GDPR là gì? Khi nào doanh nghiệp Việt Nam phải tuân thủ GDPR
GDPR là gì? GDPR (General Data Protection Regulation, Quy định chung về bảo vệ dữ liệu) là quy định của Liên minh châu Âu về dữ liệu cá nhân, áp dụng từ 25/05/2018 và có thể ràng buộc cả doanh nghiệp Việt Nam không có văn phòng ở EU.
Công ty phần mềm, BPO hay doanh nghiệp bán hàng sang châu Âu thường hỏi: mình có thuộc phạm vi không, phải làm hồ sơ gì, phạt bao nhiêu, có phải làm thêm theo luật Việt Nam không. Bài này trả lời theo nguyên văn GDPR. Khi cần lộ trình cho doanh nghiệp mình, xem dịch vụ tư vấn tuân thủ GDPR của Musk-IS.
Điểm chính
- Theo Điều 3 GDPR, doanh nghiệp không có cơ sở ở EU vẫn phải tuân thủ khi cung cấp hàng hóa, dịch vụ cho người đang ở EU hoặc theo dõi hành vi của họ tại EU.
- Mức phạt tối đa là 20 triệu euro hoặc 4% doanh thu toàn cầu năm tài chính trước, lấy mức cao hơn (Điều 83); án phạt lớn nhất đến nay là 1,2 tỷ euro với Meta năm 2023.
- Việt Nam chưa có trong danh sách quốc gia được EU công nhận bảo vệ dữ liệu tương đương, nên đưa dữ liệu từ EU về Việt Nam thường phải ký điều khoản hợp đồng mẫu (SCC).
- Tuân thủ GDPR không thay cho Luật 91/2025/QH15: dữ liệu xử lý tại Việt Nam vẫn phải lập hồ sơ và nộp theo luật Việt Nam.
GDPR là gì? Luật GDPR quy định những gì?
GDPR là Quy định (EU) 2016/679, được thông qua ngày 27/04/2016 và áp dụng từ ngày 25/05/2018. Vì là một “quy định” (regulation) của EU, văn bản áp dụng trực tiếp ở mọi nước thành viên, không cần nước nào ban hành luật riêng để chuyển hóa. Nội dung chính gồm nguyên tắc xử lý, căn cứ pháp lý, quyền của chủ thể dữ liệu, nghĩa vụ của doanh nghiệp, chuyển dữ liệu ra ngoài EU và chế tài.
Dữ liệu cá nhân theo GDPR là mọi thông tin liên quan đến một người đã được xác định hoặc có thể xác định. Phạm vi này rộng hơn nhiều người nghĩ: theo đoạn giải thích số 30 của GDPR, định danh trực tuyến như địa chỉ IP hay mã cookie cũng có thể là dữ liệu cá nhân. Với doanh nghiệp làm website bán hàng, app hay SaaS, dữ liệu theo dõi trên website thường là chỗ đầu tiên chạm vào GDPR.
Người Việt hay gõ “GDPR tiếng Việt” để tìm bản dịch. EU công bố GDPR bằng 24 ngôn ngữ chính thức của mình, không có bản tiếng Việt chính thức. Khi trích dẫn trong hợp đồng hay hồ sơ, nên dùng bản tiếng Anh trên EUR-Lex.
Còn “UK GDPR” là phiên bản GDPR mà Vương quốc Anh giữ lại thành luật trong nước sau khi rời EU, áp dụng cùng Data Protection Act 2018. Nội dung gần với GDPR của EU nhưng do cơ quan của Anh (ICO) giám sát, nên doanh nghiệp có khách ở cả Anh và EU cần xét hai khung.
Doanh nghiệp Việt Nam nào phải tuân thủ GDPR?
Theo Điều 3 GDPR, doanh nghiệp Việt Nam thuộc phạm vi trong hai trường hợp. Thứ nhất, có cơ sở ở EU (công ty con, chi nhánh, văn phòng) và xử lý dữ liệu trong hoạt động của cơ sở đó. Thứ hai, không có cơ sở ở EU nhưng cung cấp hàng hóa, dịch vụ cho người đang ở EU, hoặc theo dõi hành vi của họ diễn ra tại EU.
