Suốt nhiều năm, dữ liệu khách hàng được xem là tài sản để khai thác càng nhiều càng tốt. Thu thập email, số điện thoại, hành vi lướt web, rồi đưa vào công cụ quảng cáo và chăm sóc. Từ năm 2026, cách nghĩ đó phải thay đổi. Dữ liệu khách hàng giờ đi kèm nghĩa vụ pháp lý, và nghĩa vụ này không còn nằm gọn trong phòng kỹ thuật mà chạm tới cả người làm marketing, bán hàng và chủ doanh nghiệp.
Lý do là Luật Bảo vệ dữ liệu cá nhân đã chính thức có hiệu lực. Bài viết này không phải bản đọc luật từng điều, mà là một góc nhìn thực tế: điều gì thay đổi, doanh nghiệp hay vướng ở đâu, mức phạt nên hiểu thế nào cho đúng, và nên bắt tay vào việc gì trước.
Vì sao 2026 là bước ngoặt
Trước đây, việc xử lý dữ liệu cá nhân ở Việt Nam chủ yếu dựa trên Nghị định 13/2023, một văn bản dưới luật. Đến ngày 1 tháng 1 năm 2026, Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) có hiệu lực, kèm Nghị định 356/2025 hướng dẫn thi hành. Đây là lần đầu Việt Nam có một đạo luật riêng, đầy đủ, dành cho dữ liệu cá nhân.
Sự khác biệt không chỉ nằm ở tên gọi. Khi quy định được nâng từ nghị định lên luật, tính ràng buộc và mức chế tài đều tăng. Cơ quan quản lý có cơ sở rõ ràng hơn để thanh tra và xử phạt. Với doanh nghiệp, điều này nghĩa là những việc trước đây làm cho có, như dòng chữ đồng ý mờ nhạt dưới form đăng ký, giờ có thể trở thành điểm yếu khi bị rà soát.
Điều thay đổi với doanh nghiệp thu thập dữ liệu khách hàng
Nguyên tắc lớn nhất là xử lý dữ liệu cá nhân phải dựa trên sự đồng ý rõ ràng của chủ thể dữ liệu, tức là chính khách hàng. Đồng ý phải cụ thể cho từng mục đích, người dùng phải biết mình đồng ý cho điều gì, và có quyền rút lại.
Kèm theo đó là một loạt quyền mà khách hàng có thể thực hiện với dữ liệu của họ:
- Quyền được biết và truy cập. Khách hàng có quyền biết doanh nghiệp đang giữ dữ liệu gì về mình và dùng vào việc gì.
- Quyền chỉnh sửa và xóa. Họ có thể yêu cầu sửa thông tin sai hoặc xóa dữ liệu khi không còn cơ sở để giữ.
- Quyền rút đồng ý. Đã đồng ý nhận marketing thì cũng có quyền dừng, và doanh nghiệp phải tôn trọng.
Với những đội đang chạy CRM, email marketing hay quảng cáo bám đuổi, đây là thay đổi thực chất. Danh sách khách hàng không còn là kho để dùng thoải mái, mà là dữ liệu có ràng buộc, phải quản lý được ai đồng ý gì và rút lúc nào.
Ba cạm bẫy hay gặp khi làm marketing dữ liệu
Phần lớn rủi ro không đến từ ý đồ xấu, mà từ những thói quen cũ chưa kịp bỏ.
Mua hoặc trao đổi danh sách khách hàng. Đây là vùng nhạy cảm nhất. Việc mua bán dữ liệu cá nhân không có cơ sở hợp pháp bị nhìn nhận rất nặng. Một danh sách email mua về nghe có vẻ tiện, nhưng đó là dữ liệu thu thập không có sự đồng ý của chính chủ, và doanh nghiệp dùng nó là bên chịu trách nhiệm.
Gửi dữ liệu ra nền tảng nước ngoài mà không rà soát. Khi bạn tải danh sách khách hàng lên một nền tảng quảng cáo đặt máy chủ ở nước ngoài, hoặc dùng công cụ phân tích lưu dữ liệu ngoài Việt Nam, đó là chuyển dữ liệu cá nhân ra nước ngoài. Hoạt động này có nghĩa vụ riêng, trong đó có việc lập hồ sơ đánh giá tác động chuyển dữ liệu và gửi tới cơ quan chức năng. Nhiều đội marketing làm việc này mỗi ngày mà chưa từng xem nó là một hành vi cần cân nhắc.
Đồng ý gộp và mập mờ. Một ô tích duy nhất cho tất cả mọi mục đích, từ giao hàng đến quảng cáo đến chia sẻ cho đối tác, không còn an toàn. Đồng ý cần tách theo mục đích để khách hàng thực sự chọn được điều họ muốn.
Ở góc nhìn xu hướng, làn sóng marketing dựa trên dữ liệu và AI đang lớn dần, như nhiều phân tích về xu hướng marketing 2026 đã chỉ ra. Càng khai thác dữ liệu sâu, phần nền tuân thủ càng cần chắc, nếu không tốc độ tăng trưởng sẽ mang theo rủi ro pháp lý tương ứng.
Mức phạt: hiểu cho đúng, đừng hiểu quá
Trên mạng đang lan truyền con số phạt tới 5% doanh thu, khiến nhiều chủ doanh nghiệp lo lắng. Cần hiểu cho chính xác để không hoảng, cũng không chủ quan.
