Tuân thủ PDPD cho startup và SaaS: Bắt đầu từ đâu?

Tuân thủ PDPD cho startup bắt đầu từ hai câu hỏi: startup là bên kiểm soát hay bên xử lý dữ liệu, và có được hưởng ưu đãi 05 năm cho doanh nghiệp nhỏ, khởi nghiệp hay không. Công ty SaaS thường xử lý dữ liệu của hàng nghìn người dùng ngay từ khi ra mắt nhưng chưa có bộ phận pháp chế. Khi gọi vốn hoặc bán cho khách hàng doanh nghiệp lớn, bên mua sẽ hỏi về hợp đồng xử lý dữ liệu (DPA), chính sách bảo mật và nơi lưu dữ liệu. Bài này đưa ra một lộ trình theo thứ tự ưu tiên, kèm căn cứ trong Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Nếu đội ngũ chưa quen các khái niệm nền tảng, hãy đọc trước bài PDPD là gì.

Tuân thủ PDPD cho startup: xác định vai trò trước#

Một công ty SaaS B2B thường có hai vai trò cùng lúc:

• Bên xử lý với dữ liệu mà khách hàng doanh nghiệp đưa lên nền tảng, ví dụ danh sách nhân viên trong phần mềm chấm công. Startup chỉ được nhận dữ liệu sau khi có thỏa thuận, hợp đồng với khách hàng, và phải xử lý đúng thỏa thuận đó (điểm a, điểm b khoản 2 Điều 37 Luật 91). Hồ sơ đánh giá tác động (DPIA) phía bên xử lý được lập theo thỏa thuận với bên kiểm soát (khoản 3 Điều 21).
• Bên kiểm soát với dữ liệu của chính mình: tài khoản người dùng, thanh toán, analytics, danh sách gửi email marketing.

Còn một câu hỏi khó hơn. Khoản 1 Điều 21 Nghị định 356 liệt kê "dịch vụ cung cấp và vận hành hệ thống, phần mềm tự động để thay mặt bên kiểm soát… tiến hành xử lý dữ liệu cá nhân" là dịch vụ xử lý dữ liệu cá nhân. SaaS vận hành dữ liệu của khách hàng trên hạ tầng của mình có khả năng thuộc nhóm này. Nếu thuộc, doanh nghiệp cần Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân (Điều 22 đến Điều 25 Nghị định 356). Kinh doanh khi chưa có giấy chứng nhận bị phạt 50–80 triệu đồng (điểm a khoản 3 Điều 59 Nghị định 330/2026/NĐ-CP). Nghị định chưa có hướng dẫn chi tiết về ranh giới này, nên cần phân tích theo từng sản phẩm. Phân tích đầy đủ có tại trang bảo vệ dữ liệu cá nhân ngành SaaS.

Ưu đãi 05 năm cho doanh nghiệp nhỏ, khởi nghiệp và các ngoại lệ#

Doanh nghiệp nhỏ và khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện việc chỉ định DPO và lập, cập nhật hồ sơ DPIA trong 05 năm kể từ ngày Luật có hiệu lực (01/01/2026), theo khoản 2 Điều 38 Luật 91/2025/QH15 và khoản 1 Điều 41 Nghị định 356/2025/NĐ-CP. Tuy nhiên, doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu tích lũy từ 100.000 chủ thể dữ liệu cá nhân trở lên vẫn bắt buộc phải có DPO hoặc bộ phận bảo vệ dữ liệu và lập DPIA. Ngưỡng 100.000 tính theo tổng lượng dữ liệu đã xử lý cộng dồn, kể từ thời điểm đạt quy mô này (khoản 1 Điều 41 Nghị định 356). Startup tăng trưởng nhanh cần theo dõi con số này.

Ưu đãi chỉ gồm Điều 21, Điều 22 và khoản 2 Điều 33 Luật 91. Các nghĩa vụ khác vẫn áp dụng từ ngày đầu: xin sự đồng ý, thực hiện quyền của chủ thể dữ liệu, thông báo vi phạm và lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo Điều 20.