Trường hợp thứ hai dễ đánh giá sai nhất. Theo đoạn giải thích số 23 của GDPR, chỉ việc website truy cập được từ EU, có địa chỉ email, hay dùng ngôn ngữ phổ biến ở nước mình chưa đủ để coi là nhắm tới EU. Nhưng dùng ngôn ngữ hoặc đồng tiền của một nước EU kèm khả năng đặt hàng, hoặc nhắc tới khách hàng, người dùng ở EU, thì có thể bị coi là nhắm tới thị trường EU.
Ba câu hỏi dưới đây giúp tự xác định nhanh:
| Câu hỏi | Nếu “có” |
|---|---|
| 1. Công ty có công ty con, chi nhánh, văn phòng ở EU không? | GDPR áp dụng cho việc xử lý trong hoạt động của cơ sở đó (khoản 1 Điều 3) |
| 2. Công ty có nhắm bán hàng, cung cấp dịch vụ cho người ở EU không? Ví dụ báo giá bằng euro, có trang tiếng Đức, giao hàng sang EU | Có thể thuộc phạm vi dù không có cơ sở ở EU (điểm a khoản 2 Điều 3) |
| 3. Công ty có theo dõi hành vi trực tuyến của người dùng ở EU không? Ví dụ quảng cáo nhắm mục tiêu, phân tích hành vi, lập hồ sơ người dùng | Có thể là “theo dõi hành vi”, thuộc phạm vi (điểm b khoản 2 Điều 3) |
Cả ba câu đều “không” thì thường GDPR không áp dụng trực tiếp. Nhưng đây là chỗ doanh nghiệp gia công phần mềm, BPO, tổng đài cần đọc kỹ.
Theo hướng dẫn 3/2018 của Ủy ban Bảo vệ Dữ liệu châu Âu (EDPB) về phạm vi lãnh thổ, việc một bên xử lý ở ngoài EU làm cho khách hàng ở EU chưa tự động đưa bên xử lý đó vào phạm vi Điều 3. Tuy vậy, khách EU phải bảo đảm bên xử lý làm đúng GDPR, nên sẽ đưa nghĩa vụ vào hợp đồng xử lý dữ liệu theo Điều 28 và điều khoản chuyển dữ liệu. Trên thực tế, công ty Việt Nam vẫn phải làm gần như đầy đủ, chỉ khác là nghĩa vụ đến từ hợp đồng.
Ba doanh nghiệp Việt Nam, ba câu trả lời khác nhau
Ba ví dụ dưới đây cho thấy cùng là “có khách châu Âu” nhưng nghĩa vụ rất khác nhau.
Ví dụ đầu là một công ty gia công phần mềm ở Đà Nẵng phát triển và vận hành hệ thống chăm sóc khách hàng cho một ngân hàng ở Đức, có quyền truy cập dữ liệu khách của ngân hàng. Công ty là bên xử lý, không tự nhắm tới người dùng EU. Nghĩa vụ đến từ hợp đồng xử lý dữ liệu theo Điều 28 và bộ SCC mà ngân hàng yêu cầu ký. Công ty cần RoPA ở vai trò bên xử lý, quy trình báo sự cố cho khách, và kiểm soát truy cập đủ để vượt qua đợt đánh giá nhà cung cấp hằng năm của ngân hàng.
Trường hợp thứ hai là cửa hàng trực tuyến ở TP.HCM bán áo dài, có trang tiếng Pháp, báo giá bằng euro và giao hàng sang Pháp. Đây là trường hợp nhắm bán hàng cho người ở EU theo điểm a khoản 2 Điều 3. Cửa hàng là bên kiểm soát, chịu GDPR trực tiếp: cần chính sách quyền riêng tư theo Điều 13, cơ chế đồng ý cookie nếu chạy quảng cáo nhắm mục tiêu, và xem xét chỉ định đại diện tại EU theo Điều 27, trừ khi đủ điều kiện miễn.
