GDPR (General Data Protection Regulation) là quy định bảo vệ dữ liệu cá nhân của Liên minh châu Âu, có hiệu lực từ tháng 5/2018. Điểm quan trọng nhất mà nhiều công ty Việt Nam bỏ qua: GDPR áp dụng cho bất kỳ tổ chức nào xử lý dữ liệu cá nhân của cư dân EU, bất kể tổ chức đặt trụ sở ở đâu.

Không có chứng chỉ GDPR chính thức. Tuân thủ được chứng minh qua hồ sơ tài liệu, quy trình nội bộ và, trong trường hợp bị điều tra, khả năng giải trình với cơ quan bảo vệ dữ liệu (DPA) quốc gia.

GDPR áp dụng cho ai

GDPR áp dụng khi tổ chức rơi vào một trong hai trường hợp:

Establishment principle: Tổ chức có cơ sở hoạt động tại EU, dù hoạt động xử lý dữ liệu diễn ra ở đâu.

Targeting principle: Tổ chức không có trụ sở tại EU nhưng xử lý dữ liệu của cư dân EU trong bối cảnh: cung cấp hàng hóa hoặc dịch vụ cho họ (kể cả miễn phí), hoặc theo dõi hành vi của họ trong phạm vi EU.

Nếu website Việt Nam cho phép người dùng EU đăng ký tài khoản, GDPR áp dụng. Nếu ứng dụng B2B xử lý dữ liệu nhân viên của khách hàng châu Âu, GDPR áp dụng.

Các khái niệm cốt lõi

Controller: Tổ chức quyết định mục đích và cách thức xử lý dữ liệu cá nhân. Thường là bạn, doanh nghiệp nhận dữ liệu từ người dùng.

Processor: Tổ chức xử lý dữ liệu thay mặt Controller theo hướng dẫn của Controller. Thường là nhà cung cấp dịch vụ (cloud, email marketing, analytics).

Data Subject: Cá nhân có dữ liệu được xử lý, người dùng, khách hàng, nhân viên.

Personal Data: Bất kỳ thông tin nào liên quan đến một cá nhân có thể nhận dạng trực tiếp hoặc gián tiếp, tên, email, địa chỉ IP, cookie ID đều là personal data.

Quy trình tuân thủ GDPR

Bước 1: Data mapping

Lập bản đồ toàn bộ dòng dữ liệu cá nhân trong tổ chức:

  • Thu thập dữ liệu nào, từ ai, qua kênh nào
  • Lưu trữ ở đâu và trong bao lâu
  • Ai có quyền truy cập nội bộ
  • Chuyển cho bên thứ ba nào (processors, subprocessors)
  • Có chuyển ra ngoài EEA không

Data mapping là nền tảng cho tất cả bước còn lại. Không thể xây dựng cơ sở pháp lý, RoPA hay DPIA mà không biết mình đang xử lý dữ liệu nào.

Bước 2: Xác định cơ sở pháp lý cho từng hoạt động xử lý

GDPR yêu cầu mọi hoạt động xử lý dữ liệu cá nhân đều phải có cơ sở pháp lý hợp lệ. Có 6 cơ sở được liệt kê trong Điều 6:

  • Consent (sự đồng ý): Người dùng đồng ý rõ ràng, tự nguyện, cụ thể và có thể rút lại. Không được pre-ticked checkbox.
  • Contract (thực hiện hợp đồng): Xử lý cần thiết để thực hiện hợp đồng với data subject.
  • Legal obligation (nghĩa vụ pháp lý): Xử lý bắt buộc theo luật áp dụng.
  • Vital interests (lợi ích sống còn): Bảo vệ tính mạng của data subject hoặc người khác.
  • Public task (nhiệm vụ công): Thực hiện nhiệm vụ vì lợi ích công cộng.
  • Legitimate interests (lợi ích hợp pháp): Lợi ích của Controller hoặc bên thứ ba, trừ khi bị lợi ích của data subject lấn át.

