Tìm hiểu về bảo vệ dữ liệu theo quy định GDPR

Trong bối cảnh dữ liệu cá nhân trở thành “tài sản số” quan trọng bậc nhất của doanh nghiệp, Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (quy định GDPR) được xem như tiêu chuẩn vàng trong việc thiết lập các nguyên tắc bảo mật và quyền riêng tư.

I. Thực trạng liên quan đến quy định GDPR

Quy định Bảo vệ Dữ liệu Chung (GDPR) là luật của Châu Âu thiết lập các biện pháp bảo vệ quyền riêng tư và bảo mật dữ liệu cá nhân của các cá nhân hoạt động tại Khu vực Kinh tế Châu Âu (“EEA”) và một số tổ chức ngoài EEA xử lý dữ liệu cá nhân của các cá nhân trong EEA.

Kể từ khi chính thức có hiệu lực vào năm 2018, Quy định chung về bảo vệ dữ liệu của EU (GDPR) đã tạo ra một khuôn khổ pháp lý chặt chẽ và có sức ảnh hưởng lớn nhất thế giới trong lĩnh vực bảo vệ dữ liệu cá nhân. Trên thực tế, việc áp dụng GDPR cho thấy một số điểm nổi bật sau:

• Mức độ tuân thủ của doanh nghiệp còn chưa đồng đều: Nhiều doanh nghiệp, đặc biệt là các tập đoàn lớn trong lĩnh vực công nghệ, tài chính, thương mại điện tử… đã xây dựng hệ thống quản lý dữ liệu bài bản để đáp ứng GDPR. Tuy nhiên, phần lớn doanh nghiệp vừa và nhỏ vẫn gặp khó khăn trong việc: Xác định rõ phạm vi dữ liệu cá nhân mà họ thu thập và xử lý; Triển khai các biện pháp kỹ thuật phù hợp như mã hóa, ẩn danh hóa dữ liệu; Chuẩn hóa quy trình xin đồng ý (consent) theo đúng yêu cầu của GDPR. Điều này dẫn đến nhiều trường hợp vi phạm bị phát hiện thông qua kiểm tra hoặc khi xảy ra sự cố rò rỉ dữ liệu.
• Số lượng vụ vi phạm và mức phạt ngày càng tăng: Theo thống kê từ các cơ quan giám sát của EU, số lượng vụ vi phạm GDPR được báo cáo tăng đều qua các năm. Nguyên nhân chủ yếu gồm: Thu thập dữ liệu không minh bạch hoặc vượt quá mục đích đã thông báo; Không đảm bảo quyền truy cập, chỉnh sửa hoặc xóa dữ liệu của người dùng;Không thông báo kịp thời cho cơ quan chức năng khi xảy ra sự cố rò rỉ dữ liệu.

• Gia tăng các vụ kiện tụng và khiếu nại của cá nhân: GDPR tăng cường quyền của chủ thể dữ liệu, cho phép cá nhân: Yêu cầu doanh nghiệp cung cấp đầy đủ thông tin về dữ liệu họ đang nắm giữ; Đề nghị xóa dữ liệu (“quyền được lãng quên”); Khiếu nại khi bị thu thập hoặc sử dụng dữ liệu trái phép. Điều này dẫn đến sự gia tăng mạnh mẽ các vụ kiện tụng liên quan đến quyền riêng tư, đặc biệt tại các quốc gia như Đức, Pháp, Tây Ban Nha.
• Tác động lan tỏa đến nhiều quốc gia ngoài EU: Dù là quy định của EU, nhưng GDPR có phạm vi ảnh hưởng toàn cầu nhờ nguyên tắc áp dụng theo lãnh thổ mở rộng (extraterritorial effect). Nhiều quốc gia đã xây dựng luật mới tương tự GDPR (như Brazil, Nhật Bản, Hàn Quốc); sửa đổi luật để tương thích, giúp doanh nghiệp thuận lợi khi hoạt động tại thị trường EU. Tại Việt Nam, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và Luật Bảo vệ dữ liệu cá nhân năm 2025 cũng chịu ảnh hưởng đáng kể từ mô hình GDPR.
• Các thách thức mới trong bối cảnh công nghệ phát triển nhanh: Sự bùng nổ của AI, Big Data, IoT, điện toán đám mây… tạo ra nhiều tình huống pháp lý mới mà GDPR chưa hoàn toàn bao quát, ví dụ: Xử lý dữ liệu tự động bằng thuật toán phức tạp; Quy trình ra quyết định tự động ảnh hưởng đến quyền lợi người dùng; Thu thập dữ liệu xuyên biên giới qua nền tảng số.

