Trong bài này
- Luật bảo vệ dữ liệu cá nhân 2026 có gì mới với marketing?
- Dữ liệu cá nhân nhạy cảm là gì, liên quan gì tới pixel?
- Form thu thông tin khách viết thế nào cho đúng?
- Pixel, cookie và remarketing: khi nào được bật?
- Data khách hàng: được làm gì, cấm gì?
- Email, SMS, Zalo: quy tắc gửi tin quảng cáo
- Hộ kinh doanh, doanh nghiệp nhỏ được miễn gì?
- Checklist dữ liệu cá nhân cho doanh nghiệp nhỏ và agency
- Câu hỏi thường gặp
- Nguồn tham khảo
Tóm tắt nhanh
- Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực từ 01/01/2026; Nghị định 13/2023/NĐ-CP hết hiệu lực từ ngày đó.
- Form phải xin đồng ý cho từng mục đích, không đánh dấu sẵn ô đồng ý, nói rõ ai giữ dữ liệu và lưu bằng chứng khách đã đồng ý.
- Chỉ được theo dõi website, ứng dụng để quảng cáo theo hành vi khi người dùng đồng ý; vi phạm bị phạt 50–70 triệu đồng với tổ chức, một nửa với cá nhân và hộ kinh doanh.
- Mua bán dữ liệu cá nhân bị cấm; danh sách khách mua ngoài không dùng được cho quảng cáo, nhắn tin hay gọi điện.
Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) có hiệu lực từ 01/01/2026, kèm Nghị định 356/2025/NĐ-CP thay Nghị định 13/2023. Với marketing, bốn việc phải làm: xin đồng ý cho từng mục đích trên form, chỉ bật pixel quảng cáo khi khách đồng ý, cho khách từ chối nhận quảng cáo, và không mua bán data khách.
Bài kèm mức phạt theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026) và checklist; điểm nào chưa có hướng dẫn chính thức được ghi rõ. Đây là thông tin tham khảo tại thời điểm tháng 10/2026, không phải tư vấn pháp lý.
Luật bảo vệ dữ liệu cá nhân 2026 có gì mới với marketing?
| Văn bản | Nội dung chính | Hiệu lực |
|---|---|---|
| Luật 91/2025/QH15 | Sự đồng ý, quyền của khách, dữ liệu trong quảng cáo, cấm mua bán dữ liệu | 01/01/2026 |
| Nghị định 356/2025/NĐ-CP | Dữ liệu nhạy cảm, cách xin đồng ý, thời hạn trả lời khách, miễn trừ cho hộ kinh doanh | 01/01/2026 |
| Nghị định 330/2026/NĐ-CP | Mức phạt về dữ liệu cá nhân, email, tin nhắn quảng cáo | 19/8/2026 |
| Nghị định 91/2020/NĐ-CP | Chống tin nhắn, email, cuộc gọi rác; dự thảo thay thế đang lấy ý kiến | 01/10/2020, còn hiệu lực |
Đồng ý đã xin theo Nghị định 13/2023/NĐ-CP vẫn dùng tiếp, không phải xin lại. Với vi phạm về dữ liệu cá nhân, Nghị định 330/2026/NĐ-CP ghi mức phạt của tổ chức; cá nhân và hộ kinh doanh bị phạt một nửa.
Dữ liệu cá nhân nhạy cảm là gì, liên quan gì tới pixel?
Điều 4 Nghị định 356/2025/NĐ-CP liệt kê dữ liệu nhạy cảm; marketer hay chạm tới các loại sau:
- Tình trạng sức khỏe, điều phòng khám, spa, phòng tập hay hỏi trên form.
- Ảnh thẻ căn cước, tài khoản và giao dịch ngân hàng.
- Dữ liệu theo dõi hành vi, hoạt động sử dụng mạng xã hội, dịch vụ trực tuyến trên không gian mạng.
Xin đồng ý xử lý dữ liệu nhạy cảm phải báo rõ đó là dữ liệu nhạy cảm. Mục cuối rất gần dữ liệu mà pixel, cookie quảng cáo thu thập, nhưng chưa có hướng dẫn chính thức về việc gắn pixel có bị coi là “trực tiếp xử lý dữ liệu nhạy cảm” hay không. Meta cũng cấm gửi thông tin sức khỏe, tài chính, nhạy cảm qua pixel hay danh sách khách.
Form thu thông tin khách viết thế nào cho đúng?
