Quy Trình Tuân Thủ GDPR: Hướng Dẫn Từng Bước Cho Doanh Nghiệp

Quy trình tuân thủ GDPR gồm mười bước: xác định phạm vi và vai trò, lập data map, chọn lawful basis, lập RoPA, ký DPA, làm DPIA khi rủi ro cao, xử lý quyền chủ thể, cân nhắc DPO và đại diện EU, có cơ sở chuyển dữ liệu, và viết privacy notice. GDPR không có chứng chỉ chung; tuân thủ được chứng minh bằng hồ sơ và quy trình.

GDPR áp dụng cho doanh nghiệp Việt Nam khi nào?

Theo Điều 3 GDPR, GDPR áp dụng trong hai trường hợp:

• Có cơ sở tại EU (Điều 3(1)): mọi xử lý trong hoạt động của cơ sở đó, dù dữ liệu được xử lý ở đâu.
• Không có cơ sở tại EU nhưng nhắm tới người ở EU (Điều 3(2)): cung cấp hàng hóa, dịch vụ (kể cả miễn phí) cho người đang ở EU, hoặc theo dõi hành vi của họ tại EU.

Website chỉ truy cập được từ EU chưa đủ để thuộc Điều 3(2); cần dấu hiệu nhắm tới thị trường EU như ngôn ngữ, đồng tiền, marketing hay khách hàng EU. Công ty outsourcing xử lý dữ liệu theo chỉ thị của khách hàng EU là processor; nghĩa vụ đến chủ yếu qua DPA và SCCs, xem DPA GDPR cho công ty outsourcing.

Các khái niệm cần nắm trước khi bắt đầu

• Controller: bên quyết định mục đích và cách thức xử lý dữ liệu cá nhân.
• Processor: bên xử lý thay mặt controller, theo chỉ thị của controller.
• Chủ thể dữ liệu (data subject): cá nhân có dữ liệu được xử lý: người dùng, khách hàng, nhân viên.
• Dữ liệu cá nhân: mọi thông tin liên quan đến người xác định được trực tiếp hoặc gián tiếp: tên, email, địa chỉ IP, cookie ID.

Một công ty có thể vừa là controller (dữ liệu nhân viên, khách hàng của chính mình) vừa là processor (dữ liệu khách hàng B2B gửi để xử lý). Mỗi vai trò có nghĩa vụ khác nhau.

Quy trình tuân thủ GDPR gồm những bước nào?

Làm data mapping và chọn lawful basis thế nào?

Data mapping trả lời: dữ liệu nào được thu thập, từ ai, qua kênh nào; lưu ở đâu và bao lâu; ai truy cập; chuyển cho bên thứ ba nào; có rời EEA không. Đây là nền cho mọi bước sau.

Mỗi hoạt động cần một trong sáu lawful basis của Điều 6: đồng ý, thực hiện hợp đồng, nghĩa vụ pháp lý, lợi ích sống còn, nhiệm vụ công, lợi ích hợp pháp. Với dịch vụ B2B, "hợp đồng" và "lợi ích hợp pháp" thường phổ biến nhất; marketing điện tử và cookie không thiết yếu thường cần đồng ý. Dữ liệu đặc biệt cần thêm một điều kiện của Điều 9(2). Xem lawful basis theo GDPR.

RoPA và DPA cần chuẩn bị gì?

RoPA theo Điều 30 ghi mục đích, nhóm chủ thể và dữ liệu, người nhận, chuyển ra nước thứ ba, thời hạn xóa và biện pháp bảo mật cho từng hoạt động. Miễn trừ cho tổ chức dưới 250 nhân viên ở Điều 30(5) chỉ áp dụng khi xử lý vừa thỉnh thoảng, vừa không rủi ro, vừa không có dữ liệu đặc biệt hay dữ liệu tiền án; phần lớn công ty phần mềm không đáp ứng. Xem ROPA là gì.

Mọi processor xử lý dữ liệu thay bạn cần DPA đủ nội dung Điều 28(3), và bạn cần kiểm soát sub-processor của họ. Nhà cung cấp lớn thường có DPA mẫu; nhà cung cấp nhỏ có thể cần thương lượng. Xem vendor management theo GDPR.

Khi nào phải làm DPIA và bổ nhiệm DPO?

Điều 35 yêu cầu DPIA khi xử lý có khả năng gây rủi ro cao, đặc biệt khi: đánh giá có hệ thống và mở rộng dựa trên xử lý tự động, kể cả profiling, dẫn đến quyết định có tác động pháp lý; xử lý dữ liệu đặc biệt quy mô lớn; hoặc giám sát có hệ thống khu vực công cộng quy mô lớn. Cơ quan giám sát từng nước còn công bố danh sách bổ sung. DPIA mô tả việc xử lý, đánh giá tính cần thiết và tương xứng, rủi ro và biện pháp giảm thiểu.

