Website nào có biểu mẫu liên hệ, đơn hàng hay nút đăng ký nhận tin đều đang thu thông tin cá nhân của khách: tên, số điện thoại, email, địa chỉ. Nhiều doanh nghiệp vẫn dùng một trang “chính sách bảo mật” chép từ website khác, ghi những điều mình không làm và bỏ sót điều mình đang làm. Bài này giải thích trang chính sách bảo mật cần ghi những gì theo quy định đang có hiệu lực, cách viết cho khách đọc hiểu, và chỗ đặt nút đồng ý trên website.
Lưu ý: bài viết giúp bạn soạn bản nháp đúng hướng; doanh nghiệp xử lý nhiều dữ liệu hoặc dữ liệu nhạy cảm nên nhờ luật sư rà lại.
Quy định nào đang áp dụng
Từ 01/01/2026, việc thu và dùng dữ liệu cá nhân chịu điều chỉnh của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội thông qua ngày 26/6/2025) và Nghị định 356/2025/NĐ-CP hướng dẫn luật này. Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023/NĐ-CP, nên các bản chính sách viết theo nghị định cũ cần được rà lại.
Ba điều của luật liên quan trực tiếp tới trang chính sách:
- Điều 4: người có dữ liệu (luật gọi là chủ thể dữ liệu) có quyền được biết về việc xử lý dữ liệu của mình, đồng ý hoặc rút lại đồng ý, xem, chỉnh sửa, yêu cầu xoá hoặc hạn chế xử lý.
- Điều 9: sự đồng ý chỉ có giá trị khi người đó tự nguyện và biết rõ loại dữ liệu, mục đích, bên xử lý và quyền của mình; im lặng hoặc không phản hồi không được coi là đồng ý.
- Điều 8: vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự; mức phạt tiền tối đa cho các vi phạm thông thường là 3 tỷ đồng.
Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được lùi một số nghĩa vụ (như lập hồ sơ đánh giá tác động) trong 5 năm theo Điều 38; hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn các nghĩa vụ đó, trừ khi kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu nhạy cảm. Việc cho khách biết và xin đồng ý thì vẫn phải làm.
Nếu website có chức năng đặt hàng trực tuyến, Luật Thương mại điện tử số 122/2025/QH15 và Nghị định 248/2026/NĐ-CP (cùng hiệu lực từ 01/7/2026; chương II của nghị định quy định nội dung phải công khai) còn yêu cầu công khai chính sách bảo vệ thông tin cá nhân của người mua. Thủ tục đi kèm loại website này được nói trong bài Thông báo website với Bộ Công Thương: ai phải làm.
Bước 1: Liệt kê dữ liệu website thật sự thu
Trước khi viết chữ nào, hãy đi một vòng website và ghi lại mọi chỗ thu dữ liệu: biểu mẫu liên hệ, biểu mẫu báo giá, giỏ hàng, tài khoản thành viên, ô đăng ký nhận tin, khung chat, nút Zalo, công cụ thống kê lượt xem, mã theo dõi quảng cáo. Mỗi chỗ ghi: thu những ô nào, gửi về đâu (email, phần mềm quản lý khách hàng, bảng tính), ai trong công ty đọc được. Chính sách chỉ đúng khi danh sách này đúng.
Bước 2: Viết 8 mục bằng lời dễ hiểu
| Mục | Cần trả lời | Ví dụ cách viết |
|---|---|---|
| 1. Ai thu | Tên doanh nghiệp, địa chỉ, cách liên hệ về dữ liệu | Công ty TNHH A, email: dulieu@tencongty.vn |
| 2. Thu gì | Từng loại dữ liệu, ở chỗ nào trên website | Họ tên, số điện thoại ở biểu mẫu báo giá |
| 3. Để làm gì | Mục đích cụ thể cho từng loại | Gọi lại báo giá; giao hàng; gửi bản tin nếu bạn đăng ký |
| 4. Chia sẻ với ai | Bên nhận và lý do | Đơn vị giao hàng nhận tên, địa chỉ, số điện thoại để giao |
| 5. Lưu bao lâu | Thời hạn hoặc cách tính | Xoá yêu cầu báo giá sau 24 tháng nếu không thành đơn |
| 6. Quyền của bạn | Xem, sửa, xoá, rút đồng ý và cách yêu cầu | Gửi email tới địa chỉ ở mục 1, chúng tôi phản hồi theo thời hạn luật định |
| 7. Bảo vệ thế nào | Biện pháp chính, không cần chi tiết kỹ thuật | Kết nối mã hoá, giới hạn người được xem |
| 8. Ngày cập nhật | Ngày áp dụng bản hiện tại | Áp dụng từ ngày … |
Viết theo ngôi “chúng tôi” và “bạn”, câu ngắn, không chép nguyên văn luật. Đừng ghi những gì website không làm (“chúng tôi không bao giờ dùng cookie” trong khi có công cụ thống kê), vì chính sách sai còn rủi ro hơn chính sách ngắn.
Bước 3: Đặt chỗ xin đồng ý ngay cạnh nơi thu
Vì im lặng không được coi là đồng ý, mỗi biểu mẫu nên có một ô đánh dấu không được chọn sẵn, kèm một câu ngắn và đường dẫn tới trang chính sách: “Tôi đồng ý để công ty dùng thông tin này để liên hệ báo giá (xem chính sách bảo mật)”. Mục đích khác nhau thì xin riêng: đồng ý nhận báo giá không có nghĩa là đồng ý nhận bản tin quảng cáo.
Đặt đường dẫn tới trang chính sách ở chân trang của mọi trang, cạnh điều khoản sử dụng. Đây là một trong nhóm trang nhỏ nhưng bắt buộc trong bài Website doanh nghiệp cần những trang nào.
Bước 4: Giữ chính sách khớp với website
Mỗi lần thêm biểu mẫu, thêm công cụ chat, đổi đơn vị giao hàng hay gắn mã quảng cáo mới, hãy sửa chính sách và đổi ngày cập nhật. Nếu đơn vị làm web hoặc đơn vị lưu trữ tiếp cận được dữ liệu khách, cần có điều khoản bảo mật trong hợp đồng với họ; xem bài Hợp đồng thiết kế website: các điều khoản cần có. Nếu bạn sắp làm website bán hàng, hãy yêu cầu dựng trang chính sách và ô đồng ý cùng lúc với giỏ hàng và biểu mẫu, đừng để tới khi sắp chạy mới viết; các phần một website bán hàng cần có được liệt kê ở trang Thiết kế website bán hàng.
Tóm lại
- Từ 01/01/2026, áp dụng Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (thay Nghị định 13/2023/NĐ-CP).
- Chính sách cần 8 mục: ai thu, thu gì, để làm gì, chia sẻ với ai, lưu bao lâu, quyền của khách, cách bảo vệ, ngày cập nhật.
- Xin đồng ý bằng ô không chọn sẵn cạnh từng biểu mẫu, và sửa chính sách mỗi khi website thu thêm dữ liệu.