Tóm tắt
GDPR compliance cho SaaS và outsourcing Việt Nam thường mất 2–4 tháng để có nền tảng đủ chứng minh; GDPR không có chứng nhận, khách EU xem DPA và hồ sơ.
GDPR compliance mất bao lâu? Với công ty SaaS hoặc outsourcing Việt Nam bắt đầu từ đầu, thường mất 2 đến 4 tháng để có nền tảng đủ chứng minh; team đã có SOC 2 hoặc ISO 27001 thường cần 8 đến 10 tuần. GDPR không có chứng nhận, nên "xong" nghĩa là có hồ sơ, hợp đồng và quy trình mà khách hàng EU kiểm tra được.
GDPR có chứng nhận ở cuối dự án không?
Không. GDPR (Quy định (EU) 2016/679) là luật, không phải chương trình chứng nhận, và không cơ quan nào cấp "chứng nhận GDPR" để đóng dự án. Điều 42 cho phép các cơ chế chứng nhận được phê duyệt, nhưng rất ít cơ chế tồn tại và khách hàng hiếm khi hỏi. Thứ doanh nghiệp xây dựng là một nền tảng: hồ sơ hoạt động xử lý (RoPA), cơ sở pháp lý cho từng hoạt động, privacy notice, quy trình xử lý yêu cầu của chủ thể dữ liệu, quy trình xử lý vi phạm và hợp đồng xử lý dữ liệu đã ký với nhà cung cấp. Mọi timeline GDPR có bước "audit" rồi "certification" đều mô tả một thứ không tồn tại.
GDPR yêu cầu gì với công ty SaaS và outsourcing Việt Nam?
GDPR áp dụng với công ty ngoài EU khi cung cấp hàng hóa, dịch vụ cho người ở EU hoặc theo dõi hành vi của họ tại EU (Điều 3(2)), nên công ty SaaS ở Hà Nội có khách hàng trả phí ở Đức nằm trong phạm vi. Công việc thực tế chia thành các nhóm dưới đây.
| Yêu cầu | Điều khoản GDPR | Ý nghĩa với team SaaS |
|---|---|---|
| Cơ sở pháp lý cho từng hoạt động | Điều 6 | Contract và legitimate interests dùng cho phần lớn xử lý B2B; consent chủ yếu cho marketing và tracking không thiết yếu |
| Hồ sơ hoạt động xử lý (RoPA) | Điều 30 | Danh mục dữ liệu, mục đích, thời gian lưu, bên nhận; tổ chức dưới 250 nhân sự chỉ được miễn nếu xử lý không thường xuyên, rủi ro thấp và không có dữ liệu đặc biệt |
| Privacy notice và quyền của chủ thể | Điều 12–22 | Trả lời yêu cầu truy cập, xóa, sửa, di chuyển dữ liệu trong 1 tháng, gia hạn thêm tối đa 2 tháng với yêu cầu phức tạp (Điều 12(3)) |
| Hợp đồng với bên xử lý | Điều 28 | DPA với mọi nhà cung cấp xử lý dữ liệu cá nhân thay doanh nghiệp |
| Thông báo vi phạm | Điều 33 | Báo cơ quan giám sát trong 72 giờ kể từ khi biết về vi phạm có rủi ro với cá nhân |
| Đánh giá tác động (DPIA) | Điều 35 | Thực hiện trước khi xử lý rủi ro cao, ví dụ giám sát quy mô lớn hoặc dữ liệu đặc biệt |
| Đại diện tại EU | Điều 27 | Công ty ngoài EU thuộc Điều 3(2) phải chỉ định bằng văn bản, trừ khi xử lý không thường xuyên và rủi ro thấp |
| Chuyển dữ liệu ra ngoài EU | Điều 44–49 | Cần biện pháp bảo vệ như Standard Contractual Clauses (SCCs) khi dữ liệu rời EEA |
Phần lớn công ty SaaS B2B không bắt buộc có Data Protection Officer: Điều 37 chỉ yêu cầu với cơ quan công quyền, doanh nghiệp giám sát thường xuyên và có hệ thống trên quy mô lớn, hoặc xử lý quy mô lớn dữ liệu đặc biệt hay dữ liệu hình sự.
Mỗi giai đoạn GDPR mất bao lâu?
