Ngày 1 tháng 1 năm 2026, Luật Bảo vệ dữ liệu cá nhân của Việt Nam chính thức có hiệu lực, và nó lặng lẽ thay đổi luật chơi cho mọi website có thu thập thông tin khách hàng. Nếu website của bạn có form liên hệ, form đặt lịch, trang thanh toán, hay thậm chí chỉ gắn Google Analytics, thì bạn đang xử lý dữ liệu cá nhân theo một đạo luật cấp quốc gia có chế tài thật. Bài viết này giải thích rõ ràng luật yêu cầu gì và các bước thực tế để website của bạn tuân thủ.
Nói ngắn gọn: bạn cần sự đồng ý hợp lệ trước khi thu thập hay theo dõi, một thông báo quyền riêng tư rõ ràng trên mỗi form, một cookie banner giữ các trình theo dõi lại cho tới khi khách đồng ý, và một bản ghi bạn có thể trình ra khi được hỏi. Doanh nghiệp nhỏ được ân hạn năm năm với một số nghĩa vụ, nhưng không phải với những điều cơ bản.
Điều gì thay đổi từ ngày 1 tháng 1 năm 2026
Đạo luật có tên chính thức là Luật số 91/2025/QH15, được thông qua ngày 26 tháng 6 năm 2025 và có hiệu lực từ ngày 1 tháng 1 năm 2026, theo Rouse và Acclime. Luật này thay thế Nghị định 13/2023, quy định cũ mà nhiều doanh nghiệp chưa từng tuân thủ đầy đủ, và nâng chuẩn lên cao hơn đáng kể.
Một nghị định hướng dẫn, Nghị định 356/2025, được ban hành vào cuối năm 2025 để quy định chi tiết cách ghi nhận sự đồng ý, cách nộp đánh giá tác động, và ai đủ điều kiện làm cán bộ bảo vệ dữ liệu, theo bewiseapps. Một nghị định xử phạt riêng quy định mức phạt. Thông điệp cốt lõi rất đơn giản: dữ liệu cá nhân nay được coi là thứ bạn giữ hộ, không phải thứ bạn sở hữu.
Phạm vi dữ liệu cá nhân rất rộng. Nó bao gồm họ tên, số điện thoại, địa chỉ email, địa chỉ nhà và thông tin thanh toán. Luật cũng xem dữ liệu theo dõi hành vi và dữ liệu sử dụng từ các dịch vụ trực tuyến, dữ liệu sinh trắc học, và bản sao giấy tờ tùy thân là dữ liệu nhạy cảm cần được bảo vệ chặt hơn.
Vì sao đây là chuyện của website, không chỉ của pháp lý
Hầu hết chủ doanh nghiệp xếp việc này vào mục pháp lý rồi bỏ qua. Đó là một sai lầm, vì đạo luật rơi thẳng vào website. Website thường là nơi thu thập dữ liệu cá nhân nhiều nhất trong doanh nghiệp, và nó làm việc đó một cách tự động, mỗi giờ, mà không ai để mắt tới.
Hãy nghĩ về những gì một website SME điển hình đang làm. Form liên hệ thu một cái tên và một số điện thoại. Form đặt lịch thu thời gian hẹn và đôi khi cả bối cảnh sức khỏe hoặc tài chính. Trang thanh toán thu địa chỉ và thông tin thanh toán. Các thẻ analytics và quảng cáo lặng lẽ theo dõi hành vi ngay từ giây đầu tiên khách truy cập. Mỗi hoạt động đó giờ đều là hoạt động chịu sự điều chỉnh của luật.
Đó là lý do việc tuân thủ không phải thứ luật sư của bạn làm một mình là xong. Nó phải được xây ngay trong website: các form, lớp cookie, thông báo quyền riêng tư, và phần hệ thống lưu trữ phía sau. Đây là lúc một đối tác web quan trọng không kém một đối tác pháp lý.
Sáu điều website của bạn phải làm đúng
Dưới đây là những gì luật yêu cầu trong thực tế, diễn giải theo ngôn ngữ website.
1. Sự đồng ý thực sự có giá trị. Sự đồng ý phải rõ ràng, riêng cho từng mục đích, và được đưa ra một cách tự nguyện. Ô tích sẵn không được tính, và im lặng không phải là đồng ý, như cả bewiseapps và Acclime đều nhấn mạnh. Nếu bạn thu email để đặt lịch và còn muốn gửi marketing, đó là hai mục đích riêng và cần hai sự đồng ý riêng.
