1. Định nghĩa
PIPEDA (Personal Information Protection and Electronic Documents Act) là luật liên bang của Canada về bảo vệ quyền riêng tư, có hiệu lực từ ngày 13 tháng 4 năm 2000 và được áp dụng đầy đủ cho khu vực tư nhân từ ngày 1 tháng 1 năm 2004. Luật này quy định cách các tổ chức tư nhân thu thập, sử dụng và tiết lộ thông tin cá nhân trong hoạt động thương mại có tính chất liên tỉnh hoặc quốc tế.
Đối với anh em làm DTC/ ecommerce, PIPEDA chính là "tấm khiên pháp lý" bắt buộc khi bán hàng cho khách Canada – tương tự GDPR của EU hay Nghị định 13/2023/NĐ-CP của Việt Nam. Điểm khác biệt: PIPEDA dựa trên 10 nguyên tắc cân bằng (PIPEDA Fair Information Principles) chứ không phải cơ chế phạt nặng như GDPR.
Đối tượng áp dụng:
- Doanh nghiệp tư nhân có hoạt động thương mại tại Canada (kể cả seller nước ngoài ship vào Canada)
- Sàn TMĐT, payment gateway, logistics, CRM, email marketing tool xử lý data khách Canada
- Không áp dụng cho: tổ chức chính phủ (thuộc Privacy Act), tổ chức chỉ hoạt động nội bộ trong 1 tỉnh có luật tương đương (Quebec, BC, Alberta)
2. dễ hiểu
Hãy tưởng tượng PIPEDA như "nội quy chung cư" khi bạn thuê căn hộ:
- Thu thập = bạn phải xin phép ban quản lý trước khi lắp camera
- Sử dụng = camera chỉ dùng để chống trộm, không được quay sang nhà hàng xóm
- Tiết lộ = không được gửi clip cho người ngoài tòa nhà
- Lưu trữ = phải giữ clip đúng thời hạn, hết hạn thì xóa
- Quyền truy cập = hàng xóm có quyền xem clip liên quan đến họ
Khác với GDPR kiểu "phạt cho biết mặt", PIPEDA thiên về "đồng thuận có hiểu biết" (meaningful consent) – tức khách phải thực sự hiểu họ đang cho phép cái gì, chứ không chỉ tick vào ô vuông.
3. Công thức & Ngưỡng tuân thủ
Công thức tính rủi ro vi phạm PIPEDA:
Rủi ro = (Khối lượng data × Độ nhạy cảm) / (Mức độ đồng thuận × Thời gian lưu trữ hợp lý)
3 con số phải nhớ:
| Chỉ số | Giá trị | Ý nghĩa thực tế |
|---|---|---|
| Thời hạn báo cáo vi phạm | **72 giờ** (từ 01/11/2018) | Phải báo cáo OPC nếu có rủi ro thực sự về tổn hại |
| Mức phạt tối đa (hình sự) | **100.000 CAD** | Cho tội danh hủy data, che giấu vi phạm |
| Ngưỡng doanh thu áp dụng | **> 10 triệu CAD/năm** | Hoặc xử lý > 100.000 cá nhân/năm (nếu tỉnh có luật riêng) |
Công thức xác định "thông tin cá nhân":
PII = Dữ liệu nhận dạng trực tiếp (tên, SĐT, email, IP) + Dữ liệu nhận dạng gián tiếp (cookie, device ID, hành vi mua) + Dữ liệu nhạy cảm (sức khỏe, tài chính, sinh trắc học)
4. Bảng so sánh: PIPEDA vs GDPR vs Nghị định 13
| Tiêu chí | PIPEDA (Canada) | GDPR (EU) | NĐ 13/2023 (VN) |
|---|---|---|---|
| **Cơ chế đồng thuận** | Opt-in rõ ràng, có thể ngầm hiểu trong một số case | Opt-in chặt, không có ngoại lệ | Opt-in rõ ràng, có thể bằng văn bản/điện tử |
| **Thời hạn báo vi phạm** | 72 giờ | 72 giờ | 72 giờ |
| **Phạt tối đa** | 100.000 CAD (hình sự) | 20 triệu EUR hoặc 4% doanh thu toàn cầu | 5% doanh thu hoặc 100 triệu VND |
| **DPO bắt buộc** | Không bắt buộc | Có (một số case) | Có (theo quy định) |
| **Chuyển data xuyên biên giới** | Được, nhưng phải thông báo & có biện pháp bảo vệ | Có điều kiện (SCC, adequacy) | Có điều kiện (hồ sơ đánh giá) |
| **Quyền xóa dữ liệu** | Có (có điều kiện) | Có (mạnh) | Có |
| **Cơ quan giám sát** | OPC (Office of the Privacy Commissioner) | EDPB + DPA quốc gia | Bộ Công an (A05) |
5. Ứng dụng trong DTC/Cross-border Ecommerce
Tình huống cụ thể: Bạn là brand Việt bán hàng Shopify sang Canada qua app, chạy Meta Ads, dùng Klaviyo gửi email.