Với dịch vụ B2B, "contract" và "legitimate interests" thường là cơ sở phổ biến nhất. Với marketing, consent thường được yêu cầu.

Bước 3: Xây dựng Records of Processing Activities (RoPA)

RoPA là tài liệu bắt buộc theo Điều 30 GDPR, mô tả tất cả hoạt động xử lý dữ liệu. Bắt buộc với tổ chức trên 250 nhân sự hoặc xử lý dữ liệu nhạy cảm, thực hiện thường xuyên.

Với vai trò Controller, RoPA ghi nhận:

  • Mục đích xử lý
  • Danh mục data subjects và dữ liệu được xử lý
  • Người nhận dữ liệu (nội bộ và bên ngoài)
  • Thời hạn lưu giữ
  • Biện pháp bảo mật kỹ thuật và tổ chức

Bước 4: Ký Data Processing Agreements (DPA) với Processors

Mọi Processor xử lý dữ liệu EU thay mặt Controller đều phải có DPA, hợp đồng quy định phạm vi xử lý, nghĩa vụ bảo mật, điều kiện sử dụng subprocessor và quy trình hỗ trợ khi data subject thực hiện quyền của họ.

AWS, Google Cloud, Stripe, Mailchimp và hầu hết các nhà cung cấp lớn đều có DPA template sẵn. Với các nhà cung cấp nhỏ hơn, cần thương thảo riêng.

Bước 5: Thực hiện Data Protection Impact Assessment (DPIA) khi cần

DPIA bắt buộc khi hoạt động xử lý có khả năng gây rủi ro cao đến quyền và tự do của cá nhân. Các trường hợp điển hình:

  • Xử lý dữ liệu nhạy cảm quy mô lớn (sức khỏe, chính trị, tôn giáo, tình dục)
  • Theo dõi hệ thống ở khu vực công cộng
  • Profiling tự động có tác động pháp lý đến data subjects
  • Sử dụng công nghệ mới chưa được đánh giá

DPIA mô tả bản chất hoạt động xử lý, đánh giá sự cần thiết và mức độ tương xứng, xác định rủi ro và biện pháp giảm thiểu.

Bước 6: Xây dựng cơ chế thực thi quyền của data subjects

GDPR trao cho data subjects 8 quyền, trong đó phổ biến nhất:

  • Right of access: Nhận bản sao dữ liệu đang được xử lý về mình
  • Right to rectification: Yêu cầu sửa dữ liệu không chính xác
  • Right to erasure (right to be forgotten): Yêu cầu xóa dữ liệu trong một số điều kiện
  • Right to data portability: Nhận dữ liệu dưới định dạng có thể đọc bằng máy
  • Right to object: Phản đối xử lý dựa trên legitimate interests hoặc direct marketing

Tổ chức phải phản hồi trong vòng 1 tháng (có thể gia hạn thêm 2 tháng trong trường hợp phức tạp). Cần có quy trình nội bộ để xử lý các yêu cầu này kịp thời.

Bước 7: Bổ nhiệm Data Protection Officer (DPO) nếu cần

DPO bắt buộc với:

  • Cơ quan nhà nước và tổ chức công
  • Tổ chức theo dõi data subjects một cách hệ thống và quy mô lớn
  • Tổ chức xử lý dữ liệu nhạy cảm quy mô lớn

Với công ty phần mềm B2B quy mô nhỏ đến vừa, DPO thường không bắt buộc theo luật, nhưng bổ nhiệm một người chịu trách nhiệm về GDPR là thực tiễn tốt.

Bước 8: Thiết lập cơ chế chuyển dữ liệu quốc tế

Nếu chuyển dữ liệu cá nhân từ EEA ra ngoài (kể cả sang Việt Nam), cần có cơ sở pháp lý. Phổ biến nhất:

  • Standard Contractual Clauses (SCC): Điều khoản hợp đồng mẫu do EC ban hành, được cập nhật năm 2021
  • Adequacy Decision: Một số quốc gia được EC công nhận là có mức độ bảo vệ tương đương EU (Nhật Bản, Canada, Israel...), Việt Nam chưa có

Hầu hết công ty Việt Nam dùng SCC trong hợp đồng với khách hàng EU.

