Bảo vệ dữ liệu cá nhân ngành SaaS: nhà cung cấp phần mềm, ứng dụng và nền tảng đám mây

1. Ai phải tuân thủ bảo vệ dữ liệu cá nhân ngành SaaS?

Bảo vệ dữ liệu cá nhân ngành SaaS áp dụng cho mọi doanh nghiệp cung cấp phần mềm, ứng dụng mà dữ liệu cá nhân của người dùng nằm trên hạ tầng do doanh nghiệp vận hành:

• SaaS B2B: CRM, HRM, tính lương, kế toán, tổng đài, quản lý phòng khám, trường học.
• Ứng dụng B2C: học tập, sức khỏe, tài chính cá nhân, đặt lịch, cộng đồng có tài khoản người dùng.
• Nền tảng API: gửi email, SMS, OTP, định danh, lưu trữ tệp, API mô hình AI.
• Gia công phần mềm: khi vận hành hoặc hỗ trợ hệ thống chứa dữ liệu thật của khách hàng.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 áp dụng cả với tổ chức nước ngoài trực tiếp tham gia xử lý dữ liệu cá nhân của công dân Việt Nam (điểm c khoản 2 Điều 1). Công ty SaaS đặt trụ sở ở Singapore bán cho doanh nghiệp Việt Nam vẫn thuộc phạm vi này.

Điểm riêng của bảo vệ dữ liệu cá nhân ngành SaaS: một nền tảng giữ dữ liệu của hàng trăm khách hàng cùng lúc, nên một lỗi phân quyền giữa các tenant có thể làm lộ dữ liệu của nhiều công ty.

2. Nhà cung cấp SaaS là bên xử lý dữ liệu hay bên kiểm soát?

Cả hai, tùy luồng dữ liệu. Khoản 7, 8, 9 Điều 2 Luật 91 phân biệt bên kiểm soát (quyết định mục đích và phương tiện), bên xử lý dữ liệu (xử lý theo yêu cầu của bên kiểm soát thông qua hợp đồng) và bên kiểm soát và xử lý.

Là bên xử lý dữ liệu, doanh nghiệp chỉ tiếp nhận dữ liệu sau khi có hợp đồng, xử lý đúng hợp đồng, thực hiện đủ biện pháp bảo vệ, chịu trách nhiệm trước bên kiểm soát về thiệt hại và ngăn chặn thu thập trái phép từ hệ thống của mình (điểm a–đ khoản 2 Điều 37 Luật 91/2025/QH15). Với dữ liệu tự kiểm soát, doanh nghiệp làm đủ trách nhiệm của cả hai vai trò (khoản 3 Điều 37). Vì vậy, trong bảo vệ dữ liệu cá nhân ngành SaaS, chính sách quyền riêng tư trên website chỉ nói về dữ liệu doanh nghiệp tự kiểm soát; dữ liệu khách hàng được điều chỉnh bằng hợp đồng. Xem cẩm nang bên kiểm soát và bên xử lý dữ liệu.

3. Hợp đồng xử lý dữ liệu trong bảo vệ dữ liệu cá nhân ngành SaaS

Điều khoản dịch vụ chấp nhận bằng một cú nhấp chuột thường không đủ. Chuyển giao dữ liệu cho bên xử lý phải có thỏa thuận nêu rõ bảy nội dung tại khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP: mục đích; chủ thể và loại dữ liệu; thời hạn xử lý và yêu cầu xóa, hủy; cơ sở pháp lý; trách nhiệm bảo vệ dữ liệu; trách nhiệm thực hiện quyền chủ thể; trách nhiệm phối hợp khi phát hiện vi phạm.

Vì SaaS chạy trên điện toán đám mây, hợp đồng nên đáp ứng thêm khoản 2 Điều 12 Nghị định 356: chấp hành pháp luật Việt Nam, xác định luồng xử lý và vai trò các bên, biện pháp bảo mật, thông báo ngay khi có thay đổi ảnh hưởng tới dữ liệu, phân cấp quyền truy cập.

Hợp đồng xử lý dữ liệu còn là thành phần bắt buộc của hồ sơ DPIA (điểm b khoản 2 Điều 19 Nghị định 356) và hồ sơ chuyển dữ liệu xuyên biên giới (điểm b khoản 2 Điều 18). Thỏa thuận thiếu điều khoản về trách nhiệm bảo vệ dữ liệu, quyền chủ thể hoặc phối hợp khi vi phạm bị phạt 20–30 triệu đồng (khoản 1 Điều 52 Nghị định 330/2026/NĐ-CP). Xem cẩm nang hợp đồng xử lý dữ liệu DPA và bài phụ lục DPA với nhà cung cấp SaaS quốc tế, viết từ phía doanh nghiệp đi mua dịch vụ.