Cuối cùng, một khách sạn ở Hội An có website tiếng Anh, khách châu Âu tự tìm và đặt phòng. Nếu website không nhắm riêng tới EU, chỉ là website du lịch quốc tế thông thường, thì theo đoạn giải thích số 23, việc người ở EU truy cập được chưa đủ để thuộc phạm vi. Nhưng nếu khách sạn mở thêm trang tiếng Đức, chạy quảng cáo nhắm vào người dùng ở Đức và theo dõi hành vi của họ, kết luận có thể đổi. Dù thế nào, dữ liệu khách xử lý tại Việt Nam vẫn chịu Luật 91.
7 nguyên tắc xử lý dữ liệu của GDPR
Điều 5 GDPR đặt ra các nguyên tắc mà mọi hoạt động xử lý dữ liệu cá nhân phải tuân theo: khoản 1 nêu sáu nguyên tắc, khoản 2 thêm nguyên tắc trách nhiệm giải trình, tổng cộng bảy. Đây là căn cứ để cơ quan giám sát đánh giá vi phạm, và vi phạm các nguyên tắc này thuộc bậc phạt cao nhất.
| Nguyên tắc | Nghĩa là | Doanh nghiệp làm gì |
|---|---|---|
| Hợp pháp, công bằng, minh bạch | Có căn cứ pháp lý và thông báo rõ ràng | Chính sách quyền riêng tư ghi rõ mục đích, căn cứ |
| Giới hạn mục đích | Thu thập cho mục đích cụ thể, rõ ràng, chính đáng | Không lấy dữ liệu chăm sóc khách hàng đem đi làm việc khác |
| Tối thiểu hóa dữ liệu | Chỉ thu dữ liệu cần thiết | Bỏ các trường không dùng tới trong biểu mẫu |
| Chính xác | Giữ dữ liệu đúng, cập nhật khi cần | Có kênh để người dùng sửa thông tin |
| Giới hạn lưu trữ | Chỉ lưu trong thời gian cần thiết | Đặt thời hạn lưu và cơ chế xóa |
| Toàn vẹn và bảo mật | Bảo vệ bằng biện pháp phù hợp | Phân quyền, mã hóa, sao lưu |
| Trách nhiệm giải trình | Doanh nghiệp phải chứng minh được mình tuân thủ | Lưu hồ sơ, chính sách, kết quả đánh giá |
Nguyên tắc cuối hay bị xem nhẹ nhất. Trách nhiệm giải trình có nghĩa là cơ quan giám sát không phải chứng minh doanh nghiệp vi phạm, mà doanh nghiệp phải tự đưa ra hồ sơ chứng minh mình làm đúng. Đó là lý do GDPR không có “chứng chỉ GDPR” do nhà nước cấp: tuân thủ được thể hiện qua hệ thống chính sách, quy trình và bằng chứng vận hành.
GDPR cũng không chỉ dựa vào sự đồng ý. Điều 6 có sáu căn cứ pháp lý: đồng ý, thực hiện hợp đồng, nghĩa vụ pháp lý, lợi ích sống còn, nhiệm vụ công, và lợi ích chính đáng. Doanh nghiệp Việt Nam quen cách làm “xin đồng ý cho mọi thứ” thường phải xác định lại căn cứ cho từng hoạt động khi làm GDPR.
8 quyền của chủ thể dữ liệu theo GDPR
Điều 13 đến 22 GDPR trao cho chủ thể dữ liệu một loạt quyền, trên thực tế thường gom thành 8 quyền. Theo Điều 12, doanh nghiệp phải trả lời yêu cầu một cách ngắn gọn, minh bạch, dễ hiểu, trong vòng một tháng kể từ khi nhận, và chỉ được gia hạn thêm hai tháng khi yêu cầu phức tạp hoặc quá nhiều.
