PDPA Đài Loan là gì? Luật bảo vệ dữ liệu cá nhân Đài Loan doanh nghiệp Việt cần biết

PDPA Đài Loan là gì? Đó là luật bảo vệ dữ liệu cá nhân Đài Loan (個人資料保護法, Personal Data Protection Act), áp dụng cho mọi tổ chức, cá nhân thu thập, xử lý, sử dụng dữ liệu cá nhân tại Đài Loan, và cả dữ liệu của người Đài Loan ở ngoài lãnh thổ.

Doanh nghiệp Việt có công ty mẹ, khách hàng hay đối tác Đài Loan thường hỏi: luật này có ràng buộc mình không, khác Luật 91/2025/QH15 thế nào, phải chuẩn bị gì. Bài này tóm tắt theo nguyên văn luật hiện hành. Khi cần rà nghĩa vụ cụ thể, xem dịch vụ tư vấn tuân thủ PDPA Đài Loan của Musk-IS.

Điểm chính

• PDPA Đài Loan khác PDPA Singapore và PDPA Thái Lan; bản đang thi hành là bản sửa đổi ngày 31/05/2023, còn bản sửa đổi công bố ngày 11/11/2025 chưa có ngày thi hành.
• Luật cho chủ thể 5 quyền không được từ bỏ; doanh nghiệp phải trả lời trong 15 ngày (yêu cầu xem, sao chép) hoặc 30 ngày (yêu cầu sửa, ngừng, xóa), mỗi loại được gia hạn một lần.
• Phạt hành chính tối đa 15 triệu Đài tệ mỗi lần vi phạm nghĩa vụ bảo đảm an toàn, kèm trách nhiệm dân sự và hình sự đến 5 năm tù.
• Theo Điều 51, luật áp dụng cả khi dữ liệu của công dân Đài Loan được thu thập, xử lý, sử dụng ở ngoài lãnh thổ Đài Loan.

PDPA Đài Loan là gì, áp dụng cho ai?

PDPA Đài Loan là đạo luật điều chỉnh việc thu thập, xử lý và sử dụng dữ liệu cá nhân, áp dụng cho cơ quan công quyền và “tổ chức phi công quyền” gồm doanh nghiệp, hiệp hội, tổ chức và cá nhân. Luật có tiền thân là Luật Bảo vệ dữ liệu cá nhân xử lý bằng máy tính năm 1995, được sửa toàn diện và đổi tên năm 2010, có hiệu lực từ 01/10/2012, sau đó sửa tiếp năm 2015, 2023 và 2025.

Người Việt tìm “PDPA là gì” thường đang nghĩ tới PDPA Singapore (2012) hoặc PDPA Thái Lan (2019). Ba luật cùng viết tắt nhưng là ba văn bản khác nhau, của ba nước khác nhau, với nghĩa vụ và cơ quan quản lý khác nhau. Bài này chỉ nói về luật của Đài Loan; trong tài liệu tiếng Trung, luật thường được gọi tắt là 個資法.

Với doanh nghiệp Việt Nam, câu hỏi quan trọng nhất là phạm vi. Điều 51 quy định luật áp dụng cả với việc thu thập, xử lý, sử dụng dữ liệu cá nhân của công dân Đài Loan ở ngoài lãnh thổ Đài Loan. Trên thực tế, ràng buộc thường đến theo ba đường:

Hiện nay, doanh nghiệp ở Đài Loan do cơ quan chủ quản ngành của mình giám sát về dữ liệu cá nhân: Bộ Kinh tế với sản xuất, bán lẻ; Ủy ban Giám sát tài chính với ngân hàng, chứng khoán, bảo hiểm; Bộ Y tế và Phúc lợi với bệnh viện; Bộ Phát triển Số với thương mại điện tử, phần mềm. Mỗi cơ quan có thể có quy chế riêng, nên cùng là “khách Đài Loan” nhưng yêu cầu gửi sang nhà cung cấp Việt Nam có thể khác nhau.

