GDPR Áp Dụng Cho Bạn Ngay Cả Khi Công Ty Đặt Tại Việt Nam

GDPR (General Data Protection Regulation) không giới hạn theo địa lý của doanh nghiệp, mà theo địa lý của người dùng. Nếu sản phẩm của bạn có người dùng tại EU, GDPR áp dụng cho bạn.

Điều này có nghĩa: Startup SaaS Hà Nội với khách hàng tại Đức, Pháp, hay Hà Lan đều phải tuân thủ GDPR. Không phải là "nên làm", mà là nghĩa vụ pháp lý.

Checklist này được thiết kế cho startup Việt Nam đang chuẩn bị launch hoặc đang scale sang thị trường EU, tập trung vào những việc thực sự cần làm thay vì lý thuyết pháp lý.

Phần 1: Data Mapping, Biết Bạn Đang Xử Lý Gì

Trước khi làm bất cứ điều gì khác, phải biết dữ liệu cá nhân đang chảy qua đâu trong hệ thống.

☐ Liệt kê tất cả personal data bạn collect

Personal data theo GDPR rất rộng: tên, email, IP address, cookie ID, device fingerprint, location data... đều là personal data nếu có thể dùng để identify một người.

Câu hỏi cần trả lời:

  • User registration form collect những field gì?
  • Analytics tool (Google Analytics, Mixpanel...) track gì?
  • Payment processor nhận thông tin gì?
  • Support tool (Intercom, Zendesk) lưu gì?

☐ Document nơi data được lưu trữ

  • Database ở đâu? Region nào?
  • Backup ở đâu?
  • Log files có chứa personal data không?
  • S3 buckets có file nào chứa user data không?

☐ Document data flows

Dữ liệu đi từ đâu đến đâu? Từ frontend → API → database → analytics → email service → support tool. Vẽ sơ đồ này giúp identify tất cả vendors cần có DPA (xem Phần 5).

☐ Xác định data retention

Mỗi loại data được giữ bao lâu? GDPR yêu cầu không giữ data lâu hơn mục đích ban đầu. Cần có retention policy cụ thể.

Phần 2: Lawful Basis, Lý Do Pháp Lý Để Xử Lý Data

Đây là nền tảng của GDPR. Trước khi process bất kỳ personal data nào, phải có lawful basis hợp lệ và phải xác định trước, không thể chọn sau khi đã collect.

☐ Xác định lawful basis cho từng loại processing activity

Có 6 lawful bases. Với startup SaaS, phổ biến nhất là:

  • Contract: Cần để thực hiện dịch vụ bạn đã hứa (ví dụ: lưu user profile để họ login được)
  • Legitimate interests: Vì lợi ích hợp pháp của business, không override quyền của user (ví dụ: fraud detection, security logging)
  • Consent: User đồng ý rõ ràng, chỉ dùng khi không có basis nào khác phù hợp hơn

Lỗi phổ biến của startup: Dùng consent cho tất cả mọi thứ. Sai, consent có nhiều ràng buộc nhất (phải freely given, specific, informed, unambiguous, và có thể rút lại bất cứ lúc nào). Đối với core service processing, contract thường phù hợp hơn.

☐ Document lawful basis trong ROPA (Records of Processing Activities)

ROPA là document bắt buộc theo GDPR Article 30 với hầu hết tổ chức. Liệt kê: tên processing activity, mục đích, lawful basis, data categories, retention period, vendors liên quan.

Phần 3: Privacy Notice, Thông Báo Rõ Ràng Với Người Dùng

☐ Cập nhật Privacy Policy / Privacy Notice

Privacy Policy của bạn phải cover:

  • Ai là controller (bạn) và contact info
  • Loại data được collect
  • Mục đích và lawful basis cho từng mục đích
  • Ai data được share với (vendors, partners)
  • Retention period
  • Quyền của user (xem Phần 4)
  • Cách transfer data ra ngoài EU (nếu có)
  • Cách liên hệ nếu có khiếu nại

☐ Privacy Notice phải dễ tìm và dễ đọc

Link rõ ràng từ website, signup form, và app. Không được viết theo kiểu legal gibberish. GDPR yêu cầu "clear and plain language".

