Due diligence bảo vệ dữ liệu cá nhân (data protection due diligence) là phần thẩm định kiểm tra xem dữ liệu của doanh nghiệp mục tiêu (Target) có được thu thập, sử dụng và chia sẻ hợp pháp hay không, trước khi bên mua ký hợp đồng trong giao dịch M&A. Trong nhiều thương vụ, tệp khách hàng là tài sản chính được định giá. Nếu tệp đó thiếu sự đồng ý hợp lệ, Target chưa nộp hồ sơ DPIA hoặc từng chia sẻ dữ liệu trái phép, rủi ro sẽ đi theo giao dịch. Phần rà soát này thường nằm trong thẩm định pháp lý doanh nghiệp và dẫn tới các điều khoản cam đoan, bồi hoàn trong hợp đồng mua bán cổ phần (SPA).
1. Due diligence bảo vệ dữ liệu cá nhân bảo vệ bên mua khỏi rủi ro nào#
Cách rủi ro đi sang bên mua phụ thuộc vào cấu trúc giao dịch:
- Mua cổ phần, phần vốn góp: Target vẫn là bên kiểm soát dữ liệu và vẫn là bên bị xử phạt nếu vi phạm. Bên mua chịu rủi ro gián tiếp qua giá trị khoản đầu tư. Ví dụ, nếu Target chưa lập hồ sơ DPIA, biện pháp khắc phục có thể là buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi nộp đủ hồ sơ (điểm b khoản 3 Điều 55 Nghị định 330/2026/NĐ-CP).
- Sáp nhập: công ty nhận sáp nhập kế thừa quyền và nghĩa vụ của công ty bị sáp nhập (Điều 201 Luật Doanh nghiệp 2020). Dữ liệu được chuyển giao để tiếp tục xử lý trong trường hợp sáp nhập, hợp nhất (điểm c khoản 1 Điều 17 Luật 91/2025/QH15), nhưng phải có thỏa thuận chuyển giao (khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP).
Pháp luật không bắt buộc data protection due diligence. Đây là thông lệ thị trường trong giao dịch M&A, nhất là khi dữ liệu là tài sản chính của thương vụ.
2. Các rủi ro PDPD có thể làm vỡ deal M&A#
- Tệp dữ liệu khách hàng lớn được thu thập không có sự đồng ý hợp lệ. Biện pháp khắc phục có thể là buộc hủy, xóa dữ liệu đã thu thập khi không có sự đồng ý hợp lệ (điểm a khoản 4 Điều 43 Nghị định 330/2026/NĐ-CP), tức là mất chính tài sản đang được định giá.
- Target chưa nộp hồ sơ đánh giá tác động DPIA cho Cục A05 theo quy định (trừ diện được miễn hoặc được lựa chọn tại Điều 38 Luật), đối mặt với rủi ro bị xử phạt theo Điều 55 Nghị định 330/2026/NĐ-CP.
- Target từng xảy ra vi phạm (ví dụ rò rỉ dữ liệu) có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu hoặc gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, nhưng không thông báo cho Cục A05 chậm nhất 72 giờ kể từ khi phát hiện (khoản 1 Điều 23 Luật). Nghĩa vụ 72 giờ chỉ áp dụng cho vi phạm ở mức này, nên khi rà soát cần xem cả cách target đã đánh giá mức độ của từng sự cố.
- Sau sáp nhập, hợp nhất, hồ sơ DPIA không được cập nhật trong 10 ngày (điểm a khoản 2 Điều 22 Luật; điểm a khoản 2 Điều 20 Nghị định 356), hoặc dữ liệu được chuyển sang pháp nhân mới mà không có thỏa thuận chuyển giao.
3. Quy trình 4 bước due diligence bảo vệ dữ liệu cá nhân cho nhà đầu tư#
Bước 1: Rà soát hồ sơ tuân thủ. Yêu cầu Target cung cấp hồ sơ DPIA đã gửi Cục A05, văn bản chỉ định nhân sự bảo vệ dữ liệu cá nhân, chính sách quyền riêng tư và hợp đồng DPA với nhà cung cấp.
Bước 2: Kiểm tra luồng dữ liệu thực tế và bằng chứng sự đồng ý. Đối chiếu form đăng ký trên app, website với bản ghi sự đồng ý đang lưu.
Bước 3: Đánh giá an toàn hạ tầng IT và rà soát log để phát hiện dấu hiệu từng bị xâm nhập trái phép.
Bước 4: Đưa các cam đoan và bảo đảm (representations & warranties) và điều khoản bồi hoàn (indemnity) về dữ liệu vào SPA.
4. Thiết lập phòng dữ liệu ảo (virtual data room) khi làm due diligence bảo vệ dữ liệu cá nhân#
Đưa dữ liệu cá nhân của khách hàng, nhân sự lên virtual data room (VDR) cho bên mua xem là cung cấp dữ liệu cho bên khác. Việc này cần có căn cứ, thường là sự đồng ý của chủ thể (điểm b khoản 2 Điều 15 Luật). Vì hiếm khi có sự đồng ý cho mục đích này, Target nên:
- Khử nhận dạng hoặc che thông tin cá nhân trong tài liệu đưa lên VDR; ưu tiên số liệu tổng hợp và hợp đồng mẫu.
- Cấu hình quyền chỉ xem (read-only), chặn tải xuống và in, gắn watermark theo tài khoản người xem.
- Ký thỏa thuận bảo mật (NDA) và thỏa thuận xử lý dữ liệu trước khi cấp tài khoản truy cập VDR.
5. Việc bên mua và bên bán nên làm trước khi ký SPA#
Bên mua: xếp phát hiện về dữ liệu cùng nhóm với rủi ro tài chính và thuế. Nếu phát hiện vi phạm lớn, điều chỉnh giá hoặc đặt việc khắc phục làm điều kiện tiên quyết trước khi hoàn tất giao dịch.
Bên bán: hồ sơ DPIA phải nộp trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (khoản 1 Điều 21 Luật), không phải việc làm theo lịch gọi vốn. Nếu còn thiếu, nên nộp bổ sung và tự thẩm định (vendor due diligence) trước khi mở phòng dữ liệu, để tự khắc phục trước khi bên mua phát hiện.