2. Lớp cookie biết chờ cái gật đầu. Cookie và thẻ theo dõi hành vi, như analytics và quảng cáo, chỉ nên nạp sau khi khách đồng ý, còn cookie bắt buộc để website chạy được thì có thể được miễn, theo CookieHub. Một banner cài sẵn trình theo dõi trước khi khách bấm là lỗi phổ biến.
3. Thông báo quyền riêng tư rõ ràng trên mỗi form. Trước khi khách gửi, họ cần được cho biết bạn thu gì, để làm gì, giữ bao lâu, và có chuyển cho bên thứ ba hay ra nước ngoài không.
4. Bằng chứng bạn có thể tái hiện. Nghị định 356/2025 yêu cầu sự đồng ý phải được ghi nhận sao cho sau này có thể kiểm chứng thời điểm và nội dung. Một cái tích mà không có nhật ký là chưa đủ.
5. Một lối để khách thực hiện quyền của mình. Khách có thể yêu cầu xem, sửa, hoặc xóa dữ liệu và rút lại sự đồng ý, và luật đặt thời hạn phản hồi tính bằng ngày. Website và hộp thư của bạn cần có lối xử lý việc đó.
6. Một kế hoạch cho sự cố. Một vụ vi phạm dữ liệu phải báo cáo cần được thông báo cho cơ quan an ninh mạng của Bộ Công an trong vòng 72 giờ kể từ khi phát hiện, nên bạn cần biết ai xử lý và xử lý ra sao trước khi có chuyện.
Checklist tuân thủ cho website của bạn
Dùng bảng này như một bản tự kiểm tra nhanh. Dòng nào bạn thấy đỏ trong đầu, đó chính là điểm xuất phát.
| Thành phần website | Luật yêu cầu gì | Cách khắc phục nhanh |
|---|---|---|
| Form liên hệ và đặt lịch | Nêu rõ mục đích, không mặc định đồng ý | Thêm một thông báo ngắn và một dòng đồng ý chưa tích sẵn |
| Bản tin và marketing | Đồng ý riêng, rõ ràng | Tách đồng ý marketing khỏi form chính |
| Cookie và analytics | Đồng ý trước khi theo dõi | Cài công cụ consent chặn thẻ cho tới khi khách đồng ý |
| Chính sách quyền riêng tư | Rõ ràng, cập nhật, dễ tìm | Viết lại cho khớp với những gì bạn thực sự thu trong năm 2026 |
| Cơ sở dữ liệu khách hàng | Cho phép truy cập, sửa, xóa | Ghi lại dữ liệu nằm ở đâu và ai được xử lý yêu cầu |
| Ứng phó sự cố | Sẵn sàng thông báo trong 72 giờ | Viết một kế hoạch ứng phó một trang và giao người phụ trách |
Góc nhìn từ Webie, bởi Duy Tran
Qua công việc xây và bảo trì website SME trong năm nay, tôi thấy một kiểu lỗi lặp đi lặp lại. Khi tiếp nhận một website cũ, thường thiếu hai thứ: không có consent box thực sự ở đâu cả, và dữ liệu mà các form thu về không được lưu trữ đủ và đúng cách. Cách xử lý của tôi rất thực tế, không phải làm lại từ đầu. Tôi thêm checkbox consent ở hai chỗ, một popup khi khách vừa vào trang và một dòng ở cuối mỗi form, rồi viết lại kỹ trang privacy policy cho khớp với đúng những gì website đang thu thập. Suốt năm 2026 tôi chứng kiến rất nhiều doanh nghiệp Việt lo lắng về luật này, và nỗi sợ rất đơn giản: họ không muốn bị phạt. Bịt sớm những lỗ hổng này chính là thứ làm họ yên tâm.
Tin tốt cho doanh nghiệp nhỏ: ân hạn năm năm
Luật nghiêm, nhưng không bỏ qua yếu tố quy mô. Doanh nghiệp khởi nghiệp và doanh nghiệp nhỏ được một khoảng năm năm, từ ngày 1 tháng 1 năm 2026 đến hết năm 2030, trong đó họ có thể hoãn việc chỉ định cán bộ bảo vệ dữ liệu và việc nộp đánh giá tác động xử lý dữ liệu cá nhân, theo Rouse và bewiseapps. Hộ kinh doanh và doanh nghiệp siêu nhỏ phần lớn được miễn những nghĩa vụ nặng này.