Trường hợp thứ ba là phổ biến nhất với doanh nghiệp Việt. Theo Điều 4, bên nhận ủy thác xử lý dữ liệu thay mặt tổ chức Đài Loan được coi như chính tổ chức đó trong phạm vi được ủy thác. Bên ủy thác vì vậy thường đưa vào hợp đồng các yêu cầu về an toàn, kiểm tra, xử lý sự cố, và gửi bảng câu hỏi đánh giá cho nhà cung cấp Việt Nam.

Ví dụ: nhà máy FDI Đài Loan ở Bình Dương

Lấy ví dụ một nhà máy linh kiện điện tử vốn Đài Loan ở Bình Dương, 1.200 công nhân Việt Nam và 15 chuyên gia Đài Loan biệt phái. Hồ sơ nhân sự, chấm công, kết quả khám sức khỏe của toàn bộ người lao động được lưu trên hệ thống nhân sự đặt tại trụ sở ở Đài Bắc.

Với 1.200 công nhân Việt Nam, nghĩa vụ chính đến từ Luật 91/2025/QH15: thông báo, xin đồng ý khi cần, và vì dữ liệu được đưa về máy chủ ở Đài Loan, phải xét hồ sơ chuyển dữ liệu ra nước ngoài, trừ trường hợp được miễn. Với 15 chuyên gia Đài Loan, nhà máy cần xem thêm PDPA Đài Loan, nhất là kết quả khám sức khỏe, vốn là dữ liệu đặc biệt theo Điều 6. Một bộ thông báo song ngữ và một danh mục dữ liệu ghi rõ luật nào áp dụng cho nhóm nào giúp tránh làm hai hệ thống riêng.

Dữ liệu cá nhân thông thường và dữ liệu đặc biệt

Theo Điều 2, dữ liệu cá nhân là thông tin đủ để nhận diện một người trực tiếp hoặc gián tiếp, như họ tên, ngày sinh, số căn cước, số hộ chiếu, đặc điểm nhận dạng, vân tay, tình trạng hôn nhân, học vấn, nghề nghiệp, hồ sơ y tế, thông tin liên lạc, tình hình tài chính. “Gián tiếp” nghĩa là thông tin chưa đủ nhận diện một mình nhưng ghép với thông tin khác thì nhận diện được.

Điều 6 tách riêng nhóm dữ liệu đặc biệt: hồ sơ bệnh án, dữ liệu khám chữa bệnh, dữ liệu di truyền, đời sống tình dục, kết quả khám sức khỏe và tiền án tiền sự. Nhóm này bị cấm thu thập, xử lý, sử dụng, trừ các trường hợp ngoại lệ luật liệt kê, trong đó có sự đồng ý bằng văn bản của chủ thể.

Danh mục dữ liệu đặc biệt của Đài Loan hẹp hơn Việt Nam. Theo Luật 91/2025/QH15, dữ liệu nhạy cảm theo danh mục của Chính phủ rộng hơn, gồm cả dữ liệu sinh trắc học và tài khoản ngân hàng. Doanh nghiệp xử lý cùng một bộ dữ liệu nhân viên ở cả hai nơi nên phân loại theo bên chặt hơn ở từng mục.

Kết quả khám sức khỏe định kỳ của công nhân là ví dụ hay gặp. Nhà máy FDI Đài Loan ở Việt Nam gửi kết quả khám sức khỏe của chuyên gia Đài Loan về trụ sở để theo dõi thì đang xử lý dữ liệu đặc biệt theo luật Đài Loan, cần căn cứ rõ ràng và giới hạn người được xem.

Điều kiện thu thập, xử lý và sử dụng dữ liệu

PDPA Đài Loan tiếp cận theo “mục đích cụ thể”: mọi việc thu thập, xử lý dữ liệu phải gắn với một mục đích cụ thể và có một trong 8 căn cứ tại Điều 19, như thực hiện hợp đồng, quy định pháp luật, dữ liệu chủ thể tự công khai, nghiên cứu học thuật, hoặc có sự đồng ý. Sử dụng ngoài mục đích ban đầu cần căn cứ riêng.

