Website và Luật Bảo vệ dữ liệu cá nhân 2025: doanh nghiệp cần chỉnh gì?

Từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hướng dẫn thi hành chính thức có hiệu lực, thay thế Nghị định 13/2023/NĐ-CP. Với website doanh nghiệp, điều này có nghĩa là mọi điểm thu thập thông tin của khách, từ form liên hệ, đăng ký nhận tin, đặt hàng, đặt phòng đến công cụ theo dõi hành vi, cần có cơ chế đồng ý rõ ràng, mục đích minh bạch và biện pháp bảo vệ tương xứng.

Bài viết tổng hợp những gì nên rà soát trên website từ góc nhìn của đơn vị triển khai. Nội dung mang tính tham khảo tại thời điểm đăng, không thay thế tư vấn pháp lý. Doanh nghiệp nên làm việc với pháp chế hoặc luật sư để áp dụng vào trường hợp cụ thể.

Tóm tắt nhanh

• Luật số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025, có hiệu lực từ 1/1/2026. Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025, có hiệu lực cùng ngày với Luật.
• Website cần lấy sự đồng ý của người dùng trước khi thu thập, xử lý dữ liệu cá nhân, trừ các trường hợp luật cho phép khác.
• Chính sách bảo mật phải nói rõ thu thập gì, để làm gì, lưu bao lâu, chia sẻ cho ai và người dùng có quyền gì.
• Một số nghĩa vụ có thời gian ân hạn hoặc miễn trừ cho doanh nghiệp nhỏ, siêu nhỏ, khởi nghiệp và hộ kinh doanh, nhưng việc thu thập có đồng ý và bảo vệ dữ liệu vẫn là nguyên tắc chung.
• Theo phân tích được VCCI đăng tải, mức xử phạt hành chính với một số vi phạm có thể lên tới 5% doanh thu.

Website thu thập dữ liệu cá nhân ở đâu?

Nhiều doanh nghiệp nghĩ website của mình "không thu thập gì". Thực tế, dữ liệu cá nhân thường đi qua:

Mỗi điểm cần được rà soát theo các câu hỏi bên dưới.

Những điểm cần chỉnh trên website

1. Cơ chế đồng ý tại biểu mẫu

• Có ô đồng ý không đánh dấu sẵn, kèm liên kết đến chính sách bảo mật.
• Nêu ngắn gọn mục đích ngay tại form, ví dụ "Thông tin chỉ dùng để liên hệ tư vấn".
• Tách riêng đồng ý nhận thông tin tiếp thị với đồng ý xử lý yêu cầu hiện tại.
• Lưu lại thời điểm và nội dung người dùng đã đồng ý.

2. Chỉ thu thập dữ liệu cần thiết

Form liên hệ thường không cần ngày sinh, địa chỉ nhà, số giấy tờ tùy thân. Bỏ các trường không phục vụ mục đích. Với ngành đặc thù như y tế, thông tin sức khỏe thuộc nhóm dữ liệu nhạy cảm, cần thận trọng hơn nữa. Xem bài website phòng khám, nha khoa.

3. Cookie và công cụ theo dõi

Công cụ phân tích, mã theo dõi quảng cáo, công cụ remarketing thu thập dữ liệu về hành vi người dùng. Thực hành tốt là:

• Phân loại cookie: bắt buộc để website hoạt động, phân tích, tiếp thị.
• Cho người dùng chọn đồng ý hoặc từ chối nhóm phân tích và tiếp thị, với nút từ chối dễ thấy như nút đồng ý.
• Chỉ kích hoạt mã theo dõi sau khi người dùng đồng ý với nhóm tương ứng.
• Cho phép người dùng thay đổi lựa chọn sau đó.

4. Chính sách bảo mật

Chính sách bảo mật trên website nên trả lời rõ:

• Doanh nghiệp nào là bên kiểm soát dữ liệu, thông tin liên hệ.
• Thu thập những loại dữ liệu nào, qua kênh nào.
• Mục đích xử lý của từng nhóm dữ liệu.
• Thời gian lưu trữ.
• Chia sẻ cho bên thứ ba nào: đơn vị vận chuyển, cổng thanh toán, nền tảng quảng cáo, đơn vị vận hành website.
• Quyền của người dùng và cách gửi yêu cầu.
• Biện pháp bảo vệ dữ liệu.

Chính sách nên viết bằng tiếng Việt dễ hiểu, không sao chép nguyên văn từ website khác, vì mỗi doanh nghiệp xử lý dữ liệu khác nhau.

