Tình huống: Một website thương mại điện tử bán lẻ thời trang có form đăng ký tài khoản yêu cầu khách hàng điền họ tên, số điện thoại, email, địa chỉ — với ô checkbox “Tôi đồng ý với chính sách bảo mật” đã được tick sẵn. Dữ liệu khách hàng sau đó được dùng để gửi email marketing và chia sẻ cho một đối tác quảng cáo. Đoàn kiểm tra kết luận website thu thập, xử lý dữ liệu cá nhân khi chưa có sự đồng ý hợp lệ và ra quyết định xử phạt. Chủ website ngỡ ngàng: “Tôi có đăng chính sách bảo mật trên web, có checkbox đàng hoàng — sao vẫn bị phạt?” Câu trả lời: có chính sách là chưa đủ; pháp luật đòi hỏi một cơ chế bày tỏ sự đồng ý rõ ràng.
1. “Sự đồng ý” hợp lệ là gì? Im lặng không phải là đồng ý
Theo Điều 4 và Điều 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (có hiệu lực 01/01/2026), sự đồng ý của chủ thể dữ liệu phải tự nguyện, rõ ràng và cho từng mục đích cụ thể. Ba nguyên tắc then chốt:
- Sự im lặng hoặc không phản hồi KHÔNG được coi là đồng ý. Khách hàng không bấm “từ chối” không có nghĩa là họ đồng ý;
- Tick sẵn checkbox “đồng ý” là vi phạm — đây chính là “cơ chế mặc định đồng ý” bị cấm;
- Chủ thể dữ liệu có quyền rút lại sự đồng ý bất cứ lúc nào; website phải có cơ chế để họ thực hiện quyền này một cách dễ dàng.
Pháp luật có liệt kê các trường hợp không cần sự đồng ý (Điều 19 Luật 91/2025/QH15), nhưng đó là ngoại lệ do luật liệt kê — website thương mại điện tử thu thập dữ liệu cho mục đích marketing, profiling khách hàng, chia sẻ cho bên thứ ba không thuộc ngoại lệ. Không được viện dẫn lý do “thu thập để thực hiện hợp đồng” cho dữ liệu marketing hay dữ liệu chia sẻ cho bên thứ ba.
2. Khung xử phạt hiện hành: hai lớp, một hành vi chỉ bị phạt một lần
Lớp 1 — Nghị định 330/2026/NĐ-CP (văn bản áp dụng chính — mới nhất, chuyên ngành bảo vệ dữ liệu cá nhân, có hiệu lực 19/8/2026):
- Xử lý dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu (trừ trường hợp luật cho phép): phạt 30–50 triệu đồng (khoản 1 Điều 48);
- Thiết lập cơ chế mặc định đồng ý, hoặc có hành vi chỉ dẫn gây nhầm lẫn khiến chủ thể dữ liệu đồng ý: phạt 30–50 triệu đồng;
- Coi sự im lặng, không phản hồi là sự đồng ý; cố ý tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu yêu cầu dừng hoặc hạn chế xử lý: phạt 50–70 triệu đồng (Điều 43).
Mức phạt trên áp dụng cho tổ chức bằng hai lần mức phạt cá nhân (khoản 1 Điều 7); mức tối đa của lĩnh vực bảo vệ dữ liệu cá nhân là 3 tỷ đồng (khoản 4 Điều 7).
Lớp 2 — Điều 65 Nghị định 98/2020/NĐ-CP (được sửa đổi bởi Nghị định 17/2022/NĐ-CP) — lớp xử phạt đặc thù cho thương mại điện tử:
- Chính sách bảo vệ dữ liệu cá nhân không đúng hoặc không công khai theo quy định: phạt 1–5 triệu đồng (khoản 1 Điều 65);
- Không hiển thị rõ chính sách bảo vệ dữ liệu cá nhân trước hoặc tại thời điểm thu thập; không có cơ chế để chủ thể dữ liệu bày tỏ sự đồng ý rõ ràng; không có cơ chế opt-in/opt-out riêng cho việc chia sẻ, sử dụng dữ liệu cho quảng cáo: phạt 5–10 triệu đồng (khoản 2 Điều 65);
- Thu thập dữ liệu không được sự đồng ý trước của chủ thể; thiết lập cơ chế mặc định buộc phải đồng ý để chia sẻ, sử dụng dữ liệu cho quảng cáo; sử dụng dữ liệu không đúng mục đích đã thông báo: phạt đến 30 triệu đồng và đình chỉ hoạt động thương mại điện tử từ 06 đến 12 tháng (khoản 3 Điều 65).
