Tóm tắt
GDPR áp dụng cho công ty Việt Nam khi phục vụ hoặc theo dõi người dùng ở EU, và qua DPA khi xử lý dữ liệu cho khách EU; bài giải thích phạm vi, nghĩa vụ.
Vì sao công ty Việt Nam phải tuân thủ GDPR? Vì GDPR áp dụng cả với công ty ngoài EU khi cung cấp dịch vụ cho người đang ở EU hoặc theo dõi hành vi của họ (Điều 3(2)). Công ty outsourcing xử lý dữ liệu cho khách hàng EU nhận nghĩa vụ GDPR qua hợp đồng xử lý dữ liệu (DPA) theo Điều 28.
GDPR là gì?
GDPR (General Data Protection Regulation) là quy định bảo vệ dữ liệu cá nhân của Liên minh châu Âu, áp dụng từ 25/05/2018 (toàn văn trên EUR-Lex). GDPR là regulation chứ không phải directive, nên áp dụng trực tiếp và thống nhất ở cả 27 nước thành viên mà không cần chuyển thành luật quốc gia. Hiểu lầm phổ biến nhất là phạm vi địa lý: nhiều công ty ngoài EU nghĩ GDPR không liên quan vì không có văn phòng ở EU, trong khi Điều 3 mở rộng phạm vi ra ngoài lãnh thổ EU.
GDPR áp dụng cho công ty Việt Nam trong những trường hợp nào?
GDPR áp dụng trực tiếp với công ty Việt Nam khi công ty cung cấp hàng hóa hoặc dịch vụ cho người đang ở EU, có tính phí hay miễn phí, hoặc theo dõi hành vi của họ tại EU, ví dụ analytics, tracking cookie, profiling (Điều 3(2)). Khi công ty chỉ xử lý dữ liệu theo chỉ dẫn của một khách hàng đặt tại EU, nghĩa vụ đến chủ yếu qua DPA theo Điều 28 và điều khoản chuyển dữ liệu mà khách hàng bắt buộc phải ký với bên xử lý.
| Tình huống | Vai trò | Nghĩa vụ chính đến từ đâu |
|---|---|---|
| SaaS Việt Nam có người dùng ở EU (công cụ quản lý dự án, HR, email marketing) | Controller | Trực tiếp theo Điều 3(2): cơ sở pháp lý, privacy notice, quyền của chủ thể, đại diện tại EU (Điều 27) |
| E-commerce bán và giao hàng sang EU, lưu tài khoản khách hàng | Controller | Trực tiếp theo Điều 3(2) |
| Agency làm website cho thương hiệu EU, cài analytics theo dõi người dùng EU | Thường là processor cho thương hiệu | DPA với khách hàng; thương hiệu là bên chịu nghĩa vụ consent và thông báo |
| Đội outsourcing xây và vận hành CRM, ERP chứa dữ liệu khách hàng Đức | Processor | DPA theo Điều 28 và Standard Contractual Clauses với khách hàng EU |
| Outsourcing không truy cập dữ liệu cá nhân (ví dụ tool nội bộ không có dữ liệu người dùng) | Không áp dụng | GDPR thường không áp dụng |
| Sản phẩm chỉ phục vụ thị trường Việt Nam | Không áp dụng | GDPR thường không áp dụng; luật Việt Nam vẫn áp dụng |
Nhiều công ty Việt Nam đồng thời là processor với khách hàng EU và controller với dữ liệu nội bộ của chính mình (nhân viên, vendor, khách hàng trong nước). Một công ty SaaS là controller với dữ liệu tài khoản, nhân viên và marketing của chính mình, và là processor với dữ liệu mà khách hàng EU lưu trên nền tảng. Hai vai trò tồn tại song song với nghĩa vụ khác nhau, nên cần ghi rõ vai trò cho từng loại dữ liệu trong hồ sơ hoạt động xử lý (ROPA là gì). Phân tích phạm vi chi tiết ở hub GDPR áp dụng khi nào.
Controller và processor khác nhau thế nào?
