Luật bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) đã có hiệu lực từ 01/01/2026 và thay đổi trực tiếp cách doanh nghiệp gửi tin nhắn, gọi điện cho khách hàng. Danh sách số điện thoại, lịch sử mua hàng, thông tin trên Zalo đều là dữ liệu cá nhân. Bài viết tóm gọn những gì luật yêu cầu và 7 việc nên làm ngay để chăm sóc khách vẫn hiệu quả mà không bị phạt.

Luật bảo vệ dữ liệu cá nhân 2025 là gì, áp dụng từ khi nào?

Đây là đạo luật riêng đầu tiên của Việt Nam về dữ liệu cá nhân, có hiệu lực từ 01/01/2026. Luật số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025, gồm 5 chương, 39 điều. Cùng ngày có hiệu lực còn có Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết, thay thế Nghị định 13/2023/NĐ-CP trước đây (VCCI).

Khác biệt lớn nhất so với giai đoạn Nghị định 13 là chế tài. Trước đây nhiều doanh nghiệp xem bảo vệ dữ liệu như khuyến nghị. Nay vi phạm có thể bị phạt hành chính, bồi thường, thậm chí truy cứu trách nhiệm hình sự.

Với doanh nghiệp làm chăm sóc khách hàng, dữ liệu cá nhân xuất hiện ở khắp nơi: số điện thoại trong danh sách gửi SMS Brandname, tài khoản Zalo nhận thông báo, ghi âm cuộc gọi, lịch sử mua hàng trong phần mềm CRM. Mọi thao tác thu thập, phân tích, lưu trữ, chuyển giao những dữ liệu này đều được luật gọi là xử lý dữ liệu cá nhân.

Sự đồng ý của khách hàng: thế nào mới hợp lệ?

Sự đồng ý chỉ hợp lệ khi khách tự nguyện, được thông tin đầy đủ và thể hiện rõ ràng, kiểm chứng được. Theo Điều 9 của luật, khách phải được biết loại dữ liệu bị xử lý, mục đích xử lý, bên nào kiểm soát dữ liệu và quyền của chính họ (VOH).

Nghị định 356 cho phép nhiều cách thể hiện sự đồng ý, miễn là xác định được ai đồng ý, thời điểm đồng ý và nội dung đồng ý:

• Văn bản giấy hoặc điện tử.
• Cuộc gọi có ghi âm.
• Cú pháp đồng ý qua tin nhắn điện thoại.
• Email, website, nền tảng hoặc ứng dụng có thiết lập bước xin đồng ý.

Hai điểm doanh nghiệp hay bỏ sót. Thứ nhất, không được đặt sẵn ô tích đồng ý, cũng không được trình bày khiến khách nhầm giữa đồng ý và không đồng ý. Thứ hai, doanh nghiệp phải lưu bằng chứng đồng ý; khi có tranh chấp, nghĩa vụ chứng minh thuộc về doanh nghiệp chứ không phải khách.

Gửi tin nhắn, gọi điện quảng cáo: Điều 28 yêu cầu gì?

Gửi tin hoặc gọi điện quảng cáo dựa trên dữ liệu khách hàng không bị cấm, nhưng phải có đồng ý và luôn có cách từ chối. Điều 28 của luật quy định riêng về dữ liệu cá nhân trong hoạt động quảng cáo, gồm các yêu cầu chính (VOH):

• Khách đồng ý trên cơ sở biết rõ nội dung, hình thức và tần suất quảng cáo.
• Doanh nghiệp cung cấp cơ chế để khách từ chối hoặc yêu cầu ngừng nhận quảng cáo.
• Quảng cáo cá nhân hóa, quảng cáo theo hành vi chỉ thực hiện khi khách đã đồng ý cho theo dõi, thu thập dữ liệu.
• Vẫn phải tuân thủ quy định về quảng cáo và chống tin nhắn rác, thư rác, cuộc gọi rác.

Áp vào từng kênh: tin SMS quảng cáo cần hướng dẫn cú pháp từ chối, tin Zalo cần nút hoặc cách hủy nhận, cuộc gọi tiếp thị cần hỏi khách có muốn tiếp tục nhận cuộc gọi không. Bạn có thể xem cách mỗi kênh vận hành trong bài so sánh SMS Brandname, Zalo ZNS, Voice OTP và Email.

Gửi đúng người đã đồng ý, đúng tần suất đã hứa, và để khách rời đi dễ dàng: đó vừa là tuân thủ, vừa là cách giữ uy tín thương hiệu.

