Sau Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, một chiến dịch SMS hay email quảng cáo tại Việt Nam phải qua đồng thời hai cổng: cổng dữ liệu cá nhân — khách hàng đã đồng ý cho đúng mục đích marketing chưa — và cổng chống tin rác của Nghị định 91/2020/NĐ-CP — tên định danh đã đăng ký chưa, tin nhắn có nhãn quảng cáo và lối thoát từ chối không. Qua một cổng mà trượt cổng còn lại vẫn là vi phạm.
Căn cứ pháp lý
Hai lớp quy định chồng lên cùng một tin nhắn
Lớp thứ nhất là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Gửi quảng cáo là một mục đích xử lý dữ liệu cá nhân (số điện thoại, email, hành vi mua sắm); khi căn cứ xử lý là sự đồng ý, đồng ý đó phải rõ ràng và cụ thể cho mục đích tiếp thị — một đồng ý “chấp nhận điều khoản dịch vụ” không tự động bao phủ việc nhận SMS quảng cáo. Chủ thể có quyền rút lại đồng ý và quyền phản đối việc xử lý dữ liệu cho mục đích tiếp thị trực tiếp, và khi họ thực hiện các quyền này, doanh nghiệp phải ngừng gửi. Lớp thứ hai là Nghị định 91/2020/NĐ-CP về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác: chỉ được gửi tin nhắn quảng cáo tới người đã đăng ký đồng ý nhận trước đó, phải dùng tên định danh (brandname) đã đăng ký với nhà mạng thay vì số điện thoại thường, tin nhắn phải có nhãn nhận diện quảng cáo và hướng dẫn từ chối, và chỉ gửi trong khung giờ cho phép (07:00 đến 22:00) trừ khi có thỏa thuận khác với người nhận.
Ranh giới giữa hai lớp nằm ở đối tượng điều chỉnh: Luật 91/2025 điều chỉnh tính hợp pháp của việc xử lý dữ liệu (có căn cứ không, có tôn trọng quyền chủ thể không), còn Nghị định 91/2020 điều chỉnh hành vi gửi trên mạng viễn thông (ai được gửi, gửi bằng danh tính nào, vào giờ nào, thoát ra sao) kèm chế tài xử phạt viễn thông và quảng cáo — trong đó hành vi quảng cáo vi phạm còn có thể bị xử lý theo Nghị định 87/2026/NĐ-CP về xử phạt trong lĩnh vực văn hóa và quảng cáo. Một chiến dịch có thể hoàn hảo về mặt kỹ thuật gửi (đúng brandname, đúng giờ) nhưng vẫn vi phạm Luật 91/2025 nếu danh sách số điện thoại được mua từ bên thứ ba mà không có đồng ý hợp lệ của chủ thể cho mục đích quảng cáo.
Phân tích áp dụng
Vấn đề danh sách khách hàng cũ thu thập trước năm 2026 cần trả lời tách bạch. Đồng ý đã thu hợp lệ theo pháp luật tại thời điểm thu thập không tự động mất hiệu lực khi Luật 91/2025 có hiệu lực; nhưng việc tiếp tục xử lý từ ngày 01/01/2026 phải đáp ứng chuẩn của luật mới — mục đích phải rõ ràng, có bằng chứng đồng ý và có cơ chế rút lại đang hoạt động. Với phần danh sách không truy được nguồn đồng ý (mua, trao đổi, thu thập từ sự kiện không có biểu mẫu đồng ý), cách xử lý an toàn duy nhất là chiến dịch xin phép lại (re-permission): gửi một thông điệp xin xác nhận đồng ý theo chuẩn mới và chỉ giữ lại những người xác nhận; phần còn lại phải loại khỏi danh sách gửi. Tiếp tục gửi cho toàn bộ danh sách cũ với lập luận “đã là khách hàng” là cách hiểu sai phổ biến — quan hệ khách hàng cũ cho căn cứ xử lý phục vụ hợp đồng, không cho căn cứ gửi quảng cáo.
Cơ chế từ chối (opt-out) là nơi hai lớp quy định gặp nhau chặt nhất. Theo Nghị định 91/2020, mọi tin nhắn quảng cáo phải kèm hướng dẫn từ chối và việc từ chối phải miễn phí, dễ thực hiện (soạn tin theo cú pháp hoặc qua đầu số được chỉ định); theo Luật 91/2025, rút lại đồng ý và phản đối tiếp thị trực tiếp là quyền của chủ thể mà doanh nghiệp phải thi hành ngay. Vận hành đúng nghĩa là: một hành động từ chối duy nhất của khách hàng phải tắt đồng thời cả ba nơi — danh sách gửi của nhà cung cấp dịch vụ tin nhắn, hệ thống CRM/marketing của doanh nghiệp và mọi chiến dịch đang chạy của đối tác — và ghi lại vào danh sách chặn để khách hàng không bị nạp lại từ nguồn dữ liệu khác. Doanh nghiệp thuê đơn vị gửi tin bên ngoài không chuyển được trách nhiệm này: bên gửi thay vẫn phải dùng danh sách đã qua lọc opt-out của doanh nghiệp.
Khuyến nghị hành động
- Rà soát toàn bộ nguồn danh sách marketing: chỉ giữ số/email có bằng chứng đồng ý cho mục đích quảng cáo; phần không có bằng chứng chuyển sang chiến dịch xin phép lại theo chuẩn Luật 91/2025.
- Đăng ký và duy trì tên định danh (brandname) với nhà mạng; mọi tin nhắn quảng cáo gắn nhãn nhận diện và hướng dẫn từ chối theo Nghị định 91/2020.