Controller là tổ chức quyết định mục đích và phương thức xử lý dữ liệu; processor xử lý dữ liệu theo chỉ dẫn của controller và không tự quyết định mục đích. Ví dụ: công ty Đức thuê đội outsourcing Việt Nam xây hệ thống quản lý nhân sự. Công ty Đức là controller vì quyết định dữ liệu nhân viên được thu thập và dùng thế nào; đội Việt Nam là processor vì xây hệ thống theo yêu cầu.
Processor không "ít trách nhiệm hơn". Điều 28 yêu cầu hợp đồng xử lý dữ liệu, trong đó processor cam kết chỉ xử lý theo chỉ dẫn bằng văn bản, áp dụng biện pháp kỹ thuật và tổ chức phù hợp, chỉ dùng subprocessor khi controller cho phép, hỗ trợ controller thực hiện quyền của chủ thể và báo vi phạm cho controller. Nếu processor tự quyết định mục đích xử lý, Điều 28(10) coi processor là controller cho hoạt động đó.
6 nguyên tắc cốt lõi của GDPR là gì?
Điều 5 đặt ra sáu nguyên tắc cho mọi hoạt động xử lý dữ liệu cá nhân, cộng với nghĩa vụ chứng minh tuân thủ (accountability):
- Hợp pháp, công bằng, minh bạch: có cơ sở pháp lý hợp lệ (consent, hợp đồng, nghĩa vụ pháp lý, lợi ích sống còn, nhiệm vụ công, legitimate interests) và nói rõ với người dùng thu thập gì, để làm gì.
- Giới hạn mục đích: email thu để gửi hóa đơn không được dùng gửi marketing nếu không có cơ sở riêng.
- Tối thiểu hóa dữ liệu: chỉ thu thập thứ cần cho mục đích đã nêu; "phòng khi cần" không phải cơ sở hợp lệ.
- Chính xác: dữ liệu được giữ đúng và cập nhật.
- Giới hạn lưu trữ: GDPR không đặt thời hạn cố định, nhưng doanh nghiệp phải xác định và có cơ sở cho thời gian lưu.
- Toàn vẹn và bảo mật: biện pháp kỹ thuật và tổ chức chống mất mát, phá hủy, truy cập trái phép.
Mỗi hoạt động xử lý phải gắn với một trong sáu cơ sở pháp lý của Điều 6. Lỗi phổ biến là dùng consent cho việc vốn cần để thực hiện hợp đồng với người dùng, ví dụ cung cấp chính dịch vụ SaaS; consent hợp với email marketing và cookie không thiết yếu, còn giám sát bảo mật và chống gian lận thường dựa trên legitimate interests đã cân bằng với quyền của người dùng. Cách chọn ở hub GDPR lawful basis.
Quyền của chủ thể dữ liệu đòi hỏi gì về kỹ thuật?
Mỗi quyền của chủ thể dữ liệu cần một thao tác kỹ thuật cụ thể, không chỉ là policy, và yêu cầu phải được trả lời trong 1 tháng, gia hạn thêm tối đa 2 tháng với yêu cầu phức tạp (Điều 12(3)).
- Quyền truy cập: xuất toàn bộ dữ liệu của một người, từ database chính đến log, backup và analytics.
- Quyền xóa: không chỉ soft delete; phải lần ra dữ liệu ở backup, data warehouse, công cụ email marketing, analytics bên thứ ba và log.
- Quyền sửa: cập nhật dữ liệu sai ở mọi nơi nó tồn tại.
- Quyền di chuyển dữ liệu: cung cấp dữ liệu ở định dạng máy đọc được như JSON hoặc CSV.
- Quyền phản đối: với direct marketing, phải dừng khi người dùng phản đối.
Nếu hệ thống chưa có API hoặc công cụ admin để xóa, xuất và sửa dữ liệu theo từng người dùng, đây là vấn đề engineering cần giải quyết, không phải vấn đề câu chữ trong policy.
DPA cần có những nội dung gì?
Điều 28 bắt buộc có hợp đồng xử lý dữ liệu giữa controller và processor, ghi đối tượng và thời hạn xử lý, bản chất và mục đích, loại dữ liệu cá nhân, nhóm chủ thể dữ liệu, cùng nghĩa vụ và quyền của controller. DPA không phải NDA. Phần lớn khách hàng EU trong ngành công nghệ yêu cầu DPA ngay trong quy trình onboarding vendor, nên một mẫu DPA sẵn sàng là việc cần chuẩn bị đầu tiên. Processor chỉ được dùng subprocessor khi controller cho phép và phải ràng buộc subprocessor bằng nghĩa vụ tương đương; nếu dùng AWS, SendGrid hay bên thứ ba khác để xử lý dữ liệu EU, cần có DPA với họ và thông báo cho controller. Chi tiết ở bài DPA cho công ty outsource Việt Nam.
