Trả lời ngắn
ROPA là hồ sơ hoạt động xử lý dữ liệu theo Điều 30 GDPR, lập bằng văn bản và xuất trình khi cơ quan giám sát yêu cầu; đây là nội dung và cách xây dựng.
ROPA là gì? ROPA (Records of Processing Activities) là hồ sơ nội bộ mà controller và processor phải lập theo Điều 30 GDPR, mô tả từng hoạt động xử lý dữ liệu cá nhân: mục đích, nhóm chủ thể, loại dữ liệu, người nhận, chuyển ra nước thứ ba, thời hạn xóa và biện pháp bảo mật. ROPA phải lập bằng văn bản (kể cả dạng điện tử) và xuất trình khi cơ quan giám sát yêu cầu.
ROPA khác privacy notice thế nào?
Privacy notice hướng ra người dùng, theo Điều 13 và 14, để họ biết dữ liệu của mình được dùng ra sao. ROPA hướng vào bên trong và phục vụ accountability: chứng minh tổ chức biết mình xử lý dữ liệu gì, vì sao, ở đâu và ai nhận. Theo Điều 30(4), ROPA không phải công bố nhưng phải đưa cho cơ quan giám sát khi có yêu cầu. Trên thực tế, privacy notice thường được viết lại từ nội dung ROPA, nên làm ROPA trước giúp notice chính xác hơn.
ROPA phải ghi những thông tin gì?
GDPR quy định hai bộ trường khác nhau cho controller (Điều 30(1)) và processor (Điều 30(2)). Công ty vừa là controller với dữ liệu của chính mình vừa là processor cho khách hàng B2B cần cả hai phần.
| Trường | Controller, Điều 30(1) | Processor, Điều 30(2) |
|---|---|---|
| Tên và liên hệ | Controller, joint controller, đại diện tại EU, DPO (nếu có) | Processor, từng controller mà bạn xử lý thay, đại diện, DPO |
| Mục đích hoặc loại xử lý | Mục đích xử lý | Các loại xử lý thực hiện cho từng controller |
| Chủ thể và loại dữ liệu | Nhóm chủ thể và nhóm dữ liệu cá nhân | Không bắt buộc |
| Người nhận | Các nhóm người nhận, kể cả ở nước thứ ba | Không bắt buộc |
| Chuyển ra nước thứ ba | Có, kèm safeguard khi áp dụng Điều 49(1) đoạn hai | Có, kèm safeguard khi áp dụng Điều 49(1) đoạn hai |
| Thời hạn xóa | Nếu xác định được | Không bắt buộc |
| Biện pháp bảo mật | Mô tả chung, nếu được | Mô tả chung, nếu được |
Lawful basis theo Điều 6 không nằm trong danh sách bắt buộc của Điều 30, nhưng ghi nó vào cùng bản ghi là cách làm phổ biến vì nghĩa vụ thông tin ở Điều 13 cũng yêu cầu nêu lawful basis.
Doanh nghiệp dưới 250 nhân viên có được miễn ROPA không?
Thường là không. Điều 30(5) chỉ miễn cho tổ chức dưới 250 nhân viên khi cả ba điều kiện cùng đúng: việc xử lý không có khả năng gây rủi ro cho quyền và tự do của chủ thể, chỉ mang tính thỉnh thoảng, và không gồm dữ liệu đặc biệt (Điều 9(1)) hay dữ liệu về tiền án (Điều 10). Quản lý tài khoản người dùng, lương nhân viên hay chăm sóc khách hàng đều diễn ra thường xuyên, nên một startup SaaS gần như luôn phải có ROPA cho các hoạt động đó.
Cách xây dựng ROPA từng bước
- Lập danh mục hoạt động, không phải danh mục hệ thống. Phỏng vấn chủ quy trình ở HR, sales, marketing, support, kỹ thuật. Cùng một CRM có thể phục vụ "quản lý hợp đồng khách hàng" và "email marketing": đó là hai bản ghi, vì mục đích, lawful basis và thời hạn khác nhau.
- Ghi mục đích, nhóm chủ thể và loại dữ liệu cho từng hoạt động; đánh dấu dữ liệu đặc biệt theo Điều 9.