Cơ quan nhà nước Đài Loan còn ban hành danh mục mục đích cụ thể và loại dữ liệu có mã số, như mục đích “040 tiếp thị”, “069 hợp đồng hoặc quan hệ tương tự”, “090 quản lý và phục vụ khách hàng”. Nhiều doanh nghiệp Đài Loan dùng mã này trong thông báo thu thập và trong hợp đồng ủy thác, nên đối tác Việt Nam sẽ gặp chúng khi nhận tài liệu từ phía Đài Loan.

Về sự đồng ý, Điều 7 yêu cầu đồng ý phải được đưa ra sau khi chủ thể đã được thông báo các nội dung luật định. Đồng ý cho việc sử dụng ngoài mục đích ban đầu phải là một ý chí riêng, tách khỏi các nội dung khác. Bên thu thập chịu trách nhiệm chứng minh đã có đồng ý. Đây là điểm giống Luật 91/2025/QH15 của Việt Nam, vốn cũng yêu cầu đồng ý cho từng mục đích.

Tiếp thị trực tiếp có quy định riêng. Theo Điều 20, khi chủ thể từ chối nhận tiếp thị, doanh nghiệp phải ngừng sử dụng dữ liệu cho mục đích đó; và ngay lần tiếp thị đầu tiên phải cho chủ thể biết cách từ chối.

Nghĩa vụ thông báo và 5 quyền của chủ thể dữ liệu

Khi thu thập trực tiếp, Điều 8 yêu cầu doanh nghiệp thông báo 6 nội dung: tên bên thu thập, mục đích, loại dữ liệu, thời hạn, khu vực, đối tượng và cách sử dụng, các quyền của chủ thể và cách thực hiện, ảnh hưởng nếu chủ thể không cung cấp. Thu thập gián tiếp thì theo Điều 9 phải thông báo nguồn dữ liệu và các nội dung trên trước khi xử lý, sử dụng.

Theo Quy định thi hành luật, thông báo có thể bằng lời nói, văn bản, điện thoại, tin nhắn, email, fax, văn bản điện tử hoặc cách khác đủ để chủ thể biết; sự đồng ý bằng văn bản có thể làm bằng văn bản điện tử. Trên thực tế, doanh nghiệp Đài Loan thường dùng một bản thông báo thu thập ký kèm hợp đồng lao động hoặc phiếu đăng ký khách hàng, và yêu cầu nhà cung cấp Việt Nam dùng mẫu tương tự với người Đài Loan.

Điều 3 trao cho chủ thể 5 quyền mà không được từ bỏ hay hạn chế bằng hợp đồng. Điều 13 đặt thời hạn trả lời cụ thể:

Thời hạn 15 ngày ngắn hơn mức một tháng của GDPR. Doanh nghiệp làm dịch vụ cho khách Đài Loan, như tổng đài chăm sóc khách hàng, nên có sẵn quy trình chuyển yêu cầu về bên ủy thác ngay trong ngày, vì thời hạn tính cho bên ủy thác chứ không chờ bên Việt Nam xử lý xong.

Nghĩa vụ bảo đảm an toàn và xử lý khi lộ lọt dữ liệu

Theo Điều 27 bản đang thi hành, tổ chức phi công quyền giữ hồ sơ dữ liệu cá nhân phải áp dụng biện pháp an toàn phù hợp để chống bị đánh cắp, sửa đổi, hủy hoại, mất hoặc lộ. Cơ quan chủ quản ngành có thể chỉ định doanh nghiệp phải lập “kế hoạch bảo vệ an toàn hồ sơ dữ liệu cá nhân” theo quy chế riêng của ngành đó.

