GDPR là gì? So sánh GDPR với Luật Bảo vệ dữ liệu cá nhân Việt Nam
GDPR là gì? GDPR là Quy định (EU) 2016/679 về bảo vệ cá nhân trong xử lý dữ liệu cá nhân, áp dụng từ 25/05/2018 tại các nước Liên minh châu Âu (Điều 99 GDPR). Quy định này không phải là nghĩa vụ pháp lý tại Việt Nam; nó chỉ có thể áp dụng cho doanh nghiệp Việt Nam khi doanh nghiệp có cơ sở tại EU, hoặc chào bán hàng hóa, dịch vụ cho người đang ở EU, hoặc theo dõi hành vi của họ tại EU (Điều 3 GDPR). Nghĩa vụ tại Việt Nam chỉ đến từ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực từ 01/01/2026) và các nghị định hướng dẫn, trong đó có điểm giống và nhiều điểm khác GDPR.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15; Nghị định 356/2025/NĐ-CP; Nghị định 330/2026/NĐ-CP. Quy định (EU) 2016/679 (GDPR) chỉ được dùng để đối chiếu và không phải nguồn nghĩa vụ tại Việt Nam, trừ khi doanh nghiệp thuộc phạm vi Điều 3 GDPR
Nguồn văn bản chính thức
- Luật 91/2025/QH15 — Cổng TTĐT Chính phủ
- Nghị định 356/2025/NĐ-CP — CSDL quốc gia về VBPL
- Nghị định 330/2026/NĐ-CP — Cổng TTĐT Chính phủ
- Regulation (EU) 2016/679 (GDPR) — Official Journal of the European Union, EUR-Lex (văn bản tiếng Anh)
- Adequacy decisions — European Commission (danh sách quyết định tương thích)
3 Điểm cốt lõi doanh nghiệp cần nhớ
- GDPR là quy định của Liên minh châu Âu, không phải luật Việt Nam. Doanh nghiệp Việt Nam chỉ phải tuân thủ GDPR khi thuộc Điều 3: có cơ sở tại EU (khoản 1), hoặc không có cơ sở tại EU nhưng xử lý dữ liệu của người đang ở EU liên quan đến chào bán hàng hóa, dịch vụ cho họ hoặc theo dõi hành vi của họ tại EU (khoản 2). Chỉ có website mà người ở EU truy cập được, hoặc chỉ có email liên hệ, thì chưa đủ để kết luận; website dùng ngôn ngữ hoặc đồng tiền của một nước thành viên EU và cho đặt hàng, hoặc nhắc đến khách hàng ở EU, là dấu hiệu cần cân nhắc (cân nhắc 23 GDPR). Khi thuộc khoản 2, thường phải chỉ định đại diện bằng văn bản tại EU (Điều 27).
- Luật 91/2025 và GDPR cùng có các khối nghĩa vụ quen thuộc (đồng ý, quyền của chủ thể, đánh giá tác động, thông báo vi phạm, quy tắc chuyển dữ liệu ra nước ngoài) nhưng thiết kế khác nhau: Luật 91 lấy đồng ý làm mặc định và không có căn cứ lợi ích hợp pháp chung, hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu phải nộp cho cơ quan chuyên trách, hạn cơ bản để đáp ứng yêu cầu của chủ thể (10 đến 20 ngày) ngắn hơn một tháng của GDPR, còn mức phạt tính theo hai cơ sở khác nhau: Luật 91 đặt trần 3 tỷ đồng cho hành vi thông thường và 5% doanh thu năm trước liền kề của tổ chức cho vi phạm chuyển dữ liệu xuyên biên giới (nếu tính ra thấp hơn thì tối đa vẫn là 3 tỷ đồng), còn Nghị định 330 có thêm khung 1% đến 5% doanh thu năm tài chính liền trước tại thị trường Việt Nam, chỉ cho ba nhóm hành vi chuyển dữ liệu nghiêm trọng khi lộ, mất dữ liệu của từ 10.000 chủ thể là công dân Việt Nam trở lên; GDPR dùng trần 20 triệu euro hoặc 4% doanh thu toàn cầu.
- Tuân thủ một bên không đồng nghĩa với tuân thủ bên kia. Doanh nghiệp phục vụ cả hai thị trường nên lập một bản đồ dữ liệu chung rồi áp quy tắc chặt hơn cho từng vấn đề, và giữ riêng hai cơ chế chuyển dữ liệu: hồ sơ gửi cơ quan chuyên trách theo Điều 20 Luật 91 cho dữ liệu đi ra khỏi Việt Nam, và công cụ bảo đảm theo Điều 46 GDPR cho dữ liệu đi từ EU sang Việt Nam, vì Việt Nam hiện chưa có quyết định tương thích của Ủy ban châu Âu.
GDPR là gì?
GDPR là bộ quy tắc chung của Liên minh châu Âu về xử lý dữ liệu cá nhân. Đây là luật của một khối kinh tế khác, không phải luật Việt Nam. Tên đầy đủ là Quy định (EU) 2016/679 của Nghị viện châu Âu và Hội đồng ngày 27/04/2016; quy định này có hiệu lực trực tiếp tại mọi nước thành viên và áp dụng từ 25/05/2018 (Điều 99). Khác với một chỉ thị cần luật quốc gia chuyển hóa, GDPR là quy định nên công dân và doanh nghiệp tại EU viện dẫn thẳng văn bản này, dù nhiều vấn đề vẫn để luật từng nước thành viên bổ sung.
Về nội dung, GDPR xoay quanh bảy nhóm: nguyên tắc xử lý như hợp pháp, minh bạch, giới hạn mục đích, tối thiểu hóa dữ liệu, giới hạn lưu trữ, toàn vẹn và bảo mật, và trách nhiệm giải trình (Điều 5); sáu căn cứ hợp pháp (Điều 6); điều kiện của sự đồng ý (Điều 7); cấm xử lý các nhóm dữ liệu đặc biệt trừ khi có ngoại lệ (Điều 9); quyền của chủ thể dữ liệu (Điều 12 đến 22); nghĩa vụ tổ chức như hợp đồng với bên xử lý (Điều 28), thông báo vi phạm (Điều 33, 34), đánh giá tác động (Điều 35), DPO (Điều 37); và quy tắc chuyển dữ liệu ra ngoài EU (Điều 44 đến 49). Mỗi nước thành viên có ít nhất một cơ quan giám sát độc lập (khoản 1 Điều 51).