| Quyền | Điều | Doanh nghiệp phải làm |
|---|---|---|
| Được thông tin | Điều 13, 14 | Khi thu thập, cho biết mục đích, căn cứ, thời hạn lưu, bên nhận |
| Truy cập | Điều 15 | Cung cấp bản sao dữ liệu và thông tin về việc xử lý |
| Chỉnh sửa | Điều 16 | Sửa dữ liệu sai |
| Xóa (quyền được lãng quên) | Điều 17 | Xóa khi đủ điều kiện |
| Hạn chế xử lý | Điều 18 | Tạm ngừng xử lý trong lúc có tranh chấp |
| Di chuyển dữ liệu | Điều 20 | Cung cấp dữ liệu ở định dạng có cấu trúc, phổ biến |
| Phản đối | Điều 21 | Ngừng xử lý khi bị phản đối; với tiếp thị trực tiếp phải ngừng ngay |
| Không bị chi phối bởi quyết định tự động | Điều 22 | Có người can thiệp với quyết định quan trọng hoàn toàn tự động |
So với Luật Bảo vệ dữ liệu cá nhân 2025, các quyền được biết, xem, sửa, xóa, rút lại đồng ý khá tương đồng. Hai quyền doanh nghiệp Việt Nam ít quen là quyền di chuyển dữ liệu và quyền không bị chi phối bởi quyết định tự động. Công ty dùng thuật toán để tự động duyệt hồ sơ vay, chấm điểm ứng viên hay khóa tài khoản nên kiểm tra Điều 22 trước tiên.
RoPA, DPIA, DPO, đại diện tại EU: doanh nghiệp nào cần?
Bốn nghĩa vụ hay được hỏi nhất là hồ sơ hoạt động xử lý (RoPA), đánh giá tác động (DPIA), cán bộ bảo vệ dữ liệu (DPO) và đại diện tại EU. Không phải doanh nghiệp nào cũng cần cả bốn. Bảng dưới tóm tắt căn cứ và điều kiện.
| Nghĩa vụ | Điều | Khi nào cần |
|---|---|---|
| Hồ sơ hoạt động xử lý (RoPA) | Điều 30 | Mặc định cả bên kiểm soát và bên xử lý; được miễn nếu dưới 250 nhân viên, trừ khi việc xử lý có rủi ro cho chủ thể, không phải thỉnh thoảng, hoặc có dữ liệu đặc biệt, dữ liệu hình sự |
| Đánh giá tác động (DPIA) | Điều 35 | Trước khi xử lý có khả năng gây rủi ro cao, ví dụ đánh giá tự động quy mô lớn, xử lý quy mô lớn dữ liệu đặc biệt |
| Cán bộ bảo vệ dữ liệu (DPO) | Điều 37 | Cơ quan công; hoạt động cốt lõi là theo dõi thường xuyên, có hệ thống, quy mô lớn; hoặc hoạt động cốt lõi là xử lý quy mô lớn dữ liệu đặc biệt, dữ liệu hình sự |
| Đại diện tại EU | Điều 27 | Doanh nghiệp không có cơ sở ở EU nhưng thuộc khoản 2 Điều 3 phải chỉ định bằng văn bản; được miễn nếu chỉ xử lý thỉnh thoảng, không xử lý quy mô lớn dữ liệu đặc biệt, và ít rủi ro |
“Dưới 250 nhân viên thì không cần RoPA” là hiểu lầm phổ biến. Chỉ cần việc xử lý không phải thỉnh thoảng, như một hệ thống thành viên chạy hằng ngày, là không được miễn. Phần lớn doanh nghiệp vừa và nhỏ có khách EU trên thực tế vẫn phải lập RoPA.
Ba nghĩa vụ còn lại có tên gần giống luật Việt Nam nhưng điều kiện khác hẳn. GDPR chỉ bắt DPIA khi rủi ro cao và không bắt nộp cho cơ quan giám sát, còn Luật 91 yêu cầu gần như mọi bên kiểm soát lập và nộp trong 60 ngày. GDPR chỉ bắt DPO trong ba trường hợp, còn luật Việt Nam yêu cầu gần như mọi tổ chức chỉ định nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ; điều kiện cụ thể có trong bài DPO là gì.