☐ Phân biệt Privacy Policy và Cookie Policy

Cookie policy (hoặc section về cookies trong Privacy Policy) phải giải thích cụ thể từng loại cookie, mục đích, và thời gian lưu. Không phải một đoạn generic.

Nếu bạn dùng tracking cookies, analytics, hay marketing pixels với người dùng EU, phải có consent mechanism đúng.

☐ Implement cookie consent banner đúng GDPR

Consent banner GDPR-compliant phải:

  • Có genuine choice, không pre-ticked "Accept all"
  • Dễ dàng từ chối như là chấp nhận (Reject button phải rõ ràng như Accept)
  • Không dùng dark patterns (ví dụ: "Accept all" màu xanh nổi, "Reject" màu xám nhỏ)
  • Lưu consent record có timestamp

☐ Chỉ load non-essential cookies sau khi có consent

Analytics (Google Analytics, Mixpanel), marketing (Facebook Pixel, Google Ads), và A/B testing tools là non-essential, chỉ được load sau khi user accept.

Lưu ý: Google Analytics 4 vẫn cần consent nếu bạn dùng tracking cookies với người dùng EU. Có thể config Google Analytics ở privacy-preserving mode nhưng vẫn cần implement đúng.

☐ Lưu consent records

GDPR yêu cầu bạn có thể chứng minh rằng consent đã được given. Cần lưu: user ID (hoặc cookie ID), timestamp, phiên bản consent banner, và những gì họ đã consent.

Phần 5: Data Subject Rights, Quyền Của Người Dùng

Người dùng EU có các quyền mà bạn phải có khả năng thực thi trong 30 ngày:

☐ Right of Access (Article 15)

User có thể yêu cầu bạn cung cấp copy toàn bộ data bạn có về họ.

Cần chuẩn bị: Quy trình để query tất cả databases, export data thành format đọc được (JSON, CSV). Đặc biệt phức tạp nếu data nằm rải rác ở nhiều nơi.

☐ Right to Erasure / Right to be Forgotten (Article 17)

User có thể yêu cầu xóa toàn bộ data của họ.

Điểm phức tạp: Xóa khỏi production database chưa đủ, backup, logs, analytics, và data ở third-party tools cũng cần được handle. Cần document retention và deletion policy cho từng hệ thống.

☐ Right to Portability (Article 20)

User có thể yêu cầu export data ở format machine-readable (JSON, CSV) để chuyển sang service khác.

☐ Right to Rectification (Article 16)

User có thể yêu cầu sửa data không chính xác.

☐ Right to Object (Article 21)

User có thể yêu cầu ngừng processing data của họ cho một số mục đích (đặc biệt là direct marketing).

☐ Có process để handle data subject requests

Cần có: email hoặc form để nhận request, ticket system để track, SLA 30 ngày, và người chịu trách nhiệm respond.

Phần 6: Vendor Management, Data Processing Agreements

☐ Liệt kê tất cả vendors tiếp xúc personal data của user EU

Bao gồm:

  • Cloud infrastructure (AWS, GCP, Azure)
  • Email service (SendGrid, Mailgun, Mailchimp)
  • Analytics (Google Analytics, Mixpanel, Amplitude)
  • Customer support (Intercom, Zendesk, Crisp)
  • Payment (Stripe, PayPal)
  • Error tracking (Sentry, Datadog)
  • CRM (HubSpot, Salesforce)
  • Video calls (Zoom, Google Meet, nếu có user meetings)

☐ Ký Data Processing Agreement (DPA) với tất cả

Theo GDPR, mọi vendor xử lý personal data EU thay mặt bạn đều cần DPA. Hầu hết vendors lớn có standard DPA, bạn chỉ cần accept hoặc ký. Lưu bản signed.

☐ Xử lý data transfer ra ngoài EEA

Khi data của người dùng EU được chuyển đến server ở Việt Nam (hoặc Mỹ), cần có cơ chế pháp lý:

  • Standard Contractual Clauses (SCCs): Phổ biến nhất. AWS, GCP, Azure đều cung cấp SCCs trong DPA của họ. Nếu bạn tự host ở Việt Nam, cần ký SCCs với service của mình.
  • Adequacy decision: Một số quốc gia được EU công nhận có mức bảo vệ tương đương. Việt Nam chưa có adequacy decision, nên SCCs là con đường phổ biến nhất.