Lộ trình tuân thủ PDPD cho startup và SaaS#

1. Privacy notice từ bản MVP. Nêu loại dữ liệu, mục đích, bên kiểm soát, quyền của người dùng (khoản 2 Điều 9 Luật 91), kèm một mục về cookie và công cụ tracking. Pháp luật không đòi hỏi một "Cookie Policy" riêng; nội dung này có thể nằm trong thông báo xử lý dữ liệu.
2. Consent theo từng mục đích. Tách ô đồng ý nhận email marketing khỏi điều khoản sử dụng. Không được buộc người dùng đồng ý với mục đích khác để được dùng dịch vụ (điểm a, điểm b khoản 4 Điều 9). Lưu nhật ký đồng ý: ai, lúc nào, đồng ý nội dung gì (khoản 1, khoản 2 Điều 6 Nghị định 356).
3. Privacy by design trong sản phẩm. Chỉ thu các trường dữ liệu thật sự cần (khoản 2 Điều 3 Luật 91). Đặt sẵn thời hạn lưu trữ. Có chức năng xóa hoặc trả lại dữ liệu khi khách hàng chấm dứt hợp đồng. Dữ liệu trên cloud phải được mã hóa khi lưu và khi truyền (khoản 4 Điều 12 Nghị định 356).
4. Data mapping. Thực hiện data mapping khi có từ ba đến năm nguồn dữ liệu. Kết quả data mapping là đầu vào cho hồ sơ DPIA và hồ sơ chuyển dữ liệu xuyên biên giới.
5. Vendor và hạ tầng nước ngoài. Nếu hosting, email, logging hoặc API AI đặt ở nước ngoài, startup đang chuyển dữ liệu xuyên biên giới. Phải lập hồ sơ gửi cơ quan chuyên trách trong 60 ngày kể từ lần chuyển đầu tiên (khoản 2 Điều 20 Luật 91). Mỗi vendor cần thỏa thuận chuyển giao có đủ nội dung tại khoản 1 Điều 7 Nghị định 356.
6. Quy trình xử lý yêu cầu của chủ thể dữ liệu. Khi khách hàng doanh nghiệp chuyển tiếp yêu cầu xóa hoặc chỉnh sửa, bên xử lý phải làm trong thời hạn bên kiểm soát đặt ra. Không đáp ứng có thể bị phạt 20–30 triệu đồng (khoản 2 Điều 44 Nghị định 330). Nên có công cụ quản trị để xóa, xuất dữ liệu theo từng người dùng.
7. DPO. Chỉ định nhân sự bảo vệ dữ liệu, hoặc thuê DPO ngoài, ngay khi không còn thuộc diện ưu đãi. Nếu vẫn thuộc diện ưu đãi, có thể triển khai khi nguồn lực cho phép.
8. Kế hoạch ứng phó sự cố. Là bên xử lý, startup phải báo kịp thời cho khách hàng khi phát hiện vi phạm. Là bên kiểm soát, startup phải báo cơ quan chuyên trách chậm nhất 72 giờ (khoản 1 Điều 23 Luật 91).

Sai lầm thường gặp khi tuân thủ PDPD cho startup#

• Tưởng ưu đãi 05 năm miễn mọi thứ. Ưu đãi không miễn hồ sơ chuyển dữ liệu xuyên biên giới. Startup dùng AWS, Google Cloud ở nước ngoài vẫn phải lập hồ sơ này.
• Gộp đồng ý marketing vào nút "Đăng ký". Kèm điều kiện bắt buộc đồng ý với mục đích không liên quan có thể bị phạt 30–50 triệu đồng (điểm b khoản 1 Điều 43 Nghị định 330).
• Không ký DPA với khách hàng doanh nghiệp. Luật yêu cầu bên xử lý chỉ nhận dữ liệu sau khi có thỏa thuận (điểm a khoản 2 Điều 37 Luật 91). Thiếu DPA còn làm chậm các hợp đồng với khách hàng lớn.
• Không có cơ chế xóa khi khách hàng rời đi. Thỏa thuận chuyển giao phải nêu thời hạn xử lý và yêu cầu xóa, hủy dữ liệu sau khi hoàn thành mục đích (điểm c khoản 1 Điều 7 Nghị định 356). Dữ liệu còn nằm trong bản sao lưu, môi trường staging hoặc log cũng phải nằm trong kế hoạch xóa. Đây là việc privacy by design nên giải quyết ngay khi thiết kế kiến trúc dữ liệu.

Khi chuẩn bị gọi vốn, nhà đầu tư có thể yêu cầu xem privacy notice, DPA với khách hàng và vendor, hồ sơ chuyển dữ liệu xuyên biên giới trong quá trình thẩm định (xem due diligence bảo vệ dữ liệu cá nhân khi M&A và gọi vốn). Startup nên giữ chúng trong một thư mục riêng và cập nhật sau mỗi lần thay đổi vendor hoặc tính năng. Nếu cần rà soát lộ trình tuân thủ PDPD cho startup theo mô hình sản phẩm cụ thể, LexData có dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.