4. Doanh nghiệp SaaS có phải "kinh doanh dịch vụ xử lý dữ liệu cá nhân" không?

Đây là câu hỏi quan trọng nhất của bảo vệ dữ liệu cá nhân ngành SaaS, vì nó quyết định giấy chứng nhận, nhân sự và quyền hưởng ưu đãi cho doanh nghiệp nhỏ.

Luật 91 giao Chính phủ quy định về dịch vụ xử lý dữ liệu cá nhân (khoản 3 Điều 33). Điều 21 Nghị định 356 liệt kê 9 loại; gần với SaaS nhất là vận hành hệ thống, phần mềm tự động để thay mặt bên kiểm soát xử lý dữ liệu cá nhân (khoản 1), thu thập dữ liệu trực tuyến qua ứng dụng (khoản 3), phân tích dữ liệu để dự đoán hành vi (khoản 6) và xử lý tự động bằng trí tuệ nhân tạo (khoản 8).

Theo cách đọc của LexData, phép thử là: doanh nghiệp có vận hành hệ thống xử lý dữ liệu thay mặt khách hàng như một hoạt động kinh doanh không. SaaS lưu dữ liệu khách hàng trên hạ tầng do mình quản lý thường trả lời "có". Phần mềm bán bản quyền để khách hàng tự cài, nhà cung cấp không truy cập dữ liệu, khó xếp vào khoản 1. Mô hình lai chưa có hướng dẫn chính thức; nên lưu lập luận và hỏi ý kiến Cục A05 khi chưa chắc chắn.

Điều kiện (Điều 22 Nghị định 356): doanh nghiệp thành lập theo pháp luật Việt Nam; người phụ trách chuyên môn là công dân Việt Nam thường trú tại Việt Nam; tối thiểu 03 nhân sự đủ điều kiện năng lực; hạ tầng phù hợp; hồ sơ DPIA và hồ sơ chuyển dữ liệu xuyên biên giới (nếu có) đạt yêu cầu. Giấy chứng nhận do Bộ Công an cấp (Điều 24). Doanh nghiệp được cấp phải có khung quản trị rủi ro, đánh giá tuân thủ hằng năm và yêu cầu bên kiểm soát xin sự đồng ý của chủ thể trước khi cung cấp dịch vụ (khoản 2, 3, 7 Điều 23).

Mức phạt (Điều 59 Nghị định 330/2026): 50–80 triệu đồng khi kinh doanh chưa có Giấy chứng nhận (điểm a khoản 3); 80–100 triệu đồng khi tiếp tục kinh doanh sau khi bị thu hồi (khoản 4).

Lưu ý thực tiễn: theo ghi nhận của LexData, đến ngày 25/09/2026 Bộ Công an chưa tiếp nhận hồ sơ cấp Giấy chứng nhận trên thực tế. Doanh nghiệp nên chuẩn bị sẵn điều kiện, lưu bằng chứng và theo dõi thông báo; chi tiết xem cẩm nang dịch vụ xử lý dữ liệu cá nhân.

5. Startup SaaS có được hưởng lựa chọn 05 năm về DPIA và DPO không?

Ưu đãi cho doanh nghiệp nhỏ là điểm hay bị hiểu sai nhất trong bảo vệ dữ liệu cá nhân ngành SaaS. Khoản 2 Điều 38 Luật 91/2025/QH15 cho doanh nghiệp nhỏ, khởi nghiệp lựa chọn không thực hiện Điều 21 (DPIA), Điều 22 (cập nhật hồ sơ) và khoản 2 Điều 33 (nhân sự bảo vệ dữ liệu) trong 05 năm từ 01/01/2026, trừ doanh nghiệp:

1. Kinh doanh dịch vụ xử lý dữ liệu cá nhân. Nếu SaaS thuộc Điều 21 Nghị định 356 như mục 4, startup bị loại ngay, dù chỉ có vài khách hàng.
2. Trực tiếp xử lý dữ liệu nhạy cảm. Khoản 1 Điều 4 Nghị định 356 xếp vào nhóm này cả thông tin thẻ ngân hàng (điểm k) và dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng (điểm l). Ứng dụng B2C gắn công cụ theo dõi hành vi có thể đã chạm điểm l.
3. Xử lý dữ liệu của số lượng lớn chủ thể: từ 100.000 chủ thể tích lũy (khoản 1 Điều 41 Nghị định 356). Với SaaS B2B, người dùng cuối của khách hàng cũng được tính, nên ngưỡng này đạt rất nhanh.