Văn bản dùng để viết bài này là bản tiếng Anh đăng trên Công báo của Liên minh châu Âu (EUR-Lex). Bài này đối chiếu với văn bản gốc năm 2016; doanh nghiệp cần kiểm tra lại văn bản hiện hành của Liên minh châu Âu trước khi dựa vào một điều khoản cụ thể.
GDPR là gì đối với doanh nghiệp Việt Nam, khi nào áp dụng?
GDPR không có hiệu lực tại Việt Nam chỉ vì nó tồn tại. Phạm vi áp dụng được xác định tại Điều 3, và chỉ có hai đường vào đối với doanh nghiệp ngoài EU.
Khi nào GDPR áp dụng cho doanh nghiệp Việt Nam, đối chiếu Điều 3 và Điều 27 GDPR
| Tình huống | GDPR có áp dụng không | Căn cứ |
|---|---|---|
| Công ty Việt Nam có chi nhánh, công ty con hoặc văn phòng tại EU và việc xử lý diễn ra trong hoạt động của cơ sở đó | Có, bất kể dữ liệu được xử lý ở EU hay ở Việt Nam | Khoản 1 Điều 3 |
| Không có cơ sở tại EU, bán hàng hóa hoặc dịch vụ cho người đang ở EU (dù có thu tiền hay không) | Có đối với việc xử lý liên quan đến việc chào bán đó | Điểm a khoản 2 Điều 3 |
| Không có cơ sở tại EU, theo dõi hành vi của người đang ở EU khi hành vi diễn ra tại EU (ví dụ theo dõi trên internet, lập hồ sơ cá nhân) | Có | Điểm b khoản 2 Điều 3; cân nhắc 24 |
| Chỉ có website tiếng Việt, người ở EU có thể truy cập nhưng không nhắm tới họ; hoặc chỉ có email, địa chỉ liên hệ | Chưa đủ để kết luận có ý định chào bán cho người ở EU | Khoản 2 Điều 3; cân nhắc 23 |
| Website dùng ngôn ngữ hoặc đồng tiền của một nước thành viên EU, cho đặt hàng, hoặc nhắc đến khách hàng, người dùng ở EU | Là dấu hiệu cho thấy có thể có ý định chào bán cho người ở EU; cần xét cùng các yếu tố khác của hoạt động | Khoản 2 Điều 3; cân nhắc 23 |
| Chỉ xử lý dữ liệu của người Việt Nam hoặc người nước ngoài ở Việt Nam, không có cơ sở hay đối tượng chào bán tại EU | Không | Điều 3 |
Hai điểm thực tế khi đọc bảng. Thứ nhất, khoản 2 Điều 3 GDPR xét người đang ở EU, không xét quốc tịch; Luật 91 thì xác định phạm vi theo bên bị điều chỉnh và dữ liệu của công dân Việt Nam (khoản 2 Điều 1 Luật 91). Thứ hai, doanh nghiệp thuộc khoản 2 Điều 3 thường phải chỉ định bằng văn bản một đại diện tại EU, đặt tại một nước thành viên nơi có người bị chào bán hoặc bị theo dõi, trừ các ngoại lệ ở khoản 2 Điều 27. Việc chỉ định đại diện không loại trừ trách nhiệm của chính doanh nghiệp (khoản 5 Điều 27).
Một trường hợp hay nhầm là nhà cung cấp tại Việt Nam xử lý dữ liệu thay cho khách hàng EU. Khách hàng EU là bên kiểm soát và chịu GDPR theo khoản 1 Điều 3; bên cung cấp tại Việt Nam thường bị ràng buộc qua hợp đồng xử lý dữ liệu theo khoản 3 Điều 28 và các điều kiện chuyển dữ liệu ra ngoài EU tại Chương V. Việc nhà cung cấp đó có đồng thời thuộc khoản 2 Điều 3 hay không phụ thuộc vào hoạt động thực tế. Đây là nhận định thực hành của LexData: chúng tôi chưa tìm thấy văn bản của Việt Nam hay hướng dẫn chính thức nào được đối chiếu trong bài này nói rõ trường hợp nhà cung cấp tại Việt Nam, và hướng dẫn của Ủy ban Bảo vệ dữ liệu châu Âu (EDPB) về phạm vi lãnh thổ chưa được đối chiếu, nên cần xét từng hoạt động.
Luật 91/2025 khác GDPR ở những điểm chính nào?
Bảng dưới đây đối chiếu hai khung pháp lý theo văn bản của Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP. Đây là so sánh mô tả theo văn bản, không đánh giá mức độ giống hay khác về chính sách.
