Vấn đề: luật bảo mật Canada thì cũ, luật Việt Nam thì mới tinh — và cả hai đều áp với bạn
Công ty Việt Nam phục vụ khách hàng Canada, hay công ty Canada hoạt động tại Việt Nam, nằm dưới hai cơ chế đi theo hướng ngược nhau. Canada vẫn chạy bằng PIPEDA — luật liên bang từ năm 2000 mà các dự luật cải cách cứ lần lượt chết tại Quốc hội. Việt Nam vừa bật một Luật Bảo vệ dữ liệu cá nhân hoàn toàn mới từ 01/01/2026. Thiết kế một chương trình bảo mật cho cả hai đòi hỏi biết chính xác chúng giao nhau ở đâu và tách ra ở đâu.
Hai khung pháp lý đặt cạnh nhau
- Canada — PIPEDA (Đạo luật Bảo vệ thông tin cá nhân và Tài liệu điện tử): hiệu lực từ 2001, xây trên 10 nguyên tắc thông tin công bằng (trách nhiệm giải trình, xác định mục đích, đồng ý, giới hạn thu thập/sử dụng/tiết lộ/lưu trữ, chính xác, biện pháp bảo vệ, công khai, quyền truy cập của cá nhân, quyền khiếu nại tuân thủ). Ủy viên Bảo mật điều tra và công bố kết luận nhưng không có quyền ra lệnh hay phạt tiền — thực thi dựa vào công khai. Thông báo vi phạm: báo cáo Ủy viên và thông báo cá nhân bị ảnh hưởng khi có nguy cơ thực sự gây thiệt hại đáng kể. Vẫn là luật liên bang điều chỉnh tại ngày viết 19/10/2026: Dự luật C-27 (định thay thế PIPEDA) đã chết khi Quốc hội tạm nghỉ tháng 01/2025, và Dự luật C-36 (Đạo luật Bảo vệ quyền riêng tư và dữ liệu người tiêu dùng), trình tháng 6/2026, chưa có hiệu lực.
- Lớp phủ Quebec: Luật 25 của Quebec có hiệu lực đầy đủ từ 22/9/2024 và là cơ chế nghiêm ngặt nhất Canada — đánh giá tác động bảo mật trước khi chuyển dữ liệu ra khỏi Quebec, phạt đến 10 triệu CAD hoặc 2% doanh thu toàn cầu (hành chính) và 25 triệu CAD hoặc 4% (hình sự). Doanh nghiệp nào chạm đến dữ liệu cư dân Quebec thì thiết kế theo Luật 25, không chỉ PIPEDA.
- Việt Nam — Luật BVDLCN 91/2025/QH15 (hiệu lực 01/01/2026) và Nghị định 356/2025/NĐ-CP (thay thế hoàn toàn Nghị định 13/2023): căn cứ hợp pháp lấy đồng ý làm trung tâm, thời hạn xử lý quyền của chủ thể dữ liệu được định rõ, đánh giá tác động chuyển dữ liệu ra nước ngoài kèm thủ tục nộp hồ sơ, quyền yêu cầu ngừng chuyển của cơ quan chức năng (Điều 20), phạt đến 5% doanh thu năm trước với vi phạm chuyển dữ liệu (khung xử phạt Nghị định 330/2026).
Chúng tách nhau ở đâu
Triết lý thực thi: Ủy viên PIPEDA nêu tên và bêu xấu; khung Việt Nam phạt tiền — đến 5% doanh thu — và có thể chặn luồng dữ liệu. Phía Việt Nam đòi hỏi đầu tư tuân thủ nặng hơn. Đồng ý: cả hai đều lấy đồng ý làm trung tâm, nhưng điều kiện hiệu lực và nghĩa vụ hồ sơ của Việt Nam (biểu mẫu chuẩn của Nghị định 356) mang tính quy định chi tiết hơn cách tiếp cận “hợp lý” của PIPEDA. Chuyển dữ liệu ra nước ngoài: PIPEDA tương đối thoáng với chuyển cho bên xử lý có bảo đảm hợp đồng; Việt Nam yêu cầu đánh giá tác động chính thức và nộp hồ sơ, với rủi ro bị đình chỉ. Lớp phủ tỉnh bang vs nhà nước đơn nhất: ở Canada phải kiểm tra Quebec (và lưu ý luật riêng của Alberta/BC); ở Việt Nam một khung quốc gia áp dụng — đơn giản hơn về thẩm quyền, nghiêm ngặt hơn về nội dung.
Thiết kế bảo mật cho thị trường kép
(1) Xây theo chuẩn nội dung nghiêm ngặt hơn — hồ sơ đồng ý và đánh giá chuyển dữ liệu của Việt Nam — thì thường cũng đáp ứng được các nguyên tắc của PIPEDA. (2) Cộng thêm lớp Quebec ở đâu có dữ liệu cư dân Quebec: đánh giá tác động trước khi chuyển ra khỏi Quebec. (3) Giữ cẩm nang ứng phó vi phạm với hai đồng hồ: phân tích “nguy cơ thực sự gây thiệt hại đáng kể” của PIPEDA cho Canada, nghĩa vụ thông báo của Việt Nam và lằn ranh 72 giờ của khung phạt (Nghị định 330/2026) cho Việt Nam. (4) Đừng thiết kế theo điều khoản dự thảo của Dự luật C-36 — theo dõi dự luật, xây theo luật đang hiệu lực.
Câu hỏi thường gặp
Chúng tôi chỉ bán online cho người Canada từ Việt Nam. PIPEDA có áp dụng không?
Có, nếu bạn thu thập thông tin cá nhân của người Canada trong hoạt động thương mại — PIPEDA không có ngưỡng doanh thu và áp theo hoạt động, với lớp phủ Quebec nơi có cư dân Quebec. Và Luật BVDLCN của Việt Nam áp với hoạt động xử lý của bạn tại Việt Nam bất kể thế nào.
Có nên chờ Dự luật C-36 rồi mới cập nhật chương trình Canada không?
Không. Dự luật đang ở Quốc hội và điều khoản có thể đổi tại ủy ban. Xây theo PIPEDA và Luật 25 ngay; theo dõi C-36 như một thay đổi tương lai, không phải đầu vào thiết kế hiện tại.
Hiện tại bên nào rủi ro phạt lớn hơn?
Việt Nam, với khoảng cách lớn: đến 5% doanh thu năm trước với vi phạm chuyển dữ liệu, so với thực thi dựa vào công khai của PIPEDA (với mức phạt nặng của Quebec là ngoại lệ phía Canada).
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng