By · Last updated 2026-03-06

Quay lại BlogGDPR & Tuân Thủ

Phạt TikTok 530 Triệu Euro: Chủ Quyền Dữ Liệu GDPR

Khoản phạt GDPR 530 triệu euro đối với TikTok về việc chuyển dữ liệu EU-Trung Quốc đánh dấu kỷ nguyên mới trong việc thực thi chủ quyền dữ liệu. Với 5,65 tỷ euro tổng tiền phạt GDPR.

March 6, 20269 phút đọc
GDPR enforcementdata sovereigntyTikTok GDPR fineEU data transfer

Phán Quyết TikTok Thay Đổi Chủ Quyền Dữ Liệu

Cập nhật cho năm 2026

Vào tháng 5 năm 2025, Ủy ban Bảo vệ Dữ liệu Ireland đã phạt TikTok 530 triệu euro. Lý do rất đơn giản. TikTok đã gửi thông tin người dùng EU sang Trung Quốc mà không có các biện pháp bảo vệ phù hợp.

Đây là khoản phạt GDPR đơn lẻ lớn thứ hai từ trước đến nay. Chỉ có khoản phạt 1,2 tỷ euro đối với Meta từ năm 2023 là lớn hơn. DPC Ireland cũng là cơ quan ban hành khoản phạt đó - vì việc gửi hồ sơ EU đến máy chủ Hoa Kỳ của Facebook.

Cả hai vụ có chung một mẫu rõ ràng. Chuyển dữ liệu xuyên biên giới mà không có biện pháp bảo vệ phù hợp sẽ bị phạt nặng nhất. Các cơ quan quản lý sẽ tiếp tục thúc đẩy cho đến khi các công ty thay đổi.

Tổng tiền phạt GDPR đạt 5,65 tỷ euro tính đến năm 2025. Thực thi không còn là rủi ro nền mà là chi phí hoạt động kinh doanh thực sự. Xem hướng dẫn tuân thủ GDPR của chúng tôi để có tổng quan thực tiễn.

Vụ TikTok Quyết Định Điều Gì

Vụ này không phải về việc vi phạm dữ liệu. Mà là về nơi các tệp người dùng đi và cơ sở pháp lý để chuyển chúng qua biên giới.

TikTok lưu trữ tệp người dùng EU trên máy chủ. Nhân viên ở Trung Quốc có thể truy cập các máy chủ đó. Các Điều 44-46 GDPR hạn chế chuyển dữ liệu đến các quốc gia không có quyết định về tính tương đương của EU. Trung Quốc không có quyết định như vậy. TikTok nói họ có các biện pháp kỹ thuật đầy đủ. Các cơ quan quản lý nói không.

Bài học rất đơn giản. Lưu trữ tại EU là chưa đủ nếu nhân viên ngoài EU có thể truy cập các tệp. Cũng không đủ nếu công ty phải tuân theo luật từ một quốc gia không đủ điều kiện.

Điều này quan trọng khi bạn chọn nhà cung cấp SaaS. Một nhà cung cấp có thể nói "chúng tôi lưu trữ ở EU." Nhưng nếu công ty mẹ của họ có trụ sở ở nơi khác, rủi ro tương tự áp dụng. Nếu nhân viên hỗ trợ của họ truy cập tệp người dùng từ bên ngoài EU, rủi ro tương tự áp dụng. Khách hàng của họ cũng chia sẻ rủi ro đó. Kiểm tra danh sách kiểm tra tuân thủ của chúng tôi trước khi ký DPA.

Tiền Phạt GDPR: 5,65 Tỷ Euro Và Đang Tăng

Hành động Thực thiTiền phạtNămCăn cứ
Meta (Facebook) - DPC€1,2 tỷ2023Chuyển dữ liệu EU-Hoa Kỳ trái phép
TikTok - DPC€530 triệu2025Chuyển dữ liệu EU-Trung Quốc
Amazon - CNPD Luxembourg€746 triệu2021Nhắm mục tiêu quảng cáo
WhatsApp - DPC€225 triệu2021Vi phạm minh bạch
Google - CNIL Pháp€150 triệu2022Đồng ý cookie

Các cơ quan quản lý đã chuyển từ thiết lập quy tắc sang thực thi chúng. Vi phạm chuyển dữ liệu hiện bị phạt nặng nhất. Tìm hiểu cách chúng tôi xử lý bảo mật và các biện pháp bảo vệ.

Đức, Thụy Sĩ và Quy Tắc Theo Ngành

Các Điều 44-46 GDPR áp dụng cho tất cả các ngành. Nhưng một số ngành phải đối mặt với các quy tắc bổ sung ngoài GDPR.

Y tế Đức: Bộ luật Xã hội V (SGB V) giới hạn tài liệu sức khỏe cho các hệ thống do Đức kiểm soát. Một công ty bảo hiểm Đức có thể sử dụng công cụ ẩn danh hóa dữ liệu đám mây ở Dublin - đó là EU. Nhưng nó vẫn có thể vi phạm SGB V nếu chủ sở hữu công cụ là công ty không phải của Đức.

