Tổng quan về GDPR và tuân thủ của Dynamics 365

Table Of Contents

Hướng dẫn chi tiết tuân thủ GDPR với Microsoft Dynamics 365 và dịch vụ đám mây

Cập nhật: Tháng 5/2025
Đối tượng: Doanh nghiệp sử dụng Microsoft Dynamics 365, Microsoft 365, Azure, và Power Platform

Quy định Bảo vệ Dữ liệu Chung (GDPR – General Data Protection Regulation) là bộ quy định quan trọng của Liên minh Châu Âu (EU), áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân của cư dân EU, bất kể vị trí địa lý. Tài liệu này cung cấp hướng dẫn toàn diện để doanh nghiệp khách hàng của BSD tuân thủ GDPR khi sử dụng Microsoft Dynamics 365 và các dịch vụ đáp ứng quy định EU. Chúng tôi tích hợp thông tin từ chương trình EU Data Boundary để đảm bảo dữ liệu được lưu trữ và xử lý an toàn trong EU/EFTA, giúp doanh nghiệp đáp ứng các yêu cầu pháp lý và vận hành hiệu quả.

1. Tổng quan về GDPR #

1.1 GDPR là gì? #

GDPR, ban hành năm 2016 và có hiệu lực từ năm 2018, nhằm bảo vệ quyền riêng tư của cư dân EU bằng cách trao quyền kiểm soát dữ liệu cá nhân (như tên, email, địa chỉ IP, thông tin y tế). GDPR yêu cầu tổ chức:

  • Xử lý dữ liệu minh bạch, hợp pháp.
  • Phản hồi Yêu cầu của chủ thể dữ liệu (DSR – Data Subject Request), như truy cập, sửa chữa, xóa dữ liệu.
  • Báo cáo Vi phạm dữ liệu cá nhân (Breach Notification) trong 72 giờ nếu có rủi ro cao.
  • Thực hiện Đánh giá Tác động Bảo vệ Dữ liệu (DPIA – Data Protection Impact Assessment) cho các hoạt động xử lý rủi ro cao.

1.2 Phạm vi áp dụng #

GDPR áp dụng cho:

  • Tổ chức kiểm soát dữ liệu (Controller): Doanh nghiệp hoặc thực thể quyết định mục đích và phương thức xử lý dữ liệu (ví dụ: công ty sử dụng Dynamics 365 để quản lý khách hàng).
  • Tổ chức xử lý dữ liệu (Processor): Thực thể xử lý dữ liệu thay mặt tổ chức kiểm soát (ví dụ: Microsoft cung cấp dịch vụ đám mây).
  • Bất kỳ tổ chức nào thu thập hoặc xử lý dữ liệu của cư dân EU, kể cả ở ngoài EU.

1.3 Dữ liệu cá nhân là gì? #

Dữ liệu cá nhân là bất kỳ thông tin nào liên quan đến một cá nhân có thể xác định, trực tiếp hoặc gián tiếp. Ví dụ:

Loại dữ liệuVí dụ
Thông tin định danhTên, email, số hộ chiếu, địa chỉ IP
Thông tin nhạy cảmDữ liệu y tế, chủng tộc, quan điểm chính trị
Dữ liệu hành viLịch sử duyệt web, dữ liệu vị trí
Dữ liệu tài chínhSố tài khoản ngân hàng, thẻ tín dụng

Lưu ý: Dữ liệu ẩn danh hóa vẫn có thể được coi là dữ liệu cá nhân nếu có thể liên kết lại với cá nhân.