Hiện có hàng chục quy chế ngành như vậy. Ví dụ, quy chế cho ngành sản xuất và dịch vụ kỹ thuật của Bộ Kinh tế yêu cầu doanh nghiệp giữ từ 5.000 bản ghi dữ liệu người tiêu dùng phải lập kế hoạch; quy chế của Ủy ban Giám sát tài chính áp dụng cho ngân hàng, chứng khoán, bảo hiểm, thanh toán điện tử. Nhiều quy chế yêu cầu báo cơ quan chủ quản trong 72 giờ khi có sự cố nghiêm trọng.

Về thông báo cho chủ thể, Điều 12 bản đang thi hành yêu cầu khi dữ liệu bị đánh cắp, lộ, sửa đổi hoặc xâm phạm khác, doanh nghiệp phải thông báo cho chủ thể bằng cách phù hợp sau khi làm rõ sự việc. Bản sửa đổi năm 2025 bổ sung nghĩa vụ báo cơ quan chủ quản trong các trường hợp nhất định, nhưng chưa thi hành.

Với nhà cung cấp Việt Nam, kế hoạch bảo vệ an toàn của khách Đài Loan thường được chuyển thành yêu cầu trong hợp đồng: phân quyền truy cập, ghi nhật ký, mã hóa, xử lý dữ liệu khi kết thúc hợp đồng, và báo sự cố cho khách trong vài giờ để khách kịp báo cơ quan trong 72 giờ.

Vi phạm luật bảo vệ dữ liệu cá nhân Đài Loan bị phạt thế nào?

PDPA Đài Loan có ba tầng chế tài. Phạt hành chính tính theo từng lần và có thể lặp lại nếu không sửa trong hạn; bồi thường dân sự có mức tối thiểu cho mỗi người; trách nhiệm hình sự áp dụng khi vi phạm với ý định thu lợi bất chính hoặc gây hại.

Mức phạt tiền thấp hơn GDPR nhiều, nhưng có hai điểm doanh nghiệp hay bỏ qua. Thứ nhất, phạt theo từng lần, nên một vi phạm kéo dài có thể bị phạt nhiều lần. Thứ hai, người đại diện theo pháp luật chịu cùng mức phạt với tổ chức, trừ khi chứng minh đã làm hết trách nhiệm ngăn ngừa.

Ở mặt dân sự, Điều 34 cho phép một số tổ chức phi lợi nhuận đủ điều kiện khởi kiện tập thể khi được từ 20 người bị hại ủy quyền. Với một vụ lộ dữ liệu khách hàng quy mô lớn, mức 500 Đài tệ mỗi người có thể thành con số đáng kể.

Sửa đổi gần nhất và Ủy ban Bảo vệ dữ liệu cá nhân

Bản đang thi hành là bản sửa ngày 31/05/2023, trong đó Điều 48 nâng mức phạt với vi phạm nghĩa vụ an toàn và có hiệu lực từ ngày công bố. Bản sửa đổi tiếp theo được công bố ngày 11/11/2025, nhưng ngày thi hành do Viện Hành chính quyết định và đến thời điểm viết bài vẫn chưa được ấn định.

Bản sửa 2025 gắn với việc thành lập Ủy ban Bảo vệ dữ liệu cá nhân (個人資料保護委員會) làm cơ quan giám sát độc lập, sau phán quyết số 13 năm 2022 của Tòa án Hiến pháp Đài Loan cho rằng việc thiếu cơ chế giám sát độc lập có nguy cơ vi hiến. Văn phòng trù bị của Ủy ban ra mắt ngày 05/12/2023; tính tới tháng 10/2026, luật tổ chức của Ủy ban chưa được Lập pháp viện thông qua, nên Ủy ban chưa chính thức thành lập.

Doanh nghiệp không nên đợi ngày thi hành mới chuẩn bị. Quy trình thông báo sự cố và kế hoạch an toàn mất vài tháng để xây và chạy thử; khi Viện Hành chính công bố ngày thi hành, khách hàng Đài Loan sẽ đòi nhà cung cấp đáp ứng ngay.