Mức phạt GDPR và các án phạt tiêu biểu
Điều 83 GDPR chia mức phạt hành chính thành hai bậc. Bậc thấp tối đa 10 triệu euro hoặc 2% tổng doanh thu toàn cầu năm tài chính trước; bậc cao tối đa 20 triệu euro hoặc 4%, lấy mức cao hơn. Ngoài phạt tiền, cơ quan giám sát có thể ra lệnh ngừng xử lý hoặc ngừng chuyển dữ liệu, và chủ thể có thể kiện đòi bồi thường.
| Bậc | Mức tối đa | Loại vi phạm (ví dụ) |
|---|---|---|
| Bậc 1 | 10 triệu euro hoặc 2% doanh thu toàn cầu, lấy mức cao hơn | Nghĩa vụ của bên kiểm soát, bên xử lý tại Điều 25–39: bảo vệ ngay từ thiết kế, hợp đồng xử lý, RoPA, an toàn, thông báo vi phạm, DPIA, DPO |
| Bậc 2 | 20 triệu euro hoặc 4% doanh thu toàn cầu, lấy mức cao hơn | Nguyên tắc và căn cứ (Điều 5, 6, 7, 9), quyền của chủ thể (Điều 12–22), chuyển dữ liệu ra ngoài EU (Điều 44–49) |
Hai án phạt lớn nhất gần đây đều liên quan tới chuyển dữ liệu ra ngoài EU. Tháng 5/2023, Ủy ban Bảo vệ Dữ liệu Ireland (DPC) phạt Meta 1,2 tỷ euro vì cơ chế chuyển dữ liệu người dùng EU sang Mỹ không đạt yêu cầu, kèm lệnh ngừng chuyển. Tháng 5/2025, cùng cơ quan này phạt TikTok 530 triệu euro vì chuyển dữ liệu người dùng châu Âu sang Trung Quốc và không thông báo đầy đủ cho người dùng.
Bài học cho doanh nghiệp Việt Nam là: đưa dữ liệu khách hàng hay nhân viên ở EU về máy chủ tại Việt Nam cũng là chuyển dữ liệu ra ngoài EU. Việt Nam chưa có trong danh sách quốc gia được Ủy ban châu Âu công nhận có mức bảo vệ tương đương (quyết định “adequacy”), nên việc chuyển thường phải dựa vào biện pháp bảo đảm thích hợp theo Điều 46, phổ biến nhất là điều khoản hợp đồng mẫu (SCC) do Ủy ban châu Âu ban hành năm 2021.
Bộ SCC năm 2021 gồm bốn mô-đun theo vai trò hai bên: bên kiểm soát chuyển cho bên kiểm soát, bên kiểm soát chuyển cho bên xử lý, bên xử lý chuyển cho bên xử lý, và bên xử lý chuyển ngược về bên kiểm soát. Công ty gia công ở Việt Nam nhận dữ liệu từ khách EU thường ký mô-đun hai; nếu công ty lại dùng nhà cung cấp cloud ở nước khác, cần thêm thỏa thuận với bên xử lý phụ đó. Ký SCC xong vẫn phải đánh giá xem luật ở nước nhận có cản trở việc thực hiện điều khoản không, và lưu kết quả đánh giá.
Doanh nghiệp nhỏ đừng nghĩ mức phạt chỉ dành cho tập đoàn lớn. Mức 20 triệu euro là trần cố định, áp dụng cả khi doanh thu nhỏ. Trên thực tế, rủi ro gần nhất với doanh nghiệp Việt Nam thường không phải bị cơ quan châu Âu phạt, mà là bị khách hàng EU chấm dứt hợp đồng hoặc loại khỏi danh sách nhà cung cấp khi không đưa ra được hồ sơ.
GDPR và Luật 91/2025 khác nhau thế nào?
