Nhiều website thương mại điện tử tự động lưu số điện thoại khách hàng ngay khi họ điền form đặt hàng hoặc đăng ký tài khoản, rồi sau đó dùng số này để gọi điện, nhắn tin quảng cáo. Vậy website thương mại điện tử có được thu thập số điện thoại khách hàng mà không xin phép? Câu trả lời là KHÔNG — trừ một số trường hợp ngoại lệ hẹp do luật quy định.
1. Số điện thoại là dữ liệu cá nhân, được pháp luật bảo vệ
Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, số điện thoại là dữ liệu cá nhân cơ bản; quy định này được làm rõ tại khoản 7 Điều 3 Nghị định 356/2025/NĐ-CP. Mọi hoạt động thu thập, lưu trữ, sử dụng số điện thoại của khách hàng đều phải tuân thủ các nguyên tắc bảo vệ dữ liệu cá nhân.
Luật số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026.
2. Thu thập số điện thoại phải có sự đồng ý TRƯỚC của khách hàng
Khoản 1 Điều 11 Luật số 91/2025/QH15 quy định việc thu thập dữ liệu cá nhân phải có sự đồng ý trước của chủ thể dữ liệu. Sự đồng ý này phải:
- Tự nguyện: khách hàng tự mình quyết định, không bị ép buộc;
- Rõ ràng: thể hiện bằng hành động khẳng định cụ thể (ví dụ tích vào ô đồng ý);
- Cụ thể theo từng mục đích: đồng ý cho mục đích nào chỉ có giá trị cho mục đích đó.
Theo khoản 4 Điều 9 của Luật, sự im lặng hoặc không phản hồi không được coi là đồng ý. Website không thể mặc định “khách hàng không từ chối tức là đã đồng ý”.
3. Phân biệt hai tình huống: giao hàng và marketing
Tình huống 1 — Thu thập SĐT để giao hàng: khi khách hàng đặt mua hàng, việc cung cấp số điện thoại để giao hàng là một phần của việc thực hiện thỏa thuận giữa khách hàng và website. Trường hợp này thuộc ngoại lệ tại Điều 19 Luật số 91/2025/QH15 — các trường hợp xử lý dữ liệu cá nhân mà không cần sự đồng ý của chủ thể dữ liệu, bao gồm để thực hiện hợp đồng, thỏa thuận với chủ thể dữ liệu. Tuy nhiên, số điện thoại thu thập cho mục đích giao hàng không được tự ý sử dụng sang mục đích marketing.
Tình huống 2 — Thu thập SĐT để marketing, gọi điện, nhắn tin quảng cáo: bắt buộc phải có sự đồng ý trước, riêng biệt cho mục đích marketing của từng khách hàng. Dùng số điện thoại có được khi giao hàng để gọi quảng cáo mà không xin phép là vi phạm.
4. Mức phạt khi thu thập, sử dụng SĐT trái phép
Theo Nghị định 330/2026/NĐ-CP:
- Phạt tiền từ 30 đến 50 triệu đồng đối với hành vi xử lý dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu;
- Phạt tiền từ 50 đến 70 triệu đồng đối với hành vi coi sự im lặng, không phản hồi của chủ thể dữ liệu là sự đồng ý.
Ngoài ra, theo Điều 32 Nghị định 91/2020/NĐ-CP về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác:
- Phạt tiền từ 5 đến 10 triệu đồng đối với hành vi gọi điện quảng cáo khi chưa được sự đồng ý của người nhận;
- Phạt tiền từ 80 đến 100 triệu đồng và thu hồi số điện thoại thực hiện hành vi vi phạm, đối với hành vi gọi điện quảng cáo đến số điện thoại trong danh sách không nhận quảng cáo.
5. Nghĩa vụ của website thương mại điện tử
Điều 6 Nghị định 248/2026/NĐ-CP quy định website thương mại điện tử có nghĩa vụ bảo vệ dữ liệu cá nhân của người mua. Website cần xây dựng cơ chế xin đồng ý rõ ràng theo từng mục đích, lưu trữ bằng chứng đồng ý và bảo đảm an toàn cho dữ liệu đã thu thập.
Câu hỏi thường gặp
Khách hàng tự điền SĐT vào form đặt hàng thì website có được dùng số đó để quảng cáo không?
Không. Việc khách hàng cung cấp SĐT để giao hàng chỉ hợp pháp cho mục đích thực hiện đơn hàng (ngoại lệ Điều 19). Muốn dùng cho quảng cáo, website phải xin sự đồng ý riêng cho mục đích marketing.
Tích sẵn ô “đồng ý nhận quảng cáo” có được coi là đã xin phép?
Không. Đồng ý phải tự nguyện và thể hiện bằng hành động khẳng định của khách hàng; ô tích sẵn vi phạm nguyên tắc tự nguyện, rõ ràng (khoản 4 Điều 9).
Website mua dữ liệu SĐT từ bên thứ ba để telesale có vi phạm không?
Có, nếu các chủ thể dữ liệu đó chưa từng đồng ý cho website sử dụng số điện thoại của họ vào mục đích quảng cáo. Mức phạt áp dụng theo Nghị định 330/2026/NĐ-CP và Điều 32 Nghị định 91/2020/NĐ-CP như nêu trên.
Nguồn trích dẫn
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026): khoản 1 Điều 2 (SĐT là dữ liệu cá nhân cơ bản), khoản 4 Điều 9 (đồng ý phải tự nguyện, rõ ràng, cụ thể; im lặng không phải đồng ý), khoản 1 Điều 11 (đồng ý trước khi thu thập), Điều 19 (trường hợp không cần đồng ý).
- Nghị định 356/2025/NĐ-CP: khoản 7 Điều 3.
- Nghị định 330/2026/NĐ-CP: phạt 30–50 triệu đồng; 50–70 triệu đồng.
- Nghị định 91/2020/NĐ-CP: Điều 32 (5–10 triệu đồng; 80–100 triệu đồng và thu hồi số).
- Nghị định 248/2026/NĐ-CP: Điều 6 (nghĩa vụ bảo vệ dữ liệu người mua của website TMĐT).
Bài viết chỉ mang tính tham khảo, không phải tư vấn pháp lý. Nội dung do AI soạn thảo và sẽ được AI Legal Council của FLAT Law Firm kiểm tra chất lượng trước khi trình phê duyệt đăng tải; đây không phải ý kiến tư vấn của luật sư người thật. Quy định pháp luật có thể thay đổi; vui lòng đối chiếu văn bản hiện hành trước khi áp dụng.
Website của bạn cần rà soát tuân thủ bảo vệ dữ liệu cá nhân? Liên hệ FLAT Law Firm để được tư vấn.
