GDPR và doanh nghiệp Việt bán qua EU

Điều 3 GDPR: extraterritorial scope. Doanh nghiệp ngoài EU phải tuân thủ nếu:

Offer goods/services tới EU resident (có phiên bản tiếng EU, ngân tệ EUR, ship đến EU).
Monitor behavior của EU resident (track qua cookies + analytics).

Doanh nghiệp Việt thuần bán nội địa VN: không cần GDPR. Có 1 trang tiếng Anh marketing tới EU: có thể vẫn không cần. Bán sản phẩm cho khách EU: cần.

12 nguyên tắc cốt lõi

Lawful basis cho processing (consent, contract, legal obligation, vital interest, public interest, legitimate interest).
Purpose limitation - collect data cho mục đích cụ thể, không reuse.
Data minimization - chỉ collect cái cần thiết.
Accuracy - keep data updated.
Storage limitation - không lưu mãi mãi, có policy retention.
Integrity + confidentiality - security measures.
Accountability - document compliance.
Right to access: user yêu cầu xem data của mình.
Right to rectification: user sửa data sai.
Right to erasure (right to be forgotten): user yêu cầu xoá data.
Right to portability: user xuất data sang dịch vụ khác.
Right to object: user reject xử lý data cho marketing.

Privacy policy cho EU

Identity + contact của doanh nghiệp.
DPO contact (nếu có).
Mục đích thu thập + legal basis.
Categories of data collected.
Recipients (bên thứ 3 share data).
International transfer (data sang ngoài EU).
Retention period.
Data subject rights + cách exercise.
Right to lodge complaint với supervisory authority.
Source of data nếu không từ user.

EU đòi explicit opt-in cho cookie không-essential (analytics, marketing). Banner consent với 3 option (necessary / preferences / marketing), default deny, granular control.

Breach notification 72h

Phát hiện data breach → notify supervisory authority trong 72 giờ. Nếu risk cao cho user → notify user. Doanh nghiệp Việt cần định appointment representative EU.

Căn cứ xử lý: GDPR có 6 căn cứ, gồm legitimate interest; luật Việt Nam lấy sự đồng ý làm chính, các trường hợp không cần đồng ý liệt kê ở Điều 19, và im lặng không phải là đồng ý (Điều 9).
Breach notification: cả 2 là 72h.
Phạt: GDPR đến 4% doanh thu toàn cầu; luật Việt Nam tối đa 5% doanh thu năm trước với vi phạm chuyển dữ liệu xuyên biên giới, 10 lần khoản thu với mua bán dữ liệu, 3 tỷ đồng với hành vi khác (Điều 8).
DPO: GDPR bắt buộc trong một số trường hợp; luật Việt Nam yêu cầu tổ chức chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ (Điều 33), doanh nghiệp nhỏ, khởi nghiệp được chọn làm hay không trong 5 năm đầu (Điều 38).
Data subject rights: GDPR strict hơn về portability.

Điều 8 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 về mức phạt tiền tối đa: 10 lần khoản thu, 5% doanh thu, 3 tỷ đồng — Điều 8: phạt tối đa 10 lần khoản thu với mua bán dữ liệu cá nhân, 5% doanh thu năm trước với vi phạm chuyển dữ liệu xuyên biên giới, 3 tỷ đồng với hành vi khác; cá nhân chịu một nửa mức của tổ chức. Trích Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Công báo số 971 + 972 ngày 24/7/2025, bản PDF trên congbao.chinhphu.vn, tra ngày 25/09/2026.

Điều 38 và Điều 39 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: hiệu lực từ 01/01/2026, quy định chuyển tiếp cho sự đồng ý và hồ sơ đã lập theo Nghị định 13/2023/NĐ-CP — Điều 38: luật có hiệu lực từ 01/01/2026, doanh nghiệp nhỏ và khởi nghiệp được chọn làm hay không Điều 21, 22 và khoản 2 Điều 33 trong 5 năm. Điều 39: sự đồng ý và hồ sơ đánh giá tác động đã có theo Nghị định 13/2023 tiếp tục dùng được. Trích Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Công báo số 971 + 972 ngày 24/7/2025, bản PDF trên congbao.chinhphu.vn, tra ngày 25/09/2026.

Cost compliance

Privacy policy lawyer review: 15-40tr 1 lần.
Tech upgrade (cookie banner, data export, deletion): 20-60tr.
DPO outsourced (if needed): 80-200tr/năm.
Annual audit: 30-80tr.

Doanh nghiệp Việt bán qua EU cần audit GDPR? Alodev hợp tác với EU legal counsel. /lien-he

GDPR
EU
Bảo mật

Bài viết liên quan

Bảo mật và tuân thủ

Bảo mật và tuân thủ14/10/202610 phút đọc

An ninh mạng là gì: quy định và giải pháp cho doanh nghiệp

An ninh mạng là tập hợp các biện pháp bảo vệ hệ thống máy tính, dữ liệu và mạng nội bộ khỏi các cuộc tấn công, truy cập trái phép. Bài giải thích các mối đe doạ an ninh mạng phổ biến với doanh nghiệp nhỏ, quy định pháp luật liên quan, và các giải pháp cơ bản, chi phí hợp lý để nâng cao an ninh mạng cho doanh nghiệp.

Bảo mật và tuân thủ11/10/20268 phút đọc

Chứng thư số là gì: vai trò trong chữ ký số doanh nghiệp

Chứng thư số là tệp dữ liệu điện tử do tổ chức cung cấp dịch vụ chứng thực cấp, xác nhận một cặp khoá mã hoá gắn với đúng danh tính doanh nghiệp hoặc cá nhân. Bài viết giải thích chứng thư số khác chữ ký số ở đâu và quy trình cấp một chứng thư số mới.

Bảo mật và tuân thủ01/10/202612 phút đọc

Cơ sở dữ liệu cho doanh nghiệp: hệ quản trị CSDL là gì và bảo mật dữ liệu ra sao

Cơ sở dữ liệu là nơi lưu toàn bộ thông tin vận hành của doanh nghiệp, từ đơn hàng tới khách hàng. Bài giải thích hệ quản trị cơ sở dữ liệu làm việc gì, khác gì so với một tệp Excel, những rủi ro bảo mật cơ sở dữ liệu hay gặp theo chuẩn OWASP, và câu nên hỏi trước khi ký hợp đồng phần mềm.