Chuyển dữ liệu EU về Việt Nam cần điều kiện gì?
Chương V GDPR (Điều 44–49) chỉ cho phép chuyển dữ liệu cá nhân ra ngoài EU và EEA khi có cơ chế hợp pháp. Việt Nam không có trong danh sách adequacy decision của Ủy ban châu Âu, nên mỗi lần dữ liệu EU được gửi về server tại Việt Nam là một lần chuyển dữ liệu cần cơ sở pháp lý. Cơ chế phổ biến nhất là Standard Contractual Clauses do Ủy ban châu Âu ban hành năm 2021 (Quyết định 2021/914); với đội outsourcing nhận dữ liệu từ khách hàng EU, module áp dụng là Module 2, controller-to-processor. Khách hàng EU không thể chuyển dữ liệu hợp pháp cho bạn nếu thiếu cơ chế này, nên đây thường là điều kiện để giữ hợp đồng. Hướng dẫn chi tiết ở DPA và SCCs.
Mức phạt GDPR là bao nhiêu?
Điều 83 chia mức phạt tối đa thành hai bậc, lấy mức cao hơn:
| Bậc | Ví dụ vi phạm | Mức tối đa |
|---|---|---|
| Điều 83(4) | Nghĩa vụ của controller và processor: hợp đồng xử lý dữ liệu, hồ sơ hoạt động xử lý, thông báo vi phạm, DPIA | 10 triệu euro hoặc 2% doanh thu toàn cầu năm trước |
| Điều 83(5) | Nguyên tắc cơ bản và cơ sở pháp lý, quyền của chủ thể, chuyển dữ liệu ra ngoài EU trái quy định | 20 triệu euro hoặc 4% doanh thu toàn cầu năm trước |
Với công ty Việt Nam không có hiện diện pháp lý ở EU, rủi ro thực tế thường không nằm ở tiền phạt trực tiếp mà ở hợp đồng: vi phạm điều khoản DPA dẫn tới bồi thường, hoặc mất hợp đồng khi khách hàng phát hiện trong đợt đánh giá vendor. Danh sách các quyết định phạt đã công bố có thể tra ở GDPR Enforcement Tracker (do một công ty luật tổng hợp, không phải nguồn chính thức).
GDPR khác luật bảo vệ dữ liệu cá nhân của Việt Nam thế nào?
Từ 01/01/2026, dữ liệu cá nhân tại Việt Nam do Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP điều chỉnh; Nghị định 13/2023/NĐ-CP đã hết hiệu lực cùng ngày. Tuân thủ GDPR không tự động đồng nghĩa với tuân thủ luật Việt Nam: hai hệ thống có cơ quan quản lý khác nhau, và Việt Nam yêu cầu nộp hồ sơ đánh giá tác động cho Bộ Công an trong 60 ngày rồi cập nhật 6 tháng một lần, điều GDPR không có. Phần inventory, mục đích, quy trình xử lý yêu cầu và hợp đồng nhà cung cấp làm cho GDPR dùng lại được. Xem checklist Luật Bảo vệ dữ liệu cá nhân cho SaaS và ITO.
Công ty Việt Nam nên bắt đầu từ đâu?
- Xác định phạm vi: liệt kê hệ thống, sản phẩm và dự án xử lý dữ liệu cá nhân của người ở EU, gồm cả dự án outsourcing đang chạy.
- Xác định vai trò: với mỗi hệ thống, ai quyết định dữ liệu dùng để làm gì? Nếu là bạn, bạn là controller; nếu là khách hàng EU, bạn là processor.
- Rà soát hợp đồng: với vai trò processor, kiểm tra từng khách hàng EU đã có DPA chưa; DPA có thể bổ sung dưới dạng phụ lục.
- Kiểm tra cơ chế chuyển dữ liệu: SCCs đã ký chưa, đúng module chưa.
