Câu trả lời ngắn gọn: không có mẫu chuẩn chính sách bảo mật website thương mại điện tử (TMĐT) do Nhà nước ban hành. Nội dung bắt buộc gồm 06 nội dung theo khoản 1 Điều 69 Nghị định 52/2013/NĐ-CP (về TMĐT; còn hiệu lực, đã được sửa đổi bởi NĐ 85/2021/NĐ-CP) — cộng thêm lớp bổ sung từ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực từ 01/01/2026).
1. Không có mẫu chuẩn do Nhà nước ban hành
Pháp luật không ban hành mẫu cố định cho chính sách bảo mật website TMĐT. Chủ website tự soạn thảo chính sách, nhưng phải bảo đảm đầy đủ các nội dung bắt buộc theo quy định và công khai cho người dùng trước khi họ cung cấp dữ liệu cá nhân.
2. 06 nội dung bắt buộc theo khoản 1 Điều 69 NĐ 52/2013/NĐ-CP
Chính sách bảo mật của website TMĐT phải thể hiện rõ 06 nội dung sau:
- Mục đích thu thập thông tin cá nhân: nêu rõ thu thập để làm gì (ví dụ: xử lý đơn hàng, chăm sóc khách hàng).
- Phạm vi sử dụng thông tin: thông tin được dùng trong phạm vi nào, cho hoạt động nào.
- Thời gian lưu trữ thông tin: dữ liệu được lưu giữ trong bao lâu.
- Những người hoặc tổ chức có thể tiếp cận thông tin: ai được tiếp cận dữ liệu (ví dụ: đơn vị vận chuyển, cổng thanh toán).
- Địa chỉ của đơn vị thu thập và quản lý thông tin: tên, địa chỉ, thông tin liên hệ của đơn vị chịu trách nhiệm.
- Phương thức để người tiêu dùng tiếp cận và chỉnh sửa dữ liệu cá nhân: cách thức người dùng xem, sửa, xóa dữ liệu của mình trên website.
3. Lớp bổ sung từ Luật Bảo vệ dữ liệu cá nhân 91/2025
Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 có hiệu lực, chính sách bảo mật cần bổ sung các điểm sau:
- Đồng ý có hiểu biết (Điều 9): việc thu thập dữ liệu phải dựa trên sự đồng ý tự nguyện, cụ thể, rõ ràng và có hiểu biết của chủ thể dữ liệu — website cần thiết kế cơ chế lấy đồng ý đáp ứng yêu cầu này.
- Quyền của chủ thể dữ liệu (Điều 11): chính sách phải thông tin đầy đủ về các quyền của người dùng đối với dữ liệu của mình.
- Đánh giá tác động (Điều 29): tổ chức xử lý dữ liệu phải thực hiện đánh giá tác động bảo vệ dữ liệu cá nhân theo quy định.
Nói cách khác, chính sách bảo mật hiện nay gồm 2 lớp: 6 nội dung nền tảng của NĐ 52/2013/NĐ-CP cộng các yêu cầu bổ sung của Luật 91/2025/QH15.
4. Lưu ý: chính sách phải được công khai trên website
Chính sách bảo mật phải được đăng tải ở vị trí người dùng dễ tiếp cận (thường là chân trang website) trước khi người dùng cung cấp dữ liệu cá nhân. Chính sách giấu kín hoặc chỉ xuất hiện sau khi thu thập dữ liệu không đáp ứng yêu cầu công khai.
Câu hỏi thường gặp
Website TMĐT nhỏ có phải làm chính sách bảo mật không?
Có. Bất kỳ website TMĐT nào thu thập thông tin cá nhân của người dùng đều phải có chính sách bảo mật với 06 nội dung bắt buộc theo Điều 69 NĐ 52/2013/NĐ-CP, không phân biệt quy mô.
NĐ 52/2013/NĐ-CP còn hiệu lực không?
Còn. Điều 69 NĐ 52/2013/NĐ-CP (đã sửa bởi NĐ 85/2021/NĐ-CP) vẫn là căn cứ cho 6 nội dung bắt buộc, áp dụng song song với các yêu cầu bổ sung của Luật BVDL 91/2025 từ 01/01/2026.
Chính sách cũ soạn trước 2026 có cần cập nhật không?
Nên cập nhật. Từ 01/01/2026, các yêu cầu về đồng ý có hiểu biết (Điều 9), quyền của chủ thể dữ liệu (Điều 11) và đánh giá tác động (Điều 29) của Luật 91/2025/QH15 phải được phản ánh trong chính sách.
Nguồn trích dẫn
- Khoản 1 Điều 69 Nghị định 52/2013/NĐ-CP (còn hiệu lực; sửa bởi NĐ 85/2021/NĐ-CP) — 06 nội dung bắt buộc.
- Điều 9, 11, 29 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, hiệu lực 01/01/2026 — đồng ý có hiểu biết, quyền của chủ thể dữ liệu, đánh giá tác động.
Website TMĐT cần rà soát chính sách bảo mật? Đội ngũ FLAT Law Firm tư vấn tuân thủ pháp luật TMĐT và bảo vệ dữ liệu cá nhân, soạn thảo và rà soát chính sách bảo mật theo đúng quy định hiện hành. Liên hệ với chúng tôi tại liên hệ với chúng tôi.
Thông tin trong bài chỉ mang tính tham khảo chung theo pháp luật hiện hành tại thời điểm viết (14/10/2026), không phải tư vấn pháp lý cho vụ việc cụ thể.
Ghi chú minh bạch: Bài viết do hệ thống sản xuất nội dung AI của FLAT Law Firm soạn thảo, đã qua hội đồng kiểm duyệt nội dung AI (AI Legal Council QA). Bài viết chưa được luật sư người thật rà soát.