Từ ngày 25/5/2018, Quy định bảo vệ dữ liệu chung của Liên minh châu Âu (GDPR, Regulation (EU) 2016/679) chính thức được áp dụng. Quy định này không chỉ dành cho công ty đặt tại châu Âu: một số tổ chức ở nước ngoài, trong đó có doanh nghiệp Việt, cũng có thể thuộc phạm vi áp dụng. Bài viết này điểm lại những việc nên rà soát trên website, mang tính tham khảo và không phải tư vấn pháp lý.
Doanh nghiệp Việt có thuộc phạm vi GDPR không?
Điều 3 của GDPR nêu hai căn cứ chính. Thứ nhất là tổ chức có cơ sở tại EU. Thứ hai, với tổ chức ngoài EU, là khi việc xử lý dữ liệu liên quan đến việc cung cấp hàng hoá, dịch vụ cho người đang ở EU, hoặc theo dõi hành vi của họ diễn ra tại EU.
Một số dấu hiệu thường được nhắc tới khi đánh giá việc “hướng tới” khách EU:
- Website có ngôn ngữ hoặc đơn vị tiền tệ của các nước EU.
- Có giao hàng, đặt tour, đặt phòng cho khách ở EU.
- Chạy quảng cáo nhắm vào người dùng ở các nước EU.
- Dùng công cụ theo dõi hành vi (cookie, pixel) với người truy cập từ EU.
Chỉ cần website truy cập được từ châu Âu thì chưa chắc đã thuộc phạm vi. Việc đánh giá cụ thể cần dựa vào văn bản chính thức và ý kiến của chuyên gia pháp lý.
Những điểm nên rà soát trên website
1. Dữ liệu cá nhân bạn đang thu thập. Liệt kê các nơi thu thập: biểu mẫu liên hệ, đăng ký bản tin, đặt hàng, bình luận, đăng ký tài khoản, công cụ thống kê. Với mỗi loại, ghi rõ thu để làm gì, lưu ở đâu, giữ bao lâu.
2. Thông báo quyền riêng tư (privacy policy). Cần viết rõ ràng, dễ hiểu: ai là bên kiểm soát dữ liệu, thu những gì, mục đích, chia sẻ với bên nào (ví dụ dịch vụ email, thanh toán, quảng cáo), quyền của người dùng và cách liên hệ.
3. Sự đồng ý. Khi dựa vào sự đồng ý, GDPR yêu cầu sự đồng ý phải tự nguyện, cụ thể và rõ ràng. Hộp chọn đã tích sẵn không phù hợp tinh thần này. Biểu mẫu nên tách riêng ô đồng ý nhận email tiếp thị khỏi việc gửi yêu cầu liên hệ.
4. Cookie và công cụ theo dõi. Rà soát cookie của chính website, plugin, Google Analytics, pixel quảng cáo, nút mạng xã hội nhúng. Nhiều site hiển thị biểu ngữ cookie cho phép người dùng chấp nhận hoặc từ chối trước khi các công cụ không thiết yếu chạy.
5. Quyền của người dùng. Người dùng có các quyền như truy cập, chỉnh sửa, xoá, hạn chế xử lý hoặc phản đối. Doanh nghiệp nên có quy trình tiếp nhận yêu cầu, ví dụ một địa chỉ email riêng và người phụ trách.
6. An toàn thông tin. Dùng HTTPS, cập nhật WordPress, plugin và PHP, đặt mật khẩu mạnh, phân quyền quản trị, sao lưu định kỳ. GDPR còn có quy định về thông báo vi phạm dữ liệu cho cơ quan chức năng trong vòng 72 giờ trong những trường hợp nhất định.
7. Bên thứ ba. Dịch vụ email marketing, hosting, thanh toán, CRM cũng xử lý dữ liệu. Nên xem điều khoản xử lý dữ liệu của họ.