GDPR và Luật 91/2025/QH15 cùng hướng tới bảo vệ người có dữ liệu, nhưng khác ở căn cứ xử lý, hồ sơ phải nộp, nhân sự phụ trách và cách tính phạt. Doanh nghiệp chịu cả hai thường lấy bên chặt hơn ở từng điểm làm chuẩn nội bộ.
| Nội dung | GDPR | Luật 91/2025/QH15 |
|---|---|---|
| Áp dụng ngoài lãnh thổ | Cung cấp hàng hóa, dịch vụ hoặc theo dõi người ở EU (Điều 3) | Tổ chức nước ngoài trực tiếp tham gia hoặc liên quan đến xử lý dữ liệu của công dân Việt Nam (khoản 2 Điều 1) |
| Căn cứ xử lý | Sáu căn cứ, gồm lợi ích chính đáng (Điều 6) | Lấy sự đồng ý làm trung tâm (Điều 9), cùng các trường hợp luật quy định không cần đồng ý |
| Đánh giá tác động | Chỉ khi rủi ro cao, không phải nộp (Điều 35) | Gần như mọi bên kiểm soát lập và nộp trong 60 ngày (Điều 21) |
| Chuyển dữ liệu ra nước ngoài | Dựa trên adequacy, SCC, quy tắc ràng buộc tập đoàn (Điều 44–49) | Lập và nộp hồ sơ đánh giá tác động chuyển dữ liệu trong 60 ngày (Điều 20) |
| Nhân sự phụ trách | DPO trong ba trường hợp (Điều 37) | Gần như mọi tổ chức chỉ định nhân sự hoặc thuê dịch vụ (Điều 33) |
| Thông báo vi phạm | Cho cơ quan giám sát trong 72 giờ (Điều 33) | Cho cơ quan chuyên trách trong 72 giờ (Điều 23) |
| Mức phạt tối đa | 20 triệu euro hoặc 4% doanh thu toàn cầu | 3 tỷ đồng; chuyển dữ liệu ra nước ngoài trái phép đến 5% doanh thu năm trước; mua bán dữ liệu đến 10 lần khoản thu (Điều 8) |
Khác biệt thực tế lớn nhất là hồ sơ nộp cơ quan nhà nước. Một công ty có hệ thống tuân thủ GDPR tốt vẫn phải lập hồ sơ đánh giá tác động theo Mẫu số 10 Nghị định 356/2025/NĐ-CP và nộp cho Bộ Công an. Nếu công ty dùng máy chủ hay phần mềm ở nước ngoài để xử lý dữ liệu thu tại Việt Nam, còn phải lập hồ sơ chuyển dữ liệu cá nhân ra nước ngoài theo Điều 20 Luật 91. RoPA làm cho GDPR là đầu vào rất tốt cho cả hai hồ sơ.
Các bước tuân thủ GDPR cho doanh nghiệp Việt Nam
Doanh nghiệp không cần đạt điểm tối đa ngay từ đầu, mà nên làm theo thứ tự rủi ro. Sáu bước dưới đây là điểm xuất phát chúng tôi thường đề xuất, tương ứng 6 bước triển khai trên trang dịch vụ. Với doanh nghiệp vừa và nhỏ có phạm vi rõ ràng, thời gian thường khoảng 2–4 tháng; nhiều chi nhánh, nhiều hệ thống hoặc có dữ liệu nhạy cảm thì lâu hơn.
