Luật Bảo vệ dữ liệu cá nhân 2025: 7 việc website doanh nghiệp cần làm
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua năm 2025 và có hiệu lực từ ngày 01/01/2026, cùng Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Luật áp dụng cho mọi tổ chức, doanh nghiệp xử lý dữ liệu cá nhân tại Việt Nam, không phân biệt quy mô. Website có form liên hệ, giỏ hàng, công cụ đo lường hay quảng cáo đều đang xử lý dữ liệu cá nhân của khách.
Bài viết tóm tắt những điểm của Luật Bảo vệ dữ liệu cá nhân liên quan trực tiếp đến website và 7 việc doanh nghiệp nên làm. Đây là thông tin tham khảo, không thay thế tư vấn pháp lý.
Website thu thập những dữ liệu cá nhân nào?
- Họ tên, số điện thoại, email, địa chỉ khách điền vào form, đơn hàng.
- Địa chỉ IP, thông tin trình duyệt, thiết bị.
- Cookie và mã định danh của công cụ phân tích, quảng cáo như Google Analytics, Facebook Pixel.
- Nội dung trò chuyện qua chat, chatbot trên website.
Quyền của người dùng theo Luật Bảo vệ dữ liệu cá nhân
Người dùng có quyền được biết dữ liệu của mình được xử lý thế nào; đồng ý hoặc không đồng ý, rút lại sự đồng ý; xem, chỉnh sửa, yêu cầu xoá, hạn chế xử lý dữ liệu; khiếu nại khi quyền bị xâm phạm. Toàn văn luật có thể tra cứu tại Thư viện Pháp luật.
7 việc website doanh nghiệp cần làm
- Ô đồng ý trong mỗi form: khách tự tích, không tích sẵn, có liên kết tới chính sách bảo mật.
- Chính sách bảo mật đầy đủ: thu dữ liệu gì, dùng vào việc gì, lưu bao lâu, chia sẻ với ai, cách thực hiện quyền.
- Hộp xin đồng ý cookie: cookie phân tích và quảng cáo chỉ bật khi khách đồng ý; có cách rút lại đồng ý. Xem Facebook Pixel và Google Tag.
- Bảo mật kỹ thuật: HTTPS, phân quyền quản trị, cập nhật phiên bản, sao lưu. Xem bảo trì website.
- Chỉ thu dữ liệu cần thiết: form hỏi càng ít càng tốt, vừa đúng luật vừa tăng tỷ lệ gửi.
- Quy trình xử lý yêu cầu: có email hoặc đầu mối tiếp nhận yêu cầu xem, sửa, xoá dữ liệu.
- Ghi rõ chuyển dữ liệu ra nước ngoài: nếu dùng dịch vụ như Gmail, Google Analytics có máy chủ ở nước ngoài.
Luật Bảo vệ dữ liệu cá nhân và cookie
Cookie phân tích, quảng cáo giúp định danh người dùng nên thuộc phạm vi xử lý dữ liệu cá nhân cần có sự đồng ý. Cookie thiết yếu để website hoạt động (giữ phiên, giỏ hàng, chống thư rác) thường không cần xin phép nhưng vẫn nên công khai trong chính sách. Giải pháp phổ biến là hộp đồng ý kết hợp chế độ đồng ý của Google (Consent Mode).
Ngoài website, doanh nghiệp còn phải làm gì?
Luật Bảo vệ dữ liệu cá nhân còn có các nghĩa vụ như chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân, lập hồ sơ đánh giá tác động xử lý dữ liệu, thông báo khi xảy ra sự cố lộ lọt. Dữ liệu khách trong CRM, Excel, Zalo của nhân viên cũng thuộc phạm vi. Doanh nghiệp nên nhờ luật sư hoặc đơn vị tư vấn pháp lý rà soát toàn diện.
Mốc thời gian và văn bản hướng dẫn Luật Bảo vệ dữ liệu cá nhân
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: có hiệu lực từ 01/01/2026, thay thế khung quy định trước đó tại Nghị định 13/2023/NĐ-CP.
- Nghị định 356/2025/NĐ-CP: ban hành ngày 31/12/2025, hiệu lực cùng ngày với luật, hướng dẫn chi tiết cách thực hiện: hồ sơ đánh giá tác động, thông báo vi phạm, chuyển dữ liệu ra nước ngoài…
- Các quy định về xử phạt vi phạm hành chính tiếp tục được hoàn thiện, doanh nghiệp nên theo dõi văn bản mới.
Điểm quan trọng: luật áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân của người Việt Nam, không phân biệt quy mô. Website chỉ có một form liên hệ cũng đang thu thập họ tên, số điện thoại, nghĩa là đã nằm trong phạm vi điều chỉnh.
