháp bảo vệ dữ liệu.
- Thông tin về chuyển dữ liệu ra nước ngoài nếu có.
- Cung cấp thông tin liên hệ DPO.
Sai lầm thường gặp
Nhiều doanh nghiệp sao chép Privacy Notice từ nước ngoài mà không điều chỉnh theo Luật PDPD Việt Nam. Một số Privacy Notice quá dài và khó hiểu. Nhiều tổ chức không cập nhật Privacy Notice khi thay đổi hoạt động xử lý dữ liệu. Việc không cung cấp thông tin liên hệ DPO hoặc không nêu rõ quyền của chủ thể dữ liệu cũng là sai lầm phổ biến.
Ví dụ về cách diễn đạt quyền
Privacy Notice nên diễn đạt quyền của chủ thể dữ liệu bằng ngôn ngữ đơn giản và cụ thể. Ví dụ, thay vì nêu khái quát "quý khách có quyền truy cập dữ liệu", doanh nghiệp có thể viết "quý khách có thể gửi email đến bao mat@congty.vn để yêu cầu xem dữ liệu cá nhân của mình, chúng tôi sẽ phản hồi trong vòng 72 giờ". Cách diễn đạt này giúp chủ thể dữ liệu biết cách thực hiện quyền và tạo sự tin tưởng. Doanh nghiệp cũng nên cung cấp biểu mẫu yêu cầu để thuận tiện cho người dùng.
Cập nhật Privacy Notice khi thay đổi
Khi doanh nghiệp thay đổi cách xử lý dữ liệu, Privacy Notice cần được cập nhật kịp thờCác thay đổi quan trọng bao gồm thu thập thêm loại dữ liệu mới, chia sẻ dữ liệu cho bên thứ ba, thay đổi thời gian lưu trữ hoặc chuyển dữ liệu ra nước ngoài. Doanh nghiệp nên thông báo cho người dùng về các thay đổi có ảnh hưởng đến quyền và lợi ích của họ. Việc lưu lại các phiên bản Privacy Notice giúp chứng minh sự minh bạch và tuân thủ theo thời gian.
Cách kiểm tra Privacy Notice đã đầy đủ chưa
Doanh nghiệp có thể kiểm tra Privacy Notice bằng cách đối chiếu với danh sách nội dung bắt buộc theo Luật PDPD và Nghị định 356. Ngoài ra, nên thử đọc Privacy Notice từ góc nhìn của khách hàng để đánh giá tính dễ hiểu. Có thể nhờ bộ phận pháp lý, marketing và IT cùng rà soát để phát hiện các điểm thiếu sót. Việc kiểm tra định kỳ giúp đảm bảo Privacy Notice luôn phản ánh đúng thực tế xử lý dữ liệu.
## Kết luận
Privacy Notice là tài liệu nền tảng trong chương trình tuân thủ PDPD. Một Privacy Notice chuẩn cần đầy đủ nội dung, dễ tiếp cận và được cập nhật thường xuyên. Bằng cách xây dựng Privacy Notice tốt, doanh nghiệp không chỉ tuân thủ Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP mà còn tạo dựng niềm tin với khách hàng từ những bước đầu tiên.