Tóm tắt
GDPR checklist cho startup Việt Nam bán phần mềm sang EU: phạm vi Điều 3(2), đại diện EU, lawful basis, RoPA, quyền người dùng, DPA, cookie và báo vi phạm.
GDPR checklist cho startup Việt Nam bán phần mềm sang EU gồm mười việc: xác định phạm vi, chỉ định đại diện EU, lập RoPA, chọn lawful basis, viết privacy notice, xử lý cookie, đáp ứng quyền người dùng, ký DPA với vendor, áp biện pháp bảo mật và chuẩn bị báo vi phạm trong 72 giờ. Bài dành cho startup đóng vai controller.
GDPR có áp dụng cho startup đặt tại Việt Nam không?
Có, nếu bạn nhắm tới người dùng ở EU. Theo Điều 3(2) GDPR, tổ chức không có cơ sở tại EU vẫn chịu GDPR khi cung cấp hàng hóa, dịch vụ (kể cả miễn phí) cho người đang ở EU, hoặc theo dõi hành vi của họ tại EU. Việc website truy cập được từ EU chưa đủ; dấu hiệu nhắm tới thị trường EU là giá bằng euro, ngôn ngữ châu Âu, chiến dịch marketing tại EU hay khách hàng doanh nghiệp EU.
Nếu bạn chỉ xử lý dữ liệu theo chỉ thị của khách hàng EU (outsourcing), bạn là processor; xem DPA GDPR cho công ty outsourcing. Phần giải thích đầy đủ về phạm vi nằm ở bài vì sao công ty Việt Nam phải tuân thủ GDPR.
Checklist GDPR cho startup gồm những gì?
| Việc | Căn cứ GDPR | Kết quả cần có |
|---|---|---|
| Điều 3, Điều 4(7)–(8) | Ghi chú: controller hay processor, nhắm tới EU qua kênh nào |
| Điều 27 | Hợp đồng với đại diện, tên đại diện trong privacy notice |
| Điều 30 | Hồ sơ hoạt động xử lý |
| Điều 6 | Lawful basis ghi trong RoPA |
| Điều 12–14 | Thông báo dễ đọc, có liên kết ở form đăng ký |
| Điều 7, Chỉ thị ePrivacy Điều 5(3) | Banner đồng ý, lưu bằng chứng đồng ý |
| Điều 12, 15–22 | Quy trình nhận và trả lời trong một tháng |
| Điều 28 | DPA đã ký với mọi processor |
| Điều 32 | Phân quyền, mã hóa, kiểm thử định kỳ |
| Điều 33–34 | Quy trình báo cơ quan giám sát trong 72 giờ |
Startup ở Việt Nam có cần đại diện tại EU không?
Thường là có. Điều 27 yêu cầu controller hoặc processor thuộc Điều 3(2) chỉ định bằng văn bản một đại diện tại một nước EU nơi có người dùng của bạn. Ngoại lệ hẹp: xử lý chỉ thỉnh thoảng, không gồm dữ liệu đặc biệt hay dữ liệu tiền án ở quy mô lớn, và ít có khả năng gây rủi ro. Một sản phẩm SaaS xử lý dữ liệu người dùng hằng ngày hiếm khi đáp ứng ngoại lệ này. Đại diện là đầu mối cho người dùng và cơ quan giám sát; việc chỉ định đại diện không làm giảm trách nhiệm của chính bạn.
Làm data map, RoPA và lawful basis thế nào?
Liệt kê mọi dữ liệu cá nhân bạn thu thập: form đăng ký, analytics, thanh toán, công cụ hỗ trợ khách hàng, log ứng dụng. Với từng loại, ghi nơi lưu (region, backup), ai truy cập, vendor nào nhận và giữ bao lâu.
Mỗi hoạt động xử lý cần một lawful basis theo Điều 6, xác định trước khi thu thập. Với SaaS, phổ biến nhất là:
- Hợp đồng: xử lý cần để cung cấp dịch vụ người dùng đăng ký, như lưu tài khoản để đăng nhập.
- Lợi ích hợp pháp: phát hiện gian lận, log bảo mật, khi không lấn át quyền của người dùng.
- Đồng ý: marketing, tracking không thiết yếu; phải tự nguyện, cụ thể, có thông tin, rõ ràng và rút lại được dễ dàng như khi cho.
Ghi kết quả vào RoPA theo Điều 30. Miễn trừ cho tổ chức dưới 250 nhân viên ở Điều 30(5) chỉ áp dụng khi việc xử lý vừa thỉnh thoảng, vừa không rủi ro, vừa không có dữ liệu đặc biệt, nên một sản phẩm đang chạy gần như luôn cần RoPA. Xem ROPA là gì.
Privacy notice và cookie cần gì?
Privacy notice theo Điều 13 nêu: bạn là ai và cách liên hệ (kèm đại diện EU, DPO nếu có), dữ liệu thu thập, mục đích và lawful basis, người nhận, việc chuyển ra ngoài EEA, thời hạn lưu, quyền của người dùng và quyền khiếu nại với cơ quan giám sát. Viết bằng ngôn ngữ đơn giản và đặt liên kết ở website, form đăng ký và ứng dụng.
Cookie analytics, quảng cáo và A/B testing cần đồng ý trước khi chạy theo Chỉ thị ePrivacy, với chuẩn đồng ý của GDPR:
- Không đánh dấu sẵn, từ chối dễ như chấp nhận
- Không tải cookie không thiết yếu trước khi người dùng chọn
- Lưu bằng chứng: định danh, thời điểm, phiên bản banner, lựa chọn
Quy định cookie chi tiết khác nhau theo từng nước EU; kiểm tra hướng dẫn của cơ quan giám sát ở thị trường chính của bạn.