So sánh nhanh PDPA Đài Loan và Luật 91/2025 của Việt Nam

PDPA Đài Loan và Luật Bảo vệ dữ liệu cá nhân 2025 cùng bảo vệ người có dữ liệu, nhưng khác nhau rõ ở hồ sơ phải nộp, nhân sự phụ trách, chuyển dữ liệu ra nước ngoài và cách tính phạt. Doanh nghiệp chịu cả hai nên lấy bên chặt hơn ở từng điểm làm chuẩn nội bộ.

Điểm khác lớn nhất với doanh nghiệp FDI Đài Loan ở Việt Nam là chuyển dữ liệu. Luật Đài Loan gần như không hạn chế việc chuyển dữ liệu ra nước ngoài, nên công ty mẹ quen với việc lấy dữ liệu nhân viên, khách hàng từ các nhà máy về Đài Bắc. Nhưng dữ liệu thu tại Việt Nam thì chịu Luật 91: đưa về máy chủ ở Đài Loan là chuyển dữ liệu cá nhân ra nước ngoài, phải lập và nộp hồ sơ, trừ các trường hợp được miễn.

Khi một tập đoàn muốn dùng chung một khung quản lý cho cả hai nơi, hệ thống quản lý thông tin quyền riêng tư theo ISO 27701 là lựa chọn hay được dùng, vì đối chiếu được nhiều luật và có chứng nhận bên thứ ba mà khách hàng hai bên đều hiểu.

Bốn hiểu lầm thường gặp của doanh nghiệp Việt

“Công ty mẹ ở Đài Loan đã tuân thủ PDPA thì công ty con ở Việt Nam cũng đủ.” Không đủ. Dữ liệu thu thập tại Việt Nam chịu Luật 91/2025/QH15 với những nghĩa vụ PDPA Đài Loan không có, như lập và nộp hồ sơ đánh giá tác động, chỉ định nhân sự bảo vệ dữ liệu, báo cơ quan chuyên trách trong 72 giờ.

“Luật Đài Loan cho chuyển dữ liệu tự do nên chuyển từ Việt Nam sang Đài Loan cũng tự do.” Chiều đi ra khỏi Việt Nam do luật Việt Nam điều chỉnh. Phía Đài Loan không cấm nhận, nhưng phía Việt Nam phải có hồ sơ chuyển dữ liệu ra nước ngoài.

“Mức phạt của Đài Loan thấp nên không đáng lo.” Phạt theo từng lần, người đại diện chịu cùng mức, có trách nhiệm hình sự, và bồi thường dân sự tối thiểu 500 Đài tệ mỗi người. Với nhà cung cấp, rủi ro lớn hơn thường là bị khách Đài Loan chấm dứt hợp đồng sau một sự cố.

“Bản sửa đổi 2025 đã có hiệu lực, giờ phải báo Ủy ban.” Đến tháng 10/2026, bản sửa 2025 chưa có ngày thi hành và Ủy ban chưa chính thức thành lập. Doanh nghiệp làm theo bản 2023 và quy chế ngành, đồng thời chuẩn bị trước cho bản mới.

Doanh nghiệp Việt nên chuẩn bị gì khi làm việc với Đài Loan?

Bắt đầu từ việc xác định vai trò: công ty đang là bên nhận ủy thác, có chi nhánh ở Đài Loan, hay chỉ xử lý dữ liệu của chuyên gia Đài Loan tại Việt Nam. Vai trò quyết định nghĩa vụ đến trực tiếp từ luật hay qua hợp đồng, và ai chịu trách nhiệm khi có sự cố.

Không có chứng nhận bắt buộc nào theo PDPA Đài Loan: doanh nghiệp tự chứng minh bằng chính sách, quy trình, hồ sơ. Ở Đài Loan có nhãn tự nguyện dp.mark theo chế độ TPIPAS, còn với khách hàng quốc tế thì ISO 27701 phổ biến hơn.