| Bước | Việc chính | Kết quả |
|---|---|---|
| 1. Xác định phạm vi | Dùng ba câu hỏi ở trên để biết hoạt động, dữ liệu nào thuộc GDPR; xác định vai trò bên kiểm soát hay bên xử lý | Danh sách hoạt động thuộc phạm vi |
| 2. Kiểm kê dữ liệu, lập RoPA | Mục đích, loại dữ liệu, nhóm chủ thể, bên nhận, chuyển ra nước ngoài, thời hạn lưu | RoPA theo Điều 30 |
| 3. Rà căn cứ pháp lý, cập nhật thông báo | Xác định căn cứ theo Điều 6 cho từng hoạt động; sửa chính sách quyền riêng tư, cơ chế đồng ý cookie | Chính sách và thông báo mới |
| 4. Quy trình yêu cầu của chủ thể và sự cố | Trả lời yêu cầu truy cập, xóa trong một tháng; thông báo vi phạm cho cơ quan giám sát trong 72 giờ (Điều 33) | Quy trình, biểu mẫu, người phụ trách |
| 5. Xử lý chuyển dữ liệu | Ký SCC với khách hàng, công ty mẹ, nhà cung cấp ở EU; đánh giá rủi ro khi chuyển | Bộ SCC, đánh giá chuyển dữ liệu |
| 6. Xét DPIA, DPO, đại diện tại EU | Theo bảng ở phần trên; ký hợp đồng xử lý dữ liệu (DPA) với nhà cung cấp | Hồ sơ DPIA nếu cần, văn bản chỉ định |
Từ kinh nghiệm thực tế, doanh nghiệp Việt Nam hay vướng nhất ở bước 5. Nhiều công ty đã đưa dữ liệu khách EU về máy chủ tại Việt Nam hoặc nước thứ ba từ lâu nhưng chưa có văn bản chuyển dữ liệu nào. Khi khách châu Âu đánh giá nhà cung cấp, công ty bị yêu cầu bổ sung trong thời hạn ngắn, thường đúng lúc đang đàm phán gia hạn hợp đồng.
Bước 3 hay vướng ở cookie. Website có công cụ phân tích hay quảng cáo nhắm mục tiêu với khách EU cần cơ chế đồng ý trước khi đặt cookie không thiết yếu, theo GDPR và quy định riêng của EU về quyền riêng tư điện tử. Một banner chỉ có nút “Đồng ý” mà không có lựa chọn từ chối tương đương thường không đạt.
Bước 4 nghe đơn giản nhưng cần chuẩn bị trước. Khi nhận yêu cầu truy cập dữ liệu, doanh nghiệp phải xác minh đúng người yêu cầu, tìm dữ liệu ở mọi hệ thống (CRM, email, tổng đài, bản sao lưu), và theo Điều 15, bản sao đầu tiên phải cung cấp miễn phí. Không có quy trình, một yêu cầu đơn lẻ cũng có thể làm cả phòng IT mất vài ngày và vẫn trễ hạn một tháng.
Ở bước 6, hợp đồng xử lý dữ liệu với nhà cung cấp phải có các nội dung tối thiểu tại khoản 3 Điều 28: chỉ xử lý theo chỉ dẫn bằng văn bản, nhân sự cam kết bảo mật, biện pháp an toàn, điều kiện dùng bên xử lý phụ, hỗ trợ trả lời yêu cầu của chủ thể, xóa hoặc trả lại dữ liệu khi kết thúc, và cho phép kiểm tra. Hợp đồng dịch vụ phần mềm cũ thường chỉ có điều khoản bảo mật chung, cần bổ sung phụ lục.
Doanh nghiệp Việt nên bắt đầu GDPR từ việc gì?
Bắt đầu bằng ba câu trả lời: hoạt động nào của công ty dính tới người ở EU, công ty là bên kiểm soát hay bên xử lý trong từng hoạt động, và dữ liệu EU đang nằm ở những máy chủ, nước nào. Có ba câu trả lời này, doanh nghiệp biết mình cần đại diện tại EU hay không, cần SCC loại nào, và nên ưu tiên hồ sơ nào trước.
Doanh nghiệp làm cho cả khách EU và thị trường trong nước nên xây một bộ quy trình dùng chung cho GDPR và Luật 91, thay vì hai bộ riêng. Danh mục hoạt động xử lý, sơ đồ luồng dữ liệu, quy trình trả lời yêu cầu và quy trình sự cố 72 giờ dùng được cho cả hai; phần khác nhau chủ yếu là hồ sơ nộp cho Bộ Công an và bộ SCC cho phía EU.