Theo cơ chế xử phạt của luật, các mức được phân theo loại vi phạm:
- Mua bán dữ liệu cá nhân trái phép có thể bị phạt tới mười lần khoản thu có được từ hành vi đó.
- Vi phạm quy định chuyển dữ liệu cá nhân ra nước ngoài mới là nhóm có thể bị phạt tới 5% doanh thu năm trước liền kề. Con số 5% chỉ áp cho nhóm này, không phải cho mọi vi phạm.
- Các vi phạm khác áp mức phạt tiền cố định với trần theo quy định, không tính theo phần trăm doanh thu.
Ngoài ra, mức áp cho cá nhân vi phạm bằng một nửa mức áp cho tổ chức. Điểm cần nhớ là cơ chế phạt có phân tầng, và nhóm nặng nhất theo tỷ lệ doanh thu gắn với việc đưa dữ liệu ra nước ngoài. Đây chính là lý do khâu chuyển dữ liệu xuyên biên giới đáng được rà kỹ nhất.
Dữ liệu cá nhân không chỉ nằm trong CRM
Một điểm dễ bỏ sót: dữ liệu cá nhân không chỉ nằm trong công cụ marketing. Nó nằm rải rác trong hồ sơ nhân sự, hợp đồng, công văn, giấy tờ khách hàng và cả những file trôi nổi trong email nội bộ. Khi rà soát tuân thủ, toàn bộ những nơi này đều thuộc phạm vi.
Đây là lúc câu chuyện lưu trữ trở nên quan trọng. Với dữ liệu nhạy cảm, việc giữ dữ liệu trong nước và trên hệ thống mà doanh nghiệp kiểm soát được sẽ đơn giản hóa rất nhiều nghĩa
vụ, đặc biệt là nghĩa vụ liên quan tới chuyển dữ liệu ra nước ngoài. Nhiều tổ chức vì thế chọn quản lý tài liệu và quy trình phê duyệt trên một phần mềm văn phòng điện tử on-premise, tức chạy trên hạ tầng của chính mình, thay vì đẩy toàn bộ lên dịch vụ đám mây đặt ở nước ngoài. Cách làm này giữ dữ liệu ở lại trong tầm kiểm soát, đồng thời để lại nhật ký ai xem, ai sửa, ai duyệt, những thứ mà một đợt thanh tra sẽ hỏi tới.
Không phải mọi dữ liệu đều cần đối xử như vậy. Nội dung marketing công khai thì không. Nhưng dữ liệu cá nhân của khách hàng và hồ sơ nội bộ thì nên được đặt ở nơi doanh nghiệp trả lời được câu hỏi dữ liệu đang nằm ở đâu và ai chạm vào.
Nên bắt tay làm gì trước
Không cần giải quyết mọi thứ cùng lúc. Một vài bước đầu tiên đã tạo khác biệt lớn:
- Rà soát dữ liệu đang giữ. Liệt kê những loại dữ liệu cá nhân doanh nghiệp đang thu thập, thu từ đâu, lưu ở đâu, ai truy cập được. Nhiều bất ngờ nằm ở khâu này.
- Làm lại cơ chế đồng ý. Tách đồng ý theo mục đích, ghi rõ, và có cách cho khách hàng rút lại. Cập nhật form đăng ký và chính sách quyền riêng tư cho khớp.
- Rà khâu chuyển dữ liệu ra nước ngoài. Xem lại các công cụ quảng cáo, phân tích, email đang dùng có đưa dữ liệu ra ngoài không, và chuẩn bị hồ sơ cần thiết cho những luồng đó.
- Phân quyền và ghi nhật ký. Đảm bảo chỉ người cần mới truy cập dữ liệu nhạy cảm, và mọi thao tác đều để lại dấu vết.
- Cắt bỏ thói quen rủi ro. Ngừng mua danh sách, ngừng dùng đồng ý gộp, ngừng lưu dữ liệu ở những nơi không ai quản.
Với doanh nghiệp nhỏ, luật có một khoảng thời gian chuyển tiếp nhất định, nhưng đó không phải lý do để trì hoãn. Càng thu thập nhiều dữ liệu, khối lượng phải dọn về sau càng lớn.
Kết
PDPL 2026 không phải rào cản dựng lên để làm khó doanh nghiệp. Nó phản ánh một thực tế đang thành chuẩn ở nhiều thị trường: khách hàng ngày càng quan tâm dữ liệu của mình được dùng ra sao, và niềm tin đó là tài sản. Doanh nghiệp chuẩn bị sớm sẽ không chỉ tránh được rủi ro pháp lý, mà còn tạo được lợi thế khi khách hàng chọn nơi để tin tưởng giao dữ liệu.
Điểm khởi đầu đơn giản hơn nhiều người nghĩ: biết mình đang giữ dữ liệu gì, ở đâu, và ai chạm vào. Trả lời được ba câu đó, phần còn lại của việc tuân thủ sẽ rõ ràng hơn rất nhiều.
Về tác giả
Bài viết do đội ngũ Tetra Software đóng góp. Tetra là công ty Việt Nam phát triển phần mềm on-premise, tự vận hành cho doanh nghiệp và khu vực công: văn phòng điện tử, quản lý tài liệu, AI on-prem và bảo mật tự host.