Từ những thực trạng trên có thể thấy rằng, mặc dù GDPR đã tạo dựng một khuôn khổ pháp lý tiên tiến và có tính răn đe cao, nhưng việc tuân thủ trong thực tiễn vẫn còn nhiều khó khăn và thách thức, đòi hỏi doanh nghiệp lẫn cơ quan quản lý tiếp tục hoàn thiện cơ chế thực thi để bảo đảm quyền dữ liệu cá nhân được bảo vệ một cách toàn diện và hiệu quả hơn.

II. Khái niệm về quy định GDPR

Để hiểu rõ những vấn đề phát sinh trong quá trình thực thi và tác động của GDPR đối với doanh nghiệp, trước hết cần nắm vững những khái niệm cơ bản liên quan đến quy định này. Các khái niệm nền tảng dưới đây giúp định hình cách thức GDPR vận hành và phạm vi điều chỉnh của nó trong thực tiễn.

1. Quy định GDPR là gì?

Quy định GDPR (General Data Protection Regulation) là quy định chung về bảo vệ dữ liệu do Liên minh châu Âu (EU) ban hành, có hiệu lực từ ngày 25/5/2018. Đây là văn bản pháp lý đặt ra khung tiêu chuẩn thống nhất về việc thu thập, lưu trữ, xử lý và bảo vệ dữ liệu cá nhân của cá nhân tại EU. 

GDPR được đánh giá là một trong những quy định nghiêm ngặt nhất thế giới về quyền riêng tư và bảo mật dữ liệu, áp dụng trực tiếp tại tất cả các quốc gia thành viên EU và ảnh hưởng mạnh mẽ đến mọi tổ chức xử lý dữ liệu của công dân EU trên toàn cầu.

2. GDPR áp dụng cho những đối tượng nào?

Theo Điều 2 GDPR, quy định này áp dụng cho việc xử lý dữ liệu cá nhân toàn bộ hoặc một phần bằng các phương tiện tự động và cho việc xử lý dữ liệu cá nhân không phải bằng các phương tiện tự động mà là một phần của hệ thống lưu trữ hoặc nhằm mục đích là một phần của hệ thống lưu trữ.

Quy định này không áp dụng cho việc xử lý dữ liệu cá nhân:

• Trong quá trình hoạt động nằm ngoài phạm vi luật Liên minh;
• Bởi các Quốc gia thành viên khi thực hiện các hoạt động nằm trong phạm vi của Chương 2 của Tiêu đề V của TEU ;
• Bởi một cá nhân trong quá trình thực hiện hoạt động hoàn toàn cá nhân hoặc gia đình;
• Bởi các cơ quan có thẩm quyền nhằm mục đích phòng ngừa, điều tra, phát hiện hoặc truy tố tội phạm hoặc thi hành hình phạt hình sự, bao gồm cả việc bảo vệ và ngăn ngừa các mối đe dọa đối với an ninh công cộng.

Về phạm vi lãnh thổ, Điều 3 GDPR quy định áp dụng cho việc xử lý dữ liệu cá nhân trong bối cảnh hoạt động của cơ sở kiểm soát hoặc bộ xử lý tại Liên minh, bất kể việc xử lý có diễn ra tại Liên minh hay không. Quy định này áp dụng cho việc xử lý dữ liệu cá nhân của chủ thể dữ liệu ở Liên minh bởi bộ điều khiển hoặc bộ xử lý không có trụ sở tại Liên minh, trong đó các hoạt động xử lý liên quan đến: 

• Việc cung cấp hàng hóa hoặc dịch vụ, bất kể có yêu cầu chủ thể dữ liệu phải thanh toán hay không, cho các chủ thể dữ liệu đó trong Liên minh; hoặc
• Việc giám sát hành vi của họ trong phạm vi hành vi của họ diễn ra trong Liên minh.

Quy định này áp dụng cho việc xử lý dữ liệu cá nhân của bên kiểm soát không có trụ sở tại Liên minh, nhưng tại nơi luật của quốc gia thành viên được áp dụng theo công pháp quốc tế.

