California Consumer Privacy Act

1. Định nghĩa

California Consumer Privacy Act (CCPA) – hay còn gọi là Đạo luật Quyền riêng tư Người tiêu dùng California – là luật quyền riêng tư tiểu bang có hiệu lực từ 01/01/2020, được sửa đổi và mở rộng bởi CPRA (California Privacy Rights Act) từ 01/01/2023. Đây được xem là luật bảo vệ dữ liệu cá nhân nghiêm ngặt nhất tại Hoa Kỳ, có ảnh hưởng trực tiếp đến mọi thương hiệu DTC bán hàng cho người tiêu dùng tại bang California – bất kể bạn đặt kho ở Việt Nam, Trung Quốc hay châu Âu.

CCPA trao cho người tiêu dùng California (California residents) các quyền cốt lõi sau:

- Quyền được biết (Right to Know): biết thương hiệu thu thập loại dữ liệu cá nhân nào, mục đích gì, chia sẻ cho ai.

- Quyền xóa (Right to Delete): yêu cầu xóa dữ liệu cá nhân đã cung cấp.

- Quyền từ chối bán/chia sẻ (Right to Opt-Out of Sale/Sharing): từ chối việc dữ liệu bị “bán” hoặc “chia sẻ” cho bên thứ ba – bao gồm cả quảng cáo nhắm mục tiêu cross-context behavioral advertising.

- Quyền sửa (Right to Correct): yêu cầu chỉnh sửa thông tin không chính xác (bổ sung bởi CPRA).

- Quyền hạn chế sử dụng dữ liệu nhạy cảm (Right to Limit Use of Sensitive PI).

- Quyền không bị phân biệt đối xử (Right to Non-Discrimination): không bị từ chối dịch vụ hoặc tính giá cao hơn chỉ vì đã thực thi quyền riêng tư.

2. Ví dụ / Phép so sánh dễ hiểu

Hãy tưởng tượng bạn vận hành một shop Shopify bán mỹ phẩm cho khách Mỹ. Mỗi khi khách California truy cập website:

- Pixel Facebook, TikTok Pixel, Google Ads remarketing của bạn đang âm thầm thu thập hành vi → đây được xem là “chia sẻ” dữ liệu theo CCPA.

- Nếu khách bấm nút “Do Not Sell or Share My Personal Information”, bạn buộc phải tắt toàn bộ tracking tiếp thị cho người đó – giống như việc bạn khóa cửa kho dữ liệu, không cho bất kỳ ai vào lấy thông tin.

- Nếu khách gửi email yêu cầu xóa tài khoản, bạn phải xóa trong vòng 45 ngày (có thể gia hạn thêm 45 ngày nếu cần) – giống như xóa vĩnh viễn hồ sơ khách hàng khỏi CRM, kể cả backup hợp lý.

3. Công thức & Ngưỡng áp dụng

CCPA áp dụng cho doanh nghiệp for-profit phục vụ người tiêu dùng California và thỏa ít nhất một trong các ngưỡng sau:

(1) Doanh thu gộp năm > 25.000.000 USD
(2) Mua/bán/chia sẻ dữ liệu cá nhân của ≥ 100.000 người tiêu dùng hoặc hộ gia đình/năm
(3) ≥ 50% doanh thu đến từ việc bán/chia sẻ dữ liệu cá nhân

Thời hạn tuân thủ quan trọng:

- Phản hồi yêu cầu của khách: 45 ngày (gia hạn tối đa thêm 45 ngày).

- Thông báo vi phạm dữ liệu: 30 ngày.

- Mức phạt dân sự: 2.500 USD / vi phạm không cố ý, 7.500 USD / vi phạm cố ý – đặc biệt nghiêm trọng với dữ liệu trẻ em dưới 16 tuổi.

- Quyền riêng tư tư nhân (private right of action) khi rò rỉ dữ liệu: 100 – 750 USD / người tiêu dùng / sự kiện, hoặc thiệt hại thực tế nếu cao hơn.

📌 **Lưu ý DTC:** Nếu bạn dùng **Klaviyo, Meta Ads, TikTok Ads, Google Analytics 4** để remarketing, bạn gần như chắc chắn đang “bán/chia sẻ” dữ liệu theo định nghĩa CCPA – kể cả khi bạn không thu tiền trực tiếp.

