Luật bảo vệ dữ liệu cá nhân của Việt Nam (PDPD): sự ứng phó của doanh nghiệp Nhật Bản

Bảo vệ thông tin cá nhân của Việt Nam trở thành một nghĩa vụ bắt buộc mới của doanh nghiệp Nhật Bản

Đối với doanh nghiệp Nhật Bản kinh doanh tại Việt Nam, việc ứng phó với bảo vệ thông tin cá nhân đã trở thành một bài toán quản trị không thể trì hoãn nữa. Nghị định về bảo vệ dữ liệu cá nhân có hiệu lực năm 2023 (Decree 13/2023/ND-CP, có hiệu lực ngày 1 tháng 7 năm 2023, thường gọi là PDPD) lần đầu tiên đưa vào Việt Nam một khung bảo vệ dữ liệu cá nhân toàn diện, và hơn nữa, việc hoàn thiện Luật Bảo vệ dữ liệu cá nhân (PDPL) nâng tầm khung này lên cấp độ luật đang tiến triển, khiến kỷ luật ngày càng nghiêm ngặt hơn một bậc. Đối tượng là mọi doanh nghiệp xử lý dữ liệu cá nhân của nhân viên, khách hàng, đối tác giao dịch, và sự chậm trễ trong ứng phó trở thành rủi ro cả về xử phạt hành chính lẫn danh tiếng.

Bài viết này hệ thống lại, từ góc nhìn thực tiễn của doanh nghiệp Nhật Bản, bức tranh tổng thể của chế độ bảo vệ dữ liệu cá nhân Việt Nam, việc xử lý hợp pháp và lấy đồng ý, việc xử lý thông tin nhạy cảm, kỷ luật về chuyển dữ liệu xuyên biên giới, và hệ thống cùng việc khai báo mà doanh nghiệp cần hoàn thiện.

Bức tranh tổng thể của chế độ bảo vệ dữ liệu cá nhân Việt Nam

Việc bảo vệ dữ liệu cá nhân của Việt Nam đã được vận hành với Decree 13/2023 làm cốt lõi. Đây là khung lấy cảm hứng từ GDPR của EU, quy định quyền của chủ thể dữ liệu, nghĩa vụ của bên xử lý, kỷ luật về chuyển xuyên biên giới, và chế độ đánh giá tác động và khai báo. Cơ quan chủ quản là Bộ Công an (đặc biệt là bộ phận an ninh mạng), và cũng liên động với Luật An ninh mạng (năm 2018). Những năm gần đây, động thái nâng cấp nghị định này lên thành luật đang tiến triển, theo hướng tăng tính ổn định của kỷ luật và tính thực thi của chế tài.

Phân loại dữ liệu cá nhân

Chế độ chia dữ liệu cá nhân thành "dữ liệu cá nhân cơ bản" và "dữ liệu cá nhân nhạy cảm (sensitive personal data)". Họ tên, thông tin liên hệ v.v. là dữ liệu cơ bản; sức khỏe, sinh trắc học, tư tưởng tín ngưỡng, tài chính, thông tin vị trí v.v. thuộc dữ liệu nhạy cảm, và việc xử lý dữ liệu nhạy cảm bị áp các yêu cầu nghiêm ngặt hơn. Việc kiểm kê xem dữ liệu công ty mình xử lý thuộc loại nào là điểm xuất phát của việc ứng phó.

Xử lý hợp pháp và lấy đồng ý

Cốt lõi của việc ứng phó bảo vệ dữ liệu cá nhân là làm rõ "được xử lý dữ liệu trên căn cứ gì, và đến đâu".

Việc lấy đồng ý và các yêu cầu của nó

Chế độ của Việt Nam coi trọng "sự đồng ý" như căn cứ hợp pháp hóa việc xử lý dữ liệu cá nhân. Sự đồng ý cần được trao một cách minh thị, theo ý chí tự do, trên cơ sở chính chủ thể đã hiểu rõ mục đích, phạm vi, phương thức xử lý. Sự đồng ý bao quát mơ hồ, hay sự đồng ý bị ép buộc trên thực chất như điều kiện sử dụng dịch vụ, có rủi ro bị tranh cãi về hiệu lực. Cần lồng việc lấy, ghi nhận, và ứng phó với việc rút lại đồng ý vào quy trình nghiệp vụ.