Phần 7: Security Measures

GDPR yêu cầu "appropriate technical and organizational measures" để bảo vệ data. Không có checklist cứng nhắc, nhưng các biện pháp phổ biến cần có:

☐ Encryption at rest và in transit

Data trong database phải được encrypt. Tất cả traffic phải qua HTTPS/TLS.

☐ Access control

Least privilege principle: nhân viên chỉ có access vào data họ cần để làm việc. Production database không nên accessible bởi toàn bộ engineering team.

☐ Pseudonymization khi có thể

Analytics và logging không nhất thiết phải chứa email hay tên thật, dùng user ID thay thế khi có thể.

☐ Regular security testing

Ít nhất là vulnerability scan định kỳ. Penetration test nếu handle sensitive data.

Phần 8: Breach Notification

☐ Có Incident Response procedure

Nếu xảy ra data breach ảnh hưởng đến người dùng EU, GDPR yêu cầu:

  • Notify Supervisory Authority (SA) trong 72 giờ nếu có risk đến quyền và tự do của người dùng
  • Notify người dùng bị ảnh hưởng "without undue delay" nếu có high risk

72 giờ là rất ngắn. Cần có:

  • Quy trình phát hiện breach
  • Người chịu trách nhiệm notify
  • Draft notification template sẵn
  • Contact của SA tại quốc gia khách hàng chính (ví dụ: CNIL cho Pháp, BfDI cho Đức)

Phần 9: Ongoing Obligations

GDPR không phải one-time project.

☐ Hàng năm: Review và update ROPA, Privacy Policy, và consent mechanisms khi có thay đổi về processing activities.

☐ Khi add feature mới: Review GDPR implications trước khi launch, Privacy by Design là nguyên tắc của GDPR.

☐ Khi add vendor mới: Ký DPA trước khi share data.

☐ Khi có nhân viên mới: Training về GDPR obligations.

Những Gì Không Cần Làm (Tránh Over-Engineer)

GDPR không yêu cầu:

  • DPO (Data Protection Officer): Chỉ bắt buộc với public authority, large-scale systematic monitoring, hoặc large-scale special category data. Startup SaaS thông thường không cần.
  • DPIA (Data Protection Impact Assessment): Chỉ bắt buộc với high-risk processing (large-scale systematic monitoring, sensitive data...). Không bắt buộc cho mọi feature.
  • Lưu data ở EU: GDPR không yêu cầu data localization. Data transfer ra ngoài EEA hợp lệ với SCCs.

Câu Hỏi Thường Gặp

Q: Startup chưa có user EU nhưng đang chuẩn bị launch, có cần làm GDPR trước không?

Nên làm trước launch, đặc biệt với cookie consent và Privacy Policy. Làm sau thường tốn effort hơn vì phải sửa cả code lẫn processes đã có.

Q: Khách hàng B2B (company accounts) có cần GDPR không?

Có, nếu bạn store thông tin cá nhân của nhân viên tại công ty khách hàng (tên, email công ty, IP...). Email john.doe@company.com là personal data theo GDPR vì identify được cá nhân.

Q: Có cần luật sư GDPR không?

Không bắt buộc cho mọi trường hợp. Với startup SaaS thông thường, checklist này và tool như pTrackly đủ để xây dựng foundation. Nên có legal review cho các tình huống phức tạp hơn (sensitive data, large scale, regulated industry).

Q: Vi phạm GDPR có bị phạt ngay không hay có cơ hội sửa?

Supervisory Authority thường cảnh báo và yêu cầu sửa trước khi phạt, với tổ chức có thiện chí. Phạt nặng thường cho các vi phạm có tính cố ý hoặc đã được cảnh báo mà không sửa.

GDPR compliance không phải một project có điểm kết thúc, là cách bạn build và operate product. Bắt đầu từ checklist này, document trong ROPA, và update khi product thay đổi.

Thẻ:
GDPR checklistGDPR cho startup Việt Namxuất khẩu phần mềm EUGDPR Việt Nambảo vệ dữ liệu EU
← Quay lại Blog