Website thương mại điện tử nào cũng thu thập dữ liệu khách hàng: tên, số điện thoại, địa chỉ giao hàng, lịch sử mua sắm, thậm chí cả vị trí và hành vi duyệt web. Từ ngày 01/01/2026, hoạt động này chịu sự điều chỉnh trực tiếp của Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — văn bản thay thế hoàn toàn Nghị định 13/2023/NĐ-CP đối với các nghĩa vụ mới. Dưới đây là 7 lưu ý mà chủ website TMĐT phải nắm.
1. Website TMĐT là “bên kiểm soát dữ liệu”
Theo khoản 7 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, tổ chức vận hành website TMĐT quyết định mục đích và phương tiện xử lý dữ liệu khách hàng nên được định danh là bên kiểm soát dữ liệu. Hệ quả: website chịu trách nhiệm trước chủ thể dữ liệu về toàn bộ hoạt động xử lý (Điều 37) — không thể đổ lỗi cho đơn vị thiết kế web hay nhà cung cấp hosting khi xảy ra sự cố.
2. Phải có sự đồng ý TRƯỚC khi thu thập
Khoản 1 Điều 11 yêu cầu sự đồng ý của chủ thể dữ liệu phải có trước khi thu thập. Sự đồng ý phải tự nguyện, được biết rõ và thể hiện theo từng mục đích cụ thể; sự im lặng không được coi là đồng ý (Điều 9).
Thực hành: checkbox “đồng ý nhận tin khuyến mãi” để mặc định tích sẵn, hay gộp chung đồng ý mua hàng với đồng ý nhận quảng cáo, đều không đáp ứng yêu cầu “từng mục đích” của luật.
3. Công khai mục đích, phạm vi, thời hạn trước hoặc tại thời điểm thu thập
Luật Bảo vệ quyền lợi người tiêu dùng 19/2023/QH15 (Điều 16, Điều 17) yêu cầu tổ chức, cá nhân kinh doanh phải thông báo công khai về mục đích, phạm vi, thời hạn lưu trữ dữ liệu trước hoặc tại thời điểm thu thập, đồng thời ban hành và công khai quy tắc bảo vệ dữ liệu cá nhân áp dụng cho website.
Lưu ý: Điều 15 của luật này đã bị sửa đổi bởi Luật An ninh mạng 116/2025/QH15 — khi tra cứu cần đối chiếu bản sửa đổi mới nhất.
4. Chỉ thu thập đúng phạm vi, đúng mục đích đã công bố
Nguyên tắc tối thiểu hóa dữ liệu (khoản 2 Điều 3): website chỉ được thu thập dữ liệu trong phạm vi và vì mục đích đã thông báo và được đồng ý. Bán quần áo online mà bắt buộc khách khai thu nhập, nghề nghiệp chi tiết — vượt quá phạm vi cần thiết để giao hàng — là vi phạm nguyên tắc này.
5. Dữ liệu nhạy cảm: thẻ ngân hàng, vị trí, cookie theo dõi
Thông tin thẻ ngân hàng, dữ liệu vị trí, cookie theo dõi hành vi thuộc nhóm dữ liệu cá nhân nhạy cảm, áp dụng chế độ bảo vệ tăng cường (Điều 4 Nghị định 356/2025/NĐ-CP — có hiệu lực 01/01/2026, quy định danh mục dữ liệu). Website dùng các loại dữ liệu này phải đáp ứng yêu cầu bảo vệ cao hơn hẳn dữ liệu thông thường.
6. Tôn trọng quyền của chủ thể dữ liệu
Khách hàng có quyền rút lại sự đồng ý, yêu cầu xóa, yêu cầu hạn chế xử lý và phản đối việc xử lý dữ liệu của mình (Điều 4, Điều 10 Luật 91/2025/QH15). Website phải thiết kế cơ chế để khách hàng thực hiện các quyền này một cách thuận tiện — ví dụ nút “xóa tài khoản”, “rút đồng ý nhận tin” dễ tìm, xử lý trong thời hạn luật định.
7. Khi rò rỉ dữ liệu: báo cáo trong 72 giờ và 24 giờ
Khi xảy ra vi phạm quy định về bảo vệ dữ liệu, website phải thông báo cho Bộ Công an trong 72 giờ (Điều 23 Luật Bảo vệ dữ liệu cá nhân) và thông báo cho cơ quan quản lý nhà nước có thẩm quyền trong 24 giờ theo Điều 19 Luật Bảo vệ quyền lợi người tiêu dùng. Doanh nghiệp cần có sẵn quy trình ứng phó sự cố để không bị động khi sự việc xảy ra.
Câu hỏi thường gặp
Luật Thương mại điện tử 122/2025 có điều chỉnh việc thu thập dữ liệu khách hàng không?
Không trực tiếp. Điều 5.2 Luật Thương mại điện tử 122/2025/QH15 (hiệu lực 01/7/2026) chỉ dẫn chiếu sang pháp luật về dữ liệu; nghĩa vụ cụ thể áp dụng Luật Bảo vệ dữ liệu cá nhân 91/2025.
Nghị định 13/2023/NĐ-CP còn áp dụng cho website TMĐT không?
Từ 01/01/2026, các nghĩa vụ mới áp dụng theo Luật 91/2025/QH15; không trích Nghị định 13/2023/NĐ-CP làm căn cứ cho nghĩa vụ mới.
Khách hàng im lặng khi nhận thông báo thu thập dữ liệu có được coi là đồng ý?
Không. Điều 9 Luật 91/2025/QH15 quy định rõ sự im lặng không được coi là đồng ý.
Nguồn trích dẫn
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — hiệu lực 01/01/2026: Điều 2, 3, 4, 7, 8, 9, 10, 11, 14, 21, 23, 33.2, 37, 38, 39;
- Nghị định 356/2025/NĐ-CP — hiệu lực 01/01/2026: Điều 3, Điều 4 (danh mục dữ liệu cá nhân);
- Luật Bảo vệ quyền lợi người tiêu dùng 19/2023/QH15: Điều 16, 17, 19 (lưu ý Điều 15 đã được sửa bởi Luật An ninh mạng 116/2025/QH15);
- Luật Thương mại điện tử 122/2025/QH15 — hiệu lực 01/7/2026: Điều 5.2 (dẫn chiếu sang pháp luật về dữ liệu).
Kết luận
Từ 01/01/2026, website TMĐT không còn được thu thập dữ liệu khách hàng theo thói quen cũ: phải có sự đồng ý trước, theo từng mục đích, công khai mục đích – phạm vi – thời hạn, tuân thủ nguyên tắc tối thiểu hóa, bảo vệ tăng cường dữ liệu nhạy cảm, tôn trọng quyền của chủ thể dữ liệu và sẵn sàng báo cáo vi phạm trong 72 giờ/24 giờ. Rà soát sớm 7 điểm trên giúp doanh nghiệp tránh rủi ro pháp lý khi luật mới có hiệu lực.
Website của bạn đã sẵn sàng tuân thủ Luật Bảo vệ dữ liệu cá nhân 91/2025? Liên hệ FLAT Law Firm để được rà soát.
Thông tin tham khảo, không phải tư vấn pháp lý. Nội dung do AI soạn thảo, sẽ được AI Legal Council của FLAT Law Firm kiểm tra chất lượng trước khi xem xét đăng tải; không phải ý kiến tư vấn của luật sư người thật. Quy định pháp luật có thể thay đổi; bạn nên đối chiếu văn bản hiện hành trước khi áp dụng.