Đội ngũ Musk-IS gồm chuyên gia an toàn thông tin và luật sư dữ liệu cá nhân, làm việc với cả GDPR, Luật 91 và luật của Đài Loan, Hàn Quốc. Nếu chưa rõ công ty mình thuộc trường hợp nào, hãy đặt lịch rà soát phạm vi GDPR trước khi chuẩn bị hồ sơ.
Câu hỏi thường gặp về GDPR
Công ty Việt Nam có phải tuân thủ GDPR không?
Có, trong một số trường hợp. Theo Điều 3 GDPR, công ty Việt Nam phải tuân thủ khi có cơ sở ở EU, hoặc khi cung cấp hàng hóa, dịch vụ cho người đang ở EU, hoặc theo dõi hành vi của họ tại EU. Công ty gia công, BPO làm cho khách EU thường bị ràng buộc qua hợp đồng xử lý dữ liệu và SCC, dù không thuộc Điều 3 trực tiếp.
GDPR phạt tối đa bao nhiêu?
Theo Điều 83 GDPR, bậc cao nhất là 20 triệu euro hoặc 4% tổng doanh thu toàn cầu năm tài chính trước, lấy mức cao hơn; bậc thấp là 10 triệu euro hoặc 2%. Án phạt lớn nhất đến nay là 1,2 tỷ euro với Meta do Ủy ban Bảo vệ Dữ liệu Ireland ban hành tháng 5/2023, liên quan chuyển dữ liệu sang Mỹ.
GDPR và Luật 91/2025 khác nhau thế nào?
GDPR có sáu căn cứ xử lý và chỉ bắt đánh giá tác động khi rủi ro cao, không phải nộp. Luật 91/2025/QH15 lấy sự đồng ý làm trung tâm, yêu cầu gần như mọi bên kiểm soát lập và nộp hồ sơ đánh giá tác động trong 60 ngày, và gần như mọi tổ chức phải chỉ định nhân sự bảo vệ dữ liệu. Cả hai đều yêu cầu thông báo vi phạm trong 72 giờ.
Có chứng chỉ GDPR không?
Không có chứng chỉ GDPR do nhà nước cấp cho doanh nghiệp. Tuân thủ GDPR là nghĩa vụ tự chứng minh qua chính sách, quy trình, hồ sơ. GDPR có cơ chế chứng nhận tại Điều 42, nhưng chỉ các chương trình được phê duyệt theo cơ chế này mới có giá trị đó. Chứng chỉ ISO 27701 giúp chứng minh với khách hàng nhưng không phải chứng nhận tuân thủ GDPR.
Chuyển dữ liệu từ EU về Việt Nam có hợp pháp không?
Hợp pháp nếu có cơ sở theo Chương V GDPR. Việt Nam chưa có quyết định công nhận mức bảo vệ tương đương của Ủy ban châu Âu, nên doanh nghiệp thường ký điều khoản hợp đồng mẫu (SCC) ban hành năm 2021, kèm đánh giá rủi ro khi chuyển. Dữ liệu sau khi về Việt Nam còn chịu thêm Luật 91/2025/QH15.
Tài liệu tham khảo
- Regulation (EU) 2016/679 (GDPR) – Nguyên văn GDPR: Điều 3, 5, 6, 12–22, 27, 30, 35, 37, 44–49, 83. Liên minh châu Âu · 27/04/2016
- Guidelines 3/2018 on the territorial scope of the GDPR – Hướng dẫn phạm vi lãnh thổ, bên xử lý ngoài EU. EDPB · 11/2019
- Adequacy decisions – Danh sách quốc gia được công nhận bảo vệ tương đương. Ủy ban châu Âu
- Inquiry concerning data transfers EU/EEA–US, Meta Platforms Ireland – Quyết định phạt Meta 1,2 tỷ euro. DPC Ireland · 05/2023
- Commission Implementing Decision (EU) 2021/914 – Điều khoản hợp đồng mẫu (SCC) cho chuyển dữ liệu ra ngoài EU. Ủy ban châu Âu · 04/06/2021
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 – Đối chiếu phạm vi, hồ sơ, nhân sự, mức phạt. Quốc hội · 26/06/2025