Musk-IS thành lập tại Đài Loan năm 2016 và mở rộng hoạt động tại Việt Nam từ 2026, làm việc cùng luật sư dữ liệu cá nhân, nên có thể đối chiếu yêu cầu của khách Đài Loan với nghĩa vụ theo Luật 91 trong cùng một bộ tài liệu. Nếu công ty bạn vừa nhận bảng câu hỏi bảo mật từ đối tác Đài Loan, hãy gửi cho chuyên gia Musk-IS xem trước để biết phần nào phải làm ngay.

Câu hỏi thường gặp về PDPA Đài Loan

Doanh nghiệp Việt có phải tuân thủ luật dữ liệu Đài Loan không?

Tùy trường hợp. Có chi nhánh, văn phòng tại Đài Loan thì áp dụng trực tiếp cho hoạt động ở đó. Xử lý dữ liệu của công dân Đài Loan thì cần xem Điều 51 về phạm vi ngoài lãnh thổ. Nhận ủy thác xử lý dữ liệu cho tổ chức Đài Loan thì theo Điều 4 được coi như bên ủy thác trong phạm vi ủy thác, và nghĩa vụ cụ thể thường ghi trong hợp đồng.

Lộ dữ liệu có phải thông báo theo luật Đài Loan không?

Có. Theo Điều 12 bản đang thi hành, khi dữ liệu bị đánh cắp, lộ, sửa đổi hoặc xâm phạm khác, doanh nghiệp phải thông báo chủ thể bằng cách phù hợp sau khi làm rõ sự việc. Nhiều quy chế ngành còn yêu cầu báo cơ quan chủ quản trong 72 giờ với sự cố nghiêm trọng. Bản sửa đổi năm 2025 bổ sung nghĩa vụ báo cơ quan, nhưng chưa có ngày thi hành.

Vi phạm PDPA Đài Loan bị phạt bao nhiêu?

Phạt hành chính từ 20.000 tới 15 triệu Đài tệ tùy hành vi, có thể phạt theo từng lần khi không sửa trong hạn; người đại diện chịu cùng mức phạt. Bồi thường dân sự 500–20.000 Đài tệ mỗi người mỗi sự việc khi khó chứng minh thiệt hại, tổng tối đa 200 triệu Đài tệ. Vi phạm với ý định thu lợi bất chính có thể bị tù đến 5 năm.

PDPA Đài Loan có giống PDPA Singapore không?

Không. Đây là hai luật khác nhau cùng viết tắt PDPA. PDPA Singapore ban hành năm 2012, do Ủy ban Bảo vệ dữ liệu cá nhân Singapore giám sát, có nghĩa vụ chỉ định người phụ trách bảo vệ dữ liệu. PDPA Đài Loan có tiền thân từ năm 1995, tiếp cận theo mục đích cụ thể, hiện vẫn do cơ quan chủ quản từng ngành giám sát doanh nghiệp.

Chuyển dữ liệu từ nhà máy Việt Nam về công ty mẹ ở Đài Loan cần gì?

Phía Đài Loan hầu như không hạn chế việc nhận dữ liệu. Phía Việt Nam, dữ liệu thu thập tại Việt Nam đưa về Đài Loan là chuyển dữ liệu cá nhân ra nước ngoài theo Điều 20 Luật 91/2025/QH15, phải lập và nộp hồ sơ đánh giá tác động trong 60 ngày, trừ trường hợp được miễn như tổ chức lưu dữ liệu người lao động của mình trên điện toán đám mây.

Tài liệu tham khảo

1. 個人資料保護法 (Personal Data Protection Act) – Nguyên văn luật và lịch sử sửa đổi. Cơ sở dữ liệu pháp luật quốc gia Đài Loan
2. Personal Data Protection Act (bản tiếng Anh) – Bản dịch tiếng Anh chính thức. Bộ Tư pháp Đài Loan
3. 個人資料保護委員會籌備處 – Tiến độ thành lập Ủy ban và các dự thảo văn bản hướng dẫn. Văn phòng trù bị Ủy ban Bảo vệ dữ liệu cá nhân
4. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 – Đối chiếu phạm vi, hồ sơ, nhân sự, mức phạt. Quốc hội · 26/06/2025