So sánh GDPR với Luật 91/2025/QH15 và nghị định hướng dẫn: phạm vi, khái niệm, căn cứ xử lý, dữ liệu nhạy cảm, quyền của chủ thể
| Nội dung | GDPR | Luật 91/2025 và văn bản hướng dẫn |
|---|---|---|
| Phạm vi | Xử lý trong hoạt động của cơ sở tại EU; hoặc bên ngoài EU chào bán hàng hóa, dịch vụ cho người ở EU hay theo dõi hành vi tại EU (Điều 3). Bên thuộc khoản 2 phải có đại diện tại EU (Điều 27) | Cơ quan, tổ chức, cá nhân Việt Nam; nước ngoài tại Việt Nam; nước ngoài trực tiếp tham gia hoặc liên quan đến xử lý dữ liệu của công dân Việt Nam và người gốc Việt Nam chưa xác định quốc tịch đang sống tại Việt Nam đã được cấp giấy chứng nhận căn cước (khoản 2 Điều 1 Luật 91; Điều 2 Nghị định 356). Luật 91 và Nghị định 356 không quy định bắt buộc bên nước ngoài chỉ định đại diện tại Việt Nam; Luật Dữ liệu và pháp luật an ninh mạng có thể có yêu cầu riêng, chưa được đối chiếu trong bài này (xem khoản 4 Điều 5 Luật 91) |
| Khái niệm dữ liệu cá nhân | Mọi thông tin liên quan đến cá nhân đã được xác định hoặc có thể xác định (khoản 1 Điều 4). Dữ liệu đã được giả danh hóa vẫn là dữ liệu cá nhân nếu còn thể gắn lại với cá nhân bằng thông tin bổ sung (khoản 5 Điều 4; cân nhắc 26) | Dữ liệu số hoặc thông tin dạng khác xác định hoặc giúp xác định một con người cụ thể, gồm dữ liệu cơ bản và nhạy cảm; sau khi khử nhận dạng thì không còn là dữ liệu cá nhân (khoản 1 Điều 2). Mã hóa thì dữ liệu vẫn là dữ liệu cá nhân (khoản 1 Điều 12) |
| Căn cứ xử lý | Sáu căn cứ: đồng ý, hợp đồng, nghĩa vụ pháp lý, lợi ích sống còn, nhiệm vụ công, lợi ích hợp pháp (khoản 1 Điều 6) | Thu thập phải có đồng ý trước, trừ trường hợp pháp luật quy định khác (khoản 1 Điều 11). Không cần đồng ý trong các trường hợp ở khoản 1 Điều 19: khẩn cấp và bảo vệ quyền lợi chính đáng (bên viện dẫn phải chứng minh), an ninh và phòng chống tội phạm, hoạt động của cơ quan nhà nước, thực hiện thỏa thuận của chủ thể theo quy định của pháp luật, trường hợp khác theo luật. Luật 91 và Nghị định 356 không có căn cứ "lợi ích hợp pháp" chung; quy định gần nhất là điểm a khoản 1 Điều 19, đòi hỏi tính cần thiết và nghĩa vụ chứng minh của bên viện dẫn. Căn cứ hợp đồng và nghĩa vụ pháp lý của GDPR tương ứng ở mức gần đúng với điểm d, đ khoản 1 Điều 19 và cụm "trừ trường hợp pháp luật có quy định khác" ở khoản 1 Điều 11, cần xét từng trường hợp |
| Đồng ý | Tự nguyện, cụ thể, được thông tin, rõ ràng (khoản 11 Điều 4); bên kiểm soát phải chứng minh được; rút lại dễ như cho phép (khoản 1, 3 Điều 7); đánh giá tính tự nguyện có tính đến việc gắn đồng ý vào dịch vụ không cần thiết (khoản 4 Điều 7) | Tự nguyện và biết rõ loại dữ liệu, mục đích, bên kiểm soát, quyền nghĩa vụ; theo từng mục đích; không kèm điều kiện phải đồng ý mục đích khác; im lặng không là đồng ý (khoản 2, 4 Điều 9). Phương thức phải kiểm chứng được và bên kiểm soát chịu trách nhiệm chứng minh; cấm thiết lập mặc định đồng ý (khoản 1 đến 3 Điều 6 Nghị định 356) |
| Dữ liệu nhạy cảm | Cấm xử lý các nhóm: nguồn gốc chủng tộc hoặc dân tộc, quan điểm chính trị, tôn giáo hoặc triết học, đoàn viên công đoàn, dữ liệu di truyền, sinh trắc học nhằm nhận dạng, sức khỏe, đời sống và xu hướng tình dục, trừ khi có một trong các ngoại lệ (khoản 1, 2 Điều 9) | Danh mục theo Điều 4 Nghị định 356, rộng hơn ở một số nhóm: ngoài nhóm chủng tộc, dân tộc, chính trị, tôn giáo, sức khỏe, sinh trắc học, di truyền, đời sống tình dục còn có vị trí qua dịch vụ định vị, thông tin tài chính, tín dụng, ngân hàng, bảo hiểm, thông tin tài khoản định danh điện tử và hình ảnh thẻ căn cước, dữ liệu theo dõi hành vi trên không gian mạng, thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình và dữ liệu tội phạm, vi phạm do cơ quan thực thi pháp luật thu thập (điểm c, g khoản 1 Điều 4). Điều 4 không nêu riêng tư cách đoàn viên công đoàn và quan điểm triết học, nhưng có điểm m mở cho dữ liệu khác pháp luật yêu cầu giữ bí mật. Về cấu trúc, Luật 91 và Nghị định 356 không có quy định cấm xử lý kiểu khoản 1 Điều 9 GDPR mà đặt yêu cầu về đồng ý, phân quyền và bảo mật. Phải phân quyền truy cập, có quy trình và biện pháp bảo mật (khoản 2 Điều 4) và thông báo cho chủ thể đây là dữ liệu nhạy cảm khi xin đồng ý (khoản 4 Điều 6 Nghị định 356) |
| Quyền của chủ thể | Được thông tin, truy cập, sửa, xóa, hạn chế, di chuyển dữ liệu, phản đối, không bị quyết định hoàn toàn tự động (Điều 12 đến 22). Trả lời trong một tháng, gia hạn thêm tối đa hai tháng nếu cần (khoản 3 Điều 12) | Được biết; đồng ý hoặc rút đồng ý; xem, chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế, phản đối; khiếu nại, khởi kiện, yêu cầu bồi thường; yêu cầu thực hiện biện pháp bảo vệ (khoản 1 Điều 4 Luật 91). Điều 4 không liệt kê riêng quyền di chuyển dữ liệu theo định dạng máy đọc được hay quyền liên quan đến quyết định tự động. Phản hồi trong 02 ngày làm việc và thực hiện trong 10 ngày (xem, sửa, cung cấp), 15 ngày (rút đồng ý, hạn chế, phản đối), 20 ngày (xóa). Khi phải nhờ bên xử lý dữ liệu hoặc bên thứ ba thực hiện thì thời hạn dài hơn: 15 ngày (chỉnh sửa), 20 ngày (ngừng xử lý), 30 ngày (cung cấp, xóa, hạn chế). Được gia hạn một lần thêm tối đa 10, 15 hoặc 20 ngày tương ứng nhóm quyền, với điều kiện thông báo lý do và chứng minh được sự cần thiết (khoản 2 đến 4 Điều 5 Nghị định 356; cách phân nhóm giữa các khoản có chỗ chồng lấn, nên đối chiếu văn bản khi áp dụng) |
So sánh GDPR với Luật 91/2025/QH15 và nghị định hướng dẫn: DPO, đánh giá tác động, thông báo vi phạm, chuyển dữ liệu, cơ quan giám sát, mức phạt