2. Sáu nguyên tắc chính của GDPR #

GDPR yêu cầu xử lý dữ liệu cá nhân tuân theo sáu nguyên tắc cốt lõi, được nêu trong Điều 5(1):

  1. Hợp pháp, công bằng và minh bạch: Xử lý dữ liệu phải có cơ sở pháp lý (như sự đồng ý), minh bạch với cá nhân về cách sử dụng dữ liệu.
  2. Giới hạn mục đích: Chỉ thu thập dữ liệu cho mục đích cụ thể, rõ ràng, không sử dụng cho mục đích không tương thích.
  3. Giảm thiểu dữ liệu: Chỉ thu thập dữ liệu cần thiết và liên quan đến mục đích.
  4. Chính xác: Đảm bảo dữ liệu chính xác, cập nhật, và sửa chữa khi có lỗi.
  5. Giới hạn lưu trữ: Chỉ lưu trữ dữ liệu trong thời gian cần thiết cho mục đích.
  6. Toàn vẹn và bảo mật: Bảo vệ dữ liệu bằng các biện pháp kỹ thuật (như mã hóa) và tổ chức (như kiểm soát truy cập).

Ví dụ áp dụng trong Dynamics 365:

  • Minh bạch: Thông báo cho khách hàng về cách Dynamics 365 xử lý dữ liệu (qua chính sách quyền riêng tư).
  • Bảo mật: Sử dụng mã hóa tích hợp để bảo vệ dữ liệu khách hàng.

3. Các yêu cầu tuân thủ GDPR #

3.1 Yêu cầu của chủ thể dữ liệu (DSR – Data Subject Request) #

Định nghĩa: Yêu cầu của chủ thể dữ liệu (DSR – Data Subject Request) là yêu cầu chính thức từ một cá nhân (chủ thể dữ liệu) gửi đến tổ chức kiểm soát dữ liệu để thực hiện hành động liên quan đến dữ liệu cá nhân của họ, như truy cập, sửa chữa, xóa, hoặc chuyển giao dữ liệu.

GDPR trao cho cá nhân quyền kiểm soát dữ liệu cá nhân của họ thông qua DSR, bao gồm quyền sửa chữa dữ liệu không chính xác, xóa dữ liệu, hạn chế xử lý, nhận dữ liệu, và yêu cầu chuyển dữ liệu sang tổ chức kiểm soát khác. Tổ chức kiểm soát dữ liệu chịu trách nhiệm phản hồi kịp thời, đúng quy định GDPR.

Hỗ trợ từ Microsoft:

  • Dynamics 365, Microsoft 365, Azure, và Power Platform cung cấp các công cụ để xử lý DSR, bao gồm:
    • Khám phá: Tìm dữ liệu cá nhân trong hệ thống (qua Content Search hoặc tìm kiếm trong ứng dụng).
    • Truy cập/Xuất: Xuất dữ liệu ở định dạng máy đọc được (như CSV, JSON).
    • Sửa chữa/Xóa: Cập nhật hoặc xóa dữ liệu theo yêu cầu.
  • Microsoft Purview Compliance Manager hỗ trợ theo dõi và quản lý DSR, với các mẫu đánh giá GDPR cho khách hàng Enterprise E5.
  • Chương trình EU Data Boundary đảm bảo dữ liệu cá nhân được lưu trữ trong EU/EFTA, tăng cường minh bạch và bảo mật khi xử lý DSR.

Ví dụ thực tế trong Dynamics 365:

  • Một khách hàng yêu cầu xem dữ liệu cá nhân (tên, email, giao dịch). Doanh nghiệp sử dụng Content Search trong Dynamics 365 để xuất báo cáo PDF.
  • Một nhân viên yêu cầu sửa email sai trong hồ sơ nhân sự, được cập nhật qua giao diện Dynamics 365.
  • Một khách hàng yêu cầu xóa dữ liệu sau khi ngừng dịch vụ, được thực hiện bằng cách xóa hồ sơ trong Dynamics 365.

Lưu ý thực tiễn:

  • Thiết lập quy trình nội bộ để nhận DSR (biểu mẫu website, email hỗ trợ).
  • Đào tạo nhân viên sử dụng Dynamics 365 để phản hồi DSR trong 30 ngày theo GDPR.
  • Liên hệ BSD để hỗ trợ cấu hình Dynamics 365 cho DSR.

Câu hỏi thường gặp về DSR (DSR FAQs) #

Câu hỏiTrả lời
Cần thực hiện những hành động nào để hoàn thành DSR?DSR bao gồm sáu hoạt động: Khám phá, Truy cập, Sửa chữa, Hạn chế, Xuất, và Xóa dữ liệu cá nhân.
Nguồn dữ liệu của DSR là gì?Dữ liệu thường xuất phát từ ứng dụng Office (Excel, Outlook), thông tin chi tiết từ sản phẩm Microsoft, và nhật ký hệ thống.
Cần tìm kiếm loại dữ liệu nào?Dữ liệu cá nhân có thể nằm trong dữ liệu khách hàng, thông tin chi tiết từ sản phẩm Microsoft, và nhật ký hệ thống.
Làm thế nào để tìm kiếm dữ liệu cá nhân?Sử dụng công cụ như Content Search hoặc tìm kiếm trong ứng dụng Dynamics 365. Quản trị viên có thể truy cập nhật ký hệ thống liên quan đến hoạt động của người dùng.
Dữ liệu cá nhân nên được cung cấp ở định dạng nào?Theo quyền di chuyển dữ liệu của GDPR, dữ liệu phải được cung cấp ở định dạng máy đọc được, có cấu trúc, phổ biến (như CSV, JSON).
GDPR yêu cầu gì và trách nhiệm của tổ chức kiểm soát dữ liệu (Controller) là gì?Tổ chức kiểm soát dữ liệu phải cung cấp bản sao dữ liệu cá nhân, giải thích về loại dữ liệu, mục đích xử lý, và bên thứ ba nhận dữ liệu; hỗ trợ cá nhân thực hiện quyền sửa chữa, xóa, hạn chế, hoặc chuyển giao dữ liệu.
GDPR yêu cầu gì và trách nhiệm của Microsoft với tư cách là tổ chức xử lý dữ liệu (Processor) là gì?Microsoft phải triển khai các biện pháp kỹ thuật và tổ chức phù hợp để hỗ trợ tổ chức kiểm soát dữ liệu đáp ứng các quyền của chủ thể dữ liệu theo GDPR.
Tìm thông tin liên quan đến GDPR cho máy chủ tại chỗ ở đâu?Microsoft cung cấp các bài viết về GDPR cho SharePoint Server, Exchange Server, và các máy chủ tại chỗ khác tại liên kết tài liệu Microsoft.
Microsoft hỗ trợ phản hồi DSR như thế nào?Dynamics 365 và các dịch vụ trực tuyến cung cấp khả năng khám phá, truy cập, sửa chữa, hạn chế, xóa, và xuất dữ liệu cá nhân từ dữ liệu do tổ chức kiểm soát quản lý trong đám mây Microsoft, ở định dạng máy đọc được.

3.2 Đánh giá Tác động Bảo vệ Dữ liệu (DPIA – Data Protection Impact Assessment) #

Định nghĩa: Đánh giá Tác động Bảo vệ Dữ liệu (DPIA – Data Protection Impact Assessment) là quy trình mà tổ chức kiểm soát dữ liệu phải thực hiện để đánh giá rủi ro đối với quyền và tự do của cá nhân trong các hoạt động xử lý dữ liệu có khả năng gây rủi ro cao.

Không có yếu tố nào trong sản phẩm hoặc dịch vụ Microsoft tự động yêu cầu DPIA. Việc cần DPIA phụ thuộc vào cách cấu hình cụ thể của doanh nghiệp khi sử dụng Dynamics 365 hoặc các dịch vụ khác.