Checklist PIPEDA cho seller:
1. Thu thập (Collection)
- Phải nêu rõ mục đích trước hoặc tại thời điểm thu thập
- Không được hỏi thông tin không cần thiết (ví dụ: số CMND khi chỉ cần ship hàng)
- Cookie tracking phải có banner consent rõ ràng
2. Sử dụng (Use)
- Chỉ dùng data cho mục đích đã thông báo
- Retargeting Meta Ads = "sử dụng cho mục đích marketing" → phải khai trong Privacy Policy
- Không được bán data cho bên thứ 3 nếu không có consent
3. Tiết lộ (Disclosure)
- Chia sẻ với Shopify, Stripe, PayPal, 3PL → phải liệt kê trong Privacy Policy
- Chuyển data về Việt Nam xử lý → cần thông báo & đảm bảo mức bảo vệ tương đương
4. Lưu trữ & Xóa (Retention)
- Data khách inactive > 24 tháng → nên xóa hoặc anonymize
- Log thanh toán thường giữ 7 năm theo luật thuế Canada
Ví dụ thực tế: Nếu khách Canada yêu cầu xóa data (Right to Erasure), bạn có 30 ngày để phản hồi. Nếu từ chối, phải giải thích lý do bằng văn bản và thông báo quyền khiếu nại lên OPC.
6. (Hiểu sai phổ biến)
❌ Hiểu sai 1: "Bán cho khách Canada qua Amazon thì Amazon lo hết"
→ Sai. Seller vẫn là "organization" chịu trách nhiệm chính. Amazon chỉ là processor. Nếu khách khiếu nại, OPC có thể điều tra cả seller.
❌ Hiểu sai 2: "Chỉ cần có Privacy Policy là đủ"
→ Sai. PIPEDA yêu cầu thực thi, không chỉ tuyên bố. Phải có quy trình xử lý khiếu nại, log consent, và nhân viên được đào tạo.
❌ Hiểu sai 3: "Không thu tiền thì không bị áp dụng"
→ Sai. PIPEDA áp dụng cho "commercial activity", bao gồm cả thu thập data miễn phí để marketing. Chạy lead form free sample vẫn bị áp dụng.
❌ Hiểu sai 4: "Dùng tool nước ngoài thì không cần lo"
→ Sai. Nếu khách Canada ở trong database của bạn, bạn phải tuân thủ, bất kể server ở đâu. OPC có quyền yêu cầu seller nước ngoài hợp tác qua kênh ngoại giao.
❌ Hiểu sai 5: "Vi phạm chỉ bị phạt tiền"
→ Sai. Ngoài phạt hành chính, OPC có thể công bố tên doanh nghiệp (name and shame), gây thiệt hại reputation nghiêm trọng hơn tiền phạt.
7. Thuật ngữ liên quan
- OPC (Office of the Privacy Commissioner of Canada): Cơ quan giám sát PIPEDA
- Meaningful Consent: Đồng thuận có hiểu biết – khách hiểu rõ họ cho phép gì
- PIPEDA Fair Information Principles: 10 nguyên tắc nền tảng (Accountability, Identifying Purposes, Consent, Limiting Collection, Limiting Use/Disclosure/Retention, Accuracy, Safeguards, Openness, Individual Access, Challenging Compliance)
- Breach of Security Safeguards Regulations: Quy định báo cáo vi phạm từ 2018
- CASL (Canada's Anti-Spam Legislation): Luật chống spam email – thường đi kèm PIPEDA khi làm email marketing
- Privacy Management Program (PMP): Chương trình quản lý privacy nội bộ bắt buộc
- Data Subject Access Request (DSAR): Yêu cầu truy cập data từ khách
- Transfer for Processing: Chuyển data xuyên biên giới để xử lý
- Anonymization vs Pseudonymization: Ẩn danh hoàn toàn vs ẩn danh giả – PIPEDA chỉ công nhận anonymization thực sự
Tóm lại cho DTC seller: PIPEDA không đáng sợ như GDPR, nhưng không thể bỏ qua nếu bạn muốn scale bền vững tại thị trường Canada. Đầu tư vào Privacy Policy chuẩn, consent banner đúng, và quy trình xử lý DSAR trong 30 ngày – đó là "vé entry" bắt buộc cho mọi brand nghiêm túc.