| Nội dung | GDPR | Luật 91/2025 và văn bản hướng dẫn |
|---|---|---|
| DPO | Phải chỉ định DPO khi là cơ quan công quyền, hoặc hoạt động cốt lõi cần theo dõi thường xuyên, có hệ thống ở quy mô lớn, hoặc xử lý quy mô lớn dữ liệu nhạy cảm và dữ liệu tiền án, tiền sự (khoản 1 Điều 37). Luật Liên minh hoặc luật nước thành viên có thể yêu cầu chỉ định thêm (khoản 4 Điều 37). DPO có thể là nhân viên hoặc làm theo hợp đồng dịch vụ (khoản 6 Điều 37) | Không dùng tên DPO và không gắn với ngưỡng rủi ro: cơ quan, tổ chức chỉ định bộ phận, nhân sự đủ năng lực hoặc thuê tổ chức, cá nhân cung cấp dịch vụ (khoản 2 Điều 33 Luật 91). Nhân sự phải có trình độ cao đẳng trở lên, tối thiểu 02 năm kinh nghiệm trong các lĩnh vực liên quan và đã được đào tạo (khoản 2 Điều 13 Nghị định 356). Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện; doanh nghiệp nhỏ và khởi nghiệp được chọn thực hiện hoặc không trong 05 năm kể từ 01/01/2026. Hai nhóm này vẫn phải thực hiện nếu kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu từ khi đạt quy mô 100.000 chủ thể trở lên (khoản 2, 3 Điều 38 Luật 91; Điều 41 Nghị định 356) |
| Đánh giá tác động | Lập trước khi xử lý khi có khả năng rủi ro cao; bắt buộc ít nhất trong ba trường hợp nêu tại khoản 3 Điều 35 (danh sách không đóng) và theo danh sách của cơ quan giám sát (khoản 4 Điều 35) | Bên kiểm soát lập, lưu hồ sơ và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý; lập một lần cho suốt thời gian hoạt động và cập nhật theo Điều 22 (khoản 1, 2 Điều 21 Luật 91; khoản 4 Điều 19, Điều 20 Nghị định 356). Trong văn bản không có điều kiện "rủi ro cao" làm ngưỡng; ngoại lệ là cơ quan nhà nước (khoản 6 Điều 21) và các đối tượng được miễn hoặc được chọn ở Điều 38 |
| Thông báo vi phạm | Thông báo cho cơ quan giám sát không chậm trễ và nếu khả thi trong 72 giờ kể từ khi biết, trừ khi ít có khả năng gây rủi ro; nếu chậm phải nêu lý do (khoản 1 Điều 33). Thông báo cho chủ thể khi có khả năng rủi ro cao (khoản 1 Điều 34) | Thông báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể; lập biên bản xác nhận (khoản 1, 2 Điều 23 Luật 91). Thông báo chủ thể trong 72 giờ còn bắt buộc khi sự cố liên quan dữ liệu vị trí, sinh trắc học (khoản 1 Điều 29 Nghị định 356) hoặc lộ, mất dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng, khi đó phải báo cả cơ quan chuyên trách và chủ thể (khoản 3 Điều 8 Nghị định 356); điểm d khoản 1 Điều 27 Luật 91 cũng yêu cầu thông báo chủ thể khi lộ, mất thông tin tài khoản ngân hàng, tài chính, tín dụng. Điều 23 không có cơ chế nêu lý do chậm như khoản 1 Điều 33 GDPR |
| Chuyển dữ liệu ra nước ngoài | Chỉ được chuyển khi có quyết định tương thích (Điều 45), hoặc biện pháp bảo đảm thích hợp như điều khoản chuẩn, quy tắc doanh nghiệp ràng buộc (Điều 46), hoặc ngoại lệ ở Điều 49 | Mọi hoạt động thuộc khoản 1 Điều 20, kể cả dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam, phải lập hồ sơ đánh giá tác động chuyển dữ liệu và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên chuyển; lập một lần và cập nhật; cơ quan có thể yêu cầu ngừng chuyển (khoản 2, 3, 5 Điều 20 Luật 91). Hồ sơ gồm bản sao hợp đồng hoặc văn bản chuyển giao ràng buộc hai bên (điểm b khoản 2 Điều 18 Nghị định 356). Có các trường hợp không phải lập hồ sơ (khoản 6 Điều 20 Luật 91; khoản 3 Điều 17 Nghị định 356). Điều 38 chỉ nhắc Điều 21, 22 và khoản 2 Điều 33, không nhắc Điều 20, nên theo câu chữ không miễn hồ sơ chuyển dữ liệu cho doanh nghiệp nhỏ, siêu nhỏ; xem chuyển dữ liệu ra nước ngoài. Luật 91 và Nghị định 356 không có danh sách nước được công nhận hay điều khoản mẫu |
| Cơ quan giám sát | Một hoặc nhiều cơ quan công quyền độc lập ở mỗi nước thành viên (khoản 1 Điều 51) | Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (điểm a khoản 1 Điều 33 Luật 91; khoản 1 Điều 39 Nghị định 356) |
| Mức phạt | Tới 10 triệu euro hoặc 2% doanh thu toàn cầu năm trước, hoặc tới 20 triệu euro hoặc 4%, lấy mức cao hơn tùy nhóm vi phạm (khoản 4, 5 Điều 83) | Cơ sở thứ nhất (Luật 91): phạt hành chính tối đa với tổ chức là 3 tỷ đồng cho các hành vi vi phạm khác (khoản 5 Điều 8); mua bán dữ liệu tới 10 lần khoản thu (khoản 3); chuyển dữ liệu xuyên biên giới tới 5% doanh thu của năm trước liền kề của tổ chức đó (khoản 4). Với hai trường hợp sau, nếu không có khoản thu hoặc doanh thu, hoặc mức tính ra thấp hơn 3 tỷ đồng thì áp dụng mức tối đa 3 tỷ đồng. Cá nhân bằng một nửa (khoản 6 Điều 8 Luật 91; khoản 4 Điều 7 Nghị định 330). Cơ sở thứ hai (Nghị định 330, khoản 3 Điều 56): phạt 1% đến 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam, chỉ cho tổ chức chuyển dữ liệu không lập hồ sơ đánh giá tác động, che giấu hoặc khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu, hoặc tiếp tục chuyển sau lệnh ngừng; mức 1% đến 2%, 2% đến 3% hoặc 3% đến 5% tùy lộ, mất dữ liệu của từ 10.000, 100.000 hoặc 1.000.000 chủ thể là công dân Việt Nam trở lên (mức cao nhất cũng áp dụng khi tiếp tục chuyển sau lệnh ngừng gây tổn hại quốc phòng, an ninh quốc gia). Nếu không có doanh thu tại Việt Nam hoặc mức tính ra dưới 3 tỷ đồng thì áp khung cố định 200 triệu đến 3 tỷ đồng (khoản 4 Điều 56). Chúng tôi chưa thấy hướng dẫn chính thức về cách hai cơ sở tương tác. Lỗi hồ sơ và thông báo thường chịu khung hàng chục triệu đồng, xem mức phạt vi phạm dữ liệu cá nhân. Ngoài phạt hành chính còn có thể bị truy cứu trách nhiệm hình sự, bồi thường (khoản 1 Điều 8 Luật 91) |
Điểm khác nào giữa GDPR và Luật 91/2025 dễ gây rủi ro nhất?
