Luật bảo vệ dữ liệu cá nhân 2026 website cần sửa gì trước
Luật Bảo vệ dữ liệu cá nhân hiệu lực từ 01/01/2026. Website có form liên hệ, đăng ký nhận tin, đơn hàng cần sửa cơ chế đồng ý, chính sách và quyền xoá dữ liệu.
Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 01/01/2026. Từ mốc này, website có form liên hệ, form đăng ký nhận tin hay form đặt hàng đều đang thu thập dữ liệu cá nhân theo đúng nghĩa của luật, dù chủ website có để ý hay không. Bài này nói rõ website cần sửa gì: cơ chế xin sự đồng ý, nội dung trang chính sách quyền riêng tư, cách cho người dùng yêu cầu xoá dữ liệu, và thời gian lưu trữ hợp lý.
Lưu ý trước khi đọc tiếp: bài này giải thích hướng sửa website ở mức kỹ thuật, không phải tư vấn pháp lý. Tình huống mỗi doanh nghiệp khác nhau, nên trước khi công bố chính sách chính thức, bạn nên hỏi đơn vị tư vấn luật để đối chiếu đúng quy định cho trường hợp của mình.
Luật bảo vệ dữ liệu cá nhân 2026 áp dụng cho website nào
Luật áp dụng cho bất kỳ website nào thu thập, lưu trữ hoặc xử lý thông tin định danh được một cá nhân: họ tên, số điện thoại, email, địa chỉ. Website có form liên hệ, form đặt hàng, trang đăng ký nhận bản tin đều nằm trong phạm vi này, bất kể quy mô lớn hay nhỏ.
Nhiều chủ website nghĩ luật chỉ nhắm tới sàn thương mại điện tử hay mạng xã hội lớn. Thực tế một website giới thiệu công ty có ô nhập số điện thoại để "nhận tư vấn miễn phí" cũng đang thu thập dữ liệu cá nhân, chỉ khác quy mô xử lý. Doanh nghiệp cần rà lại các điểm chạm thu dữ liệu: form liên hệ, form đăng ký, form đặt hàng, popup thu email, chatbot, cookie theo dõi hành vi.
Cơ chế đồng ý trên form liên hệ cần thay đổi ra sao
Cơ chế đồng ý đúng chuẩn là người dùng chủ động tick vào ô xác nhận trước khi gửi form, không phải dòng chữ mặc định đã tick sẵn. Ô tick tách riêng khỏi nút gửi, có liên kết dẫn tới trang chính sách quyền riêng tư ngay bên cạnh.
Cách làm phổ biến trước đây là chèn dòng chữ mờ dưới form kiểu "bằng việc gửi form, bạn đồng ý với điều khoản sử dụng", người dùng gần như không đọc, không có hành động xác nhận rõ ràng. Dạng này không còn phù hợp tinh thần đồng ý minh bạch của luật. Ba việc cần làm ngay trên form thu dữ liệu:
- Thêm ô checkbox riêng, không tick sẵn, nói rõ dữ liệu dùng để làm gì.
- Gắn liên kết trang chính sách quyền riêng tư ngay cạnh ô tick, mở được mà không rời khỏi luồng điền form.
- Với form thu thêm dữ liệu ngoài mục đích chính, tách hai mục đích thành hai ô đồng ý riêng.
Website xây trên nền tảng tuỳ chỉnh như HTML tĩnh hoặc CMS riêng thường phải chỉnh tay từng form, nên rà cùng đơn vị đang phụ trách dịch vụ thiết kế website để sửa đồng bộ, tránh sót form nào vẫn thu dữ liệu theo cách cũ.
Website đang có nhiều form thu dữ liệu chưa rà lại?
BizMaC nhận rà soát và chỉnh sửa cơ chế đồng ý, chính sách quyền riêng tư cho website doanh nghiệp, bán hàng và landing page, đi kèm hosting, SSL đang vận hành.
Trang chính sách quyền riêng tư cần nói đúng những gì
Trang chính sách quyền riêng tư phải trả lời bốn câu hỏi: thu thập dữ liệu gì, dùng vào việc gì, lưu ở đâu bao lâu, người dùng có quyền gì. Nhiều website dùng bản chính sách copy nguyên mẫu trên mạng, nội dung không khớp dữ liệu thực tế đang thu.