Hỗ trợ từ Microsoft:

  • Microsoft áp dụng quyền riêng tư theo thiết kế và mặc định trong các sản phẩm, thực hiện đánh giá quyền riêng tư chi tiết cho các hoạt động xử lý dữ liệu.
  • Nhân viên Bảo vệ Dữ liệu EU (DPO – Data Protection Officer) của Microsoft xem xét DPIA, đề xuất biện pháp giảm thiểu rủi ro.
  • Microsoft cung cấp các đoạn trích từ DPIA của họ để hỗ trợ khách hàng xây dựng DPIA riêng.
  • Microsoft Purview Compliance Manager hỗ trợ đánh giá rủi ro GDPR, với các mẫu sẵn có cho khách hàng Enterprise E5.

Ví dụ trong Dynamics 365: Nếu doanh nghiệp sử dụng Dynamics 365 để xử lý dữ liệu y tế quy mô lớn, cần thực hiện DPIA để đánh giá rủi ro và áp dụng biện pháp bảo mật như mã hóa.

Lưu ý thực tiễn:

  • Xác định các hoạt động xử lý rủi ro cao (như dữ liệu đặc biệt hoặc giám sát quy mô lớn).
  • Sử dụng tài liệu DPIA của Microsoft để xây dựng DPIA của doanh nghiệp.
  • Liên hệ BSD để hỗ trợ cấu hình Dynamics 365 cho DPIA.

Câu hỏi thường gặp về DPIA (DPIA FAQs) #

Câu hỏiTrả lời
Khi nào cần thực hiện DPIA?Tổ chức kiểm soát dữ liệu phải thực hiện DPIA khi xử lý dữ liệu có rủi ro cao đối với quyền và tự do của cá nhân, như vi phạm bảo mật dữ liệu hoặc sự cố dữ liệu. Các yếu tố rủi ro cụ thể trong Office được nêu trong tài liệu của Microsoft.
Cần gì để hoàn thành DPIA?DPIA phải bao gồm: đánh giá tính cần thiết và tỷ lệ của xử lý dữ liệu, rủi ro đối với quyền và tự do của cá nhân, và các biện pháp giảm thiểu (bảo mật, mã hóa) để tuân thủ GDPR.
Trách nhiệm của tổ chức kiểm soát dữ liệu (Controller) là gì?Thực hiện DPIA trước khi xử lý dữ liệu rủi ro cao (như lập hồ sơ tự động, xử lý dữ liệu đặc biệt quy mô lớn, hoặc giám sát công cộng). Tham vấn Cơ quan Bảo vệ Dữ liệu (DPA – Data Protection Authority) nếu không thể giảm rủi ro.
Trách nhiệm của Microsoft với tư cách là tổ chức xử lý dữ liệu (Processor) là gì?Microsoft hỗ trợ tổ chức kiểm soát dữ liệu tuân thủ yêu cầu DPIA bằng cách cung cấp các đoạn trích từ DPIA của họ, áp dụng quyền riêng tư theo thiết kế và mặc định, và xem xét rủi ro xử lý dữ liệu.

3.3 Vi phạm dữ liệu cá nhân (Breach Notification) #

Định nghĩa: Vi phạm dữ liệu cá nhân (Breach Notification) là sự cố bảo mật dẫn đến phá hủy, mất mát, thay đổi, tiết lộ trái phép, hoặc truy cập trái phép vào dữ liệu cá nhân được truyền, lưu trữ, hoặc xử lý.

GDPR yêu cầu thông báo vi phạm dữ liệu để bảo vệ quyền riêng tư của cá nhân. Tổ chức kiểm soát dữ liệu chịu trách nhiệm đánh giá rủi ro và quyết định thông báo cho Cơ quan Bảo vệ Dữ liệu (DPA – Data Protection Authority), trong khi tổ chức xử lý dữ liệu hỗ trợ thông báo kịp thời.

