Trả lời nhanh
Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) có hiệu lực từ ngày 1/1/2026. Nếu website của bạn thu tên, số điện thoại hay email qua form, bạn nên xin đồng ý rõ ràng cho từng mục đích, công khai chính sách bảo mật, chỉ thu dữ liệu cần thiết và có cách xử lý khi dữ liệu bị lộ. Bài này chỉ mang tính tham khảo, không thay thế tư vấn pháp lý.
Ý chính
- Luật số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 1/1/2026.
- Sự đồng ý của khách chỉ hợp lệ khi tự nguyện và khách biết rõ loại dữ liệu, mục đích, bên xử lý và quyền của mình; im lặng không được coi là đồng ý.
- Mỗi mục đích cần một sự đồng ý riêng, không được gộp bắt buộc đồng ý các mục đích khác.
- Khi phát hiện vi phạm có khả năng gây hại, bên kiểm soát dữ liệu phải thông báo cho cơ quan chuyên trách trong 72 giờ.
- Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn một số nghĩa vụ (như hồ sơ đánh giá tác động), trừ một số trường hợp như xử lý dữ liệu nhạy cảm hoặc dữ liệu của số lượng lớn người.
Website nhỏ có form liên hệ có bị điều chỉnh bởi Luật Bảo vệ dữ liệu cá nhân không?
Có thể, vì luật áp dụng cho mọi cơ quan, tổ chức, cá nhân tại Việt Nam xử lý dữ liệu cá nhân. Khi website thu họ tên, số điện thoại, email hay nội dung khách nhập vào form, bạn đang thu thập và xử lý dữ liệu cá nhân của khách.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 do Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 1/1/2026. Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết việc thi hành. Mức độ nghĩa vụ phụ thuộc vào quy mô và loại dữ liệu bạn xử lý, nhưng nguyên tắc cơ bản áp dụng cho cả website nhỏ.
- Dữ liệu cá nhân cơ bản: họ tên, số điện thoại, email, địa chỉ.
- Dữ liệu nhạy cảm cần thận trọng hơn: sức khỏe, tài chính, vị trí, thông tin trẻ em.
- Mọi form liên hệ, form đặt lịch và form đăng ký nhận tin đều thu dữ liệu cá nhân.
Sự đồng ý của khách phải như thế nào để hợp lệ?
Theo Điều 9, sự đồng ý chỉ hợp lệ khi khách tự nguyện và biết rõ: loại dữ liệu nào được xử lý và vì mục đích gì, ai là bên kiểm soát dữ liệu, và khách có quyền và nghĩa vụ gì. Sự đồng ý phải thể hiện rõ ràng, cụ thể, có thể in hoặc sao chép thành văn bản, kể cả dạng điện tử.
Luật cũng nêu các nguyên tắc quan trọng: đồng ý riêng cho từng mục đích, không bắt buộc đồng ý thêm mục đích khác, và im lặng hoặc không phản hồi không được coi là đồng ý. Vì vậy ô tích sẵn hoặc câu "bằng việc gửi form bạn đồng ý mọi điều khoản" là cách làm nên tránh.
- Thêm ô tích đồng ý (không tích sẵn) ngay dưới form, kèm đường dẫn tới chính sách bảo mật.
- Tách riêng: đồng ý để được liên hệ tư vấn và đồng ý nhận email quảng cáo.
- Ghi rõ dữ liệu dùng để làm gì, ai xử lý và cách khách rút lại sự đồng ý.
- Lưu lại thời điểm và nội dung đồng ý để chứng minh khi cần.
Website nên có những gì để tuân thủ ở mức cơ bản?
