Trả lời nhanh: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 1/1/2026, áp dụng cho cả doanh nghiệp, hộ kinh doanh và cá nhân xử lý dữ liệu của người khác. Với website và shop online, việc cần làm là: chỉ thu thập dữ liệu cần thiết, xin đồng ý rõ ràng trước khi thu thập, công bố chính sách bảo mật, có cách cho khách yêu cầu xem, sửa, xóa dữ liệu, và tuyệt đối không mua bán danh sách khách hàng.
Bài viết tổng hợp để tham khảo, không thay thế tư vấn pháp lý. Hãy đối chiếu toàn văn Luật 91/2025/QH15 và các văn bản hướng dẫn trước khi áp dụng.
Dữ liệu cá nhân trong một shop gồm những gì?
Bạn đang xử lý dữ liệu cá nhân nhiều hơn mình nghĩ:
| Nơi lưu | Dữ liệu thường có |
|---|---|
| Form đặt hàng, đặt lịch trên website | Họ tên, số điện thoại, địa chỉ, email |
| Zalo, Messenger | Tên, ảnh đại diện, số điện thoại, lịch sử chat |
| File Excel, Google Sheets khách hàng | Danh sách khách, lịch sử mua, ngày sinh |
| Phần mềm bán hàng, CRM | Hồ sơ khách, công nợ, ghi chú chăm sóc |
| Camera, ảnh trước/sau (spa, phòng khám) | Hình ảnh khuôn mặt, tình trạng da, sức khỏe |
| Hồ sơ nhân viên | CCCD, tài khoản ngân hàng, lương |
Ảnh trước/sau ở spa, phòng khám và thông tin sức khỏe là loại dữ liệu nhạy cảm, cần cẩn trọng hơn khi đăng lên website hay mạng xã hội.
Những điểm chính của Luật cần biết
- Hiệu lực từ 1/1/2026, áp dụng với tổ chức, cá nhân Việt Nam và nước ngoài tại Việt Nam (VnEconomy, Ngân hàng Nhà nước).
- Người dùng có quyền được biết, đồng ý, truy cập, chỉnh sửa và yêu cầu xóa dữ liệu của mình (Doanh nghiệp hội nhập).
- Cấm mua bán dữ liệu cá nhân trái phép. Mức phạt tối đa có thể tới 10 lần khoản thu từ hành vi vi phạm (LSVN).
- Chuyển dữ liệu ra nước ngoài trái quy định: mức phạt tối đa với tổ chức tới 5% doanh thu năm trước. Các vi phạm khác: mức phạt hành chính tối đa 3 tỷ đồng với tổ chức, cá nhân bằng một nửa (Điều 8 Luật 91/2025).
- Dữ liệu nhân viên phải được xóa, hủy khi chấm dứt hợp đồng lao động, trừ khi pháp luật hoặc thỏa thuận quy định khác (LSVN).
Checklist 10 việc cho website và shop online
- 1. Rà form trên website: chỉ hỏi thông tin thật sự cần (đặt hàng cần tên, SĐT, địa chỉ; không cần ngày sinh, CCCD)
- 2. Thêm câu đồng ý ngay dưới form, có liên kết tới chính sách bảo mật, không tích sẵn ô đồng ý nhận quảng cáo
- 3. Viết lại chính sách bảo mật: thu thập gì, để làm gì, lưu bao lâu, chia sẻ với ai (đơn vị vận chuyển, thanh toán), cách liên hệ yêu cầu xóa
- 4. Có kênh tiếp nhận yêu cầu xem, sửa, xóa dữ liệu (email hoặc số điện thoại cụ thể)
- 5. Phân quyền: nhân viên bán hàng không tải được toàn bộ danh sách khách
- 6. Bỏ file Excel khách hàng chia sẻ công khai qua đường link "ai có link đều xem được"
- 7. Website dùng https, mật khẩu quản trị mạnh, bật xác thực hai lớp nếu có
- 8. Ảnh trước/sau, ảnh khách hàng: chỉ đăng khi có đồng ý bằng văn bản hoặc tin nhắn lưu lại
- 9. Không mua, không bán danh sách số điện thoại, data khách hàng
- 10. Hồ sơ nhân viên nghỉ việc: xóa hoặc hủy theo quy định
Mẫu câu đồng ý dưới form (tham khảo)
Một câu ngắn, rõ, đặt ngay dưới nút gửi:
Khi gửi thông tin, bạn đồng ý để [Tên cửa hàng] sử dụng họ tên, số điện thoại và địa chỉ để xác nhận và giao đơn hàng. Xem [Chính sách bảo mật]. Bạn có thể yêu cầu xem, sửa hoặc xóa thông tin bất cứ lúc nào qua số [SĐT].
Nếu muốn gửi tin khuyến mãi, hãy dùng ô tích riêng, mặc định không tích: "Tôi muốn nhận ưu đãi qua Zalo/SMS".
Website của tôi cần sửa gì về kỹ thuật?
| Hạng mục | Nên làm |
|---|---|
| Form | Giảm trường bắt buộc, thêm câu đồng ý, ô đăng ký nhận tin riêng |
| Lưu trữ | Dữ liệu form vào hệ thống có phân quyền, không chỉ gửi về email cá nhân |
| Bảo mật | https, cập nhật mã nguồn, plugin; sao lưu mã hóa |
| Cookie, theo dõi quảng cáo | Thông báo rõ nếu dùng công cụ theo dõi của bên thứ ba |
| Xóa dữ liệu | Có cách xóa hồ sơ khách theo yêu cầu trong phần mềm, CRM |
Câu hỏi thường gặp
Có. Luật áp dụng cho tổ chức và cá nhân xử lý dữ liệu cá nhân, không phân biệt quy mô. Hộ kinh doanh có danh sách khách hàng, form đặt hàng hay nhóm Zalo khách hàng đều nên rà soát.
Không vi phạm nếu khách được thông báo và đồng ý mục đích đó, và bạn bảo vệ dữ liệu cẩn thận. Hãy ghi rõ mục đích chăm sóc sau bán trong chính sách bảo mật.
Không. Luật cấm mua bán dữ liệu cá nhân trái phép, mức phạt có thể tới 10 lần khoản thu từ vi phạm. Hãy xây danh sách khách từ người tự để lại thông tin và đồng ý.
Chỉ nên đăng khi khách đồng ý rõ ràng và có lưu lại bằng chứng đồng ý. Nên che hoặc cắt phần nhận diện nếu không cần thiết.
Nguồn tham khảo
- VnEconomy: Những điểm mới trong Luật Bảo vệ dữ liệu cá nhân từ 1/1/2026
- Doanh nghiệp hội nhập: Người dân có quyền yêu cầu doanh nghiệp xóa dữ liệu
- Hệ thống pháp luật: Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025
- LSVN: Mua bán dữ liệu cá nhân trái phép có thể bị phạt tới 10 lần doanh thu
- LSVN: Doanh nghiệp phải xóa dữ liệu người lao động sau khi chấm dứt hợp đồng
- VCCI: Luật Bảo vệ dữ liệu cá nhân, lưu ý cho doanh nghiệp
Thông tin cập nhật đến tháng 10/2026.