Với doanh nghiệp đã quen GDPR, năm điểm sau thường gây nhầm khi chuyển sang Việt Nam. Với doanh nghiệp Việt Nam đang chuẩn bị bán sang EU, chiều ngược lại cũng đúng.
- Không có "lợi ích hợp pháp" làm căn cứ chung. Nhiều hoạt động ở EU như gửi email marketing cho khách hàng hiện hữu dựa vào điểm f khoản 1 Điều 6 GDPR. Tại Việt Nam, đồng ý là mặc định và các trường hợp không cần đồng ý được liệt kê tại khoản 1 Điều 19. Quy định gần nhất với lợi ích hợp pháp là điểm a khoản 1 Điều 19 (bảo vệ quyền hoặc lợi ích chính đáng một cách cần thiết trước hành vi xâm phạm, bên viện dẫn phải chứng minh); một số hoạt động như phòng chống gian lận có thể thuộc điểm a hoặc điểm b nhưng phải xét từng trường hợp. Xem thêm consent là gì và xử lý dữ liệu không cần consent.
- Hồ sơ nộp cho cơ quan nhà nước. GDPR đặt trách nhiệm giải trình lên bên kiểm soát (khoản 2 Điều 5); đánh giá tác động chỉ dẫn đến việc tham vấn cơ quan giám sát khi kết quả cho thấy vẫn còn rủi ro cao sau khi đã giảm thiểu (khoản 1 Điều 36), chứ không phải mọi hồ sơ đều nộp. Luật 91 yêu cầu gửi hồ sơ đánh giá tác động xử lý và hồ sơ chuyển dữ liệu xuyên biên giới cho cơ quan chuyên trách trong 60 ngày; xem DPIA là gì và chuyển dữ liệu ra nước ngoài.
- Thời hạn đáp ứng yêu cầu của chủ thể. Quy trình theo "một tháng" của GDPR có thể quá chậm so với hạn cơ bản 10, 15 hoặc 20 ngày của Nghị định 356, và phản hồi ban đầu trong 02 ngày làm việc. Khi phải nhờ bên xử lý dữ liệu hoặc bên thứ ba, hạn dài hơn (15, 20 hoặc 30 ngày) và có thể gia hạn một lần, nên tổng thời gian có thể vượt một tháng; hạn ngắn nhất vẫn nên là chuẩn nội bộ (khoản 2 đến 4 Điều 5).
- Ngưỡng thông báo vi phạm khác nhau. GDPR cho phép không thông báo nếu ít có khả năng gây rủi ro; Điều 23 Luật 91 gắn nghĩa vụ 72 giờ với các loại tổn hại cụ thể nhưng không có cơ chế nêu lý do chậm. Một sự cố có thể không phải thông báo ở EU vì ít có khả năng gây rủi ro mà vẫn cần được đánh giá theo khoản 1 và khoản 3 Điều 23 tại Việt Nam. Ngoài ra, dữ liệu vị trí, sinh trắc học hoặc dữ liệu nhạy cảm trong tài chính, ngân hàng, tín dụng có nghĩa vụ thông báo chủ thể trong 72 giờ riêng; xem data breach và quy tắc 72 giờ.
- DPO không có điều kiện kích hoạt theo quy mô rủi ro. Một công ty nhỏ ở EU có thể không cần DPO (trừ khi luật nước thành viên yêu cầu); tại Việt Nam nghĩa vụ chỉ định bộ phận, nhân sự hoặc thuê dịch vụ áp dụng cho cơ quan, tổ chức nói chung, trừ các đối tượng được miễn hoặc được chọn ở Điều 38. Xem DPO là gì.
Điểm tương đồng cũng cần nhìn thẳng: cả hai đều có khái niệm bên kiểm soát và bên xử lý (khoản 7, 8 Điều 2 Luật 91; khoản 7, 8 Điều 4 GDPR), đều đòi hợp đồng với bên xử lý (khoản 3 Điều 28 GDPR; khoản 1, 2 Điều 37 Luật 91), đều có thời hạn 72 giờ cho thông báo vi phạm với cơ quan, và đều đưa nguyên tắc mục đích, chính xác, lưu trữ hợp lý vào luật (Điều 5 GDPR; Điều 3 Luật 91, xem nguyên tắc bảo vệ dữ liệu cá nhân). Luật 91 còn có vai trò "bên kiểm soát và xử lý" (khoản 9 Điều 2) mà GDPR không có, trong khi GDPR có đồng kiểm soát (Điều 26) mà Luật 91 không quy định.
Doanh nghiệp phục vụ cả thị trường EU và Việt Nam nên làm gì?