Hỗ trợ từ Microsoft:

  • Microsoft thông báo vi phạm cho khách hàng mà không chậm trễ, cung cấp chi tiết về bản chất vi phạm, quy trình xác định, và biện pháp khắc phục.
  • Dynamics 365, Azure, và Microsoft 365 tích hợp kiểm soát bảo mật để phát hiện vi phạm, với quy trình quản lý sự cố nội bộ.
  • Các tổ chức xử lý phụ (sub-processors) của Microsoft có nghĩa vụ báo cáo vi phạm theo hợp đồng.
  • Chương trình EU Data Boundary đảm bảo dữ liệu được lưu trữ trong EU/EFTA, giảm rủi ro vi phạm liên quan đến chuyển giao dữ liệu.

Ví dụ trong Dynamics 365: Nếu Dynamics 365 phát hiện truy cập trái phép vào dữ liệu khách hàng, Microsoft thông báo ngay, cung cấp chi tiết để doanh nghiệp báo cáo cho DPA trong 72 giờ.

Lưu ý thực tiễn:

  • Thiết lập quy trình nội bộ để phản hồi vi phạm, bao gồm kênh liên lạc với Microsoft và DPA.
  • Sử dụng mã hóa trong Dynamics 365 để giảm yêu cầu thông báo vi phạm nếu dữ liệu không thể đọc được.
  • Liên hệ BSD để hỗ trợ thiết lập quy trình phản hồi vi phạm.

Câu hỏi thường gặp về Vi phạm dữ liệu cá nhân (Breach Notification FAQs) #

Câu hỏiTrả lời
Vi phạm dữ liệu cá nhân theo GDPR là gì?Là sự cố bảo mật dẫn đến phá hủy, mất mát, thay đổi, tiết lộ, hoặc truy cập trái phép vào dữ liệu cá nhân được truyền, lưu trữ, hoặc xử lý.
Trách nhiệm của tổ chức kiểm soát dữ liệu (Controller) là gì?Nếu vi phạm có khả năng gây rủi ro cao (như đánh cắp danh tính, thiệt hại tài chính), thông báo cho Cơ quan Bảo vệ Dữ liệu (DPA – Data Protection Authority) trong 72 giờ, thông báo cho cá nhân bị ảnh hưởng ngay lập tức, và ghi lại chi tiết vi phạm (số người bị ảnh hưởng, hậu quả, hành động khắc phục).
Trách nhiệm của Microsoft với tư cách là tổ chức xử lý dữ liệu (Processor) là gì?Microsoft thông báo vi phạm cho khách hàng mà không chậm trễ, bất kể mức độ rủi ro, cung cấp chi tiết về vi phạm từ Microsoft hoặc tổ chức xử lý phụ, và hỗ trợ liên lạc với nhân viên sự cố bảo mật của doanh nghiệp.
Microsoft phát hiện vi phạm dữ liệu như thế nào?Microsoft áp dụng quy trình quản lý sự cố nội bộ và kiểm soát bảo mật trong Dynamics 365, Azure, Microsoft 365 để phát hiện vi phạm trong trường hợp hiếm hoi xảy ra.
Microsoft phản hồi vi phạm dữ liệu ra sao?Microsoft có nhân viên bảo mật được đào tạo, quy trình và kiểm soát để ghi lại chi tiết vi phạm (sự kiện, tác động, hành động khắc phục), và lưu trữ thông tin trong hệ thống quản lý sự cố.
Microsoft thông báo vi phạm dữ liệu cho tôi như thế nào?Microsoft thông báo kịp thời, cung cấp mô tả về quy trình xác định vi phạm, bản chất vi phạm, và biện pháp khắc phục để hỗ trợ bạn đáp ứng yêu cầu thông báo cho DPA.