3. Mục đích chính của GDPR là gì?

GDPR được thiết kế với ba mục tiêu cốt lõi:

• Bảo vệ quyền riêng tư của cá nhân bằng cách đảm bảo dữ liệu của họ được thu thập và xử lý một cách minh bạch, hợp pháp và an toàn.
• Trao quyền kiểm soát cho chủ thể dữ liệu thông qua các quyền như quyền được biết, quyền truy cập, quyền xóa dữ liệu, quyền phản đối…
• Thiết lập tiêu chuẩn chung về bảo vệ dữ liệu trong EU, tạo môi trường pháp lý nhất quán giúp doanh nghiệp dễ dàng tuân thủ, đồng thời nâng cao trách nhiệm xử lý dữ liệu trong kỷ nguyên số.

Có thể thấy, GDPR không chỉ đặt ra các nguyên tắc bảo vệ dữ liệu cá nhân mà còn hướng tới việc xây dựng một môi trường số an toàn, minh bạch và lấy người dùng làm trung tâm, qua đó nâng cao chuẩn mực bảo mật dữ liệu trên phạm vi toàn cầu.

III. Quy định của pháp luật liên quan đến quy định GDPR

Để đảm bảo dữ liệu cá nhân được xử lý một cách an toàn và tuân thủ pháp luật, GDPR đặt ra một hệ thống quy định toàn diện và chặt chẽ. Những quy định này không chỉ ràng buộc doanh nghiệp trong EU mà còn áp dụng đối với mọi tổ chức trên thế giới có hoạt động xử lý dữ liệu liên quan đến cá nhân tại EU. Các nội dung quan trọng dưới đây phản ánh cách GDPR định hình chuẩn mực bảo vệ dữ liệu hiện đại.

1. Muốn thu thập dữ liệu cá nhân theo GDPR thì phải đáp ứng điều kiện gì?

Theo Điều 6 GDPR, việc thu thập và xử lý dữ liệu cá nhân chỉ hợp pháp khi có căn cứ pháp lý phù hợp. Việc xử lý chỉ hợp pháp nếu và trong phạm vi ít nhất một trong những điều sau đây được áp dụng:

• Chủ thể dữ liệu đã đồng ý cho phép xử lý dữ liệu cá nhân của mình cho một hoặc nhiều mục đích cụ thể;
• Việc xử lý là cần thiết để thực hiện hợp đồng mà chủ thể dữ liệu là một bên hoặc để thực hiện các bước theo yêu cầu của chủ thể dữ liệu trước khi ký kết hợp đồng;
• Việc xử lý là cần thiết để tuân thủ nghĩa vụ pháp lý mà bộ điều khiển phải tuân thủ;
• Việc xử lý là cần thiết để bảo vệ lợi ích sống còn của chủ thể dữ liệu hoặc của một cá nhân khác;
• Việc xử lý là cần thiết để thực hiện một nhiệm vụ được tiến hành vì lợi ích công cộng hoặc trong quá trình thực hiện quyền hạn chính thức được trao cho người kiểm soát;
• Việc xử lý là cần thiết cho mục đích theo đuổi lợi ích hợp pháp của bên kiểm soát hoặc bên thứ ba, trừ trường hợp lợi ích đó bị lấn át bởi lợi ích hoặc quyền cơ bản và quyền tự do của chủ thể dữ liệu yêu cầu bảo vệ dữ liệu cá nhân, đặc biệt khi chủ thể dữ liệu là trẻ em.

Như vậy, không được tự ý thu thập dữ liệu mà phải chứng minh được căn cứ xử lý phù hợp và minh bạch với người dùng.

2. GDPR quy định như thế nào về việc lưu trữ dữ liệu cá nhân?

Theo Điều 5(1)(e) GDPR, việc lưu trữ dữ liệu phải tuân thủ nguyên tắc sau:

• Được lưu giữ dưới dạng cho phép nhận dạng chủ thể dữ liệu trong thời gian không dài hơn mức cần thiết cho mục đích xử lý dữ liệu cá nhân; 
• Dữ liệu cá nhân có thể được lưu trữ trong thời gian dài hơn miễn là dữ liệu cá nhân sẽ chỉ được xử lý cho mục đích lưu trữ vì lợi ích công cộng, mục đích nghiên cứu khoa học hoặc lịch sử hoặc mục đích thống kê theo Điều 89( 1) tùy thuộc vào việc thực hiện các biện pháp kỹ thuật và tổ chức phù hợp theo yêu cầu của Quy định này để bảo vệ các quyền và tự do của chủ thể dữ liệu ('giới hạn lưu trữ');

Ngoài ra, Điều 32 GDPR yêu cầu doanh nghiệp áp dụng biện pháp bảo mật khi lưu trữ như mã hóa, kiểm soát truy cập, phân quyền… để giảm thiểu rủi ro rò rỉ dữ liệu.

