Trả lời ngắn
Chi phí GDPR của startup Việt Nam gồm effort nội bộ, tư vấn pháp lý, EU representative, DPO nếu bắt buộc, công cụ và duy trì; bài tách từng hạng mục.
Chi phí GDPR của một startup Việt Nam không phải một khoản phí cố định: GDPR không có lệ phí đăng ký hay chứng nhận bắt buộc. Chi phí gồm effort nội bộ, tư vấn pháp lý, EU representative nếu thuộc Điều 27, DPO nếu bắt buộc theo Điều 37, công cụ và chi phí duy trì; quy mô từng phần phụ thuộc lượng và loại dữ liệu bạn xử lý.
Chi phí GDPR gồm những hạng mục nào?
Cách dễ ước tính nhất là tách theo hạng mục và theo việc bạn là controller (tự quyết định mục đích xử lý, như một SaaS bán cho người dùng EU) hay processor (xử lý thay khách hàng, như công ty outsourcing). Processor thường có ít hạng mục hơn vì phần lớn nghĩa vụ với người dùng thuộc về controller.
| Hạng mục | Khi nào phát sinh | Yếu tố quyết định quy mô |
|---|---|---|
| Effort nội bộ | Luôn có | Số hệ thống, số vendor, số hoạt động xử lý, mức độ có sẵn tài liệu |
| Tư vấn pháp lý | Thường có ở giai đoạn đầu | Lawful basis, privacy notice, DPA, chuyển dữ liệu ra ngoài EU, DPIA |
| EU representative | Controller hoặc processor ngoài EU thuộc phạm vi Điều 3(2), trừ ngoại lệ Điều 27(2) | Số quốc gia và mức rủi ro của việc xử lý; thường là dịch vụ thuê theo năm |
| DPO | Khi hoạt động cốt lõi là giám sát quy mô lớn, có hệ thống, hoặc xử lý quy mô lớn dữ liệu nhạy cảm (Điều 37) | Có thể là nhân sự nội bộ hoặc dịch vụ thuê ngoài |
| Công cụ | Tùy mô hình | Consent management cho website, hệ thống xử lý yêu cầu của người dùng, quản lý vendor và tài liệu |
| Duy trì hằng năm | Luôn có | Cập nhật ROPA, rà soát vendor, đào tạo, xử lý yêu cầu và sự cố |
| Rủi ro bị phạt | Khi vi phạm | Theo Điều 83: tối đa 10 triệu euro hoặc 2% doanh thu toàn cầu, hoặc 20 triệu euro hoặc 4%, tùy loại vi phạm |
Effort nội bộ gồm những việc gì?
Effort nội bộ là phần lớn nhất và ít được tính đến. Các việc chính: lập data map và ROPA theo Điều 30; chọn lawful basis cho từng hoạt động; viết privacy notice theo Điều 13–14; thiết lập quy trình trả lời yêu cầu của người dùng trong một tháng; ký DPA với vendor; chuẩn bị quy trình báo breach trong 72 giờ; và làm DPIA cho xử lý có rủi ro cao theo Điều 35. Thời gian thực tế phụ thuộc vào số hệ thống và mức tài liệu sẵn có, nên hãy ước tính theo danh sách việc này thay vì theo một con số chung; bài GDPR compliance mất bao lâu có khung thời gian theo giai đoạn.
Khi nào cần EU representative và DPO?
Điều 27 yêu cầu controller hoặc processor không có cơ sở tại EU nhưng thuộc phạm vi GDPR theo Điều 3(2) chỉ định bằng văn bản một đại diện tại EU. Ngoại lệ là khi việc xử lý chỉ thỉnh thoảng, không xử lý quy mô lớn dữ liệu nhạy cảm hoặc dữ liệu về tiền án, và khó gây rủi ro cho cá nhân. Với phần lớn SaaS có người dùng EU thường xuyên, ngoại lệ này khó áp dụng.
Điều 37 chỉ bắt buộc có DPO khi hoạt động cốt lõi là giám sát người dùng quy mô lớn và có hệ thống, hoặc xử lý quy mô lớn dữ liệu nhạy cảm, hoặc khi là cơ quan công quyền. Nhiều startup không thuộc diện bắt buộc; khi không bắt buộc, vẫn nên có một người phụ trách quyền riêng tư nhưng không gọi là DPO nếu không muốn chịu các yêu cầu về vị trí của DPO.
Chi phí công cụ và chi phí duy trì gồm những gì?
Công cụ phụ thuộc mô hình sản phẩm. Website hoặc app có cookie analytics, marketing cần consent management (xem consent management đúng GDPR). Sản phẩm có nhiều người dùng cần quy trình hoặc công cụ xử lý yêu cầu truy cập, xóa. Công ty có nhiều vendor cần nơi theo dõi DPA và cơ chế chuyển dữ liệu như SCCs (xem DPA và SCCs).
Chi phí duy trì gồm: cập nhật ROPA khi có tính năng hoặc vendor mới, rà soát DPA khi vendor đổi sub-processor, đào tạo nhân viên, xử lý yêu cầu của người dùng và sự cố, và xem lại DPIA. GDPR không có "đánh giá lại hằng năm" bắt buộc, nhưng nghĩa vụ chứng minh tuân thủ theo Điều 5(2) khiến tài liệu phải luôn cập nhật.
pTrackly giúp giảm phần chi phí nào?
pTrackly giảm phần effort quản trị: framework GDPR với control gắn sẵn, ROPA và DPIA trong mục Privacy (DPIA có bước phê duyệt), nhật ký sự cố với đồng hồ 72 giờ, theo dõi DPA của vendor kèm nhắc hết hạn, chính sách mẫu và training bảo mật. Giá pTrackly phụ thuộc phạm vi framework, hạ tầng và mức dùng AI; pTrackly không thay tư vấn pháp lý, không làm EU representative hay DPO, và không có công cụ consent management cho website.
Câu hỏi thường gặp
GDPR có lệ phí đăng ký hay chứng nhận bắt buộc không?
Không. GDPR không có chứng nhận bắt buộc; Điều 42 cho phép các cơ chế chứng nhận tự nguyện được phê duyệt, nhưng chúng không thay thế việc tuân thủ. Một số quốc gia có phí riêng theo luật quốc gia, như phí bảo vệ dữ liệu ở Anh theo UK GDPR, không phải theo GDPR của EU.
Startup Việt Nam chưa có người dùng EU có cần trả chi phí GDPR không?
Không có nghĩa vụ cho đến khi bạn thuộc phạm vi Điều 3(2), tức chào bán dịch vụ cho người ở EU hoặc theo dõi hành vi của họ. Phạm vi chi tiết có trong GDPR áp dụng khi nào.
DPA với vendor có cần luật sư soạn không?
Với vendor lớn, DPA thường là mẫu chuẩn kèm SCCs, bạn chỉ cần đọc và chấp nhận. Với quan hệ xử lý phức tạp hoặc khi bạn là processor ký với khách hàng EU, nên có tư vấn pháp lý trước khi ký.
Mức phạt GDPR tối đa là bao nhiêu?
Theo Điều 83, có hai mức tối đa: 10 triệu euro hoặc 2% doanh thu toàn cầu năm trước, và 20 triệu euro hoặc 4%, tùy mức nào cao hơn và tùy loại vi phạm. Mức thực tế do supervisory authority quyết định dựa trên tính chất, mức độ và thiện chí khắc phục.
pTrackly giúp bạn triển khai GDPR nhanh hơn với templates và evidence collection tự động.
Đặt Demo Miễn Phí