Khi định giá một doanh nghiệp mục tiêu trong giao dịch M&A, tài sản hấp dẫn nhất thường là tệp người dùng và dữ liệu khách hàng tích lũy. Nhưng nếu tệp dữ liệu đó được thu thập không có sự đồng ý hợp lệ, chưa lập hồ sơ DPIA hoặc đang tồn tại các vi phạm chia sẻ dữ liệu ngầm, bên mua sẽ phải gánh toàn bộ nghĩa vụ pháp lý và nguy cơ bị phạt sau khi hoàn tất sáp nhập. Thẩm định bảo vệ dữ liệu (Privacy Due Diligence) giúp bên mua bóc tách nguồn gốc dữ liệu, đánh giá mức độ sạch của tài sản thông tin và thiết lập các điều khoản bồi hoàn (Indemnity/Holdback) trong hợp đồng mua bán cổ phần (SPA).
1. Tầm quan trọng của thẩm định dữ liệu trong giao dịch M&A#
Trong các giao dịch mua bán và sáp nhập doanh nghiệp (M&A) hoặc gọi vốn đầu tư mạo hiểm, tệp dữ liệu người dùng tích lũy và hệ thống công nghệ thông tin thường là tài sản quan trọng nhất định hình định giá của công ty mục tiêu (Target Company).
Tuy nhiên, dưới quy định của Luật PDPD 91/2025/QH15 và Nghị định 356, nếu công ty Target vi phạm nghiêm trọng quy định bảo vệ dữ liệu, chưa từng nộp Báo cáo DPIA hoặc thu thập dữ liệu trái phép, nhà đầu tư mua lại sẽ phải gánh chịu toàn bộ án phạt tiền và nguy cơ bị tạm đình chỉ hoạt động sau M&A.
Do đó, Thẩm định pháp lý về bảo vệ dữ liệu (Data Protection Due Diligence) đã trở thành bước rà soát bắt buộc trong mọi giao dịch M&A.
2. Các rủi ro PDPD nghiêm trọng có thể làm vỡ deal M&A#
Các rủi ro PDPD nghiêm trọng có thể làm 'vỡ deal' M&A hoặc làm sụt giảm giá trị định giá của công ty Target:
- Tệp Data khách hàng lớn của Target được thu thập không có sự đồng ý (Consent) đúng chuẩn pháp lý, khiến bên mua không thể tiếp tục sử dụng tệp data này sau M&A.
- Doanh nghiệp Target chưa từng nộp Hồ sơ Đánh giá tác động DPIA cho Cục A05 theo quy định bắt buộc, đối mặt với án phạt dồn tích.
- Target từng xảy ra sự cố rò rỉ dữ liệu (Data Breach) nhưng giấu giếm không báo cáo Cục A05 trong hạn 72 giờ.
- Việc thay đổi chủ sở hữu làm thay đổi Bên Kiểm soát dữ liệu mà không có cơ sở pháp lý thông báo cho chủ thể dữ liệu.
3. Quy trình 4 bước Data Protection Due Diligence cho Nhà đầu tư#
Quy trình 4 bước thẩm định Data Protection Due Diligence cho Nhà đầu tư:
Bước 1: Rà soát danh mục hồ sơ tuân thủ pháp lý. Yêu cầu Target cung cấp: Báo cáo DPIA đã gửi Cục A05, Quyết định chỉ định DPO, Chính sách Privacy Notice và hợp đồng DPA với Vendor.
Bước 2: Kiểm tra luồng dữ liệu thực tế và bằng chứng Consent. Rà soát mã nguồn App/Website kiểm tra luồng Opt-in thực tế.
Bước 3: Đánh giá an toàn hạ tầng IT & Kiểm toán log forensic để đảm bảo hệ thống không bị cài cắm mã độc hay từng bị thâm nhập trái phép.
Bước 4: Đưa các điều khoản cam kết bồi thường thiệt hại (Indemnity) và cam kết bảo đảm (Representations & Warranties) vào Hợp đồng mua bán cổ phần (SPA).
4. Hướng dẫn thiết lập Phòng dữ liệu ảo (Virtual Data Room - VDR) bảo mật#
Hướng dẫn thiết lập Phòng dữ liệu ảo (Virtual Data Room - VDR) bảo mật khi thực hiện Due Diligence:
Trong quá trình chia sẻ dữ liệu cho các bên thẩm định xem xét, công ty Target phải tuân thủ nghiêm ngặt quy tắc bảo vệ dữ liệu:
- Phải tiến hành khử nhận dạng (Anonymize) toàn bộ thông tin cá nhân của khách hàng và nhân sự xuất hiện trong các tài liệu, hợp đồng mẫu đưa lên VDR.
- Cấu hình quyền chỉ xem (Read-only), cấm tính năng tải xuống, cấm in ấn và tự động dán watermark định danh cá nhân của nhà đầu tư trên toàn bộ màn hình VDR.
- Ký Thỏa thuận bảo mật NDA và Thỏa thuận xử lý dữ liệu thẩm định trước khi cấp tài khoản truy cập VDR.
5. Khuyến nghị chiến lược cho bên mua và bên bán trong M&A#
Khuyến nghị chiến lược cho bên mua và bên bán trong M&A:
Đối với bên mua (Investor / Acquirer): Cần coi rủi ro PDPD ngang hàng với rủi ro tài chính và thuế. Nếu phát hiện vi phạm nghiêm trọng, cần điều chỉnh giảm giá mua hoặc yêu cầu bên bán khắc phục hoàn chỉnh trước khi Closing.
Đối với bên bán (Target Company): Cần chủ động thực hiện Data Audit và hoàn thiện bộ hồ sơ DPIA nộp Cục A05 từ 6 - 12 tháng trước khi mở vòng gọi vốn/M&A để tối đa hóa định giá doanh nghiệp.
6. Căn cứ pháp lý áp dụng và Trách nhiệm chứng minh tuân thủ#
Cơ sở pháp lý điều chỉnh trực tiếp đối với Due Diligence Về Bảo Vệ Dữ Liệu Cá Nhân Trong Giao Dịch M&A bao gồm các quy định tại Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, Nghị định số 356/2025/NĐ-CP và các quy định xử phạt vi phạm hành chính có liên quan. trong hầu hết các trường hợp xử lý xảy ra khiếu nại hoặc thanh tra đột xuất, doanh nghiệp (Bên Kiểm soát dữ liệu hoặc Bên Kiểm soát và Xử lý dữ liệu) luôn có **nghĩa vụ chứng minh (Burden of proof)** rằng mình đã thực hiện đầy đủ các biện pháp kỹ thuật và tổ chức cần thiết.
Việc không lưu giữ nhật ký bản ghi sự đồng ý (Consent Log), không có hồ sơ Đánh giá tác động (DPIA) hoặc không ký Phụ lục hợp đồng DPA với các bên thứ ba sẽ tự động bị xem là hành vi không tuân thủ và chịu chế tài xử phạt theo quy định.
7. Tổng kết và Khuyến nghị cho Ban Lãnh Đạo Doanh Nghiệp#
Privacy Due Diligence đã trở thành một cấu phần không thể thiếu bên cạnh Legal DD và Financial DD trong các thương vụ M&A thời đại số. Một bản báo cáo thẩm định dữ liệu chuẩn xác không chỉ bảo vệ an toàn nguồn vốn của nhà đầu tư trước các khoản phạt tiềm ẩn mà còn giúp bên bán xác lập mức định giá thương vụ công bằng, minh bạch.