Quy định này đảm bảo dữ liệu không bị lưu trữ tràn lan, kéo dài hoặc sử dụng cho mục đích khác ngoài phạm vi ban đầu.

3. Việc chuyển dữ liệu cá nhân ra ngoài EU theo GDPR phải tuân thủ cơ chế nào?

Chuyển dữ liệu cá nhân ra khỏi EU là hoạt động rủi ro cao và được quản lý nghiêm ngặt tại Chương V GDPR (Điều 44–50). Việc chuyển dữ liệu chỉ hợp pháp khi đáp ứng một trong các cơ chế sau:

• Quyết định công nhận mức độ bảo vệ đầy đủ (Adequacy Decision) – Điều 45: EU công nhận quốc gia, vùng lãnh thổ có tiêu chuẩn bảo vệ dữ liệu tương đương (ví dụ: Nhật Bản, Hàn Quốc…).
• Biện pháp bảo vệ thích hợp (Appropriate Safeguards) – Điều 46, gồm: Hợp đồng mẫu của EU (Standard Contractual Clauses – SCCs); Quy tắc nội bộ ràng buộc (Binding Corporate Rules – BCRs); Cam kết giữa cơ quan công quyền.
• Ngoại lệ đặc biệt – Điều 49, áp dụng khi cá nhân đồng ý rõ ràng, khi cần thực hiện hợp đồng hoặc vì lợi ích công quan trọng.

Như vậy, việc chuyển dữ liệu ra ngoài EU không thể thực hiện tùy tiện mà phải có cơ chế bảo đảm quyền riêng tư tương đương với EU.

4. Các quyền của chủ thể dữ liệu theo GDPR gồm những nhóm quyền nào?

GDPR trao cho cá nhân một hệ thống quyền mạnh mẽ, được quy định chủ yếu tại Chương III (Điều 12–23). Các nhóm quyền chính gồm:

• Quyền được thông tin và quyền truy cập (Điều 13–15): cá nhân có quyền biết dữ liệu gì đang được thu thập, mục đích ra sao và có thể yêu cầu doanh nghiệp cung cấp bản sao dữ liệu.
• Quyền chỉnh sửa và xóa dữ liệu (Điều 16–17): bao gồm “quyền được lãng quên”.
• Quyền hạn chế xử lý và quyền phản đối (Điều 18–21): cá nhân có thể yêu cầu tạm dừng xử lý hoặc phản đối việc xử lý vì mục đích tiếp thị, phân tích hành vi…
• Quyền di chuyển dữ liệu (Data Portability) – Điều 20: cá nhân có thể yêu cầu chuyển dữ liệu sang hệ thống của tổ chức khác.
• Quyền không bị quyết định tự động ảnh hưởng đáng kể (Điều 22): ngăn việc cá nhân bị đánh giá hoàn toàn bằng thuật toán (ví dụ: từ chối khoản vay chỉ dựa trên AI).

Các quyền này tạo nên nền tảng để cá nhân kiểm soát thông tin của mình trong môi trường số.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến quy định GDPR

Trong quá trình tuân thủ GDPR, doanh nghiệp và cá nhân thường đặt ra nhiều câu hỏi liên quan đến quyền, nghĩa vụ và phạm vi áp dụng của quy định này. Dưới đây là những vướng mắc phổ biến và giải đáp tương ứng giúp làm rõ cách GDPR vận hành trong thực tiễn.

1. Người dùng có thể rút lại sự đồng ý xử lý dữ liệu theo GDPR bất cứ lúc nào hay không?

Có. Theo Điều 7(3) GDPR, chủ thể dữ liệu có quyền rút lại sự đồng ý bất cứ lúc nào. Việc rút lại sự đồng ý sẽ không ảnh hưởng đến tính hợp pháp của việc xử lý dựa trên sự đồng ý trước khi rút lại. Trước khi đồng ý, chủ thể dữ liệu sẽ được thông báo về việc này. Việc rút lại sự đồng ý phải dễ dàng như việc đồng ý.