Tuy vậy, hãy đọc kỹ giới hạn. Ưu đãi này không áp dụng nếu bạn xử lý dữ liệu cá nhân nhạy cảm, nếu bạn xử lý dữ liệu của từ 100.000 người trở lên, hoặc nếu cung cấp dịch vụ xử lý dữ liệu chính là ngành nghề của bạn. Và khoảng ân hạn chỉ che phần giấy tờ, không che những điều cơ bản. Sự đồng ý, thông báo và cách xử lý trung thực được yêu cầu ngay từ ngày đầu, bất kể quy mô của bạn.
Cái giá của việc phớt lờ luật
Mức phạt được thiết kế để gây chú ý. Các vi phạm chung, như thu thập mà không có sự đồng ý hợp lệ hoặc không thông báo sự cố, có thể bị phạt tới 3 tỷ đồng với tổ chức, cá nhân chịu một nửa, theo Rouse và Acclime. Chuyển dữ liệu ra nước ngoài mà không đáp ứng quy định có thể lên tới 5% doanh thu của năm trước. Mua bán dữ liệu cá nhân có thể bị phạt tới mười lần khoản lợi thu được.
Với một SME, một khoản phạt ở mức này không phải là một dòng chi phí, nó là một sự kiện sống còn. Cú đánh vào uy tín, trong một thị trường mà niềm tin vốn đã khó giành, có thể kéo dài lâu hơn nhiều so với khoản phạt.
Việc đầu tiên nên làm trong tháng này
Bạn không cần giải quyết tất cả cùng lúc. Hãy bắt đầu với ba việc có sức nặng pháp lý cao nhất mà tốn công ít nhất: sửa lớp cookie để trình theo dõi chờ sự đồng ý, thêm một thông báo rõ ràng và một dòng đồng ý chưa tích sẵn vào các form chính, và làm mới chính sách quyền riêng tư cho khớp với những gì bạn thực sự thu. Ba việc đó bịt những lỗ hổng phổ biến nhất và thể hiện rõ thiện chí.
Từ đó, hãy lập bản đồ dữ liệu khách hàng đang nằm ở đâu và viết một kế hoạch ứng phó sự cố ngắn gọn. Nếu website của bạn chạy trên WordPress hoặc WooCommerce, phần lớn việc này là cấu hình và nội dung, không phải làm lại từ đầu. Điều quan trọng là bắt đầu ngay, có ghi nhận, thay vì chờ tới khi có khiếu nại.
Ở Webie, chúng tôi xây và bảo trì website cho SME với những điều này được tính sẵn, từ form tuân thủ, lớp cookie, cho tới nội dung quyền riêng tư. Nếu bạn muốn có thêm một cặp mắt soi lại website của mình, hãy xem dịch vụ website và số hóa của chúng tôi hoặc liên hệ trực tiếp. Gọi +84 969 838 467 hoặc email huyen.dang@webie.com.vn để được rà soát miễn phí.
Câu hỏi thường gặp
Luật có áp dụng cho website nhỏ của tôi nếu tôi chỉ có một form liên hệ không?
Có. Ngay khi một form thu một cái tên, số điện thoại, hoặc email, bạn đã đang xử lý dữ liệu cá nhân theo luật. Quy mô không miễn cho bạn những điều cơ bản về sự đồng ý và thông báo, dù doanh nghiệp nhỏ được thêm thời gian cho phần giấy tờ nặng hơn.
Giờ tôi có cần cookie banner ở Việt Nam không?
Nếu website của bạn dùng cookie hoặc thẻ theo dõi hành vi, như analytics hay quảng cáo, bạn cần sự đồng ý trước khi chúng chạy, mà trên thực tế nghĩa là một banner xin đồng ý đúng cách. Cookie bắt buộc để vận hành website thì có thể được miễn.
Quy tắc 72 giờ là gì?
Một vụ vi phạm dữ liệu cá nhân phải báo cáo cần được thông báo cho cơ quan an ninh mạng của Bộ Công an trong vòng 72 giờ kể từ khi phát hiện, và trong một số trường hợp còn phải báo cho những người bị ảnh hưởng. Có sẵn một kế hoạch ngắn bằng văn bản và một người phụ trách được chỉ định trước khi có sự cố chính là điều khiến 72 giờ trở nên khả thi.
