Một trong những tài liệu bắt buộc khi thực hiện thông báo website thương mại điện tử bán hàng với Bộ Công Thương là Chính sách bảo mật thông tin. Tuy nhiên, nhiều doanh nghiệp vẫn nhầm lẫn giữa chính sách bảo mật trên website và các quy định về bảo vệ dữ liệu cá nhân theo pháp luật, hoặc sao chép mẫu của website khác mà không phù hợp với mô hình kinh doanh của mình.
Theo Điều 5 Nghị định số 248/2026/NĐ-CP, website thương mại điện tử phải công khai chính sách bảo mật với đầy đủ các nội dung theo quy định.
Trong bài viết này, mình chia sẻ hiểu biết hướng dẫn cách xây dựng một mẫu chính sách bảo mật đúng quy định và phân tích những nội dung doanh nghiệp cần lưu ý.
Chính sách bảo mật có bắt buộc khi thông báo website không?
Câu trả lời là Có.
Khi thực hiện thủ tục thông báo website thương mại điện tử bán hàng (nền tảng thương mại điện tử kinh doanh trực tiếp có chức năng đặt hàng trực tuyến), doanh nghiệp phải công khai trên website chính sách bảo mật nhằm giúp người sử dụng biết được:
- Website thu thập những thông tin gì;
- Mục đích sử dụng thông tin;
- Thông tin được lưu trữ trong bao lâu;
- Những tổ chức, cá nhân nào có thể được tiếp cận dữ liệu;
- Quyền của khách hàng đối với dữ liệu cá nhân của mình.
Đây không chỉ là yêu cầu trong hồ sơ thông báo website mà còn là cơ sở để bảo đảm tính minh bạch trong quá trình xử lý dữ liệu cá nhân.
Điều 5 Nghị định 248/2026/NĐ-CP quy định những gì?
Theo Điều 5, chính sách bảo mật phải thể hiện đầy đủ các nội dung cơ bản liên quan đến việc thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ thông tin của người sử dụng website.
Điều 5. Chính sách bảo mật
1. Chính sách bảo mật bao gồm ít nhất các nội dung sau đây:
a) Mục đích, phạm vi thu thập thông tin của người sử dụng;
b) Phạm vi sử dụng thông tin;
c) Thời gian lưu trữ thông tin hoặc phương pháp xác định thời gian lưu trữ thông tin;
d) Tổ chức, cá nhân có thể được tiếp cận thông tin cá nhân;
đ) Biện pháp bảo mật thông tin, dữ liệu của người sử dụng;
e) Phương thức, quy trình để chủ thể dữ liệu xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu của mình trên nền tảng;
g) Phương thức, quy trình tiếp nhận yêu cầu của chủ thể dữ liệu trong việc xóa, hủy hoặc hạn chế xử lý dữ liệu của mình đã cung cấp;
h) Phương thức, quy trình tiếp nhận và giải quyết các khiếu nại, yêu cầu, phản ánh của chủ thể dữ liệu liên quan đến việc bảo mật thông tin.
2. Nội dung quy định tại khoản 1 Điều này phải tuân thủ quy định của pháp luật về dữ liệu và bảo vệ dữ liệu cá nhân.
Trên thực tế, một chính sách bảo mật đầy đủ thường bao gồm nhiều nội dung hơn để doanh nghiệp dễ vận hành và giảm thiểu tranh chấp.
Một mẫu Chính sách bảo mật nên có những nội dung nào?
1. Thông tin của đơn vị thu thập dữ liệu
Phần đầu tiên cần xác định rõ chủ thể chịu trách nhiệm xử lý dữ liệu.
Thông thường bao gồm:
- Tên doanh nghiệp;
- Địa chỉ;
- Hotline;
- Email;
- Website;
- Thông tin liên hệ tiếp nhận yêu cầu liên quan đến dữ liệu cá nhân.
2. Nguyên tắc bảo vệ dữ liệu cá nhân
Đây là phần thể hiện cam kết của doanh nghiệp.