Quyền của chủ thể dữ liệu

Chính chủ (chủ thể dữ liệu) được công nhận các quyền yêu cầu truy cập, chỉnh sửa, xóa dữ liệu của mình, hạn chế, phản đối việc xử lý, dừng việc cung cấp dữ liệu v.v. Doanh nghiệp cần hoàn thiện đầu mối và thủ tục để ứng phó với các yêu cầu này trong khoảng thời gian thích hợp. Đặc biệt ở các doanh nghiệp BtoC có điểm tiếp xúc khách hàng, việc xây dựng hệ thống ứng phó với thắc mắc là việc cấp bách.

Thông tin nhạy cảm và đánh giá tác động

Dữ liệu cá nhân nhạy cảm và một số việc xử lý nhất định đòi hỏi các biện pháp bổ sung.

Đánh giá tác động xử lý dữ liệu cá nhân (DPIA)

Doanh nghiệp mang nghĩa vụ lập và lưu giữ "hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA)" đối với việc xử lý dữ liệu cá nhân. Đây là việc văn bản hóa: xử lý dữ liệu loại nào, vì mục đích gì, chuyển, lưu trữ đến đâu, như thế nào, và có rủi ro cùng biện pháp gì. Việc hoàn thiện sao cho có thể xuất trình khi cơ quan chức năng yêu cầu chính là nền tảng của tuân thủ.

Yêu cầu bổ sung đối với dữ liệu nhạy cảm

Khi xử lý dữ liệu nhạy cảm như sức khỏe, sinh trắc học, tài chính, các yêu cầu về thông báo cho chính chủ và lấy đồng ý trở nên nghiêm ngặt hơn, và mức biện pháp quản lý an toàn cũng bị đòi hỏi cao hơn. Doanh nghiệp xử lý nhân sự (thông tin sức khỏe, lương) hoặc các dịch vụ kèm thanh toán, cấp tín dụng cần thiết kế tách bạch việc xử lý dữ liệu nhạy cảm. Khi tiếp nhận cơ sở dữ liệu khách hàng của công ty mục tiêu qua M&A, tính hợp pháp của việc thu thập, sử dụng dữ liệu đó trở thành một điểm tranh luận của thẩm định. Chi tiết xin tham khảo bài "Thẩm định pháp lý của M&A Việt Nam".

Kỷ luật về chuyển dữ liệu xuyên biên giới

Điều có tác động thực tiễn lớn nhất đối với doanh nghiệp Nhật Bản là kỷ luật về việc chuyển dữ liệu cá nhân ra nước ngoài (chuyển xuyên biên giới).

Đánh giá tác động và khai báo việc chuyển xuyên biên giới

Khi chuyển dữ liệu cá nhân từ Việt Nam ra nước ngoài, doanh nghiệp mang nghĩa vụ lập hồ sơ đánh giá tác động về chuyển xuyên biên giới và khai báo với cơ quan chủ quản (bộ phận an ninh mạng của Bộ Công an). Nghiệp vụ thường nhật như gửi dữ liệu nhân viên, khách hàng của cơ sở Việt Nam đến máy chủ của trụ sở chính Nhật Bản hay hệ thống đám mây, nhân sự toàn cầu, chính là thuộc diện chuyển xuyên biên giới này. Doanh nghiệp càng dùng hạ tầng IT chung của tập đoàn thì việc kiểm kê và văn bản hóa việc chuyển càng trở thành bài toán nặng nề.

