Dữ liệu cá nhân WordPress: 8 việc kỹ thuật theo luật mới 2026
Dữ liệu cá nhân WordPress là mọi thông tin khách để lại trên website: họ tên, số điện thoại, email trong biểu mẫu, tài khoản, đơn hàng, bình luận, cookie và dữ liệu đo lường. Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) có hiệu lực, đặt ra yêu cầu rõ hơn cho doanh nghiệp thu thập dữ liệu qua website.
Trên WordPress, có 8 việc kỹ thuật nên làm: lập danh sách dữ liệu thu thập, viết chính sách bảo mật, xin đồng ý rõ ràng ở biểu mẫu, quản lý cookie, giới hạn quyền truy cập, mã hóa và bảo mật, đặt thời hạn lưu trữ, và quy trình xử lý yêu cầu của khách. Bài viết chỉ mang tính tham khảo kỹ thuật; nghĩa vụ pháp lý cụ thể của doanh nghiệp cần hỏi luật sư.
Tổng quan về luật xem bài luật bảo vệ dữ liệu cá nhân cho website.
WordPress thu thập dữ liệu cá nhân ở đâu
- Biểu mẫu liên hệ, đặt lịch, báo giá: tên, điện thoại, email, nội dung; nhiều plugin lưu vào cơ sở dữ liệu ngoài việc gửi email.
- WooCommerce: địa chỉ giao hàng, lịch sử mua, tài khoản khách.
- Bình luận: tên, email, địa chỉ IP.
- Tài khoản người dùng: thành viên, học viên, đại lý.
- Cookie, công cụ đo lường: GA4, pixel Facebook, TikTok, Google Ads.
- Chat, Zalo, Messenger nhúng: dữ liệu đi qua bên thứ ba.
- Nhật ký bảo mật: địa chỉ IP, thời gian truy cập.
8 việc bảo vệ dữ liệu cá nhân WordPress
1. Lập danh sách dữ liệu
Ghi rõ website thu thập gì, ở đâu, lưu ở đâu (cơ sở dữ liệu, email, Google Sheets, CRM), ai xem được, chuyển cho bên nào.
2. Chính sách bảo mật
WordPress có sẵn trang mẫu Chính sách bảo mật và công cụ gợi ý nội dung (Cài đặt → Quyền riêng tư). Cần viết lại cho đúng thực tế doanh nghiệp, đặt liên kết ở chân trang và cạnh mỗi biểu mẫu.
3. Xin đồng ý rõ ràng
Ô đánh dấu đồng ý ở biểu mẫu, không đánh dấu sẵn, nêu mục đích dùng dữ liệu; tách riêng đồng ý nhận tin quảng cáo.
4. Quản lý cookie
Dùng plugin quản lý đồng ý cookie, chỉ tải mã quảng cáo, đo lường sau khi khách đồng ý nếu chính sách của doanh nghiệp yêu cầu. Google có Consent Mode cho GA4, Google Ads.
5. Giới hạn quyền truy cập
Chỉ nhân viên cần thiết được xem đơn hàng, biểu mẫu; mỗi người tài khoản riêng, bật xác thực hai lớp.
6. Mã hóa và bảo mật
HTTPS toàn site, cập nhật plugin, sao lưu được bảo vệ, không để tệp xuất dữ liệu trong thư mục công khai.
7. Thời hạn lưu trữ
Xóa định kỳ dữ liệu biểu mẫu cũ không còn cần; nhiều plugin biểu mẫu có tùy chọn tự xóa sau số ngày.
8. Xử lý yêu cầu của khách
WordPress có công cụ Xuất dữ liệu cá nhân và Xóa dữ liệu cá nhân (Công cụ → Xuất/Xóa dữ liệu cá nhân) để đáp ứng yêu cầu xem, xóa dữ liệu.
Văn bản luật tra cứu tại Cơ sở dữ liệu quốc gia về văn bản pháp luật.
Rà soát plugin xử lý dữ liệu cá nhân WordPress
Mỗi plugin có thể là một nơi lưu dữ liệu cá nhân mà chủ website không để ý. Nên rà soát theo từng nhóm:
- Plugin biểu mẫu: có lưu bản ghi vào cơ sở dữ liệu không, giữ bao lâu, có gửi sang dịch vụ email marketing hay CRM không.
- Plugin chat, tổng đài: dữ liệu hội thoại lưu ở máy chủ nào, có ở nước ngoài không.
- Plugin thống kê, bản đồ nhiệt: ghi lại thao tác chuột, nội dung nhập vào ô; cần tắt ghi ô nhập liệu.
- Plugin bảo mật: lưu địa chỉ IP, nhật ký đăng nhập; đặt thời gian xóa nhật ký.
- Plugin email (SMTP): có lưu nội dung email gửi đi không.
- Plugin sao lưu: bản sao lưu chứa toàn bộ dữ liệu, lưu ở đâu, ai truy cập được.
Plugin nào không còn cần thì gỡ hẳn và xóa dữ liệu nó để lại; ít plugin hơn nghĩa là ít nơi rò rỉ hơn.