Với công ty 20 đến 100 người, hệ thống ở mức phức tạp vừa phải, đây là ước tính tham khảo, phụ thuộc phạm vi:
| Giai đoạn | Việc cần làm | Ước tính |
|---|---|---|
| Data mapping | Inventory dữ liệu cá nhân ở product, dev/staging, analytics, support, marketing, HR; dựng bản nháp RoPA | 3 đến 5 tuần |
| Cơ sở pháp lý và tài liệu | Gán cơ sở pháp lý cho từng hoạt động, viết legitimate interests assessment khi cần, cập nhật privacy notice, hoàn thiện RoPA | 2 đến 3 tuần |
| Quy trình | Quy trình xử lý yêu cầu của chủ thể, quy trình vi phạm, đào tạo nhân sự, policy nội bộ | 2 đến 3 tuần |
| Nhà cung cấp và chuyển dữ liệu | Xác định mọi bên xử lý, ký DPA, lập danh sách subprocessor, bổ sung SCCs khi chuyển dữ liệu khỏi EEA | 2 đến 3 tuần (sau đó duy trì liên tục) |
| Rà soát và kiểm thử | Thử một yêu cầu xóa dữ liệu từ đầu đến cuối, rà soát tài liệu, chuẩn bị mẫu DPA cho khách hàng | 1 đến 2 tuần |
Tổng cộng khoảng 10 đến 16 tuần nếu làm đều đặn. Data mapping quyết định độ dài thực tế: khi team engineering làm song song với phần tài liệu pháp lý, nhiều team rút xuống 8 đến 10 tuần.
Vì sao data mapping thường mất nhiều thời gian nhất?
Dữ liệu hiếm khi nằm ở một chỗ. Một sản phẩm SaaS có database production, môi trường staging thường chứa bản sao dữ liệu thật, công cụ analytics, nền tảng support, email, error tracking, chat nội bộ và cloud storage, và mỗi nơi là một hoạt động xử lý cần ghi vào RoPA. Việc rà soát vừa mang tính kỹ thuật (kho dữ liệu, tích hợp API) vừa mang tính tổ chức (phỏng vấn product, engineering, sales, support) và cần người đủ thẩm quyền để lấy được câu trả lời. Cơ sở pháp lý, thời gian lưu và hợp đồng nhà cung cấp đều phụ thuộc vào inventory này.
Doanh nghiệp Việt Nam thường đánh giá thấp phần việc nào?
- Môi trường không phải production. Dữ liệu thật copy sang dev hoặc staging vẫn thuộc phạm vi, thường ít được bảo vệ hơn và hay bị bỏ sót.
- Bộ công cụ analytics. Session recording, product analytics, A/B testing và pixel quảng cáo đều xử lý dữ liệu người dùng EU, thường cần consent, thông báo và DPA.
- Công cụ support và CRM. Helpdesk, live chat và CRM chứa dữ liệu khách hàng, cần DPA, quy định thời gian lưu và tối thiểu hóa dữ liệu.
- Hợp đồng với nhiều nhà cung cấp. Ba mươi công cụ nghĩa là ba mươi DPA, và mỗi công cụ mới cần DPA trước khi dùng.
- Yêu cầu xóa chưa được thử. Một yêu cầu xóa có thể chạm tới database, analytics, email, support và backup; nên thử trước khi có yêu cầu thật.
Khách hàng EU kiểm tra gì khi hỏi "có tuân thủ GDPR không"?
Khách hàng EU thường kiểm tra ba điểm: doanh nghiệp có ký được DPA theo Điều 28 kèm danh sách subprocessor và cơ chế chuyển dữ liệu không; privacy notice có cụ thể và cập nhật không; và có trả lời được bảng câu hỏi bảo mật về mã hóa, phân quyền, ứng phó sự cố, nơi lưu dữ liệu không. GDPR không yêu cầu audit bên thứ ba; SOC 2 hoặc ISO 27001 có thể dùng làm evidence hỗ trợ. Xem trang framework GDPR, hướng dẫn DPA và SCCs và danh sách việc trong GDPR checklist cho startup.
Luật Việt Nam thay đổi gì với công ty xuất khẩu phần mềm?