2. Doanh nghiệp không đặt trụ sở tại EU nhưng có khách hàng tại EU có phải tuân thủ GDPR không?

Có. GDPR áp dụng theo nguyên tắc hiệu lực ngoài lãnh thổ, được quy định tại Điều 3 GDPR.

Điều này có nghĩa là doanh nghiệp không đặt trụ sở tại EU, nhưng: cung cấp hàng hóa, dịch vụ cho cá nhân tại EU, hoặc theo dõi hành vi của cá nhân trong EU thì vẫn phải tuân thủ đầy đủ GDPR. Đây là lý do nhiều doanh nghiệp tại Việt Nam cung cấp dịch vụ xuyên biên giới cũng chịu sự điều chỉnh của quy định này.

3. GDPR có áp dụng cho dữ liệu được xử lý cho mục đích nghiên cứu khoa học hay không?

GDPR có áp dụng cho dữ liệu được xử lý cho mục đích nghiên cứu khoa học, nhưng được áp dụng linh hoạt hơn.

Theo Điều 89 GDPR, dữ liệu xử lý vì mục đích nghiên cứu khoa học, thống kê hoặc lưu trữ vì lợi ích công có thể được hưởng các ngoại lệ nhất định, chẳng hạn:

• Hạn chế quyền xóa dữ liệu của cá nhân;
• Cho phép lưu trữ lâu hơn để phục vụ nghiên cứu;
• Sử dụng dữ liệu được mã hóa hoặc ẩn danh hóa.

Tuy vậy, tổ chức vẫn phải đảm bảo các biện pháp bảo vệ phù hợp để tránh lạm dụng.

4. Doanh nghiệp dùng phần mềm của bên thứ ba để xử lý dữ liệu có vi phạm GDPR không?

Việc sử dụng phần mềm hoặc dịch vụ xử lý dữ liệu của bên thứ ba không phải là vi phạm, nhưng doanh nghiệp phải tuân thủ quy định tại:

• Điều 28 GDPR về hợp đồng giữa Data Controller và Data Processor.
• Đảm bảo bên thứ ba áp dụng biện pháp bảo mật phù hợp và chỉ xử lý theo chỉ dẫn của doanh nghiệp.

Nếu doanh nghiệp không kiểm soát được cách bên thứ ba xử lý dữ liệu, hoặc chọn nhà cung cấp không đạt chuẩn bảo mật, thì doanh nghiệp vẫn phải chịu trách nhiệm pháp lý trước GDPR.

5. GDPR quy định thời hạn báo cáo vi phạm dữ liệu cá nhân là bao lâu?

Theo Điều 33 GDPR, bên kiểm soát phải thông báo ngay lập tức và, nếu có thể, chậm nhất là 72 giờ sau khi phát hiện vi phạm, cho cơ quan giám sát có thẩm quyền. 

Nếu thông báo muộn, doanh nghiệp phải giải thích lý do. Đối với những vi phạm nghiêm trọng ảnh hưởng đến quyền và tự do của cá nhân, doanh nghiệp còn phải thông báo trực tiếp cho chủ thể dữ liệu (Điều 34 GDPR).

V. Tại sao nên tìm luật sư tư vấn ở NPLaw khi có vấn đề về quy định GDPR

Tuân thủ GDPR đòi hỏi hiểu biết sâu về pháp luật quốc tế, công nghệ và quản trị dữ liệu. NPLaw là lựa chọn tin cậy vì:

• Chuyên môn vững chắc trong lĩnh vực bảo vệ dữ liệu, am hiểu cả GDPR và pháp luật Việt Nam.
• Giải pháp thực tiễn, phù hợp với quy trình hoạt động của doanh nghiệp thay vì chỉ nêu lý thuyết.
•  Giảm thiểu rủi ro pháp lý, giúp doanh nghiệp tránh mức phạt rất cao của GDPR và bảo vệ uy tín thương hiệu.
• Hỗ trợ toàn diện, từ soạn thảo hợp đồng, rà soát chính sách bảo mật đến xử lý vi phạm và đào tạo nhân sự.

Sự đồng hành của NP Law giúp doanh nghiệp xây dựng hệ thống tuân thủ an toàn, hiệu quả và phù hợp chuẩn mực quốc tế.

Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.