Mức phạt khi vi phạm dữ liệu cá nhân

Mức phạt hành chính tối đa là 3 tỷ đồng, riêng mua bán dữ liệu có thể tới 10 lần khoản thu và chuyển dữ liệu ra nước ngoài trái quy định có thể tới 5% doanh thu năm trước. Ngoài phạt tiền, doanh nghiệp có thể phải bồi thường hoặc bị truy cứu trách nhiệm hình sự tùy mức độ (Đại biểu Nhân dân, VCCI).

Riêng mảng quảng cáo, Nghị định 330/2026/NĐ-CP ngày 19/8/2026 đã quy định mức phạt cụ thể với tổ chức, cá nhân kinh doanh dịch vụ quảng cáo (Luật sư Việt Nam):

Kèm theo phạt tiền, doanh nghiệp có thể bị buộc xóa dữ liệu thu thập trái phép, nộp lại khoản thu từ vi phạm và phải thiết lập cơ chế từ chối nhận quảng cáo cho người dùng.

Checklist 7 việc doanh nghiệp gửi tin, gọi điện nên làm ngay

Bắt đầu từ việc biết mình đang giữ dữ liệu gì, rồi chuẩn hóa cách xin, lưu và tôn trọng lựa chọn của khách. Các khuyến nghị đăng trên trang của VCCI chia việc tuân thủ thành ba giai đoạn: đánh giá hiện trạng, xây chính sách và đào tạo, rồi triển khai kỹ thuật cùng hồ sơ đánh giá tác động. Dưới đây là phiên bản cụ thể cho bộ phận marketing và chăm sóc khách:

1. Lập bản đồ dữ liệu: liệt kê nguồn số điện thoại, email, tài khoản Zalo, ghi âm; ai được xem; lưu ở đâu, bao lâu.
2. Loại bỏ danh sách không rõ nguồn gốc, đặc biệt danh sách mua lại hoặc xin từ đối tác.
3. Cập nhật chính sách quyền riêng tư trên website và form đăng ký, ghi rõ mục đích, kênh liên hệ, tần suất gửi tin.
4. Tách ô đồng ý: tin giao dịch, OTP một mục; tin khuyến mãi, quảng cáo một mục riêng; không tích sẵn.
5. Lưu bằng chứng đồng ý gồm người đồng ý, thời điểm, nội dung, kênh, ngay trong hồ sơ khách hàng.
6. Thêm cách từ chối vào mọi tin quảng cáo và cập nhật danh sách từ chối trước mỗi chiến dịch.
7. Phân quyền truy cập dữ liệu, chuẩn bị quy trình xử lý khi lộ lọt dữ liệu và đào tạo nhân viên kinh doanh, chăm sóc khách.

Với tin xác thực, doanh nghiệp vẫn dùng SMS OTP hoặc Voice OTP như bình thường, nhưng nên dùng số điện thoại cho đúng mục đích xác thực đã thông báo, không tái sử dụng sang danh sách quảng cáo khi khách chưa đồng ý. Kịch bản nhắn tin chăm sóc khách cũ qua Zalo kết hợp CRM có trong bài Zalo ZNS và CRM; thủ tục mẫu tin Zalo xem thêm tại oazns.vn.

Doanh nghiệp nhỏ có được miễn trừ không?

Doanh nghiệp nhỏ được hoãn một số nghĩa vụ, nhưng không được miễn việc xin đồng ý và bảo vệ dữ liệu khách hàng. Điều 41 Nghị định 356 cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp thời gian ân hạn 5 năm từ 01/01/2026; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện quy định này (VCCI). Nội dung được hoãn chủ yếu là việc chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân (Mekong ASEAN).

Ngoại lệ không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân hoặc trực tiếp xử lý dữ liệu cá nhân nhạy cảm. Vì vậy, các startup thương mại điện tử, fintech, marketing số thường vẫn phải tuân thủ ngay.

Kết luận

• Luật bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ 01/01/2026, đi cùng Nghị định 356 và Nghị định 330 về xử phạt.
• Gửi tin, gọi điện quảng cáo vẫn được phép khi khách đồng ý rõ ràng và có cách từ chối.
• Bằng chứng đồng ý là của doanh nghiệp: lưu ai, khi nào, đồng ý điều gì.
• Không mua bán danh sách khách hàng; tách mục đích giao dịch, OTP với mục đích quảng cáo.

Câu hỏi thường gặp