Phần này là cách làm thực hành, không phải quy định pháp luật.
- Lập một bản đồ dữ liệu và một sổ ghi chép dùng chung. Ghi mục đích, loại dữ liệu, bên nhận, nơi lưu trữ, thời hạn lưu. Từ một bản đồ có thể rút ra hồ sơ đánh giá tác động theo Điều 19 Nghị định 356 và hồ sơ chuyển dữ liệu theo Điều 18 Nghị định 356, cũng như sổ ghi chép theo Điều 30 GDPR nếu thuộc diện; xem sổ ghi hoạt động xử lý (RoPA).
- Áp quy tắc chặt hơn cho từng vấn đề, không cho cả hệ thống. Ví dụ về đồng ý: lấy đồng ý theo từng mục đích, lưu nhật ký chứng minh, không dùng ô tích sẵn, để đáp ứng cả Điều 7 GDPR và Điều 9 Luật 91 cùng Điều 6 Nghị định 356. Về thời hạn trả lời chủ thể: dùng thời hạn ngắn hơn của Nghị định 356. Về thông báo vi phạm: tiêu chí kích hoạt kiểm tra từng văn bản riêng nhưng dùng chung một quy trình ứng cứu và một đồng hồ 72 giờ.
- Tách hai cơ chế chuyển dữ liệu. Dữ liệu từ EU sang Việt Nam cần công cụ theo Chương V GDPR, thực tế thường là điều khoản bảo vệ dữ liệu chuẩn (điểm c khoản 2 Điều 46), vì Việt Nam chưa có quyết định tương thích. Dữ liệu từ Việt Nam đi ra nước ngoài, kể cả về công ty mẹ ở EU hay lên nền tảng điện toán đám mây của nhà cung cấp nước ngoài, cần hồ sơ gửi cơ quan chuyên trách theo Điều 20 Luật 91. Hai cơ chế không thay thế nhau.
- Hợp đồng với nhà cung cấp. Dùng một mẫu thỏa thuận xử lý dữ liệu đáp ứng khoản 3 Điều 28 GDPR và Điều 37 Luật 91; xem hợp đồng xử lý dữ liệu (DPA).
- Một đầu mối, hai bộ điều kiện. Một người có thể đóng vai trò đầu mối cho cả hai hệ thống nếu đáp ứng điều kiện của Nghị định 356 (Điều 13) và, khi thuộc diện, điều kiện chuyên môn theo khoản 5 Điều 37 GDPR. Nhóm doanh nghiệp được phép chỉ định một DPO chung nếu DPO dễ tiếp cận từ mọi cơ sở (khoản 2 Điều 37 GDPR).
- Rà soát lại khi luật thay đổi. Luật 91 áp dụng từ 01/01/2026 và Nghị định 330/2026/NĐ-CP về xử phạt có hiệu lực từ 19/08/2026; GDPR cũng đang được Ủy ban châu Âu đề xuất sửa (gói Digital Omnibus công bố ngày 19/11/2025, có nội dung về ngưỡng và thời hạn thông báo vi phạm; chưa kiểm tra tình trạng thông qua tại ngày đăng bài). Nên đặt lịch rà soát định kỳ cả hai.
GDPR là gì với doanh nghiệp FDI có công ty mẹ ở EU?
Với công ty FDI tại Việt Nam có công ty mẹ hoặc đối tác ở EU, ba tình huống thường gặp:
- Công ty con tại Việt Nam thu thập dữ liệu khách hàng, nhân viên tại Việt Nam. Việc xử lý này thuộc Luật 91 vì Luật áp dụng cho tổ chức Việt Nam và tổ chức nước ngoài tại Việt Nam (điểm a, b khoản 2 Điều 1). Công ty mẹ ở EU có thể là bên kiểm soát hoặc bên nhận dữ liệu và chịu GDPR theo khoản 1 Điều 3 đối với phần xử lý trong hoạt động của mình tại EU. Ngược lại, tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan đến xử lý dữ liệu của công dân Việt Nam, kể cả công ty mẹ ở EU nhận dữ liệu nhân viên Việt Nam, cũng thuộc phạm vi Luật 91 (điểm c khoản 2 Điều 1).
- Gửi dữ liệu về công ty mẹ hoặc dùng hệ thống nhân sự đặt ở EU. Đây là chuyển dữ liệu xuyên biên giới theo điểm b hoặc c khoản 1 Điều 20 Luật 91. Dữ liệu người lao động có thể được miễn lập hồ sơ khi tổ chức lưu trữ dữ liệu người lao động của mình trên dịch vụ điện toán đám mây (điểm b khoản 6 Điều 20) hoặc khi chuyển để quản lý nhân sự xuyên biên giới theo nội quy, thỏa ước lao động (điểm d khoản 3 Điều 17 Nghị định 356), nhưng đây là ngoại lệ hẹp cần xét từng trường hợp, không phải miễn trừ chung cho mọi dữ liệu nhân sự.
- Khách hàng ở EU mua dịch vụ từ công ty Việt Nam. Cần xét Điều 3 GDPR như bảng trên và hợp đồng xử lý dữ liệu mà khách hàng yêu cầu (Điều 28 GDPR). Về phía Việt Nam, công ty là tổ chức Việt Nam nên theo cách đọc của LexData, hoạt động xử lý dữ liệu cá nhân của công ty trên lãnh thổ Việt Nam chịu Luật 91 (điểm a khoản 2 Điều 1, khoản 1 Điều 5), kể cả khi chủ thể là khách hàng ở EU. Chưa có hướng dẫn chính thức về cách áp dụng Điều 20 cho dữ liệu của người nước ngoài chỉ đi qua hệ thống tại Việt Nam.
Xem thêm doanh nghiệp FDI là gì về cách xác định tư cách nhà đầu tư nước ngoài, và dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân cho việc lập bản đồ dữ liệu và rà soát hợp đồng.
Checklist khi doanh nghiệp đối chiếu GDPR và Luật 91
Các bước 3 đến 10 liên quan đến GDPR chỉ áp dụng nếu bước 1 cho kết quả doanh nghiệp thuộc Điều 3 GDPR hoặc có đối tác EU yêu cầu theo hợp đồng; các bước theo Luật 91 áp dụng cho hoạt động thuộc phạm vi khoản 2 Điều 1 Luật 91.
