PDPA tương đương trong tiếng Trung là gì?
Tại Trung Quốc đại lục, luật bảo vệ dữ liệu cá nhân tương đương PDPA là 个人信息保护法 (Gèrén Xìnxī Bǎohù Fǎ), viết tắt là PIPL, có hiệu lực từ ngày 1/11/2021. Tại Đài Loan, luật tương đương là 個人資料保護法 (Gèrén Zīliào Bǎohù Fǎ — PDPA).
Thuật ngữ liên quan bằng tiếng Trung
- 个人信息 (gèrén xìnxī): Thông tin cá nhân (personal information)
- 个人信息处理者 (chǔlǐ zhě): Đơn vị xử lý dữ liệu
- 敏感个人信息 (mǐngǎn gèrén xìnxī): Thông tin cá nhân nhạy cảm
- 同意 (tóngyì): Sự đồng ý (consent)
- 数据跨境传输 (shùjù kuàjìng chuánshū): Chuyển dữ liệu xuyên biên giới
- 国家互联网信息办公室 (CAC): Cơ quan quản lý không gian mạng Trung Quốc
PIPL của Trung Quốc có phạm vi áp dụng ngoài lãnh thổ, tức là áp dụng cho các doanh nghiệp SME Việt Nam xử lý dữ liệu của người dùng tại Trung Quốc.
Điểm khác biệt chính giữa PIPL (Trung Quốc) và PDPA các nước khác
PIPL có một số điểm khác biệt đáng chú ý so với PDPA của Singapore hay các luật bảo vệ dữ liệu phương Tây mà SME Việt Nam thường tham chiếu khi giao thương:
- Phạm vi ngoài lãnh thổ (extraterritorial scope): PIPL áp dụng cho mọi tổ chức, cá nhân xử lý thông tin cá nhân của người có quốc tịch Trung Quốc hoặc tại Trung Quốc, bất kể tổ chức đó đặt trụ sở ở đâu. Một SME Việt Nam xuất khẩu hàng sang Trung Quốc và thu thập email, số điện thoại của khách hàng Trung Quốc đều có thể nằm trong phạm vi điều chỉnh.
- Yêu cầu đồng ý (同意) riêng biệt cho thông tin nhạy cảm: Ảnh chụp CMND, dữ liệu sinh trắc học, thông tin tài chính cá nhân, vị trí chính xác… đều được phân loại là 敏感个人信息. Người dùng phải được đồng ý riêng (单独同意), không gộp chung trong điều khoản chung.
- Đánh giá tác động bảo vệ thông tin cá nhân (PIPIA / PIA): Khi xử lý dữ liệu nhạy cảm hoặc chuyển dữ liệu ra nước ngoài, doanh nghiệp thường phải thực hiện đánh giá tác động và có thể phải nộp lên cơ quan quản lý.
- Xử phạt nặng: Mức phạt có thể lên tới 50 triệu NDT hoặc 5% doanh thu năm trước của doanh nghiệp, kèm khả năng đình chỉ hoạt động.
Chuyển dữ liệu xuyên biên giới sang Trung Quốc — điều SME cần lưu ý
Nếu doanh nghiệp SME Việt Nam đang vận hành website/app tiếng Trung, mở cửa hàng trên Tmall, JD.com, Pinduoduo, hoặc đơn giản nhận đơn từ khách Trung Quốc qua WeChat, hãy đặc biệt chú ý:
- Lưu trữ dữ liệu tại Trung Quốc: Theo các quy định hiện hành, dữ liệu cá nhân quan trọng thu thập tại Trung Quốc thường phải được lưu trữ trong lãnh thổ Trung Quốc. Trước khi chuyển dữ liệu ra nước ngoài, doanh nghiệp cần đáp ứng một trong các cơ chế do cơ quan quản lý không gian mạng (CAC) quy định — ví dụ: đánh giá an ninh mạng, hợp đồng chuẩn, hoặc chứng nhận bảo vệ thông tin cá nhân.
- Hợp đồng xử lý dữ liệu (数据处理协议): Mọi bên xử lý dữ liệu thay mặt (nhà cung cấp dịch vụ cloud, đối tác fulfillment tại Trung Quốc) đều cần ký hợp đồng quy định rõ mục đích, phạm vi, thời hạn xử lý.
- Quyền của chủ thể dữ liệu: Người dùng Trung Quốc có quyền biết (知情权), quyền truy cập, quyền xóa, quyền giải thích kết quả quyết định tự động hóa, và quyền rút lại sự đồng ý bất kỳ lúc nào. Chính sách privacy của doanh nghiệp cần phản ánh các quyền này.
- Mã hóa và an ninh thông tin: Trong nhiều trường hợp, doanh nghiệp được yêu cầu áp dụng mã hóa đối với thông tin cá nhân nhạy cảm và lưu trữ dữ liệu quan trọng trên máy chủ nội địa Trung Quốc.
Câu hỏi thường gặp
PDPA và PIPL có phải là một không? Không. PDPA thường dùng để chỉ luật bảo vệ dữ liệu cá nhân của Singapore, Thái Lan hay Đài Loan. PIPL (个人信息保护法) là luật riêng của Trung Quốc đại lục, có hiệu lực từ ngày 1/11/2021 và có một số điểm khác biệt quan trọng về phạm vi áp dụng ngoài lãnh thổ.
SME Việt Nam bán hàng trên Tmall có cần tuân thủ PIPL không? Có thể có. Khi bạn thu thập dữ liệu cá nhân của người mua hàng Trung Quốc (tên, số điện thoại, địa chỉ giao hàng, lịch sử mua), doanh nghiệp của bạn rất có thể nằm trong phạm vi điều chỉnh của PIPL. Nên kiểm tra yêu cầu cụ thể của sàn và cân nhắc tư vấn pháp lý chuyên về bảo vệ dữ liệu xuyên biên giới.
Dữ liệu nhạy cảm (敏感个人信息) gồm những gì? Theo PIPL, dữ liệu nhạy cảm bao gồm: thông tin sinh trắc học, số CMND/CCCD, tài khoản tài chính cá nhân, vị trí chính xác, thông tin sức khỏe, thông tin nhân khẩu học tế nhị và thông tin của 5 cá nhân trong độ tuổi dưới 14 tuổi. Xử lý các dữ liệu này cần có mục đích cụ thể, hợp pháp và phải có sự đồng ý riêng.
Vi phạm PIPL bị phạt bao nhiêu? Mức phạt có thể lên tới 50 triệu NDT hoặc 5% doanh thu năm tài chính trước đó (tùy theo mức nào cao hơn), kèm khả năng đình chỉ kinh doanh và đưa vào "danh sách đen" của cơ quan quản lý. Với SME, ngay cả việc bị điều tra cũng đã ảnh hưởng lớn đến uy tín thương hiệu tại thị trường Trung Quốc.
Lưu ý: Nội dung mang tính tham khảo, không thay thế tư vấn pháp lý chuyên nghiệp. Doanh nghiệp có hoạt động thương mại với đối tác Trung Quốc nên tham vấn luật sư chuyên về bảo vệ dữ liệu cá nhân để được hướng dẫn cụ thể.
Vay vốn kinh doanh
Hiểu rõ thuật ngữ tài chính giúp doanh nghiệp chuẩn bị hồ sơ vay vốn tốt hơn và tăng khả năng được phê duyệt khoản vay. Đăng ký so sánh lãi suất từ nhiều ngân hàng qua BizLoan.