Việt Nam chưa có quyết định đánh giá tương xứng (adequacy decision) của EU (danh sách của Ủy ban châu Âu), nên chuyển dữ liệu EU về Việt Nam cần biện pháp bảo vệ, thường là SCCs kèm đánh giá tác động chuyển dữ liệu. Trong nước, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP áp dụng từ 01/01/2026, thay thế Nghị định 13/2023. Phần inventory, mục đích, quy trình xử lý yêu cầu và hợp đồng nhà cung cấp làm cho GDPR dùng lại được, nhưng Việt Nam có thêm nghĩa vụ nộp hồ sơ đánh giá tác động cho Bộ Công an trong 60 ngày và cập nhật 6 tháng một lần. Chi tiết ở checklist Luật Bảo vệ dữ liệu cá nhân cho SaaS và ITO.
Sau dự án đầu tiên, duy trì GDPR tốn bao nhiêu công sức?
GDPR là việc liên tục. Rà soát RoPA ít nhất mỗi năm một lần và mỗi khi có hoạt động xử lý mới, rà soát danh sách subprocessor và DPA hằng năm, đào tạo nhận thức hằng năm cho người xử lý dữ liệu cá nhân, ghi nhật ký mọi sự cố (kể cả sự cố không phải thông báo) và mọi yêu cầu của chủ thể kèm kết quả. Ước tính tham khảo: khi đã có nền tảng, một team SaaS điển hình dành vài ngày mỗi quý cho phần này. Các hạng mục chi phí ban đầu và duy trì được tách riêng trong chi phí GDPR.
pTrackly hỗ trợ timeline GDPR như thế nào?
pTrackly có GDPR như một framework với control, evidence task và policy template được điều chỉnh theo công ty khi onboarding. Module Privacy lưu hồ sơ hoạt động xử lý (cơ sở pháp lý, loại dữ liệu, bên nhận, biện pháp bảo vệ khi chuyển dữ liệu), DPIA có bước phê duyệt, và nhật ký sự cố tính đồng hồ 72 giờ của GDPR từ thời điểm phát hiện. Danh sách vendor theo dõi trạng thái DPA và cảnh báo trước khi DPA đã ký hết hạn. Quyết định pháp lý, nội dung privacy notice và việc xử lý yêu cầu vẫn thuộc về doanh nghiệp và luật sư. Xem thêm GDPR cho doanh nghiệp Việt Nam xuất khẩu phần mềm.
Câu hỏi thường gặp
GDPR compliance mất bao lâu với công ty SaaS nhỏ?
Thường 2 đến 4 tháng để có nền tảng đủ chứng minh, tùy số hệ thống và nhà cung cấp xử lý dữ liệu cá nhân. Team đã có tài liệu SOC 2 hoặc ISO 27001 thường hoàn thành trong 8 đến 10 tuần.
Có chứng nhận GDPR chính thức không?
Không. GDPR là quy định pháp luật, không phải chương trình chứng nhận. Điều 42 cho phép cơ chế chứng nhận được phê duyệt, nhưng khách hàng gần như luôn kiểm tra DPA, privacy notice và câu trả lời bảo mật thay vì chứng nhận.
Phải trả lời yêu cầu của chủ thể dữ liệu trong bao lâu?
Trong 1 tháng kể từ khi nhận yêu cầu theo Điều 12(3). Có thể gia hạn thêm tối đa 2 tháng với yêu cầu phức tạp hoặc số lượng lớn, nếu thông báo cho người yêu cầu trong tháng đầu.
Công ty Việt Nam có cần đại diện tại EU không?
Thường là có, nếu GDPR áp dụng qua Điều 3(2). Điều 27 chỉ miễn cho xử lý không thường xuyên, rủi ro thấp, không có dữ liệu đặc biệt quy mô lớn, và cho cơ quan công quyền.
Mức phạt GDPR tối đa là bao nhiêu?
Theo Điều 83, tối đa 10 triệu euro hoặc 2% doanh thu toàn cầu hằng năm với nghĩa vụ như hồ sơ xử lý và hợp đồng với bên xử lý, và tối đa 20 triệu euro hoặc 4% với vi phạm nguyên tắc cốt lõi, cơ sở pháp lý và quyền của chủ thể, lấy mức cao hơn.