Sự nhất quán với hệ thống toàn cầu

Nhiều doanh nghiệp Nhật Bản vận hành nhân sự, kế toán, quản lý khách hàng bằng hệ thống tích hợp ở cấp khu vực, toàn cầu. Nếu để mặc cấu trúc mà dữ liệu cá nhân của Việt Nam chảy vào những hệ thống này, có thể rơi vào trạng thái vi phạm là chuyển xuyên biên giới không khai báo. Việc trực quan hóa dòng chảy dữ liệu (data flow), và hoàn thiện căn cứ chuyển, đánh giá tác động, khai báo, là chìa khóa để dung hòa giữa vận hành toàn cầu và pháp luật tại chỗ.

Hệ thống và việc khai báo mà doanh nghiệp cần hoàn thiện

Bản chất của việc ứng phó chế độ không chỉ là lập văn bản, mà là tạo ra một hệ thống có thể vận hành liên tục.

Hệ thống nội bộ, quy chế và đào tạo

Hãy hoàn thiện thành quy chế nội bộ: chính sách bảo vệ dữ liệu cá nhân, quy tắc thu thập, sử dụng, lưu trữ, xóa, quản lý đồng ý, đầu mối ứng phó chủ thể dữ liệu, và quy trình ứng phó sự cố. Đồng thời, qua đào tạo nhân viên, đảm bảo việc vận hành tại hiện trường. Những thứ này nên được thiết kế như một phần của toàn bộ quản trị pháp nhân tại chỗ, và sẽ hiệu quả khi cân nhắc gắn liền với khung "quản trị công ty con tại Việt Nam".

Rủi ro khi vi phạm

Chuyển xuyên biên giới không khai báo, xử lý không có đồng ý, thiếu sót quản lý an toàn, để mặc rò rỉ, đều thuộc diện bị phạt tiền hành chính hoặc lệnh khắc phục, và làm tổn hại uy tín kinh doanh. Chế tài đang theo hướng được tăng cường, nên việc đứng trên tiền đề "vận hành vẫn còn lỏng lẻo" là nguy hiểm. Cách thực tế là sớm xếp thứ tự ưu tiên ứng phó, bắt tay từ các lĩnh vực rủi ro cao (chuyển xuyên biên giới, dữ liệu nhạy cảm, dữ liệu khách hàng BtoC).

Tác động thực tiễn khác nhau theo ngành nghề

Gánh nặng của bảo vệ dữ liệu cá nhân khác nhau rất nhiều tùy theo loại và lượng dữ liệu xử lý. Việc thẩm định công ty mình gần với hồ sơ nào sẽ làm rõ thứ tự ưu tiên.

Trường hợp ngành sản xuất (chủ yếu BtoB)

Ngành sản xuất lấy nhà máy làm trung tâm, một mặt lượng dữ liệu cá nhân khách hàng tương đối ít, mặt khác lại nắm giữ lượng lớn dữ liệu nhạy cảm là dữ liệu nhân sự của nhân viên (thông tin sức khỏe, lương, đánh giá). Điểm tranh luận lớn nhất là việc chuyển xuyên biên giới các dữ liệu nhân viên này đến trụ sở chính Nhật Bản hay hệ thống nhân sự toàn cầu. Doanh nghiệp càng dùng nền tảng HR chung của tập đoàn càng dễ rơi vào chuyển xuyên biên giới không khai báo, và việc kiểm kê dòng chảy dữ liệu cùng hoàn thiện khai báo trở thành việc cấp bách. Đồng thời, về việc xử lý dữ liệu đi kèm tuyển dụng, nghỉ việc, đánh giá của nhân viên, ta cần hoàn thiện khung nội quy lao động và đồng ý.

Trường hợp BtoC, EC, ngành dịch vụ

Doanh nghiệp BtoC cung cấp dịch vụ cho người tiêu dùng và đơn vị kinh doanh EC thu thập, sử dụng liên tục lượng lớn dữ liệu cá nhân khách hàng. Việc quản lý lấy đồng ý và phạm vi sử dụng trở nên phức tạp ở các khía cạnh như sử dụng cho mục đích marketing, cung cấp cho bên thứ ba (đơn vị quảng cáo, phân tích), theo dõi (tracking) trên ứng dụng hay web. Đầu mối ứng phó yêu cầu truy cập, xóa từ chủ thể dữ liệu cũng dễ có số lượng nhiều. Cùng sự mở rộng của thị trường EC, tầm quan trọng của lĩnh vực này gia tăng, và ở mặt sau của cơ hội tăng trưởng bàn đến trong bài "Thị trường EC Việt Nam 2026", quản trị dữ liệu đang trở thành điều kiện tiên quyết của sự duy trì kinh doanh.