- Xác định có thuộc Điều 3 GDPR không: có cơ sở tại EU, có chào bán cho người ở EU, có theo dõi hành vi tại EU; ghi lại kết luận và căn cứ.
- Nếu thuộc khoản 2 Điều 3, xem xét chỉ định đại diện tại EU (Điều 27) hoặc ghi nhận ngoại lệ đang dựa vào.
- Lập bản đồ dữ liệu: dữ liệu nào là nhạy cảm theo Điều 4 Nghị định 356, dữ liệu nào thuộc nhóm đặc biệt theo Điều 9 GDPR.
- Kiểm tra căn cứ xử lý từng hoạt động: tại Việt Nam có đồng ý hoặc ngoại lệ Điều 19 không; tại EU căn cứ nào trong Điều 6.
- Chuẩn hóa mẫu đồng ý theo từng mục đích, có nhật ký lưu trữ.
- Đặt quy trình trả lời chủ thể theo thời hạn ngắn nhất áp dụng (Điều 5 Nghị định 356).
- Lập hồ sơ đánh giá tác động xử lý ngay khi bắt đầu xử lý và, nếu có chuyển dữ liệu ra nước ngoài, hồ sơ chuyển dữ liệu trước hoặc trong thời gian chuyển (khoản 1 Điều 55, điểm a khoản 1 Điều 56 Nghị định 330); nộp bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý hoặc chuyển.
- Xác định công cụ chuyển dữ liệu từ EU sang Việt Nam theo Điều 46 GDPR.
- Thống nhất quy trình ứng cứu sự cố với đồng hồ 72 giờ cho cả hai hệ thống.
- Chỉ định bộ phận, nhân sự bảo vệ dữ liệu và kiểm tra điều kiện theo Điều 13 Nghị định 356; xét thêm DPO theo Điều 37 GDPR nếu thuộc diện.
Sai sót thường gặp
- Coi GDPR là nghĩa vụ mặc định tại Việt Nam, hoặc ngược lại cho rằng GDPR không bao giờ liên quan đến doanh nghiệp Việt Nam dù đang bán sang EU.
- Cho rằng đã có DPA và điều khoản chuẩn của EU là đủ để chuyển dữ liệu ra khỏi Việt Nam, trong khi Điều 20 Luật 91 còn yêu cầu hồ sơ gửi cơ quan chuyên trách.
- Dùng thời hạn một tháng của GDPR để trả lời yêu cầu của chủ thể tại Việt Nam, trong khi Nghị định 356 quy định hạn cơ bản 10 đến 20 ngày (15 đến 30 ngày khi phải nhờ bên xử lý hoặc bên thứ ba, có thể gia hạn một lần).
- Hiểu "khử nhận dạng" tại Việt Nam và "giả danh hóa" theo GDPR là một, trong khi dữ liệu đã giả danh hóa vẫn là dữ liệu cá nhân theo GDPR (khoản 5 Điều 4 và cân nhắc 26), còn dữ liệu đã khử nhận dạng tại Việt Nam không còn là dữ liệu cá nhân (khoản 1 Điều 2 Luật 91).
- So sánh hai mức phạt bằng một con số, bỏ qua việc GDPR tính theo doanh thu toàn cầu, Luật 91 theo doanh thu năm trước liền kề của tổ chức (văn bản không giới hạn ở doanh thu tại Việt Nam) với trần 3 tỷ đồng cho hành vi thông thường, còn Nghị định 330 tính theo doanh thu năm tài chính liền trước tại thị trường Việt Nam cho ba nhóm hành vi chuyển dữ liệu nghiêm trọng; phần lớn lỗi hồ sơ chỉ chịu mức hàng chục triệu đồng.
Nhận định từ Luật sư Hồ Thị Hà Nhi
"Câu hỏi thường gặp là công ty đã làm GDPR thì Luật 91 có xong chưa. Câu trả lời là chưa, vì hai khung pháp lý chia sẻ nhiều khái niệm nhưng khác ở những chỗ có hậu quả thực tế, như hồ sơ nộp cho cơ quan chuyên trách, thời hạn trả lời chủ thể và căn cứ xử lý không cần đồng ý. Cách làm hợp lý là lập một bản đồ dữ liệu, rồi với từng vấn đề lấy quy tắc chặt hơn làm chuẩn nội bộ. Đồng thời cần xác định sớm, bằng văn bản, mình có thuộc Điều 3 GDPR hay không, vì kết luận đó quyết định cả phần việc phải làm ở EU."
Câu hỏi thường gặp (FAQ)
GDPR là gì, nói đơn giản?
GDPR (General Data Protection Regulation) là Quy định (EU) 2016/679, văn bản chung của Liên minh châu Âu về bảo vệ dữ liệu cá nhân, áp dụng từ 25/05/2018 (Điều 99). Quy định đặt ra nguyên tắc xử lý (Điều 5), các căn cứ hợp pháp (Điều 6), quyền của chủ thể dữ liệu (Điều 12 đến 22), nghĩa vụ của bên kiểm soát và bên xử lý, quy tắc chuyển dữ liệu ra ngoài EU (Điều 44 đến 49) và mức phạt tối đa tới 20 triệu euro hoặc 4% doanh thu toàn cầu (khoản 5 Điều 83). GDPR là luật của EU, không phải luật Việt Nam.
GDPR là gì với một công ty Việt Nam, có phải tuân thủ không?
Không mặc định. Chỉ khi thuộc Điều 3 GDPR: (1) có cơ sở tại EU và việc xử lý diễn ra trong hoạt động của cơ sở đó; hoặc (2) không có cơ sở tại EU nhưng xử lý dữ liệu của người đang ở EU liên quan đến chào bán hàng hóa, dịch vụ cho họ, dù có thu tiền hay không, hoặc theo dõi hành vi của họ diễn ra tại EU. Việc đánh giá phải theo từng hoạt động cụ thể. Nếu không thuộc Điều 3, nghĩa vụ tại Việt Nam chỉ là Luật 91/2025 và các nghị định hướng dẫn. Doanh nghiệp vẫn có thể phải theo các điều khoản hợp đồng với đối tác EU, đó là nghĩa vụ hợp đồng chứ không phải nghĩa vụ luật định.