Cách kiểm tra nhanh: mở từng form và tính năng trên website, liệt kê chính xác trường dữ liệu đang thu, rồi đối chiếu với nội dung chính sách đang đăng. Chính sách sao chép thường liệt kê loại dữ liệu website không hề thu, hoặc bỏ sót loại dữ liệu thực tế đang lưu như log truy cập, cookie quảng cáo.
Một chính sách đầy đủ nên có: phạm vi áp dụng, danh sách dữ liệu thu thập theo từng nhóm, mục đích sử dụng, nơi lưu trữ và thời gian lưu, trường hợp chia sẻ cho bên thứ ba, quyền của người dùng, và cách liên hệ khi có yêu cầu về dữ liệu.
Cách website cho người dùng yêu cầu xoá dữ liệu
Website cần kênh cụ thể để người dùng gửi yêu cầu xoá dữ liệu, không chỉ nói chung chung "liên hệ với chúng tôi". Kênh này có thể là form riêng, email chỉ định, hoặc mục trong tài khoản khách hàng.
Quy trình nên có các bước rõ ràng: xác minh danh tính người gửi (tránh bên thứ ba mạo danh), xác định phần dữ liệu xoá ngay được và phần phải giữ theo nghĩa vụ pháp lý, rồi phản hồi bằng văn bản.
Không phải mọi dữ liệu đều xoá được ngay. Dữ liệu gắn nghĩa vụ kế toán hoặc tranh chấp đang diễn ra thường có thời hạn lưu riêng. Chính sách nên nói rõ ngoại lệ này để người dùng không bất ngờ.
Thời gian lưu dữ liệu bao lâu là hợp lý
Nguyên tắc chung là chỉ giữ dữ liệu trong thời gian còn cần thiết cho mục đích đã thu thập, cộng thời hạn lưu trữ bắt buộc theo quy định liên quan như chứng từ kế toán, không giữ vĩnh viễn chỉ vì có thể sau này cần đến.
Với dữ liệu thu qua form liên hệ mà khách hàng không tiếp tục giao dịch, doanh nghiệp nên đặt mốc rà soát định kỳ để xoá hoặc ẩn danh hoá. Bảng dưới đây tóm tắt cách phân loại dữ liệu phổ biến và hướng xử lý, chỉ mang tính tham khảo.
| Loại dữ liệu | Nguồn thu thập | Hướng lưu trữ |
|---|---|---|
| Họ tên, số điện thoại, email từ form liên hệ | Form liên hệ, form tư vấn | Giữ trong thời gian còn nhu cầu tư vấn, rà soát định kỳ để xoá dữ liệu không còn hoạt động |
| Thông tin đơn hàng, hoá đơn | Form đặt hàng, thanh toán | Giữ theo thời hạn lưu chứng từ kế toán bắt buộc |
| Email đăng ký nhận bản tin | Popup, form đăng ký riêng | Giữ đến khi người dùng huỷ đăng ký, xoá ngay khi có yêu cầu |
| Log truy cập, địa chỉ IP, cookie | Hệ thống tự ghi nhận | Giữ thời gian ngắn phục vụ vận hành, bảo mật, không lưu dài hạn nếu không cần thiết |
Doanh nghiệp dùng dịch vụ quản trị website nên đưa việc rà soát dữ liệu cũ vào lịch bảo trì định kỳ, thay vì để tồn đọng nhiều năm.
Website bán hàng và CRM thu dữ liệu khách cần lưu ý gì thêm
Website bán hàng thu nhiều loại dữ liệu hơn website giới thiệu: địa chỉ giao hàng, số điện thoại xác nhận đơn, đôi khi cả thông tin thanh toán. Mỗi bước trong luồng đặt hàng là một điểm cần rà lại cơ chế đồng ý.
Với thông tin thẻ hoặc tài khoản ngân hàng, cách làm an toàn phổ biến là để đối tác cổng thanh toán được cấp phép xử lý, website chỉ lưu mã đơn hàng và trạng thái giao dịch. Cách này giảm phạm vi dữ liệu nhạy cảm website phải trực tiếp quản lý.