Quản lý bên nhận ủy thác và đơn vị đám mây

Khi ủy thác việc xử lý dữ liệu cá nhân ra bên ngoài, trách nhiệm của bên ủy thác không biến mất. Cần rà soát các bên nhận ủy thác, đơn vị chạm vào dữ liệu cá nhân như đại lý thanh toán, tổng đài, đám mây, SaaS, hỗ trợ marketing, và quy định trong hợp đồng nghĩa vụ quản lý an toàn, hạn chế ủy thác lại, và nghĩa vụ báo cáo khi rò rỉ. Đặc biệt khi sử dụng đám mây hay SaaS ở nước ngoài, vì bản thân điều đó có thể cấu thành chuyển xuyên biên giới, nên cần nắm địa điểm lưu trữ dữ liệu và lộ trình chuyển của dịch vụ đang dùng. Điều quan trọng là bịt điểm mù rằng dữ liệu mà ta nghĩ "công ty mình không trực tiếp xử lý" thực ra lại đang chảy ra nước ngoài qua bên nhận ủy thác.

Hệ thống hóa các lĩnh vực ứng phó: bảng so sánh

Dưới đây là phần hệ thống lại các lĩnh vực ứng phó chính mà doanh nghiệp Nhật Bản cần triển khai, theo góc độ nội dung, mức ưu tiên và hành động thực tiễn.

Những điểm thực tiễn doanh nghiệp Nhật Bản cần nắm

Thứ nhất, điểm xuất phát là kiểm kê dữ liệu. Nếu không trực quan hóa được đang lưu trữ, chuyển dữ liệu của ai, loại nào, vì mục đích gì, đến đâu, thì không thể phác họa được bức tranh tổng thể của việc ứng phó. Thứ hai, chuyển xuyên biên giới là điểm tranh luận lớn nhất đối với doanh nghiệp Nhật Bản. Nên ưu tiên công việc hợp pháp hóa việc gửi dữ liệu đến trụ sở chính Nhật Bản hay đám mây toàn cầu bằng đánh giá tác động và khai báo. Thứ ba, vì dữ liệu nhạy cảm (thông tin sức khỏe nhân sự, dữ liệu thanh toán, cấp tín dụng) có yêu cầu bổ sung, nên hãy tách bạch và quản lý nghiêm ngặt. Thứ tư, chế độ đang trong tiến trình tăng cường từ nghị định lên luật, nên việc có một hệ thống có thể bám theo kỷ luật mới nhất (cập nhật quy chế, làm rõ người phụ trách) sẽ nâng đỡ sự tuân thủ về dài hạn.

Bảo vệ thông tin cá nhân của Việt Nam là một lĩnh vực ứng phó bắt buộc mới của doanh nghiệp Nhật Bản, đang gia tăng tính thực thi qua việc nâng cấp lên cấp độ luật, khởi điểm từ Decree 13/2023. Solara & Co hỗ trợ — bằng đội ngũ am hiểu thực tiễn cả hai phía Nhật–Việt — từ việc kiểm kê dữ liệu, thiết kế ứng phó đồng ý, chủ thể dữ liệu, đánh giá tác động và khai báo DPIA, chuyển xuyên biên giới, đến xây dựng quy chế nội bộ và hệ thống đào tạo. Chúng tôi sẽ đề xuất một kế hoạch ứng phó thực tế, có thứ tự ưu tiên rõ ràng, dung hòa giữa vận hành toàn cầu và pháp luật tại chỗ Việt Nam, sát với thực trạng kinh doanh của quý công ty.