GDPR là gì so với Luật 91/2025, tuân thủ Luật 91 có coi như đã tuân thủ GDPR không?
Không. Hai văn bản có cấu trúc khác nhau nên phải đối chiếu từng vấn đề. Ví dụ GDPR cho phép dựa vào lợi ích hợp pháp (điểm f khoản 1 Điều 6) còn Luật 91 không có căn cứ chung tương đương; GDPR yêu cầu DPO theo ba trường hợp tại khoản 1 Điều 37 (luật Liên minh hoặc luật nước thành viên có thể yêu cầu thêm, khoản 4 Điều 37) còn Luật 91 yêu cầu chỉ định bộ phận, nhân sự hoặc thuê dịch vụ theo khoản 2 Điều 33; GDPR đòi đánh giá tác động khi có rủi ro cao (Điều 35) còn Luật 91 đòi lập và nộp hồ sơ theo Điều 21 cho đối tượng không được miễn. Ngược lại, tuân thủ GDPR cũng không thay thế hồ sơ nộp cho cơ quan chuyên trách tại Việt Nam.
Mức phạt GDPR so với mức phạt tại Việt Nam thế nào?
GDPR cho phép phạt tới 10 triệu euro hoặc 2% doanh thu toàn cầu năm trước (nghĩa vụ của bên kiểm soát, bên xử lý tại các Điều 8, 11, 25 đến 39, 42, 43, trong đó có đánh giá tác động, DPO, thông báo vi phạm), hoặc tới 20 triệu euro hoặc 4% (nguyên tắc xử lý, đồng ý, quyền của chủ thể, chuyển dữ liệu ra ngoài EU tại các Điều 5, 6, 7, 9, 12 đến 22, 44 đến 49), lấy mức cao hơn; phần trăm doanh thu chỉ áp dụng với doanh nghiệp (khoản 4, 5 Điều 83). Tại Việt Nam, Luật 91 đặt mức phạt hành chính tối đa với tổ chức là 3 tỷ đồng cho các hành vi thông thường (khoản 5 Điều 8), 10 lần khoản thu với mua bán dữ liệu (khoản 3) và 5% doanh thu của năm trước liền kề của tổ chức với vi phạm chuyển dữ liệu xuyên biên giới (khoản 4); nếu không có khoản thu hoặc doanh thu, hoặc mức tính ra thấp hơn 3 tỷ đồng, thì áp dụng mức tối đa 3 tỷ đồng. Nghị định 330/2026/NĐ-CP (khoản 3, 4 Điều 56) có thêm một cơ sở riêng: phạt 1% đến 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam, chỉ cho hành vi chuyển dữ liệu không lập hồ sơ đánh giá tác động, che giấu hoặc khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu, hoặc tiếp tục chuyển sau lệnh ngừng, và chỉ khi lộ, mất dữ liệu của từ 10.000 chủ thể là công dân Việt Nam trở lên; nếu không có doanh thu tại Việt Nam hoặc mức tính ra dưới 3 tỷ đồng thì áp khung cố định 200 triệu đến 3 tỷ đồng. Phần lớn lỗi hồ sơ và thông báo chịu khung hàng chục triệu đồng, ví dụ 20 đến 30 triệu đồng cho hồ sơ đánh giá tác động (khoản 1 Điều 55), 30 đến 50 triệu đồng cho hồ sơ chuyển dữ liệu (khoản 1 Điều 56), 40 đến 60 triệu đồng cho thông báo vi phạm chậm hơn 72 giờ (khoản 3 Điều 54 Nghị định 330). Chúng tôi chưa thấy hướng dẫn chính thức về cách hai cơ sở tính doanh thu của Luật 91 và Nghị định 330 tương tác với nhau. Hai hệ thống tính khác nhau nên không so sánh trực tiếp một con số.
Dữ liệu cá nhân từ EU chuyển về Việt Nam cần điều kiện gì?
Về phía GDPR, việc chuyển dữ liệu sang nước thứ ba chỉ được thực hiện theo Chương V (Điều 44 đến 49): có quyết định tương thích (Điều 45), hoặc có biện pháp bảo đảm thích hợp như điều khoản bảo vệ dữ liệu chuẩn hay quy tắc doanh nghiệp ràng buộc (Điều 46), hoặc thuộc một ngoại lệ tại Điều 49. Theo danh sách của Ủy ban châu Âu mà LexData tra cứu ngày 03/10/2026, Việt Nam chưa có quyết định tương thích. Bên nhận tại Việt Nam sau đó vẫn phải tuân thủ Luật 91/2025 đối với dữ liệu xử lý trong lãnh thổ Việt Nam.
Website bán hàng cho khách châu Âu có phải chỉ định đại diện tại EU không?
Nếu hoạt động thuộc khoản 2 Điều 3 GDPR thì phải chỉ định bằng văn bản một đại diện tại EU, trừ khi xử lý chỉ thỉnh thoảng, không xử lý quy mô lớn dữ liệu nhạy cảm hay dữ liệu tiền án, tiền sự và ít có khả năng gây rủi ro cho quyền, tự do của cá nhân, hoặc bên đó là cơ quan công quyền (khoản 1, 2 Điều 27). Cân nhắc 23 nêu các dấu hiệu cho thấy ý định chào bán cho người ở EU, như dùng ngôn ngữ hoặc đồng tiền của một nước thành viên và cho đặt hàng, hoặc nhắc đến khách hàng ở EU; chỉ truy cập được website hoặc có email liên hệ thì chưa đủ.
Nội dung bài viết được rà soát và kiểm chứng tính chuẩn xác pháp lý theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và các văn bản quy phạm pháp luật hiện hành.
Xem hồ sơ năng lực chuyên gia & đội ngũ LexDataKhám phá chuyên sâu & Giải pháp từ LexData
Dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân cho doanh nghiệp
Đồng hành cùng luật sư LexData thực hiện trọn gói thủ tục và hồ sơ cho doanh nghiệp.
Tìm hiểu dịch vụ