Data subjects phải được thông báo về hoạt động xử lý dữ liệu theo Điều 13 và 14. Privacy Notice cần mô tả: ai là Controller, mục đích và cơ sở pháp lý xử lý, thời hạn lưu giữ, quyền của data subject và cách thực hiện.

Cookie Policy và cơ chế xin consent hợp lệ (không phải chỉ là thông báo) là yêu cầu bổ sung từ ePrivacy Directive.

Thời gian và chi phí thực tế

Lịch trình điển hình:

  • Data mapping và gap assessment: 4-8 tuần
  • Xây dựng chính sách, quy trình và tài liệu: 2-4 tháng
  • Ký DPA với toàn bộ processors: 1-2 tháng (phụ thuộc vào số lượng vendor)
  • Tổng cộng: 4-12 tháng tùy quy mô và mức độ phức tạp

Chi phí:

  • Không có phí cấp chứng chỉ chính thức
  • Tư vấn GDPR: 5.000-30.000 USD (tùy quy mô và scope)
  • Công cụ quản lý consent và data mapping: biến động theo giải pháp
  • Phạt tối đa: 20 triệu EUR hoặc 4% doanh thu toàn cầu (lấy mức cao hơn)

Những điểm thường bị bỏ qua

Subprocessors cũng phải được kiểm soát. Khi dùng bất kỳ dịch vụ bên thứ ba nào xử lý dữ liệu EU (analytics, logging, email), tổ chức phải thông báo cho Controller về các subprocessor và lấy chấp thuận trước hoặc thông qua hợp đồng.

Consent không phải lúc nào cũng cần thiết. Nhiều công ty mặc định dùng consent cho mọi hoạt động xử lý, dẫn đến consent fatigue và rủi ro pháp lý khi consent bị rút lại. Đánh giá cơ sở pháp lý phù hợp cho từng hoạt động cụ thể.

Breach notification có deadline ngắn. GDPR yêu cầu thông báo DPA trong vòng 72 giờ sau khi phát hiện vi phạm (nếu có rủi ro đến data subjects). Đây là khoảng thời gian rất ngắn, cần có quy trình sẵn sàng trước, không phải đợi đến khi sự cố xảy ra.

Câu hỏi thường gặp

Nếu công ty Việt Nam không có khách hàng EU thì GDPR không áp dụng?

Đúng về nguyên tắc. Nhưng cần kiểm tra: có nhân viên ở EU không? Có nhà đầu tư EU nào mà bạn xử lý dữ liệu của họ không? Có dùng dịch vụ của Processor EU có thể dẫn đến dữ liệu của bạn được xử lý trong EEA không?

GDPR và Nghị định 13/2023/NĐ-CP (bảo vệ dữ liệu cá nhân Việt Nam) có giống nhau không?

Tương đồng về triết lý nhưng khác về chi tiết. Cả hai đều yêu cầu cơ sở pháp lý xử lý, quyền của chủ thể dữ liệu và nghĩa vụ thông báo vi phạm. Doanh nghiệp tuân thủ GDPR tốt thường dễ đáp ứng Nghị định 13 hơn, nhưng vẫn cần rà soát riêng.

Chứng chỉ ISO 27701 có liên quan đến GDPR không?

ISO 27701 là tiêu chuẩn mở rộng của ISO 27001, tập trung vào quản lý thông tin riêng tư (Privacy Information Management System). Có ISO 27701 không đồng nghĩa tuân thủ GDPR, nhưng framework này cung cấp cấu trúc tốt để xây dựng chương trình privacy hỗ trợ tuân thủ GDPR.

Thẻ:
quy trình tuân thủ GDPRGDPR Việt Namdata mapping GDPRDPIA đánh giá tác độngquyền chủ thể dữ liệuGDPR doanh nghiệp phần mềm
← Quay lại Blog