Lựa chọn chỉ áp dụng cho ba quy định trên; hợp đồng xử lý dữ liệu, hồ sơ chuyển dữ liệu xuyên biên giới, thông báo vi phạm và quyền chủ thể vẫn bắt buộc. Bài tuân thủ PDPD cho startup và SaaS gợi ý thứ tự triển khai; xem thêm DPIA là gì và DPO có bắt buộc không.

6. Điện toán đám mây trong bảo vệ dữ liệu cá nhân ngành SaaS: dữ liệu đặt ở nước ngoài

Quy định riêng. Điều 30 Luật 91 yêu cầu biện pháp xác thực, định danh, phân quyền phù hợp cho dữ liệu trên điện toán đám mây (khoản 3). Điều 12 Nghị định 356 yêu cầu mã hóa dữ liệu ở trạng thái nghỉ và khi truyền (khoản 4); nhà cung cấp dịch vụ đám mây phải yêu cầu nhà thầu phụ thực hiện nghĩa vụ bảo vệ dữ liệu và đánh giá tuân thủ hằng năm (khoản 3). Nghị định không định nghĩa nhà cung cấp dịch vụ đám mây; vì SaaS thường được xếp vào mô hình dịch vụ đám mây, LexData khuyến nghị áp dụng khoản 3 cho chính mình. Không mã hóa, không phân quyền nghiêm ngặt bị phạt 50–70 triệu đồng; không ràng buộc nhà thầu phụ bị phạt 20–50 triệu đồng (khoản 2, khoản 1 Điều 69 Nghị định 330).

Vùng máy chủ ở nước ngoài. Điểm a khoản 1 Điều 17 Nghị định 356 coi việc lưu dữ liệu thu thập tại Việt Nam trên cloud của nhà cung cấp ở nước ngoài là chuyển dữ liệu xuyên biên giới, áp dụng cho cả bên kiểm soát và bên xử lý. Cần rà soát vùng lưu trữ, bản sao lưu, nhà xử lý phụ (email, SMS, API AI) và kỹ sư ở nước ngoài có quyền truy cập. Hồ sơ gửi Cục A05 trong 60 ngày (khoản 2 Điều 20 Luật 91), mô tả cả việc bên nhận chuyển tiếp dữ liệu cho bên thứ ba (điểm g khoản 3 Điều 18 Nghị định 356). Xem cẩm nang chuyển dữ liệu ra nước ngoài và bài lưu dữ liệu trên cloud có cần tuân thủ luật.

Ngoại lệ không bao trùm SaaS. Khoản 6 Điều 20 Luật 91 chỉ miễn hồ sơ cho cơ quan nhà nước, tổ chức lưu dữ liệu người lao động của chính mình trên đám mây và chủ thể tự chuyển dữ liệu của mình; khoản 3 Điều 17 Nghị định 356 bổ sung một số trường hợp như báo chí, khẩn cấp, quản lý nhân sự xuyên biên giới. Dữ liệu khách hàng trên cloud nước ngoài không thuộc trường hợp nào.

Mức phạt (Điều 56 Nghị định 330): 30–50 triệu đồng khi không lập, không nộp hồ sơ (khoản 1); 50–100 triệu đồng khi không có hợp đồng ràng buộc bên nhận hoặc không có biện pháp bảo mật (khoản 2); 1–5% doanh thu tại thị trường Việt Nam năm tài chính liền trước nếu vi phạm dẫn đến lộ, mất dữ liệu từ 10.000 chủ thể trở lên (khoản 3).

7. Lưu trữ dữ liệu tại Việt Nam trong bảo vệ dữ liệu cá nhân ngành SaaS

Từ 01/07/2026, Luật An ninh mạng số 116/2025/QH15 có hiệu lực và Luật An ninh mạng số 24/2018/QH14 hết hiệu lực (Điều 44). Khoản 3 Điều 25 Luật 116/2025 yêu cầu doanh nghiệp trong nước và nước ngoài cung cấp dịch vụ trên mạng viễn thông, Internet, dịch vụ gia tăng trên không gian mạng tại Việt Nam, có xử lý thông tin cá nhân và dữ liệu do người dùng tại Việt Nam tạo ra, lưu trữ dữ liệu này tại Việt Nam; doanh nghiệp nước ngoài thuộc diện phải đặt chi nhánh hoặc văn phòng đại diện. Nghị định 333/2026/NĐ-CP hướng dẫn:

• Dữ liệu phải lưu: thông tin cá nhân của người dùng tại Việt Nam; tên tài khoản, thời gian sử dụng, thông tin thẻ tín dụng, email, IP đăng nhập gần nhất, số điện thoại gắn với tài khoản (khoản 1 Điều 19). Doanh nghiệp trong nước lưu các dữ liệu này tại Việt Nam (khoản 2).
• Doanh nghiệp nước ngoài trong các lĩnh vực được liệt kê, gồm lưu trữ, chia sẻ dữ liệu trên không gian mạng và ứng dụng trực tuyến, chỉ phải lưu trữ và đặt chi nhánh khi dịch vụ bị dùng để vi phạm pháp luật về an ninh mạng, doanh nghiệp không khắc phục sau khi được yêu cầu và Bộ trưởng Bộ Công an ra quyết định; thời hạn hoàn thành là 12 tháng (khoản 3, 6 Điều 19).
• Thời hạn lưu: dữ liệu tối thiểu 24 tháng; nhật ký hệ thống tối thiểu 12 tháng (khoản 1, 3 Điều 20).

Luật chưa định nghĩa "dịch vụ gia tăng trên không gian mạng", nên phần mềm B2B chỉ dùng nội bộ doanh nghiệp có thuộc diện hay không cần xét theo từng sản phẩm; ứng dụng B2C có tài khoản người dùng tại Việt Nam là trường hợp rõ hơn. Lưu một bản tại Việt Nam không miễn hồ sơ chuyển dữ liệu xuyên biên giới nếu dữ liệu đồng thời được xử lý ở nước ngoài. Phân tích đầy đủ, gồm cách áp dụng với công ty có vốn đầu tư nước ngoài, có tại bài lưu trữ dữ liệu tại Việt Nam.

Mức phạt (Điều 33 Nghị định 330): 30–50 triệu đồng khi không lưu trữ dữ liệu, không thực hiện quyết định lưu trữ, đặt chi nhánh, hoặc không lưu đủ thời gian nhật ký hệ thống. Đây là mức cho cá nhân; tổ chức bị phạt gấp đôi (khoản 1 Điều 7), và có thể bị buộc ngừng cung cấp dịch vụ viễn thông, Internet tại Việt Nam.

8. Bảo mật đa khách hàng, đội hỗ trợ và thông báo vi phạm 72 giờ

Quyền truy cập nội bộ. Bên xử lý phải thực hiện đầy đủ biện pháp bảo vệ và ngăn chặn thu thập trái phép từ hệ thống của mình (điểm c, đ khoản 2 Điều 37 Luật 91). Với bảo vệ dữ liệu cá nhân ngành SaaS, điều đó nghĩa là cô lập dữ liệu giữa các tenant; nhân viên hỗ trợ chỉ truy cập khi có phiếu yêu cầu, có thời hạn, có nhật ký; không đưa dữ liệu thật sang môi trường thử nghiệm.

Thông báo vi phạm. Theo khoản 1 Điều 23 Luật 91, bên kiểm soát thông báo Cục A05 chậm nhất 72 giờ khi vi phạm có thể gây tổn hại; bên xử lý phải thông báo kịp thời cho bên kiểm soát. Luật không ấn định số giờ cho bên xử lý, nên hợp đồng nên ghi thời hạn cụ thể để khách hàng có đủ thông tin theo khoản 1 Điều 28 Nghị định 356. Bên xử lý không thông báo kịp thời bị phạt 10–20 triệu đồng; bên kiểm soát thông báo chậm hơn 72 giờ bị phạt 40–60 triệu đồng (điểm a khoản 1, khoản 3 Điều 54 Nghị định 330). Xem quy tắc 72 giờ.

Quyền chủ thể và kết thúc hợp đồng. Khách hàng có 20 ngày để xóa dữ liệu theo yêu cầu, kéo dài tới 30 ngày khi cần bên xử lý thực hiện (khoản 4 Điều 5 Nghị định 356); bên xử lý không làm đúng thời hạn bên kiểm soát đặt ra bị phạt 20–30 triệu đồng (khoản 2 Điều 44 Nghị định 330). Khi hợp đồng kết thúc, việc xóa phải bằng biện pháp an toàn, ngăn khôi phục trái phép (khoản 3 Điều 14 Luật 91), kể cả bản sao lưu.