5. Quyền của người dùng và quy trình đáp ứng

Luật đề cao các quyền của chủ thể dữ liệu như được biết, đồng ý, truy cập, chỉnh sửa, yêu cầu xóa dữ liệu. Website nên có kênh tiếp nhận yêu cầu (email hoặc form riêng), và doanh nghiệp cần quy trình nội bộ để xác minh người yêu cầu, xử lý và phản hồi trong thời hạn.

6. Phân quyền truy cập dữ liệu trong trang quản trị

• Chỉ người cần thiết mới xem được danh sách khách hàng, đơn hàng, hồ sơ ứng viên.
• Hạn chế quyền xuất dữ liệu hàng loạt.
• Có nhật ký thao tác để biết ai đã xem, sửa, xuất dữ liệu.
• Thu hồi quyền ngay khi nhân sự thay đổi.

Xem thêm bài 12 việc tối thiểu để bảo mật website doanh nghiệp.

7. Đơn vị xử lý dữ liệu

Đơn vị làm web, đơn vị vận hành hosting, công cụ gửi email, chat trực tuyến đều có thể tiếp cận dữ liệu khách hàng. Hợp đồng với các bên này nên có điều khoản về phạm vi xử lý, bảo mật và xử lý khi chấm dứt hợp tác. Xem bài hợp đồng thiết kế website.

Doanh nghiệp nhỏ có được miễn trừ không?

Theo các phân tích pháp lý được VCCI và GV Lawyers công bố, Nghị định 356/2025/NĐ-CP có quy định ân hạn 5 năm kể từ 1/1/2026 cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp đối với một số nghĩa vụ, và hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ đó, trừ một số trường hợp như kinh doanh dịch vụ xử lý dữ liệu hoặc trực tiếp xử lý dữ liệu nhạy cảm. Phạm vi miễn trừ cụ thể cần được đối chiếu với văn bản gốc. Dù được ân hạn một số thủ tục, việc thu thập dữ liệu có đồng ý, đúng mục đích và có biện pháp bảo vệ vẫn là nguyên tắc nên tuân thủ.

Checklist rà soát website

Câu hỏi thường gặp

Website chỉ có form liên hệ có cần làm gì không?

Có. Form liên hệ thu thập họ tên, số điện thoại, email là dữ liệu cá nhân. Tối thiểu cần ô đồng ý, nêu mục đích và chính sách bảo mật phù hợp.

Có bắt buộc phải có banner cookie không?

Luật không quy định cụ thể hình thức "banner", nhưng việc thu thập dữ liệu cá nhân qua công cụ theo dõi cần có căn cứ hợp pháp, thường là sự đồng ý. Cơ chế chọn cookie là cách thực tế để lấy và ghi nhận sự đồng ý đó.

Dữ liệu khách hàng lưu trên máy chủ nước ngoài có vấn đề không?

Luật có quy định riêng về chuyển dữ liệu cá nhân ra nước ngoài. Nếu website, công cụ email, CRM lưu trữ dữ liệu ở nước ngoài, doanh nghiệp nên làm rõ nghĩa vụ áp dụng với pháp chế.

Website thương mại điện tử cần lưu ý gì thêm?

Ngoài bảo vệ dữ liệu cá nhân, website có chức năng đặt hàng trực tuyến còn có nghĩa vụ theo Luật Thương mại điện tử 2025. Xem bài thông báo, đăng ký website thương mại điện tử (cập nhật 2026) và xây dựng kênh thương mại điện tử cho doanh nghiệp.

Kết luận

Luật Bảo vệ dữ liệu cá nhân 2025 biến những thực hành tốt trước đây thành nghĩa vụ. Với website, phần lớn công việc là rà soát và chỉnh lại: form có đồng ý rõ ràng, cookie có lựa chọn, chính sách bảo mật đúng thực tế, quyền truy cập dữ liệu được kiểm soát.

Nếu bạn cần rà soát kỹ thuật website theo checklist trên, Giải Pháp Web có thể hỗ trợ trong phạm vi dịch vụ vận hành. Liên hệ lienhe@giaiphapweb.com hoặc hotline 0966 318 336.

Nguồn tham khảo

• VnEconomy: Những điểm mới trong Luật Bảo vệ dữ liệu cá nhân từ 1/1/2026
• Thư viện Pháp luật: Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân
• EY Việt Nam: Nghị định số 356/2025/NĐ-CP
• VCCI: Luật Bảo vệ dữ liệu cá nhân, lưu ý về hành lang pháp lý mới cho doanh nghiệp
• GV Lawyers: Bản tin pháp lý về Luật Bảo vệ dữ liệu cá nhân 2025