Dữ liệu cá nhân cơ bản và nhạy cảm trên website
| Loại dữ liệu | Ví dụ trên website doanh nghiệp | Mức yêu cầu bảo vệ |
|---|---|---|
| Cơ bản | Họ tên, số điện thoại, email, địa chỉ giao hàng, địa chỉ IP, cookie | Cần đồng ý, thông báo mục đích, bảo mật hợp lý |
| Nhạy cảm | Tình trạng sức khoẻ (phòng khám, spa), thông tin tài chính, tài khoản ngân hàng, vị trí chính xác, dữ liệu trẻ em | Yêu cầu chặt hơn: đồng ý rõ ràng, biện pháp kỹ thuật mạnh, đánh giá tác động |
Website phòng khám, nha khoa, spa, trung tâm giáo dục trẻ em cần đặc biệt lưu ý vì thường thu thập dữ liệu nhạy cảm qua form đặt lịch hoặc tư vấn.
Mức phạt theo Luật Bảo vệ dữ liệu cá nhân
Luật Bảo vệ dữ liệu cá nhân đưa ra mức phạt cao hơn nhiều so với trước:
- Vi phạm quy định chuyển dữ liệu cá nhân ra nước ngoài: phạt đến 5% doanh thu năm trước của tổ chức.
- Mua bán dữ liệu cá nhân: phạt đến 10 lần khoản thu có được từ hành vi vi phạm.
- Các vi phạm khác: phạt tiền theo mức tối đa luật quy định cho tổ chức (đến 3 tỷ đồng).
Lưu ý: dùng dịch vụ lưu trữ, email, CRM có máy chủ đặt ở nước ngoài cũng có thể được coi là chuyển dữ liệu ra nước ngoài. Doanh nghiệp nên liệt kê các dịch vụ đang dùng và tham khảo tư vấn pháp lý khi cần.
Doanh nghiệp nhỏ được hỗ trợ gì?
Để giảm gánh nặng, văn bản hướng dẫn cho phép doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc chưa thực hiện một số nghĩa vụ như lập hồ sơ đánh giá tác động trong 5 năm kể từ 01/01/2026; doanh nghiệp siêu nhỏ và hộ kinh doanh được miễn nhiều thủ tục hơn. Tuy vậy, ưu đãi không áp dụng khi doanh nghiệp xử lý dữ liệu nhạy cảm hoặc kinh doanh dịch vụ xử lý dữ liệu. Và các nghĩa vụ cơ bản như xin đồng ý, thông báo mục đích, bảo mật dữ liệu vẫn phải làm.
Mẫu câu thông báo dưới form liên hệ
Một câu ngắn đặt ngay dưới nút gửi giúp website đáp ứng yêu cầu thông báo và xin đồng ý của Luật Bảo vệ dữ liệu cá nhân, ví dụ:
“Bằng việc bấm Gửi, bạn đồng ý để [Tên công ty] dùng họ tên và số điện thoại trên để liên hệ tư vấn theo yêu cầu này. Chúng tôi không chia sẻ thông tin cho bên thứ ba. Xem Chính sách bảo mật.”
Với form có mục đích khác (nhận bản tin, tuyển dụng), hãy ghi đúng mục đích đó. Không dùng chung một câu cho mọi form.
Khi khách yêu cầu xoá dữ liệu: quy trình 4 bước
- Tiếp nhận: ghi lại yêu cầu (qua email, điện thoại, form), ngày nhận.
- Xác minh: kiểm tra đúng là chủ dữ liệu yêu cầu, tránh bị kẻ xấu giả mạo xoá dữ liệu người khác.
- Thực hiện: xoá ở mọi nơi lưu trữ: hộp thư, CRM, file Excel, danh sách quảng cáo đã tải lên Facebook, Google.
- Phản hồi: báo lại cho khách trong thời hạn luật định và lưu biên bản đã xử lý.
Nên giao một người cụ thể phụ trách việc này và ghi email liên hệ trong chính sách bảo mật. Tham khảo thêm phân tích từ tóm tắt Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.
Câu hỏi thường gặp về Luật Bảo vệ dữ liệu cá nhân
Doanh nghiệp nhỏ có phải tuân thủ không?
Có. Luật áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam, dù có thể có quy định riêng về lộ trình cho doanh nghiệp nhỏ, khởi nghiệp.
Website chỉ có form liên hệ có cần chính sách bảo mật không?
Cần. Form liên hệ đã thu họ tên, số điện thoại, nên cần ô đồng ý và chính sách bảo mật.
Vi phạm có bị phạt không?
Có. Luật quy định mức xử phạt hành chính, với một số vi phạm có thể tính theo phần trăm doanh thu. Nên tra cứu văn bản chính thức để biết mức cụ thể.
Kết luận về luật Bảo vệ dữ liệu cá nhân 2025
Tuân thủ Luật Bảo vệ dữ liệu cá nhân trên website không phức tạp nếu làm đúng từ đầu: form có đồng ý, chính sách rõ ràng, cookie có xin phép, bảo mật tốt. Việt Thái Group thiết kế website có sẵn ô đồng ý, chính sách bảo mật mẫu và chống spam form. Xem dịch vụ thiết kế website doanh nghiệp.