Mức phạt và sự chuẩn bị hợp lý
GDPR quy định mức phạt hành chính có thể lên tới 20 triệu euro hoặc 4% doanh thu toàn cầu, tuỳ mức nào cao hơn, cho các vi phạm nghiêm trọng nhất. Con số này chủ yếu áp dụng cho trường hợp vi phạm nặng; doanh nghiệp nhỏ không cần hoảng sợ nhưng nên làm từng bước: lập danh sách dữ liệu, cập nhật chính sách, bổ sung đồng ý, rà soát cookie và nâng cấp bảo mật.
Một số tổ chức ngoài EU còn phải cân nhắc việc chỉ định đại diện tại EU theo Điều 27, trừ một số trường hợp ngoại lệ. Nội dung này nên được kiểm tra với luật sư hoặc cơ quan có thẩm quyền.
Cập nhật 2026: Sau khi bài này đăng, Ủy ban Bảo vệ dữ liệu châu Âu (EDPB) đã ban hành Hướng dẫn 3/2018 về phạm vi lãnh thổ của GDPR, làm rõ cách hiểu “hướng tới” khách EU. Việt Nam cũng đã có quy định riêng về bảo vệ dữ liệu cá nhân; hãy kiểm tra thông tin chính thức mới nhất tại cổng của cơ quan nhà nước.
Câu hỏi thường gặp
Website bán hàng chỉ bằng tiếng Việt có phải tuân thủ GDPR không?
Nếu không có dấu hiệu hướng tới khách EU và không theo dõi hành vi người ở EU thì khả năng thuộc phạm vi thấp hơn, nhưng cần đánh giá từng trường hợp. Hãy kiểm tra với chuyên gia pháp lý.
Chỉ dùng Google Analytics thì có cần banner cookie không?
Việc phân tích hành vi người truy cập từ EU có thể liên quan đến yêu cầu về thông báo và đồng ý. Nên ghi rõ trong chính sách quyền riêng tư và cân nhắc cơ chế đồng ý phù hợp.
Cần bắt đầu từ đâu?
Hãy bắt đầu bằng việc liệt kê dữ liệu thu thập trên website, rồi cập nhật chính sách quyền riêng tư và các biểu mẫu. Nếu cần hỗ trợ kỹ thuật, có thể liên hệ đội Công nghệ của HVSC.
Nguồn tham khảo
- EUR-Lex — Regulation (EU) 2016/679 (GDPR): https://eur-lex.europa.eu/eli/reg/2016/679/oj
- GDPR-info.eu — Article 3 Territorial scope: https://gdpr-info.eu/art-3-gdpr/
- European Commission — Data protection explained: https://commission.europa.eu/law/law-topic/data-protection/data-protection-explained_en
- EDPB — Guidelines 3/2018 on territorial scope: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32018-territorial-scope-gdpr-article-3-version_en
Cần website, app hoặc phần mềm cho doanh nghiệp?
HVSC bán những hệ thống đã chạy thật, bàn giao kèm vận hành và bảo trì.
Câu hỏi thường gặp
Website bán hàng chỉ bằng tiếng Việt có phải tuân thủ GDPR không?
Nếu không có dấu hiệu hướng tới khách EU và không theo dõi hành vi người ở EU thì khả năng thuộc phạm vi thấp hơn, nhưng cần đánh giá từng trường hợp. Hãy kiểm tra với chuyên gia pháp lý.
Chỉ dùng Google Analytics thì có cần banner cookie không?
Việc phân tích hành vi người truy cập từ EU có thể liên quan đến yêu cầu về thông báo và đồng ý. Nên ghi rõ trong chính sách quyền riêng tư và cân nhắc cơ chế đồng ý phù hợp.
Cần bắt đầu từ đâu?
Hãy bắt đầu bằng việc liệt kê dữ liệu thu thập trên website, rồi cập nhật chính sách quyền riêng tư và các biểu mẫu. Nếu cần hỗ trợ kỹ thuật, có thể liên hệ đội Công nghệ của HVSC.
▶
▶