案例：一家服装电商网站的注册表单要求客户填写姓名、电话、邮箱、地址——”我同意隐私政策”的复选框已被预先勾选。客户数据随后被用于邮件营销并分享给一家广告合作伙伴。检查组认定该网站在未获得有效同意的情况下收集、处理个人信息并作出处罚决定。网站主很不解：”我在网站上公布了隐私政策，复选框也很规范——为什么还被罚？”答案是：有政策还不够；法律要求有一套表达明确同意的机制。
1. 什么是有效同意？沉默不是同意
根据2025年《个人信息保护法》91/2025/QH15第4条和第11条（2026年1月1日生效），数据主体的同意须自愿、明确且针对每一具体目的。三个关键原则：
- 沉默或不回应不视为同意。客户没有点击”拒绝”不等于同意；
- 预先勾选的”同意”复选框属于违法——这正是被禁止的”默认同意机制”；
- 数据主体有权随时撤回同意；网站须提供易于使用的撤回机制。
法律列举了无需同意的情形（91/2025号法律第19条），但那是法律列举的例外——电商网站为营销、客户画像、向第三方分享而收集数据不属于例外。不得以”为履行合同而收集”为由，为营销数据或分享给第三方的数据辩护。
2. 现行处罚框架：两层，一事只罚一次
第一层——330/2026/ND-CP号议定（主要适用文件——最新、个人信息保护专门领域，2026年8月19日生效）：
- 在未获得数据主体同意的情况下处理个人信息（法律允许的除外）：处3000万–5000万越南盾（第48条第1款）；
- 设置默认同意机制，或以误导性指引诱使数据主体同意：处3000万–5000万越南盾；
- 将沉默、不回应视为同意；在数据主体要求停止或限制处理后仍故意继续处理：处5000万–7000万越南盾（第43条）。
对组织的处罚为个人的2倍（第7条第1款）；个人信息保护领域的最高限额为30亿越南盾（第7条第4款）。
第二层——98/2020/ND-CP号议定第65条（经17/2022/ND-CP号议定修订）——电子商务专门处罚层：
- 个人信息保护政策不符合规定或未公开：处100万–500万越南盾（第65条第1款）；
- 在收集前或收集时未清晰展示个人信息保护政策；没有数据主体表达明确同意的机制；没有针对数据分享、广告使用的单独opt-in/opt-out机制：处500万–1000万越南盾（第65条第2款）；
- 未经数据主体事先同意收集数据；设置默认机制强制同意以分享数据、用于广告；未按已告知目的使用数据：处最高3000万越南盾并暂停电子商务经营6至12个月（第65条第3款）。
第65条的处罚标准针对个人；组织加倍。硬性原则：一事只处罚一次——由有权机关确定案件适用的文件；绝不叠加两个议定的罚款。另需说明：6–12个月的暂停是有期限的——不是永久关闭网站；整改完成后可恢复经营。
3. 委托第三方收集、存储数据时的责任
许多网站委托其他单位制作注册表单、存储CRM、投放广告。根据电子商务52/2013/ND-CP号议定第68条第2款，经营者与第三方之间的合同须明确各方在个人信息保护方面的责任；合同未明确规定的，电子商务经营者承担责任。不要以为”外包了就没责任”。
4. 六步合规整改
- 第1步——执行处罚决定：在决定载明的期限内缴纳罚款并落实整改措施。对抗或拖延只会让情况更糟；
- 第2步——删除/销毁违法收集的数据：审查整个数据库，删除或销毁无有效同意依据收集的个人信息；通知已接收数据的第三方同步删除/销毁；
- 第3步——重建同意流程：同意复选框不得预先勾选；每一目的单独同意（履行合同/购物的同意与营销同意分开）；针对数据分享和广告使用设置单独的opt-in/opt-out；撤回同意和要求删除数据的机制易找易用；
- 第4步——按标准公布政策：个人信息保护政策置于显眼位置，在收集前或收集时清晰展示（不藏在页脚小字里）；内容符合规定；
- 第5步——审查第三方合同：与所有接收、处理数据的单位（CRM、广告、物流）补充明确划分数据保护责任的条款；
- 第6步——留存合规痕迹：记录每位数据主体的同意日志（时间、内容、已同意的目的）——这是被检查时的”不在场证据”。
5. 并行的民事责任：别忘了客户那边
数据主体有权依91/2025号法律要求赔偿损失。执行行政处罚决定不排除民事赔偿责任。整改计划应同步准备接收和处理受影响客户的投诉与索赔方案。
常见问题
网站已公开发布隐私政策——够了吗？
不够。除了政策合规并公开，网站还须有数据主体表达明确同意的机制及针对分享/广告的单独opt-in/opt-out机制（98/2020号议定第65条第2款）。缺少该机制仍处500万–1000万越南盾。
会被98/2020号议定和330/2026号议定同时处罚吗？
不会。一事只处罚一次——由有权机关确定适用的文件。两个罚款不叠加。
暂停电商经营6–12个月是永久关闭网站吗？
不是。这是有期限的附加处罚；执行完决定并完成整改后，网站可恢复经营。
已购买商品的客户（有合同），能用他们的数据做营销吗？
不能自动。履行买卖合同的同意不同于接收营销的同意——须每一目的单独同意（91/2025号法律第11条）。发送营销邮件须另行取得同意。
委托其他公司用我的客户数据投广告——谁负责？
合同须明确各方责任；未明确的，电子商务经营者承担责任（52/2013/ND-CP号议定第68条第2款）。
法律依据
- 2025年《个人信息保护法》91/2025/QH15（2026年1月1日生效）：第4、11条（同意原则——自愿、明确、每一目的；沉默不是同意；撤回权）；第19条（无需同意的情形——法律列举的例外）。
- 330/2026/ND-CP号议定关于网络安全和个人信息保护行政处罚（2026年8月19日生效——主要适用文件）：第48条第1款（未经同意处理数据：3000万–5000万；默认同意机制：3000万–5000万）；第43条（将沉默视为同意；在被要求停止后继续处理：5000万–7000万）；第7条第1、4款（组织为个人2倍；上限30亿）。
- 98/2020/ND-CP号议定关于商业行政处罚（经17/2022/ND-CP号议定修订）：第65条（第1款：100万–500万；第2款：500万–1000万；第3款：最高3000万+暂停电商经营6–12个月；个人标准，组织加倍）。
- 52/2013/ND-CP号议定关于电子商务（2013年7月1日生效）：第68条（数据保护责任；第2款——合同未明确则电商经营者负责）；第4条（禁止行为）。
您的网站正在收集客户数据，而您不确定同意流程是否合法？欢迎通过联系页面联系 FLAT Law Firm，审查您的同意机制和数据保护政策，并依据《个人信息保护法》重建合规流程。
本文法律内容经 FLAW AI Legal Council审核并提交所有人批准；并非执业律师意见，不能替代针对具体案件的法律咨询。
仅供参考，不构成法律意见。