Đáp ứng quyền của người dùng EU thế nào?
Người dùng có quyền truy cập (Điều 15), sửa (16), xóa (17), hạn chế xử lý (18), di chuyển dữ liệu (20) và phản đối (21), cùng quyền liên quan đến quyết định tự động (22). Theo Điều 12(3), bạn phải trả lời trong một tháng, gia hạn thêm hai tháng nếu yêu cầu phức tạp hoặc nhiều và phải báo lý do trong tháng đầu.
Chuẩn bị: một kênh nhận yêu cầu, cách xác minh danh tính, script tìm và xuất dữ liệu của một người từ mọi hệ thống, quy trình xóa gồm cả dữ liệu ở vendor. Chi tiết ở quyền của người dùng EU theo GDPR.
Vendor và chuyển dữ liệu ra ngoài EU cần xử lý ra sao?
Mọi vendor xử lý dữ liệu thay bạn (cloud, email, analytics, hỗ trợ khách hàng, error tracking) cần DPA theo Điều 28; nhà cung cấp lớn thường có DPA mẫu để chấp nhận. Lưu bản đã ký và danh sách sub-processor của họ. Xem vendor management theo GDPR.
Về chuyển dữ liệu: theo Hướng dẫn 05/2021 của EDPB, người dùng EU tự nhập dữ liệu vào ứng dụng của bạn không phải là transfer theo Chương V, vì người dùng không phải exporter. Bạn vẫn chịu GDPR theo Điều 3(2) cho dữ liệu đó. Khi bạn gửi tiếp dữ liệu cho vendor ở nước khác, hoặc khi một controller ở EU gửi dữ liệu cho bạn, mới cần adequacy decision hoặc SCCs. Việt Nam chưa có adequacy decision. Xem DPA và SCCs.
Bảo mật và báo vi phạm cần chuẩn bị gì?
Điều 32 yêu cầu biện pháp phù hợp với rủi ro, không có danh sách cố định. Mức nền hợp lý cho startup: mã hóa khi truyền và khi lưu, phân quyền tối thiểu cho production, pseudonymisation trong analytics và log, sao lưu có kiểm tra khôi phục, và quét lỗ hổng định kỳ.
Khi xảy ra vi phạm dữ liệu cá nhân, Điều 33 yêu cầu báo cơ quan giám sát trong 72 giờ kể từ khi biết, trừ khi vi phạm khó gây rủi ro cho người dùng. Điều 34 yêu cầu báo người bị ảnh hưởng không chậm trễ khi rủi ro cao. Chuẩn bị sẵn người phụ trách, mẫu thông báo và cách xác định cơ quan giám sát phụ trách. Xem GDPR breach notification.
Những việc startup thường không bắt buộc phải làm
- DPO: Điều 37 chỉ bắt buộc khi hoạt động cốt lõi là theo dõi có hệ thống quy mô lớn, xử lý dữ liệu đặc biệt quy mô lớn, hoặc bạn là cơ quan công quyền. Dù không bắt buộc, vẫn nên có một người chịu trách nhiệm về privacy.
- DPIA cho mọi tính năng: Điều 35 chỉ bắt buộc với xử lý có khả năng gây rủi ro cao.
- Lưu dữ liệu tại EU: GDPR không yêu cầu bản địa hóa dữ liệu; yêu cầu là có cơ sở hợp lệ khi chuyển.
pTrackly hỗ trợ phần nào?
pTrackly giữ các hồ sơ GDPR mà checklist này tạo ra: RoPA với lawful basis theo Điều 6 và safeguard khi chuyển dữ liệu, DPIA có bước phê duyệt, sổ sự cố với đồng hồ 72 giờ theo Điều 33 tính từ lúc phát hiện, và vendor register ghi trạng thái DPA kèm nhắc hạn. Dữ liệu được nhập và duyệt bởi đội ngũ của bạn; pTrackly không quét hệ thống để tự lập data map, không viết privacy notice và không thay tư vấn pháp lý. Xem thời gian thực tế cho từng phần ở bài GDPR compliance mất bao lâu và trang GDPR.
Câu hỏi thường gặp
Startup chưa có người dùng EU có cần làm GDPR trước khi ra mắt không?
Nên làm trước khi bắt đầu nhắm tới thị trường EU, nhất là privacy notice, cookie và lawful basis, vì sửa luồng thu thập dữ liệu sau khi đã có người dùng tốn công hơn.
Khách hàng B2B là doanh nghiệp thì GDPR có áp dụng không?
Có. Tên, email công việc và địa chỉ IP của nhân viên ở công ty khách hàng là dữ liệu cá nhân. Với dữ liệu khách hàng đưa vào sản phẩm của bạn, bạn thường là processor và cần ký DPA với họ.
Có cần luật sư GDPR không?
Không bắt buộc cho mọi bước, nhưng nên có tư vấn pháp lý cho privacy notice, việc chỉ định đại diện EU, chuyển dữ liệu và các trường hợp dữ liệu nhạy cảm hoặc ngành được quản lý.
Mức phạt GDPR tối đa là bao nhiêu?
Theo Điều 83, tối đa 20 triệu euro hoặc 4% doanh thu toàn cầu năm trước, tùy mức nào cao hơn, cho nhóm vi phạm nặng nhất; nhóm còn lại tối đa 10 triệu euro hoặc 2%. Cơ quan giám sát cân nhắc mức độ, tính cố ý và biện pháp khắc phục khi quyết định.