Website dùng CRM riêng cũng chịu điều chỉnh giống dữ liệu trên website. Doanh nghiệp đang xây hệ thống quản lý khách hàng nên tính cơ chế đồng ý và phân quyền dữ liệu ngay từ đầu, tham khảo dịch vụ thiết kế Web App và CRM để không phải sửa lại cấu trúc sau khi hệ thống đã chạy.
Câu hỏi thường gặp về luật bảo vệ dữ liệu cá nhân trên website
Website nhỏ ít traffic có cần sửa theo luật bảo vệ dữ liệu cá nhân không?
Có. Luật áp dụng theo hành vi thu thập và xử lý dữ liệu cá nhân, không theo quy mô traffic. Website nhỏ có form liên hệ vẫn thu dữ liệu cá nhân như website lớn, chỉ khác khối lượng xử lý.
Chính sách quyền riêng tư cũ có dùng tiếp được không?
Cần rà lại nội dung xem có khớp với dữ liệu thực tế website đang thu hay không. Chính sách sao chép từ nơi khác, không đúng với form thực tế trên website, nên viết lại thay vì giữ nguyên.
Có bắt buộc phải có tính năng tự động xoá dữ liệu trên website không?
Điều quan trọng là website phải có kênh tiếp nhận yêu cầu xoá dữ liệu và quy trình xử lý, có thể làm thủ công hoặc tự động tuỳ quy mô, miễn đáp ứng được yêu cầu của người dùng trong thời gian hợp lý.
Ai chịu trách nhiệm nếu website để lộ dữ liệu khách hàng?
Trách nhiệm cụ thể tuỳ nguyên nhân sự cố và vai trò từng bên trong hợp đồng dịch vụ, đây là vấn đề pháp lý cần đơn vị tư vấn luật xác định cho từng trường hợp, bài viết này không đưa ra kết luận thay.
Nên bắt đầu rà soát website từ đâu trước khi luật siết chặt hơn?
Bắt đầu từ việc liệt kê toàn bộ form và tính năng đang thu dữ liệu trên website, sau đó đối chiếu với chính sách quyền riêng tư hiện tại. Đây là bước nền cho mọi việc sửa tiếp theo.
Việc cần làm trước khi luật siết
Luật Bảo vệ dữ liệu cá nhân đã có hiệu lực từ 01/01/2026, việc rà soát website không còn là lựa chọn để sau. Bốn việc cần ưu tiên: kiểm kê toàn bộ điểm thu dữ liệu, sửa cơ chế đồng ý thành chủ động và minh bạch, viết lại chính sách quyền riêng tư khớp thực tế, và mở kênh xử lý yêu cầu xoá dữ liệu có quy trình cụ thể. BizMaC tham khảo cách trình bày minh bạch trong chính sách bảo mật của BizMaC khi tư vấn khách hàng.
Tình huống pháp lý mỗi doanh nghiệp khác nhau tuỳ ngành nghề và loại dữ liệu xử lý, nên phần quy định cụ thể, mức xử phạt hay nghĩa vụ báo cáo, bạn nên hỏi trực tiếp đơn vị tư vấn luật. Phần kỹ thuật website, từ chỉnh form đến viết lại chính sách, đội ngũ thiết kế website BizMaC hỗ trợ song song cùng bước tư vấn pháp lý đó.
Lưu ý: Bài viết chia kinh nghiệm chung, còn mỗi doanh nghiệp một quy mô và một cách vận hành. Muốn biết cách nào hợp với trường hợp của bạn — chọn gói nào, làm theo thứ tự nào, chi phí ra sao — chuyên viên BizMaC tư vấn và làm giúp bạn phần kỹ thuật.
Để BizMaC dựng website cho doanh nghiệp bạn
Giao diện chuẩn UX, cấu trúc chuẩn SEO, chạy mượt trên di động và dễ tự quản trị sau khi bàn giao. BizMaC làm website cho doanh nghiệp Việt từ năm 2007, đi kèm hướng dẫn vận hành chứ không bàn giao xong là hết.