Mức phạt tại Điều 65 áp dụng cho cá nhân; tổ chức bị phạt gấp đôi. Nguyên tắc cứng: một hành vi chỉ bị xử phạt một lần — cơ quan có thẩm quyền xác định văn bản áp dụng cho vụ việc; tuyệt đối không cộng gộp mức phạt của hai nghị định. Cũng cần nói rõ: đình chỉ 06–12 tháng có thời hạn — không phải đóng website vĩnh viễn; khắc phục xong được hoạt động trở lại.
3. Trách nhiệm khi thuê bên thứ ba thu thập, lưu trữ dữ liệu
Nhiều website thuê đơn vị khác làm form đăng ký, lưu trữ CRM, chạy quảng cáo. Theo khoản 2 Điều 68 Nghị định 52/2013/NĐ-CP về thương mại điện tử, hợp đồng giữa thương nhân và bên thứ ba phải quy định rõ trách nhiệm của mỗi bên trong việc bảo vệ dữ liệu cá nhân; nếu hợp đồng không quy định rõ, thương nhân thương mại điện tử phải chịu trách nhiệm. Đừng nghĩ “thuê ngoài là hết trách nhiệm”.
4. Sáu bước khắc phục đúng luật
- Bước 1 — Chấp hành quyết định xử phạt: nộp phạt và thực hiện biện pháp khắc phục trong thời hạn ghi trong quyết định. Chống đối hoặc chây ì chỉ làm tình hình tệ hơn;
- Bước 2 — Xóa/hủy dữ liệu đã thu thập trái phép: rà soát toàn bộ cơ sở dữ liệu, xóa hoặc hủy dữ liệu cá nhân đã thu thập mà không có căn cứ đồng ý hợp lệ; thông báo cho bên thứ ba đã nhận dữ liệu để họ xóa/hủy theo;
- Bước 3 — Xây dựng lại luồng consent: checkbox đồng ý không tick sẵn; đồng ý riêng cho từng mục đích (tách đồng ý thực hiện hợp đồng/mua hàng khỏi đồng ý marketing); opt-in/opt-out riêng cho chia sẻ dữ liệu và quảng cáo; cơ chế rút lại sự đồng ý và yêu cầu xóa dữ liệu dễ tìm, dễ dùng;
- Bước 4 — Công bố chính sách đúng chuẩn: chính sách bảo vệ dữ liệu cá nhân đặt tại vị trí dễ thấy, hiển thị rõ trước hoặc tại thời điểm thu thập (không giấu trong footer chữ nhỏ); nội dung đúng quy định;
- Bước 5 — Rà soát hợp đồng với bên thứ ba: bổ sung điều khoản phân định rõ trách nhiệm bảo vệ dữ liệu cá nhân với mọi đơn vị nhận, xử lý dữ liệu (CRM, quảng cáo, logistics);
- Bước 6 — Lưu vết chứng minh tuân thủ: lưu log đồng ý của từng chủ thể dữ liệu (thời điểm, nội dung, mục đích đã đồng ý) — đây là “bằng chứng ngoại phạm” khi bị kiểm tra.
5. Trách nhiệm dân sự song song: đừng quên phía khách hàng
Chủ thể dữ liệu có quyền yêu cầu bồi thường thiệt hại theo Luật 91/2025/QH15. Việc chấp hành quyết định xử phạt hành chính không loại trừ trách nhiệm bồi thường dân sự. Trong kế hoạch khắc phục, doanh nghiệp nên song song chuẩn bị phương án tiếp nhận và xử lý khiếu nại, yêu cầu bồi thường của khách hàng bị ảnh hưởng.