Đồng ý phải tự nguyện, khách biết rõ loại dữ liệu, mục đích, ai giữ dữ liệu; im lặng không phải là đồng ý, và cách xin phải kiểm chứng được.
- Chỉ hỏi dữ liệu cần dùngTên và số điện thoại để gọi lại là đủ cho phần lớn form.
- Tách ô đồng ý, không tick sẵnMột ô cho việc liên hệ về yêu cầu vừa gửi, một ô riêng cho tin ưu đãi, ghi rõ kênh và tần suất.
- Nói rõ ai giữ dữ liệuTên doanh nghiệp, mục đích, link chính sách dữ liệu; form trên Facebook phải nói rõ bạn, không phải Meta, thu thập.
- Lưu nhật ký đồng ýThời điểm, câu đồng ý, form nguồn: bằng chứng khi có tranh chấp.
- Cho cách rút lạiPhản hồi yêu cầu trong 02 ngày làm việc, ngừng xử lý trong 15 ngày.
Ô đồng ý liên hệ: “Tôi đồng ý để [tên doanh nghiệp] dùng họ tên, số điện thoại này để liên hệ về yêu cầu tôi vừa gửi.” Ô nhận ưu đãi, tách riêng: “Tôi muốn nhận tin ưu đãi qua Zalo, tối đa [số] tin mỗi tháng.” Cả hai ô để trống cho khách tự đánh dấu. Đặt sẵn ô đồng ý, không lưu nhật ký hoặc không cho đồng ý theo từng mục đích bị phạt 30–50 triệu đồng (mức của tổ chức).
Pixel, cookie và remarketing: khi nào được bật?
Điều 28 Luật 91/2025/QH15: dùng dữ liệu để quảng cáo theo hành vi, có mục tiêu hoặc cá nhân hóa thì chỉ được thu thập qua theo dõi website, ứng dụng khi có đồng ý, phải cho từ chối chia sẻ, đặt thời gian lưu và xóa khi không cần. Làm sai bị phạt 50–70 triệu đồng (mức của tổ chức), có thể kèm đình chỉ dịch vụ quảng cáo liên quan 03–06 tháng.
- Hiện banner xin đồng ý trước khi tải pixel, thẻ quảng cáo; nút “Từ chối” dễ thấy như nút “Đồng ý”.
- Tách đo lường cơ bản với theo dõi để quảng cáo, mỗi mục đích một lựa chọn.
- Danh sách khách tải lên nền tảng quảng cáo chỉ gồm người đã đồng ý; đặt thời hạn lưu cho tệp tiếp thị lại.
Chính sách của Google chỉ bắt buộc tín hiệu đồng ý (Consent Mode) với người dùng ở Khu vực kinh tế châu Âu, Anh, Thụy Sĩ; ở Việt Nam, nghĩa vụ xin đồng ý đến từ Luật 91/2025/QH15. Bài tối ưu tỷ lệ chuyển đổi bàn cách đo khi một phần khách từ chối.
Data khách hàng: được làm gì, cấm gì?
| Việc | Được không | Căn cứ |
|---|---|---|
| Mua danh sách số điện thoại “khách tiềm năng” | Không: mua, bán dữ liệu cá nhân bị cấm; phạt tối đa 10 lần khoản thu (mức của tổ chức) | Điều 7, Điều 8 Luật 91/2025/QH15 |
| Gửi tin ưu đãi cho khách cũ đã đồng ý nhận | Được, đúng kênh và tần suất đã báo, có cách từ chối | Điều 28 Luật 91/2025/QH15 |
| Agency thuê lại bên khác làm trọn chiến dịch có dùng dữ liệu khách | Không | Khoản 6 Điều 28 Luật 91/2025/QH15 |
| Lưu danh sách khách trên nền tảng đặt máy chủ ở nước ngoài | Có thể bị tính là chuyển dữ liệu xuyên biên giới, kèm hồ sơ đánh giá tác động; nên hỏi luật sư | Điều 20 Luật 91/2025/QH15 |
Email, SMS, Zalo: quy tắc gửi tin quảng cáo
Nghị định 91/2020/NĐ-CP vẫn áp dụng cho tin nhắn, email, cuộc gọi quảng cáo:
- Chỉ gửi khi người nhận đã đồng ý trước; lưu thông tin đăng ký, từ chối tối thiểu 01 năm.
- Gắn nhãn [QC] hoặc [AD] ở đầu tin nhắn, đầu tiêu đề email; phần từ chối đặt ở cuối.
