Nếu bạn thu thập dữ liệu cá nhân của người dùng ở châu Âu, nơi bạn lưu trữ nó và cách bạn xử lý nó là hai câu hỏi riêng biệt với các câu trả lời riêng. Hướng dẫn này gỡ rối chúng bằng ngôn ngữ đơn giản. Đây là thông tin chung, không phải tư vấn pháp lý.
GDPR đi theo con người, không phải máy chủ
Quy định Bảo vệ Dữ liệu Chung (GDPR) của EU áp dụng khi bạn cung cấp dịch vụ cho người ở EU hoặc theo dõi hành vi của họ, dù doanh nghiệp hay máy chủ của bạn ở đâu. Chuyển máy chủ sang quốc gia khác không loại bỏ nghĩa vụ của bạn đối với những người dùng đó.
Vị trí hosting thay đổi điều gì
- Cơ quan nào có thể yêu cầu truy cập. Dữ liệu lưu trong một quốc gia chịu sự điều chỉnh của quy tắc truy cập hợp pháp của quốc gia đó.
- Chuyển dữ liệu. Chuyển dữ liệu cá nhân ra ngoài EU cần có cơ sở pháp lý, chẳng hạn quyết định về mức độ đầy đủ hoặc các điều khoản hợp đồng tiêu chuẩn.
- Rủi ro thực tế. Luật lưu giữ dữ liệu, thủ tục tòa án và thực tiễn thực thi khác nhau giữa các quốc gia.
- Độ trễ và chi phí. Gần hơn thì nhanh hơn, và một số vị trí rẻ hơn.
Các vị trí trong thực tế
| Vị trí | Khung pháp lý tóm tắt |
|---|---|
| Đức, Hà Lan, Phần Lan, Romania | Là các quốc gia thành viên EU, nên GDPR áp dụng trực tiếp và dữ liệu ở lại trong EU. |
| Thụy Sĩ | Có Đạo luật Liên bang về Bảo vệ Dữ liệu riêng, được EU công nhận là đầy đủ. |
| Hoa Kỳ | Không có luật quyền riêng tư liên bang duy nhất; luật các bang khác nhau và việc chuyển dữ liệu cần có cơ sở pháp lý. |
| Panama, Singapore, Seychelles, Moldova | Mỗi nơi có đạo luật bảo vệ dữ liệu riêng với phạm vi khác nhau. Hãy kiểm tra quy định hiện hành cho trường hợp của bạn. |
Luật thay đổi, vì vậy hãy xác nhận chi tiết với chuyên gia có trình độ trước khi dựa vào bất kỳ bản tóm tắt nào.
Những việc bạn nên làm dù ở vị trí nào
- Chỉ thu thập dữ liệu bạn cần, và xóa nó khi không còn cần.
- Mã hóa dữ liệu khi truyền (HTTPS) và khi lưu trữ nếu có thể.
- Công bố chính sách quyền riêng tư rõ ràng và tôn trọng các yêu cầu truy cập và xóa.
- Luôn cập nhật phần mềm và hạn chế ai có thể đăng nhập.
- Ghi lại nơi bạn lưu trữ dữ liệu cá nhân và ai xử lý nó.
Offshore không có nghĩa là ngoài vòng pháp luật
Lưu trữ ở nước ngoài có thể phù hợp về quyền riêng tư, khả năng phục hồi hoặc chi phí, nhưng bạn vẫn chịu trách nhiệm tuân thủ các luật áp dụng cho bạn và người dùng của bạn. Xem VPS offshore là gì và cách chọn vị trí.