Câu hỏi thường gặp
Website đã đăng chính sách bảo mật công khai — vậy đã đủ chưa?
Chưa đủ. Ngoài chính sách đúng và công khai, website phải có cơ chế để chủ thể dữ liệu bày tỏ sự đồng ý rõ ràng và cơ chế opt-in/opt-out riêng cho chia sẻ/quảng cáo (khoản 2 Điều 65 Nghị định 98/2020/NĐ-CP). Thiếu cơ chế này vẫn bị phạt 5–10 triệu đồng.
Có bị phạt theo cả Nghị định 98/2020/NĐ-CP và Nghị định 330/2026/NĐ-CP không?
Không. Một hành vi chỉ bị xử phạt một lần — cơ quan có thẩm quyền xác định văn bản áp dụng. Không cộng gộp hai mức phạt.
Đình chỉ hoạt động TMĐT 06–12 tháng có phải đóng website vĩnh viễn không?
Không. Đây là hình thức xử phạt bổ sung có thời hạn; sau khi chấp hành xong quyết định và khắc phục, website được hoạt động trở lại.
Khách hàng đã mua hàng (có hợp đồng) thì có được dùng dữ liệu của họ để marketing không?
Không tự động được. Đồng ý thực hiện hợp đồng mua bán khác với đồng ý nhận marketing — phải có sự đồng ý riêng cho từng mục đích (Điều 11 Luật 91/2025/QH15). Muốn gửi email marketing phải xin đồng ý riêng.
Thuê công ty khác chạy quảng cáo bằng dữ liệu khách hàng của mình — ai chịu trách nhiệm?
Hợp đồng phải quy định rõ trách nhiệm mỗi bên; nếu không quy định rõ, thương nhân thương mại điện tử chịu trách nhiệm (khoản 2 Điều 68 Nghị định 52/2013/NĐ-CP).
Nguồn trích dẫn
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (có hiệu lực 01/01/2026): Điều 4, Điều 11 (nguyên tắc sự đồng ý — tự nguyện, rõ ràng, từng mục đích; im lặng không phải đồng ý; quyền rút lại); Điều 19 (các trường hợp không cần sự đồng ý — ngoại lệ do luật liệt kê).
- Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (có hiệu lực 19/8/2026 — văn bản áp dụng chính): khoản 1 Điều 48 (xử lý dữ liệu khi chưa có sự đồng ý: 30–50 triệu; cơ chế mặc định đồng ý: 30–50 triệu); Điều 43 (coi im lặng là đồng ý; tiếp tục xử lý sau khi bị yêu cầu dừng: 50–70 triệu); khoản 1, 4 Điều 7 (tổ chức gấp đôi cá nhân; tối đa 3 tỷ).
- Nghị định 98/2020/NĐ-CP về xử phạt vi phạm hành chính trong hoạt động thương mại (sửa đổi bởi Nghị định 17/2022/NĐ-CP): Điều 65 (khoản 1: 1–5 triệu; khoản 2: 5–10 triệu; khoản 3: đến 30 triệu + đình chỉ hoạt động TMĐT 06–12 tháng; mức cá nhân, tổ chức gấp đôi).
- Nghị định 52/2013/NĐ-CP về thương mại điện tử (có hiệu lực 01/7/2013): Điều 68 (trách nhiệm bảo vệ dữ liệu cá nhân; khoản 2 — hợp đồng không quy định rõ thì thương nhân TMĐT chịu trách nhiệm); Điều 4 (hành vi bị cấm).
Website của bạn đang thu thập dữ liệu khách hàng và bạn không chắc luồng đồng ý đã đúng luật? Liên hệ qua trang Liên hệ của FLAT Law Firm để được rà soát cơ chế consent, chính sách bảo vệ dữ liệu và xây dựng lại quy trình tuân thủ Luật Bảo vệ dữ liệu cá nhân.
Nội dung pháp lý của bài viết do AI Legal Council của FLAT soát xét và trình chủ sở hữu phê duyệt; đây không phải ý kiến của luật sư người thật và không thay thế tư vấn pháp lý cho từng trường hợp cụ thể.
Thông tin tham khảo, không phải tư vấn pháp lý.