- Mỗi người tối đa 03 tin nhắn, 03 email, 01 cuộc gọi quảng cáo trong 24 giờ; tin nhắn từ 7h đến 22h, gọi từ 8h đến 17h, trừ khi có thỏa thuận khác.
- Phải dùng tên định danh; không nhắn, gọi tới số trong Danh sách không quảng cáo.
Mức phạt theo Nghị định 330/2026/NĐ-CP (mức của cá nhân, tổ chức gấp đôi): 10–20 triệu đồng khi gửi lúc chưa được đồng ý; 20–30 triệu đồng khi không gắn nhãn; 30–50 triệu đồng khi vượt số tin hoặc gửi ngoài giờ; 80–90 triệu đồng khi nhắn, gọi tới số trong Danh sách không quảng cáo. Tin Zalo OA theo quy định riêng của Zalo, xem Zalo OA cho doanh nghiệp.
Hộ kinh doanh, doanh nghiệp nhỏ được miễn gì?
Theo Điều 41 Nghị định 356/2025/NĐ-CP, hộ kinh doanh và doanh nghiệp siêu nhỏ không phải lập, cập nhật hồ sơ đánh giá tác động xử lý dữ liệu và không phải bố trí nhân sự, bộ phận bảo vệ dữ liệu; doanh nghiệp nhỏ, khởi nghiệp được chọn không làm trong 05 năm từ 01/01/2026. Miễn trừ mất khi kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc khi đã xử lý dữ liệu của từ 100.000 người trở lên.
Miễn trừ không bỏ nghĩa vụ xin đồng ý và cho rút đồng ý. Còn hai điểm chưa có hướng dẫn: gắn pixel có làm mất miễn trừ không, và agency chạy quảng cáo, thu khách hàng tiềm năng cho khách có bị coi là “dịch vụ xử lý dữ liệu cá nhân”, một ngành kinh doanh có điều kiện, hay không.
Checklist dữ liệu cá nhân cho doanh nghiệp nhỏ và agency
- Liệt kê nơi đang thu dữ liệu: form web, form Facebook, Zalo, sổ khách tại quầy.
- Mỗi form có ô đồng ý riêng cho từng mục đích, không tick sẵn, có link chính sách dữ liệu.
- Banner xin đồng ý chạy trước pixel và thẻ quảng cáo.
- Hợp đồng với agency ghi rõ ai giữ dữ liệu, dùng vào việc gì, xóa khi kết thúc.
Cần dựng form, banner đồng ý và đo lường chuyển đổi đúng luật, xem dịch vụ tối ưu chuyển đổi của STEYG và bài landing page là gì.
Câu hỏi thường gặp
Luật bảo vệ dữ liệu cá nhân có hiệu lực khi nào?
Luật 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025, có hiệu lực từ 01/01/2026, cùng ngày với Nghị định 356/2025/NĐ-CP. Mức phạt theo Nghị định 330/2026/NĐ-CP áp dụng từ 19/8/2026.
Nghị định 13/2023/NĐ-CP còn hiệu lực không?
Không. Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026, thay bằng Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Đồng ý khách đã cho theo nghị định cũ vẫn dùng tiếp.
Dữ liệu cá nhân nhạy cảm là gì?
Là dữ liệu gắn với quyền riêng tư, khi bị xâm phạm sẽ ảnh hưởng trực tiếp tới quyền lợi của người đó, như sức khỏe, sinh trắc học, vị trí định vị, ảnh căn cước, tài khoản ngân hàng, dữ liệu theo dõi hành vi trên mạng (Điều 4 Nghị định 356/2025/NĐ-CP).
Mua bán data khách hàng bị phạt thế nào?
Mua, bán dữ liệu cá nhân bị cấm. Phạt hành chính tối đa 10 lần khoản thu có được; không có khoản thu thì tối đa 3 tỷ đồng với tổ chức, cá nhân bằng một nửa. Tùy mức độ còn có thể bị truy cứu trách nhiệm hình sự.
Nguồn tham khảo
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, Công báo số 971+972 (2025)
- Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân, Công báo số 18 (2026)
- Nghị định 330/2026/NĐ-CP xử phạt vi phạm hành chính về an ninh mạng và bảo vệ dữ liệu cá nhân, Công báo số 498 (2026)
- Nghị định 91/2020/NĐ-CP về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác, Công báo số 837+838 (2020)
- Meta: thông tin bị cấm chia sẻ qua Meta Business Tools
- Meta: Chính sách về Trang, Nhóm và Sự kiện, mục Thu thập dữ liệu