- Lập data map: dữ liệu gì, lấy từ đâu, lưu ở đâu (database, backup, bên thứ ba), chia sẻ với ai, giữ bao lâu. Đây là nền cho hồ sơ hoạt động xử lý theo Điều 30, thứ cơ quan giám sát có thể yêu cầu xem, và cho mọi yêu cầu truy cập, xóa dữ liệu.
- Biện pháp bảo mật và DPIA: Điều 32 yêu cầu biện pháp kỹ thuật và tổ chức phù hợp với rủi ro, như mã hóa, kiểm soát truy cập, khả năng khôi phục dữ liệu kịp thời và kiểm tra định kỳ hiệu quả của các biện pháp; DPIA bắt buộc khi xử lý có khả năng gây rủi ro cao cho quyền và tự do của cá nhân (Điều 35).
- Tài liệu và vận hành: privacy notice, quy trình xử lý yêu cầu của chủ thể dữ liệu và quy trình sự cố, lịch lưu trữ; cập nhật hồ sơ khi có hoạt động xử lý mới và rà DPA với mỗi khách hàng mới. Danh sách vendor và subprocessor cần DPA được lập theo vendor management theo GDPR.
Thứ tự mười bước đầy đủ ở bài quy trình tuân thủ GDPR; thời gian cho từng bước được ước tính ở bài GDPR compliance mất bao lâu.
pTrackly giúp gì khi tuân thủ GDPR?
pTrackly có GDPR như một framework với control, evidence task và policy template được điều chỉnh theo công ty khi onboarding. Module Privacy lưu hồ sơ hoạt động xử lý theo Điều 30 (cơ sở pháp lý theo Điều 6, loại dữ liệu, bên nhận, biện pháp bảo vệ khi chuyển dữ liệu), DPIA có bước phê duyệt, và nhật ký sự cố tính đồng hồ 72 giờ của Điều 33 từ thời điểm phát hiện. Danh sách vendor theo dõi trạng thái DPA và cảnh báo trước khi DPA hết hạn. Việc xác định vai trò, ký DPA, SCCs và trả lời yêu cầu của chủ thể vẫn do doanh nghiệp và luật sư quyết định. Xem tuân thủ GDPR với pTrackly và HIPAA vs GDPR.
Câu hỏi thường gặp
Công ty outsourcing Việt Nam có phải tuân thủ GDPR không?
Có trên thực tế. Khi xử lý dữ liệu cho khách hàng ở EU, khách hàng bắt buộc phải ký DPA theo Điều 28 và cơ chế chuyển dữ liệu như SCCs với bạn, nên các nghĩa vụ bảo mật, subprocessor và báo vi phạm của GDPR trở thành nghĩa vụ hợp đồng của bạn.
Có cần chỉ định đại diện tại EU không?
Công ty ngoài EU thuộc phạm vi Điều 3(2), ví dụ SaaS có người dùng ở EU, thường phải chỉ định đại diện tại EU bằng văn bản theo Điều 27. Ngoại lệ chỉ áp dụng khi xử lý không thường xuyên, rủi ro thấp và không có dữ liệu đặc biệt quy mô lớn.
Thông báo vi phạm dữ liệu theo GDPR trong bao lâu?
Controller phải báo cơ quan giám sát trong 72 giờ kể từ khi biết về vi phạm có rủi ro với cá nhân (Điều 33). Processor phải báo cho controller không chậm trễ quá mức sau khi biết. Quy trình chuẩn bị trước có trong GDPR breach notification.
Việt Nam có được EU công nhận bảo vệ dữ liệu tương xứng không?
Không. Việt Nam không có trong danh sách adequacy decision của Ủy ban châu Âu, nên chuyển dữ liệu EU về Việt Nam cần biện pháp bảo vệ như Standard Contractual Clauses.
Đã tuân thủ GDPR thì có đủ cho Luật 91/2025 của Việt Nam không?
Không đủ. Nhiều tài liệu dùng lại được, nhưng luật Việt Nam yêu cầu nộp hồ sơ đánh giá tác động xử lý và chuyển dữ liệu xuyên biên giới cho Bộ Công an trong 60 ngày theo Nghị định 356 (Điều 18–19) và cập nhật 6 tháng một lần (Điều 20), điều GDPR không có.