Ngân hàng Thụy Sĩ: Điều 47 của Luật Ngân hàng cấm chia sẻ tài liệu khách hàng với các bên bên ngoài. Điều đó bao gồm các nhà cung cấp đám mây mà không có sự đồng ý rõ ràng của khách hàng. Tệp khách hàng của ngân hàng Thụy Sĩ, ngay cả trong công cụ được lưu trữ tại EU, có thể kích hoạt luật này.

Khu vực công Đức: Hướng dẫn BfDI giới hạn tài liệu chính phủ cho các hệ thống do chính phủ vận hành. Công cụ ẩn danh hóa dữ liệu trên máy chủ EU của nhà cung cấp đám mây thương mại không đáp ứng tiêu chuẩn này.

Bài học: Tuân thủ GDPR là tiêu chuẩn tối thiểu, không phải mức tối đa. Nhiều ngành đối mặt với quy tắc nghiêm ngặt hơn. Tổng quan xử lý thực thể của chúng tôi liệt kê các quy tắc áp dụng theo ngành.

Ai Có Quyết Định Về Tính Tương Đương?

GDPR cho phép các quốc gia trao đổi thông tin người dùng tự do nếu Ủy ban Châu Âu nói họ cung cấp sự bảo vệ tương đương. Các quốc gia đủ điều kiện:

Andorra, Argentina, Canada (các nhóm thương mại), Quần đảo Faroe, Guernsey, Israel, Isle of Man, Nhật Bản, Jersey, New Zealand, Hàn Quốc, Thụy Sĩ, Anh, Uruguay và Hoa Kỳ (Khung Bảo mật Dữ liệu).

Các quốc gia không đủ điều kiện: Trung Quốc, Ấn Độ, Nga, Brazil, hầu hết châu Á-Thái Bình Dương, hầu hết Trung Đông, hầu hết châu Phi.

Khung Bảo mật Dữ liệu EU-Hoa Kỳ đã được khôi phục. Nhưng nó vẫn đang bị thách thức tại tòa án. Các lý lẽ pháp lý tương tự đã giết chết Safe Harbor (Schrems I) và Privacy Shield (Schrems II). Các công ty sử dụng khung này nên lên kế hoạch cho một lần vô hiệu hóa khác.

Bốn Cấp Độ Bảo Vệ Khi Chọn Công Cụ

Các vụ TikTok và Meta tạo ra một bảng xếp hạng rõ ràng để đánh giá công cụ SaaS.

Cấp độ 1 - Lưu trữ EU: Thông tin người dùng được xử lý và lưu trữ trên máy chủ EU. Điều này đáp ứng tiêu chuẩn cơ sở GDPR cho hầu hết các trường hợp sử dụng.

Cấp độ 2 - Nhà vận hành có trụ sở tại EU: Công ty mẹ của nhà cung cấp có trụ sở tại EU. Nó không phải tuân theo luật của các quốc gia không đủ điều kiện. Điều này giải quyết vấn đề TikTok. Lưu trữ EU kết hợp với việc tiếp xúc pháp lý Trung Quốc đối với công ty mẹ là không an toàn.

Cấp độ 3 - Thiết kế không kiến thức: Ngay cả khi nhà cung cấp bị tấn công hoặc nhận lệnh tòa án, họ không thể đọc tệp của bạn. Bạn giữ khóa mã hóa. Họ chỉ giữ bản mã. Đọc về phương pháp không kiến thức của chúng tôi.

Cấp độ 4 - Xử lý cục bộ: Tài liệu của bạn không bao giờ rời khỏi hệ thống của chính bạn. Việc xử lý chạy trên phần cứng cục bộ hoặc máy do chính phủ kiểm soát. Đây là cách duy nhất để đáp ứng đầy đủ SGB V của Đức, bí mật ngân hàng Thụy Sĩ và quy tắc BfDI. Xem gói giá của chúng tôi để biết các tùy chọn Ứng dụng Máy tính.

Đánh Giá DPIA Sau TikTok

Điều 35 GDPR yêu cầu Đánh giá Tác động Bảo vệ Dữ liệu cho việc xử lý có rủi ro cao. Đây được gọi là DPIA. Khi tệp người dùng đến các bộ xử lý nước thứ ba, bạn cũng cần đánh giá tác động chuyển dữ liệu.

Sau TikTok, DPIA cho các công cụ xóa thông tin đám mây phải trả lời bốn câu hỏi.

Thẩm quyền pháp lý của công ty mẹ: Công ty mẹ của nhà cung cấp có phải tuân theo luật - CLOUD Act, luật an ninh mạng Trung Quốc - có thể buộc họ giao nộp tệp người dùng EU không?

Quyền truy cập của nhân viên: Nhân viên ở các quốc gia không đủ điều kiện có truy cập tệp người dùng EU trong hoạt động thông thường không?

Cơ sở pháp lý: Cơ chế nào theo Điều 46 GDPR bao gồm bất kỳ chuyển dữ liệu nào - SCCs, BCRs hay miễn trừ?