DPO bắt buộc theo Điều 37 khi bạn là cơ quan công quyền, hoặc hoạt động cốt lõi là theo dõi có hệ thống quy mô lớn, hoặc xử lý dữ liệu đặc biệt quy mô lớn. Công ty phần mềm B2B nhỏ và vừa thường không thuộc diện này, nhưng vẫn nên có người chịu trách nhiệm về privacy. Tổ chức ngoài EU thuộc Điều 3(2) còn phải cân nhắc đại diện tại EU theo Điều 27.

Xử lý quyền chủ thể và chuyển dữ liệu quốc tế ra sao?

Chủ thể dữ liệu có quyền được thông tin, truy cập, sửa, xóa, hạn chế xử lý, di chuyển dữ liệu, phản đối và các quyền liên quan đến quyết định tự động (Điều 12–22). Theo Điều 12(3), bạn trả lời trong một tháng, gia hạn thêm hai tháng khi yêu cầu phức tạp hoặc nhiều. Xem quyền của người dùng EU theo GDPR.

Khi dữ liệu được gửi hoặc cho truy cập từ nước ngoài EEA, cần adequacy decision hoặc safeguard theo Điều 46, thường là SCCs. Việt Nam chưa có adequacy decision. Theo EDPB, người dùng EU tự nhập dữ liệu vào ứng dụng của công ty Việt Nam không phải là transfer, nhưng khách hàng EU gửi dữ liệu cho công ty Việt Nam, hoặc cho kỹ sư Việt Nam truy cập từ xa, là transfer. Xem DPA và SCCs.

Privacy notice, cookie và báo vi phạm cần gì?

Privacy notice theo Điều 13–14 nêu bạn là ai, mục đích và lawful basis, người nhận, chuyển dữ liệu, thời hạn lưu và quyền của chủ thể. Cookie không thiết yếu cần đồng ý trước theo Chỉ thị ePrivacy, với chuẩn đồng ý của GDPR.

Khi có vi phạm dữ liệu cá nhân, Điều 33 yêu cầu báo cơ quan giám sát trong 72 giờ kể từ khi biết, trừ khi vi phạm khó gây rủi ro; processor phải báo controller không chậm trễ quá mức. Điều 34 yêu cầu báo người bị ảnh hưởng khi rủi ro cao. Xem GDPR breach notification.

Quy trình tuân thủ GDPR mất bao lâu và tốn gì?

Thời gian phụ thuộc số hoạt động xử lý, số vendor và mức sẵn có của hồ sơ; ước tính theo từng phần nằm ở bài GDPR compliance mất bao lâu. Không có phí cấp chứng chỉ GDPR chính thức; chi phí gồm thời gian nội bộ, tư vấn pháp lý và công cụ. Theo Điều 83, mức phạt tối đa là 20 triệu euro hoặc 4% doanh thu toàn cầu năm trước, tùy mức nào cao hơn, cho nhóm vi phạm nặng nhất.

pTrackly hỗ trợ phần nào?

pTrackly giữ các hồ sơ mà quy trình này tạo ra: RoPA với lawful basis theo Điều 6 và safeguard khi chuyển dữ liệu, DPIA có bước gửi duyệt và kết quả phê duyệt, sổ sự cố với đồng hồ 72 giờ tính từ lúc phát hiện, và vendor register ghi trạng thái DPA kèm nhắc hạn. Bảng hỏi có thể gửi cho chủ quy trình để điền hoạt động xử lý hoặc DPIA. Dữ liệu do đội ngũ của bạn nhập và duyệt; pTrackly không tự quét hệ thống để lập data map, không viết privacy notice và không thay tư vấn pháp lý. Xem trang GDPR và GDPR checklist cho startup.

Câu hỏi thường gặp

Công ty Việt Nam không có khách hàng EU thì GDPR có áp dụng không?

Thường là không. Nhưng hãy kiểm tra: bạn có cơ sở hoặc nhân viên tại EU không, có nhắm tới người dùng EU không, và có xử lý dữ liệu EU thay cho khách hàng nào không. Nếu có, ít nhất một phần GDPR sẽ áp dụng trực tiếp hoặc qua hợp đồng.

GDPR và luật bảo vệ dữ liệu cá nhân Việt Nam có giống nhau không?

Tương đồng về nguyên tắc nhưng khác về chi tiết. Từ 01/01/2026, luật Việt Nam là Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (thay Nghị định 13/2023), có nghĩa vụ nộp hồ sơ đánh giá tác động cho Bộ Công an trong 60 ngày mà GDPR không có. Xem Nghị định 13 và GDPR.

ISO/IEC 27701 có giúp tuân thủ GDPR không?

ISO/IEC 27701 là tiêu chuẩn về hệ thống quản lý thông tin riêng tư (PIMS). Chứng nhận ISO/IEC 27701 không đồng nghĩa với tuân thủ GDPR, nhưng cung cấp cấu trúc quản lý giúp tổ chức vận hành chương trình privacy và chuẩn bị bằng chứng.

Có chứng chỉ GDPR chính thức không?

Không có chứng chỉ chung do EU cấp. Điều 42 cho phép cơ chế chứng nhận được phê duyệt cho từng hoạt động xử lý, nhưng việc có chứng nhận không thay thế trách nhiệm tuân thủ của controller hay processor.