- Thiết lập cơ chế opt-out một điểm chạm: từ chối qua bất kỳ kênh nào (tin nhắn, email, tổng đài, ứng dụng) đều đồng bộ về danh sách chặn trung tâm trong ngày.
- Khóa khung giờ gửi 07:00–22:00 trên hệ thống gửi và kiểm soát nội dung quảng cáo theo pháp luật quảng cáo (Nghị định 87/2026 về chế tài) trước khi phát hành chiến dịch.
- Đưa điều khoản tuân thủ vào hợp đồng với đơn vị gửi tin/email bên ngoài: chỉ gửi theo danh sách doanh nghiệp cung cấp đã lọc opt-out, cấm dùng danh sách riêng của nhà cung cấp, nghĩa vụ báo cáo kết quả gửi và khiếu nại.
Câu hỏi thường gặp
Gửi tin nhắn, email quảng cáo hợp pháp sau Luật 91/2025 cần sự đồng ý của khách hàng theo hình thức nào?
Đồng ý phải đáp ứng chuẩn của Luật Bảo vệ dữ liệu cá nhân 91/2025: rõ ràng, cụ thể cho mục đích tiếp thị quảng cáo và thể hiện bằng hành động khẳng định của khách hàng (tích chọn riêng khi đăng ký, xác nhận qua tin nhắn hoặc biểu mẫu riêng) — không suy ra từ việc khách hàng đã mua hàng hay đã đồng ý điều khoản dịch vụ chung. Đồng ý phải có bằng chứng lưu lại được (thời điểm, kênh, nội dung văn bản đồng ý) và phải rút lại được dễ dàng. Song song đó, Nghị định 91/2020/NĐ-CP yêu cầu người nhận đã đăng ký đồng ý nhận tin quảng cáo trước khi gửi — hai chuẩn này chồng khớp nhau: doanh nghiệp cần một đồng ý vừa đạt chuẩn dữ liệu cá nhân vừa đạt chuẩn chống tin rác cho cùng một danh sách.
Ranh giới giữa Luật Bảo vệ dữ liệu cá nhân và Nghị định chống tin rác trong hoạt động marketing là gì?
Luật 91/2025 trả lời câu hỏi “có được xử lý dữ liệu này cho mục đích quảng cáo không”: căn cứ xử lý, chất lượng của sự đồng ý, quyền rút lại đồng ý và phản đối tiếp thị trực tiếp của chủ thể. Nghị định 91/2020/NĐ-CP trả lời câu hỏi “được gửi như thế nào trên mạng viễn thông”: tên định danh đã đăng ký, nhãn quảng cáo trong tin nhắn, hướng dẫn từ chối miễn phí, khung giờ gửi 07:00–22:00 và trách nhiệm của nhà mạng, đơn vị gửi. Vi phạm mỗi lớp bị xử lý theo chế tài của lớp đó — viễn thông/quảng cáo ở một bên, bảo vệ dữ liệu cá nhân ở bên kia — và một hành vi gửi sai có thể đồng thời vi phạm cả hai. Doanh nghiệp vì vậy cần kiểm tra chiến dịch theo cả hai danh mục trước khi gửi, không thay thế nhau được.
Danh sách khách hàng cũ thu thập trước 2026 có được tiếp tục dùng cho marketing không?
Chỉ phần danh sách có đồng ý hợp lệ. Đồng ý đã thu đúng pháp luật tại thời điểm thu thập vẫn giữ giá trị, nhưng việc tiếp tục gửi từ ngày 01/01/2026 phải thỏa chuẩn Luật 91/2025: mục đích rõ ràng, có bằng chứng đồng ý và cơ chế rút lại đang hoạt động. Phần danh sách không truy được nguồn đồng ý — mua từ bên thứ ba, thu thập tại sự kiện không có biểu mẫu, nhập từ đối tác — không được tiếp tục dùng trên lập luận “khách hàng cũ”: phải chạy chiến dịch xin phép lại, chỉ giữ người xác nhận đồng ý theo chuẩn mới và xóa phần còn lại khỏi danh sách gửi. Quan hệ mua bán trước đây chỉ là căn cứ xử lý để thực hiện hợp đồng, không phải căn cứ gửi quảng cáo.
Cơ chế từ chối nhận quảng cáo (opt-out) phải vận hành thế nào?
Ba yêu cầu vận hành. Một, hiện diện: mọi tin nhắn và email quảng cáo phải kèm cách từ chối rõ ràng ngay trong thông điệp — cú pháp nhắn tin, liên kết hủy đăng ký — và việc từ chối phải miễn phí cho người nhận theo Nghị định 91/2020. Hai, hiệu lực tức thì và toàn cục: một lần từ chối phải ngừng gửi từ mọi hệ thống (nhà cung cấp tin nhắn, CRM, đối tác gửi thay) và được ghi vào danh sách chặn trung tâm để chủ thể không bị nạp lại từ nguồn dữ liệu khác; theo Luật 91/2025 đây chính là việc thi hành quyền rút lại đồng ý và phản đối tiếp thị trực tiếp. Ba, bằng chứng: hệ thống phải log thời điểm và kênh từ chối của từng chủ thể để chứng minh tuân thủ khi có khiếu nại hoặc kiểm tra — và tuyệt đối không gửi lại cho người đã từ chối, kể cả trong chiến dịch của một nhãn hàng khác cùng doanh nghiệp nếu đồng ý ban đầu không bao phủ nhãn đó.