4. Cam kết của Microsoft với GDPR #

Microsoft cung cấp các công cụ và cam kết để hỗ trợ khách hàng tuân thủ GDPR:

4.1 Cam kết hợp đồng #

Theo Điều 28 GDPR, Microsoft cam kết:

  • Chỉ sử dụng tổ chức xử lý phụ với sự đồng ý của tổ chức kiểm soát dữ liệu (Controller).
  • Xử lý dữ liệu theo hướng dẫn của tổ chức kiểm soát dữ liệu.
  • Đảm bảo bảo mật cho nhân viên xử lý dữ liệu.
  • Hỗ trợ DSR, DPIA, và thông báo vi phạm.
  • Xóa hoặc trả lại dữ liệu sau khi kết thúc dịch vụ.
  • Cung cấp bằng chứng tuân thủ GDPR.

4.2 Công cụ hỗ trợ #

  • Microsoft Purview Compliance Manager: Cung cấp mẫu đánh giá GDPR và theo dõi tuân thủ cho khách hàng Enterprise E5.
  • Trung tâm Minh bạch EU Data Boundary: Cung cấp tài liệu chi tiết về luồng dữ liệu và chuyển giao hạn chế, hỗ trợ minh bạch cho Dynamics 365.
  • Mã hóa và bảo mật: Dynamics 365, Azure, và Microsoft 365 tích hợp mã hóa mạnh mẽ, kiểm soát truy cập, và giám sát 24/7.

4.3 Hỗ trợ cho máy chủ tại chỗ #

5. Tác động của GDPR đến doanh nghiệp #

5.1 Hậu quả không tuân thủ #

  • Phạt tiền: Lên đến 20 triệu euro hoặc 4% doanh thu toàn cầu hàng năm, tùy mức nào lớn hơn.
  • Khắc phục cá nhân: Rủi ro pháp lý từ các khiếu nại của cá nhân.

5.2 Yêu cầu Nhân viên Bảo vệ Dữ liệu (DPO – Data Protection Officer) #

  • Cần chỉ định DPO nếu:
    • Là cơ quan công quyền.
    • Xử lý dữ liệu quy mô lớn hoặc dữ liệu đặc biệt (y tế, tội phạm).
  • Microsoft có DPO tại EU để hỗ trợ đánh giá DPIA và tuân thủ.

5.3 Chi phí tuân thủ #

  • Phụ thuộc vào quy mô và cấu trúc tổ chức.
  • Doanh nghiệp sử dụng Dynamics 365 và mô hình đám mây Microsoft có thể giảm chi phí nhờ các công cụ tích hợp sẵn.

6. Hành động đề xuất cho khách hàng BSD #

Để tuân thủ GDPR với Dynamics 365, doanh nghiệp nên:

  1. Đánh giá tuân thủ:
    • Sử dụng Microsoft Purview Compliance Manager để đánh giá rủi ro.
    • Xem Danh sách Kiểm tra Sẵn sàng Trách nhiệm từ Microsoft.
  2. Cấu hình Dynamics 365:
    • Đảm bảo dữ liệu được lưu trữ trong EU/EFTA qua chương trình EU Data Boundary.
    • Tham khảo Trung tâm Minh bạch EU Data Boundary.
  3. Quản lý DSR:
    • Sử dụng công cụ trong Dynamics 365 để xử lý yêu cầu.
    • Đào tạo nhân viên về quy trình DSR.
  4. Thực hiện DPIA:
    • Xác định hoạt động xử lý rủi ro cao.
    • Sử dụng tài liệu DPIA của Microsoft.
  5. Chuẩn bị cho vi phạm dữ liệu:
    • Thiết lập quy trình phản hồi nhanh.
    • Đảm bảo dữ liệu được mã hóa.
  6. Tư vấn từ BSD:
    • Liên hệ đội ngũ BSD để triển khai Dynamics 365 tuân thủ GDPR.

7. Tài nguyên bổ sung #

Lưu ý: Tài liệu này được tổng hợp từ nguồn Microsoft Learn và các tài liệu liên quan để hỗ trợ khách hàng BSD. Để được tư vấn chi tiết, vui lòng liên hệ đội ngũ của chúng tôi!

What are your feelings
Updated on 11 May 2025