Dữ liệu cá nhân WordPress trong biểu mẫu: viết sao cho đúng
Mẫu câu tham khảo đặt cạnh ô đồng ý: “Tôi đồng ý để [tên doanh nghiệp] sử dụng họ tên, số điện thoại và email tôi cung cấp để liên hệ tư vấn về yêu cầu này, theo Chính sách bảo mật.” Với nhận tin khuyến mãi, dùng một ô riêng không bắt buộc. Nội dung cụ thể nên được luật sư xem lại cho phù hợp hoạt động của doanh nghiệp.
Chỉ hỏi thông tin thật sự cần: biểu mẫu báo giá không cần ngày sinh, số căn cước. Ít trường hơn vừa giảm rủi ro, vừa tăng tỷ lệ khách điền.
Dữ liệu cá nhân nhạy cảm
Website phòng khám, trung tâm giáo dục, dịch vụ tài chính có thể thu thập thông tin sức khỏe, thông tin trẻ em, thông tin tài chính — các loại dữ liệu thường được pháp luật bảo vệ chặt hơn. Với những website này, nên hạn chế thu thập qua biểu mẫu thông thường, không gửi nội dung nhạy cảm qua email không mã hóa, và đặc biệt cần luật sư tư vấn về các yêu cầu bổ sung.
Khi xảy ra sự cố lộ dữ liệu cá nhân WordPress
Nếu website bị hack và có khả năng dữ liệu khách hàng bị truy cập, cần hành động nhanh: cô lập website, xác định dữ liệu nào bị ảnh hưởng, khắc phục lỗ hổng, và liên hệ luật sư để xác định nghĩa vụ thông báo cho cơ quan chức năng và cho khách hàng, cùng thời hạn phải thực hiện. Lưu giữ đầy đủ nhật ký, bằng chứng và các bước đã làm. Xem bài khôi phục WordPress bị hack.
Vai trò của đơn vị làm web
Đơn vị làm web và bảo trì thường có quyền truy cập vào dữ liệu khách hàng của doanh nghiệp. Hợp đồng nên có điều khoản bảo mật thông tin, phạm vi truy cập, trách nhiệm khi có sự cố, và cam kết xóa dữ liệu khi kết thúc hợp tác. Đây là nội dung nên được luật sư của doanh nghiệp rà soát.
Website do Việt Thái Group thực hiện được dựng với HTTPS, xác thực hai lớp cho quản trị, trang Chính sách bảo mật mẫu để doanh nghiệp điều chỉnh, và ô đồng ý trong biểu mẫu liên hệ. Phần nội dung pháp lý cuối cùng do doanh nghiệp quyết định cùng luật sư.
Lộ trình 30 ngày cho website đang chạy
- Tuần 1: lập danh sách dữ liệu thu thập và các plugin liên quan.
- Tuần 2: cập nhật chính sách bảo mật, thêm ô đồng ý vào biểu mẫu, cài quản lý cookie.
- Tuần 3: rà soát tài khoản, phân quyền, bật 2FA, đặt thời hạn xóa dữ liệu cũ.
- Tuần 4: thử quy trình xuất và xóa dữ liệu theo yêu cầu, ghi thành văn bản, nhờ luật sư xem lại.
Dữ liệu cá nhân WordPress và quảng cáo
Pixel quảng cáo và công cụ đo lường gửi dữ liệu hành vi sang Google, Meta, TikTok. Tính năng “chuyển đổi nâng cao” có thể gửi email, số điện thoại (đã mã hóa một chiều) để đối sánh khách. Doanh nghiệp nên nêu rõ việc này trong chính sách bảo mật, dùng cơ chế đồng ý cookie phù hợp, và hỏi luật sư về yêu cầu cụ thể trước khi bật các tính năng gửi dữ liệu khách hàng.
Tóm lại, bảo vệ dữ liệu cá nhân WordPress là sự kết hợp giữa kỹ thuật (bảo mật, phân quyền, thời hạn lưu) và pháp lý (chính sách, đồng ý, thông báo). Phần kỹ thuật có thể làm ngay; phần pháp lý cần luật sư đồng hành.
Câu hỏi thường gặp về dữ liệu cá nhân WordPress
Website nhỏ có phải tuân thủ không?
Luật áp dụng cho tổ chức, cá nhân xử lý dữ liệu cá nhân; mức độ nghĩa vụ và các trường hợp miễn trừ cho doanh nghiệp nhỏ cần hỏi luật sư.
Gửi biểu mẫu về Google Sheets có sao không?
Đó là chuyển dữ liệu sang bên thứ ba lưu trữ; cần nêu trong chính sách và bảo vệ quyền truy cập tệp.
Đặt máy chủ ở nước ngoài có được không?
Có thể liên quan quy định về chuyển dữ liệu ra nước ngoài; hỏi luật sư để xác định thủ tục.
Kết luận về dữ liệu cá nhân WordPress
Bảo vệ dữ liệu cá nhân WordPress bắt đầu từ biết mình thu thập gì, xin đồng ý rõ ràng và bảo mật tốt. Phần pháp lý cần luật sư tư vấn. Xem thêm lớp bảo mật WordPress và dịch vụ thiết kế web của Việt Thái Group.