4. Bảng so sánh: CCPA vs. GDPR vs. Nghị định 13/2023/NĐ-CP (Việt Nam)

Tiêu chí	CCPA/CPRA (California)	GDPR (EU)	Nghị định 13/2023/NĐ-CP (VN)
Phạm vi	Người tiêu dùng California	Cư dân EU/EEA	Công dân VN & người nước ngoài tại VN
Cơ sở pháp lý xử lý	Opt-out (mặc định được phép)	Opt-in (cần đồng ý trước)	Cần đồng ý rõ ràng
Quyền xóa dữ liệu	Có	Có	Có
Quyền từ chối bán dữ liệu	Có (đặc trưng riêng)	Không có khái niệm “bán”	Không có khái niệm “bán”
Thời hạn phản hồi	45 ngày	30 ngày	72 giờ (thông báo vi phạm)
Mức phạt tối đa	7.500 USD/vi phạm	20 triệu EUR hoặc 4% doanh thu toàn cầu	100 triệu VNĐ (cá nhân) / 5% doanh thu (tổ chức)
Cookie banner	Opt-out link “Do Not Sell”	Opt-in consent	Consent trước khi xử lý

5. Ứng dụng thực tế cho DTC/Thương mại điện tử

Bước 1 – Rà soát dữ liệu (Data Mapping): Liệt kê mọi điểm thu thập dữ liệu: form đăng ký email, checkout, chat widget, pixel quảng cáo, app mobile. Xác định đâu là “bán/chia sẻ” theo CCPA.

Bước 2 – Cập nhật Privacy Policy: Bổ sung mục “Notice at Collection” bằng tiếng Anh, ghi rõ 12 tháng gần nhất thu thập gì, mục đích, bên nhận.

Bước 3 – Triển khai Consent Management Platform (CMP): Dùng OneTrust, Osano, Termly, hoặc Usercentrics để hiển thị banner “Do Not Sell or Share My Personal Information” cho traffic California (nhận diện qua IP/geo).

Bước 4 – Thiết lập quy trình xử lý yêu cầu: Tạo email privacy@thuonghieu.com, form web, và SLA 45 ngày. Xác minh danh tính khách trước khi xóa/sửa.

Bước 5 – Kiểm soát vendor: Ký Data Processing Agreement (DPA) với Klaviyo, Shopify, Meta, Google – yêu cầu họ tuân thủ CCPA và không dùng dữ liệu cho mục đích riêng.

Bước 6 – Đào tạo đội CSKH: Nhân viên phải nhận diện yêu cầu CCPA và chuyển đúng bộ phận trong 24 giờ.

Ví dụ số liệu cụ thể:

- Một brand mỹ phẩm DTC có 35.000 khách California → nếu 2% thực thi quyền opt-out, bạn phải tắt tracking cho 700 người.

- Nếu vi phạm cố ý 3 lần → phạt tối đa 22.500 USD.

- Nếu rò rỉ dữ liệu ảnh hưởng 5.000 khách → thiệt hại tiềm tàng 500.000 – 3.750.000 USD.

6. Những hiểu lầm phổ biến

1. “Tôi ở Việt Nam nên không bị ảnh hưởng.” → Sai. CCPA áp dụng theo người tiêu dùng ở California, không theo nơi đặt trụ sở.

2. “Tôi không bán dữ liệu nên không cần tuân thủ.” → Sai. Chỉ cần dùng pixel quảng cáo, GA4, remarketing là đã bị xem là “chia sẻ” dữ liệu.

3. “Chỉ cần có Privacy Policy là đủ.” → Sai. Cần notice at collection, opt-out link, quy trình xử lý yêu cầu, DPA với vendor.

4. “CCPA giống GDPR nên dùng chung.” → Sai. GDPR yêu cầu opt-in, CCPA là opt-out; cơ chế consent hoàn toàn khác.

5. “Không có logo CCPA thì không sao.” → Sai. CCPA không có chứng nhận chính thức; tuân thủ là trách nhiệm pháp lý, không phải nhãn hiệu.

7. Thuật ngữ liên quan

- CPRA (California Privacy Rights Act): bản mở rộng của CCPA, hiệu lực 2023, thành lập CPPA (California Privacy Protection Agency).

- CPPA: cơ quan quản lý và thực thi CCPA.

- Sale of Personal Information: bán dữ liệu – bao gồm cả trao đổi dữ liệu lấy dịch vụ quảng cáo.

- Sharing: chia sẻ cho cross-context behavioral advertising.

- Sensitive Personal Information (SPI): dữ liệu nhạy cảm (số SSN, tài khoản tài chính, vị trí chính xác, dân tộc…).

- Notice at Collection: thông báo tại thời điểm thu thập dữ liệu.

- Do Not Sell or Share My Personal Information: liên kết opt-out bắt buộc trên website.

- Global Privacy Control (GPC): tín hiệu trình duyệt tự động opt-out – phải được tôn trọng từ 2023.

- Data Processing Agreement (DPA): hợp đồng xử lý dữ liệu với vendor.

- CCPA Compliance Checklist: danh sách kiểm tra tuân thủ dành cho DTC brand.

Tóm lại: Nếu bạn đang chạy DTC/Shopify/Amazon FBA nhắm đến khách Mỹ, CCPA không phải câu chuyện “nếu” mà là “khi nào”. Hãy chuẩn hóa ngay từ đầu: CMP + Privacy Policy + quy trình 45 ngày + DPA vendor – đó là bộ ba bắt buộc để không bị phạt tới 7.500 USD mỗi vi phạm cố ý.