9. Tính năng AI, analytics và quảng cáo trong sản phẩm SaaS

AI. Đây là rủi ro mới nhất của bảo vệ dữ liệu cá nhân ngành SaaS. Khoản 4 Điều 30 Luật 91 yêu cầu phân loại việc xử lý dữ liệu bằng trí tuệ nhân tạo theo mức độ rủi ro. Điều 10 Nghị định 356 cho phép dùng dữ liệu cá nhân để phát triển hệ thống AI nếu tuân thủ quy định (khoản 1), yêu cầu bên kiểm soát giải thích nguyên tắc thuật toán và cho chủ thể từ chối xử lý tự động (khoản 3). Dùng dữ liệu khách hàng để huấn luyện mô hình chung cần điều khoản riêng; nếu không, đó là xử lý ngoài phạm vi hợp đồng. Không giải thích thuật toán, không phân loại rủi ro bị phạt 50–70 triệu đồng (khoản 2 Điều 67 Nghị định 330). Gửi dữ liệu tới API mô hình ở nước ngoài làm phát sinh nhà xử lý phụ và hồ sơ chuyển dữ liệu; xem bài tích hợp GenAI chatbot qua cloud API và ứng dụng AI và bảo vệ dữ liệu cá nhân.

Analytics và quảng cáo. Dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng là dữ liệu nhạy cảm (điểm l khoản 1 Điều 4 Nghị định 356). Phân tích hành vi ở quy mô lớn, từ nhiều nguồn là xử lý dữ liệu lớn theo Điều 9 Nghị định 356, cần xác thực đa yếu tố và giám sát truy cập. Dùng dữ liệu theo dõi để quảng cáo theo hành vi chỉ được thực hiện khi có sự đồng ý (điểm a khoản 8 Điều 28 Luật 91); vi phạm bị phạt 50–70 triệu đồng (điểm c khoản 2 Điều 63 Nghị định 330).

10. Năm rủi ro thường gặp khi bảo vệ dữ liệu cá nhân ngành SaaS

LexData gặp các tình huống sau nhiều nhất khi rà soát bảo vệ dữ liệu cá nhân ngành SaaS:

• Chỉ có điều khoản dịch vụ, không có hợp đồng xử lý dữ liệu. Khách hàng dùng thử bằng dữ liệu thật rồi lên gói trả phí mà không ký DPA.
• Không biết mình thuộc diện kinh doanh dịch vụ xử lý dữ liệu. Startup chỉ biết ưu đãi 05 năm, nên vừa thiếu Giấy chứng nhận vừa thiếu DPIA.
• Nhà xử lý phụ không được kiểm soát. Thêm dịch vụ email, công cụ ghi lỗi, API AI mà hồ sơ chuyển dữ liệu không được cập nhật định kỳ 06 tháng (Điều 20 Nghị định 356).
• Tài khoản "super admin" dùng chung, không nhật ký, không giới hạn thời gian.
• Bản sao lưu vô thời hạn của khách hàng đã rời đi; lưu trữ vượt thời gian cần thiết bị phạt 20–40 triệu đồng (điểm c khoản 1 Điều 39 Nghị định 330).

11. Bảng nghĩa vụ bảo vệ dữ liệu cá nhân ngành SaaS và mức phạt

Mức phạt dưới đây áp dụng với tổ chức; cá nhân chịu một nửa (khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP). Riêng Điều 33 thuộc lĩnh vực an ninh mạng, khung ghi trong nghị định là mức cho cá nhân và tổ chức bị phạt gấp đôi.

12. Bảo vệ dữ liệu cá nhân ngành SaaS cho doanh nghiệp FDI và nhà cung cấp nước ngoài

Nhà cung cấp SaaS nước ngoài bán cho khách hàng Việt Nam thuộc phạm vi Luật 91 (điểm c khoản 2 Điều 1) và Nghị định 330 (điểm đ khoản 2 Điều 2). Ba điểm khác chuẩn GDPR:

• Hồ sơ nộp cho cơ quan quản lý. DPIA và hồ sơ chuyển dữ liệu xuyên biên giới đều gửi Cục A05; không có cơ chế "quốc gia đủ mức bảo vệ" để miễn hồ sơ.
• Pháp nhân Việt Nam. Giấy chứng nhận kinh doanh dịch vụ xử lý dữ liệu chỉ cấp cho tổ chức thành lập theo pháp luật Việt Nam (khoản 1 Điều 22 Nghị định 356).
• Lưu trữ dữ liệu, chi nhánh. Chỉ phát sinh khi có quyết định của Bộ trưởng Bộ Công an, nhưng kiến trúc nên sẵn sàng tách vùng dữ liệu Việt Nam trong 12 tháng.

LexData hỗ trợ lập hồ sơ đánh giá tác động và chuyển dữ liệu xuyên biên giới và tư vấn tuân thủ bảo vệ dữ liệu cá nhân cho doanh nghiệp phần mềm trong và ngoài nước.