- Ghi người nhận và processor, nối với danh sách vendor đã ký DPA (xem vendor management theo GDPR).
- Ghi việc chuyển ra nước thứ ba và safeguard đi kèm, ví dụ adequacy decision hoặc SCCs (xem DPA và SCCs).
- Đặt thời hạn xóa bằng con số hoặc tiêu chí, ví dụ "đến khi hợp đồng chấm dứt cộng thời hạn lưu theo luật kế toán".
- Mô tả biện pháp bảo mật ở mức chung: mã hóa, phân quyền, sao lưu, giám sát.
- Gán chủ sở hữu và lịch rà soát. GDPR không quy định chu kỳ; nhiều tổ chức rà soát khi thêm sản phẩm, vendor hoặc quy trình mới, cộng một lần rà soát định kỳ trong năm.
Những lỗi thường gặp khi làm ROPA
- Ghi theo hệ thống thay vì theo hoạt động, khiến không gán được mục đích và thời hạn riêng.
- Bỏ sót processor và sub-processor: email, logging, analytics, công cụ hỗ trợ khách hàng đều là người nhận.
- Không tách vai trò controller và processor: dữ liệu khách hàng B2B gửi cho bạn xử lý thuộc phần Điều 30(2), không phải phần controller.
- Coi lawful basis "consent" là mặc định: chọn sai lawful basis kéo theo sai quyền của chủ thể, ví dụ quyền rút lại đồng ý. Xem lawful basis theo GDPR.
- Làm một lần rồi để đó: ROPA lạc hậu sau vài lần ra mắt tính năng.
pTrackly hỗ trợ phần nào?
Tab Processing activities trong pTrackly là một RoPA theo Điều 30: mỗi hoạt động có tên, mục đích, một trong sáu lawful basis của Điều 6, nhóm dữ liệu (đánh dấu dữ liệu đặc biệt), nhóm chủ thể, người nhận, processor lấy từ danh sách vendor, việc chuyển ra nước ngoài kèm safeguard, thời hạn lưu, biện pháp bảo mật và chủ sở hữu. Bạn có thể gửi bảng hỏi cho chủ quy trình và xuất CSV khi cơ quan giám sát hoặc auditor yêu cầu. Việc xác định mục đích, chọn lawful basis và quyết định thời hạn lưu vẫn do đội ngũ của bạn thực hiện. Xem thêm quy trình tuân thủ GDPR và trang GDPR.
Câu hỏi thường gặp
ROPA có phải công khai không?
Không. ROPA là hồ sơ nội bộ; theo Điều 30(4), controller, processor và đại diện của họ chỉ phải cung cấp cho cơ quan giám sát khi được yêu cầu.
Startup dưới 250 nhân viên có cần ROPA không?
Thường là có. Miễn trừ ở Điều 30(5) chỉ áp dụng khi việc xử lý vừa không rủi ro, vừa chỉ thỉnh thoảng, vừa không có dữ liệu đặc biệt hay dữ liệu tiền án; xử lý dữ liệu người dùng hằng ngày không đáp ứng điều kiện "thỉnh thoảng".
Công ty outsourcing Việt Nam xử lý dữ liệu cho khách EU cần ROPA dạng nào?
Phần processor theo Điều 30(2): liệt kê từng controller, loại xử lý thực hiện cho họ, việc chuyển ra nước thứ ba và biện pháp bảo mật. Nếu bạn chịu GDPR theo Điều 3(2) hoặc khách hàng yêu cầu trong DPA, hãy chuẩn bị sẵn phần này.
ROPA có cần ghi thời hạn lưu cụ thể bằng số không?
Không bắt buộc. Điều 30(1)(f) yêu cầu ghi thời hạn xóa dự kiến "nếu có thể"; một tiêu chí rõ ràng như "12 tháng sau lần tương tác cuối" vẫn đáp ứng nguyên tắc giới hạn lưu trữ.
pTrackly giúp bạn triển khai GDPR nhanh hơn với templates và evidence collection tự động.
Đặt Demo Miễn Phí