Thông thường nên quy định các nguyên tắc như:
- Chỉ thu thập thông tin cần thiết để cung cấp dịch vụ.
- Chỉ sử dụng dữ liệu đúng mục đích đã thông báo.
- Không bán hoặc trao đổi dữ liệu cá nhân cho bên thứ ba vì mục đích thương mại nếu không có căn cứ pháp lý hoặc sự đồng ý của khách hàng.
- Áp dụng các biện pháp bảo vệ phù hợp.
- Tôn trọng các quyền của chủ thể dữ liệu theo quy định pháp luật.
3. Mục đích thu thập thông tin
Doanh nghiệp cần nêu rõ dữ liệu được thu thập để làm gì.
Ví dụ:
- Tạo tài khoản;
- Xác nhận đơn hàng;
- Xử lý thanh toán;
- Gửi email xác nhận;
- Chăm sóc khách hàng;
- Giải quyết khiếu nại;
- Phòng chống gian lận;
- Thực hiện nghĩa vụ theo yêu cầu của cơ quan nhà nước.
Không nên chỉ ghi chung chung là “để phục vụ khách hàng”, vì nội dung này chưa phản ánh đầy đủ mục đích xử lý dữ liệu.
4. Phạm vi thông tin được thu thập
Đây là nội dung nhiều website trình bày chưa đầy đủ.
Thay vì liệt kê một danh sách dài, doanh nghiệp nên nhóm thông tin theo từng loại như:
- Thông tin định danh.
- Thông tin tài khoản.
- Thông tin đơn hàng hoặc booking.
- Thông tin thanh toán.
- Thông tin kỹ thuật.
- Thông tin trao đổi với khách hàng.
5. Những tổ chức, cá nhân có thể được tiếp cận thông tin
Doanh nghiệp cần công khai rõ những đối tượng có thể được chia sẻ dữ liệu.
Ví dụ:
- Các phòng ban nội bộ;
- Đơn vị vận chuyển;
- Ngân hàng;
- Cổng thanh toán;
- Nhà cung cấp dịch vụ CNTT;
- Cơ quan nhà nước có thẩm quyền;
- Các đối tác cung cấp dịch vụ.
Việc công khai nội dung này giúp khách hàng hiểu dữ liệu của mình được sử dụng trong phạm vi nào.
6. Chuyển dữ liệu ra nước ngoài (nếu có)
Đối với các doanh nghiệp cung cấp dịch vụ quốc tế như OTA, du lịch, khách sạn hoặc đặt vé máy bay, dữ liệu có thể cần chuyển cho đối tác ở nước ngoài.
Trong trường hợp đó, doanh nghiệp nên giải thích:
- Dữ liệu được chuyển trong trường hợp nào;
- Mục đích chuyển;
- Phạm vi dữ liệu được chuyển;
- Yêu cầu đối tác bảo mật thông tin.
7. Cookie và dữ liệu kỹ thuật
Nếu website sử dụng:
- Cookie;
- Local Storage;
- Pixel;
- Google Analytics;
- Facebook Pixel;
- Token đăng nhập;
Thì nên công khai rõ mục đích sử dụng và quyền lựa chọn của người dùng.
8. Thời gian lưu trữ thông tin
Chính sách nên quy định:
- Dữ liệu được lưu trong bao lâu;
- Trường hợp nào dữ liệu tiếp tục được lưu;
- Khi nào dữ liệu được xóa hoặc ẩn.
Việc quy định rõ thời gian lưu trữ giúp doanh nghiệp minh bạch hơn trong hoạt động xử lý dữ liệu.
9. Biện pháp bảo mật
Đây là nội dung gần như website nào cũng có nhưng thường viết rất sơ sài.
Doanh nghiệp có thể mô tả các biện pháp như:
- Phân quyền truy cập;
- Mã hóa mật khẩu;
- Sử dụng SSL/TLS;
- Sao lưu dữ liệu;
- Lưu nhật ký hệ thống;
- Quản lý quyền truy cập;
- Yêu cầu đối tác ký cam kết bảo mật.