Với website giới thiệu dịch vụ, một bộ khung tối thiểu gồm chính sách bảo mật, ô đồng ý trên form, nguyên tắc chỉ thu dữ liệu cần thiết và cách xử lý yêu cầu của khách. Các mục dưới đây là gợi ý thực hành dựa trên nguyên tắc của luật, không phải danh sách bắt buộc đầy đủ cho mọi trường hợp.
| Hạng mục | Việc cần làm | Căn cứ chính |
|---|---|---|
| Chính sách bảo mật | Trang riêng nêu dữ liệu thu, mục đích, thời gian lưu, quyền của khách, kênh liên hệ | Điều 3, 4, 9 |
| Đồng ý trên form | Ô tích không tích sẵn, tách theo từng mục đích | Điều 9 |
| Thu tối thiểu | Chỉ hỏi trường thật sự cần (thường là tên và số điện thoại) | Điều 3 |
| Quyền của khách | Có email hoặc form để khách xem, sửa, xóa dữ liệu hoặc rút đồng ý | Điều 4 |
| Bảo mật kỹ thuật | HTTPS, giới hạn người truy cập dữ liệu, không gửi dữ liệu khách qua kênh công khai | Điều 3, 12 |
| Quy trình sự cố | Biết ai phụ trách và thông báo kịp thời nếu lộ dữ liệu | Điều 23 |
Khi lộ hoặc mất dữ liệu cá nhân thì phải làm gì?
Theo Điều 23, khi phát hiện vi phạm có khả năng gây hại đến an ninh, trật tự hoặc tính mạng, sức khỏe, danh dự, tài sản của chủ thể dữ liệu, bên kiểm soát dữ liệu phải thông báo cho cơ quan chuyên trách về bảo vệ dữ liệu cá nhân trong vòng 72 giờ. Bên xử lý dữ liệu phát hiện vi phạm thì phải thông báo ngay cho bên kiểm soát.
Bạn cũng nên lập biên bản xác nhận sự việc, khắc phục hậu quả và phối hợp với cơ quan có thẩm quyền. Với website nhỏ, việc thực tế là biết trước ai nhận thông báo, ai đổi mật khẩu, ai liên hệ khách và ghi lại diễn biến.
- Giữ danh sách tài khoản có quyền xem dữ liệu khách và dùng xác thực hai lớp.
- Không lưu dữ liệu khách trong bảng tính chia sẻ công khai.
- Dùng đơn vị làm website có quy trình sao lưu và phân quyền rõ ràng.
Hộ kinh doanh và doanh nghiệp nhỏ có được miễn nghĩa vụ nào không?
Có, nhưng không miễn toàn bộ. Theo Điều 38, hộ kinh doanh và doanh nghiệp siêu nhỏ không bắt buộc thực hiện Điều 21 và 22 (hồ sơ đánh giá tác động xử lý dữ liệu) và khoản 2 Điều 33 (bố trí bộ phận hoặc nhân sự bảo vệ dữ liệu). Doanh nghiệp nhỏ và khởi nghiệp được lựa chọn thực hiện các nội dung này trong 5 năm kể từ ngày luật có hiệu lực.
Ngoại lệ: ưu đãi này không áp dụng nếu bạn cung cấp dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn người. Các nghĩa vụ chung như xin đồng ý, bảo mật và thông báo vi phạm vẫn cần tuân thủ. Hãy hỏi luật sư hoặc cơ quan có thẩm quyền để xác định đúng trường hợp của bạn.
Cookie, Google Analytics và pixel quảng cáo có cần xin đồng ý không?
Nếu bạn chạy quảng cáo theo hành vi hoặc cá nhân hóa, luật có quy định riêng. Theo khoản 8 Điều 28, tổ chức, cá nhân dùng dữ liệu cá nhân cho quảng cáo theo hành vi, quảng cáo nhắm đối tượng hoặc cá nhân hóa chỉ được thu thập dữ liệu qua việc theo dõi website, cổng thông tin và ứng dụng khi có sự đồng ý của chủ thể dữ liệu, đồng thời phải có cách để khách từ chối chia sẻ dữ liệu.
Vì vậy, nếu website dùng pixel quảng cáo hoặc công cụ đo lường, cách làm thận trọng là hiện thông báo cookie, cho phép từ chối và chỉ nạp công cụ theo dõi sau khi khách đồng ý. Riêng nghĩa vụ cho phép từ chối cookie ở Điều 29 được quy định cho nền tảng mạng xã hội và dịch vụ truyền thông trực tuyến. Quy định chi tiết có thể được hướng dẫn thêm, nên hãy kiểm tra thường xuyên.