Tác động vi phạm: Nếu nhà cung cấp bị tấn công hoặc bị buộc giao nộp tài liệu, những gì bị lộ?

TikTok cho thấy các hợp đồng đơn thuần là chưa đủ. Bạn phải đánh giá chúng về tính đầy đủ. Ghi lại câu trả lời của bạn. Xem FAQ của chúng tôi để biết các câu hỏi DPIA thường gặp.

Câu Hỏi Mua Sắm Năm 2026

Các DPO hiện đặt câu hỏi rất cụ thể khi xem xét nhà cung cấp SaaS cho các công cụ xử lý thông tin cá nhân.

  • Máy chủ nằm ở đâu? (EU?)
  • Công ty mẹ có trụ sở ở đâu? (EU? Hoa Kỳ? Khác?)
  • Nhân viên không thuộc EU có truy cập tệp khách hàng EU không?
  • Luật nào điều chỉnh lệnh tòa án về tài liệu cá nhân?
  • Nhà cung cấp có giữ khóa mã hóa không, hay bạn giữ?
  • Có tùy chọn xử lý cục bộ không?

Câu trả lời cho những câu hỏi này - không chỉ là chữ ký DPA - xác định sự tuân thủ chủ quyền thực sự. Tìm hiểu cách anonym.legal được xây dựng để trả lời tất cả chúng tại tuyên bố của nhà sáng lập. Bạn cũng có thể xem bảng thuật ngữ các từ khóa để biết định nghĩa nhanh về SCCs, BCRs và quyết định về tính tương đương.

Môi trường sau TikTok rất rõ ràng. Các cơ quan quản lý theo dõi chặt chẽ các chuyển dữ liệu xuyên biên giới. Tiền phạt rất lớn. Chúng đang tăng. Lựa chọn nhà cung cấp của bạn hiện là quyết định quản lý. Không chỉ là quyết định kỹ thuật.


anonym.legal sử dụng trung tâm dữ liệu Hetzner có trụ sở tại EU với thiết kế không kiến thức. Máy chủ không bao giờ thấy nội dung văn bản thuần của bạn. Một vi phạm máy chủ hoàn toàn chỉ tạo ra bản mã AES-256-GCM. Cần xử lý chỉ cục bộ? Ứng dụng Máy tính chạy hoàn toàn trên thiết bị của bạn mà không cần kết nối bên ngoài.

Nguồn

Sẵn sàng bảo vệ dữ liệu của bạn?

Bắt đầu ẩn danh PII với 285+ loại thực thể trên 48 ngôn ngữ.

About this page

We update this page when our platform or the law changes.

Read our founder note for how we work.

Each change shows up in the timestamp at the top.

Related reading

We follow these rules

  • GDPR (EU 2016/679).
  • ISO/IEC 27001:2022.
  • NIS2 (EU 2022/2555).
  • HIPAA safe harbor under 45 CFR § 164.514(b)(2).

Our promise

We do not sell your data.

We do not train models on your text.

We store your files in Germany.

You can delete your account at any time.

You own your work.

Where we run

Our servers live in Falkenstein, Germany.

We use Hetzner. They hold ISO 27001 certification.

All data stays in the EU.

Backups run every day.

Need help?

Email support@anonym.legal.

We reply within one business day.

How we test

We run a full check suite on every release.

Each surface gets its own sweep script and report.

Human reviewers spot-check the output each week.

We track recall and precision on a labelled set.

Bad runs block the deploy.

What we never do

  • We never sell your information to third parties.
  • We never train models on what you upload.
  • We never keep your work after you delete it.
  • We never share keys with any outside firm.
  • We never run ads inside the product.

Plans in plain words

We sell credits, not seats.

One credit covers one short job.

Long jobs use a few credits each.

You can top up at any time.

Unused credits roll over each month.

Read the plans page for current rates.

Who built this

A small team of engineers and lawyers built this.

We ship from Europe and work in the open.

Our founder note spells out why we started.

Where to start

How the parts fit

A browser add-on cleans text inside Chrome.

A Word plug-in handles drafts in Office.

A small desktop tool works on whole folders.

An agent protocol link feeds large models safely.

All four share one core engine and one rule set.

Words from our team

We started this work after a lunch about cookies.

One friend kept getting odd ads on her phone.

We asked why a court file leaked through a draft.

We sketched the first build on a napkin that week.

By month three we had a tiny demo for a friend.

She used it on her first case the next day.

Common questions we hear

Can the tool read scanned PDFs? Yes, with OCR.

Does it work on long files? Yes, in small chunks.

Can I roll my own rule set? Yes, save it as a preset.

Does it run offline? The desktop build runs offline.

Do you keep my files? No, the cloud build wipes after each run.

Will it learn from my work? No, we never train on inputs.

A short tour of the workflow

Upload a file or paste a snippet of prose.

Pick the entities you want gone from the draft.

Choose a method: replace, mask, hash, encrypt, or redact.

Press run and watch the side panel show each hit.

Skim the result and tweak any rule that misfired.

Save the cleaned file or send it to a teammate.