Không cần công khai chi tiết kỹ thuật, nhưng nên thể hiện rằng doanh nghiệp đã áp dụng các biện pháp phù hợp để bảo vệ dữ liệu.
10. Quyền của khách hàng đối với dữ liệu cá nhân
Theo quy định của pháp luật, khách hàng có thể:
- Yêu cầu biết việc xử lý dữ liệu;
- Yêu cầu xem dữ liệu;
- Yêu cầu chỉnh sửa;
- Yêu cầu xóa hoặc hạn chế xử lý;
- Rút lại sự đồng ý trong những trường hợp pháp luật cho phép;
- Khiếu nại nếu quyền lợi bị ảnh hưởng.
Doanh nghiệp nên quy định rõ các quyền này để tăng tính minh bạch.
11. Quy trình tiếp nhận yêu cầu
Đây là phần rất nhiều website bỏ sót.
Nên quy định rõ:
- Khách hàng gửi yêu cầu bằng cách nào;
- Cần cung cấp những thông tin gì;
- Doanh nghiệp xác minh danh tính ra sao;
- Thời gian phản hồi;
- Trường hợp nào có thể từ chối yêu cầu theo quy định pháp luật.
Việc công khai quy trình giúp cả doanh nghiệp và khách hàng có căn cứ thực hiện khi phát sinh yêu cầu liên quan đến dữ liệu cá nhân.
12. Trách nhiệm của khách hàng
Ngoài trách nhiệm của doanh nghiệp, chính sách cũng nên quy định trách nhiệm của khách hàng như:
- Cung cấp thông tin chính xác;
- Bảo mật tài khoản và mật khẩu;
- Không cung cấp trái phép dữ liệu của người khác;
- Thông báo khi phát hiện tài khoản bị sử dụng trái phép.
Điều này giúp giảm thiểu rủi ro phát sinh trong quá trình sử dụng website.
13. Cập nhật Chính sách bảo mật
Doanh nghiệp nên quy định:
- Có quyền sửa đổi, cập nhật chính sách;
- Phiên bản mới được công khai trên website;
- Thời điểm có hiệu lực của chính sách mới.
Có nên sao chép Chính sách bảo mật của website khác?
Không nên.
Mỗi website có mô hình hoạt động, loại dữ liệu thu thập và quy trình xử lý khác nhau. Việc sao chép nguyên mẫu từ website khác có thể dẫn đến:
- Quy định không phù hợp với hoạt động thực tế;
- Thiếu các nội dung bắt buộc theo Điều 5 Nghị định số 248/2026/NĐ-CP;
- Cam kết vượt quá khả năng thực hiện của doanh nghiệp;
- Phát sinh rủi ro khi xảy ra khiếu nại hoặc tranh chấp.
Do đó, chính sách bảo mật cần được xây dựng dựa trên thực tế hoạt động của website, đồng thời đáp ứng đầy đủ các yêu cầu công khai theo quy định pháp luật.
Kết luận
Chính sách bảo mật không chỉ là một tài liệu bắt buộc trong hồ sơ thông báo website thương mại điện tử mà còn là cam kết của doanh nghiệp đối với khách hàng về việc thu thập, sử dụng và bảo vệ dữ liệu cá nhân. Một chính sách được xây dựng đầy đủ, phù hợp với mô hình hoạt động sẽ giúp doanh nghiệp đáp ứng yêu cầu của Nghị định số 248/2026/NĐ-CP, tăng tính minh bạch, tạo niềm tin với khách hàng và hạn chế các rủi ro pháp lý trong quá trình vận hành website.
Trên đây là chia sẻ hiểu biết của mình hướng dẫn mẫu Chính sách bảo mật trong thông báo website nhằm giúp các bạn có thể khung hóa các thông tin cần xây dựng. Trong quá trình thực hiện, còn điều gì cần giải đáp, thảo luận, tư vấn hỗ trợ thì liên hệ luôn với mình nhé. Rất sẵn lòng trao đổi, thảo luận hỗ trợ các bạn thực hiện tốt nội dung này. Cám ơn các bạn đã theo dõi bài viết này.