Luật bảo vệ dữ liệu cá nhân 2026: thu lead và remarketing cần đổi gì?

Một ô “Tôi đồng ý nhận ưu đãi” được tích sẵn trên form báo giá. Một file 20,000 số điện thoại mua từ nhóm “data khách đầu tư”. Một lần tải toàn bộ CRM lên Facebook để remarketing, kể cả những người đã từ chối cuộc gọi. Nhiều đội marketing ở Việt Nam vẫn làm những việc này hằng tuần. Từ ngày 19/8/2026, khi Nghị định 330/2026/NĐ-CP về xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân có hiệu lực, mỗi việc trên đã có khung phạt riêng.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, hiệu lực từ 1/1/2026, buộc marketer xin đồng ý riêng cho từng mục đích, bỏ ô đồng ý tích sẵn, ngừng mua bán danh sách lead, cho khách cách từ chối quảng cáo, chỉ dùng pixel remarketing khi người dùng đã đồng ý, ký thỏa thuận xử lý dữ liệu với agency và vendor. Nhiều yêu cầu đã có từ Nghị định 13/2023; khác biệt là giờ đã có mức phạt cụ thể.

Luật bảo vệ dữ liệu cá nhân 91/2025 và Nghị định 356 khác gì Nghị định 13?

Điều 8 của Luật đặt mức phạt tối đa cho tổ chức: mua bán dữ liệu cá nhân tới 10 lần khoản thu có được hoặc 3 tỷ đồng, tùy mức nào cao hơn; vi phạm về chuyển dữ liệu xuyên biên giới tới 5% doanh thu năm trước liền kề hoặc 3 tỷ đồng; vi phạm khác tối đa 3 tỷ đồng. Cá nhân chịu một nửa.

Theo điều khoản chuyển tiếp, dữ liệu khách đã đồng ý đúng Nghị định 13 trước 1/1/2026 được tiếp tục xử lý mà không phải xin lại. Danh sách không có bằng chứng đồng ý thì không được hưởng điều này.

Form thu lead cần sửa những gì?

Với form website, Lead Ads hay Zalo, Nghị định 356 cấm đặt mặc định đồng ý, cấm hướng dẫn gây nhầm lẫn, và yêu cầu sự đồng ý kiểm chứng được về thời điểm, nội dung. Theo Nghị định 330, coi việc khách im lặng là đồng ý có thể bị phạt tới 70 triệu đồng.

Khách để lại số điện thoại nhận báo giá dự án A là đồng ý cho việc tư vấn dự án A. Gọi bán dự án B, gửi ZNS khuyến mãi hay chuyển cho đại lý là ba mục đích khác. Khách có thể đồng ý một phần, chẳng hạn nhận email nhưng không nhận cuộc gọi.

Với quảng cáo, Điều 28 của Luật yêu cầu khách được biết nội dung, phương thức, hình thức và tần suất giới thiệu sản phẩm, nên cần ghi kênh nào và khoảng bao nhiêu tin. Thu thập vượt mục đích bị phạt 30 đến 50 triệu đồng với dữ liệu thông thường, 50 đến 80 triệu đồng với dữ liệu nhạy cảm. Form báo giá căn hộ không cần hỏi thu nhập.

Trên Lead Ads, hãy đặt các ô đồng ý vào phần điều khoản tùy chỉnh thay vì chỉ dựa vào link chính sách quyền riêng tư.

Mẫu nội dung xin đồng ý cho form lead

Đây là mẫu tham khảo, cần luật sư rà soát trước khi dùng. Phần trong ngoặc vuông do doanh nghiệp tự điền.

Thông báo (đặt trên nút gửi): [Tên công ty] dùng họ tên, số điện thoại, email bạn cung cấp để tư vấn về [dự án] theo yêu cầu của bạn, lưu trên CRM trong [12 tháng] kể từ lần liên hệ cuối, chỉ chia sẻ với [đại lý được ủy quyền] cho mục đích này. Bạn có thể yêu cầu xem, sửa, xóa dữ liệu hoặc rút đồng ý qua [email, hotline]. Chi tiết tại [link chính sách].

• Ô 1 (bắt buộc, không tích sẵn): Tôi đồng ý để [Tên công ty] xử lý dữ liệu của tôi cho mục đích tư vấn nêu trên.
• Ô 2 (không bắt buộc, không tích sẵn): Tôi đồng ý nhận thông tin về [nhóm sản phẩm] qua [cuộc gọi, SMS, Zalo ZNS, email], không quá [4] tin mỗi tháng, và có thể từ chối bất cứ lúc nào qua [cú pháp hoặc link hủy].
• Ô 3 (không bắt buộc, không tích sẵn): Tôi đồng ý để [Tên công ty] dùng số điện thoại, email đã mã hóa của tôi để hiển thị quảng cáo trên Facebook, Google, TikTok; dữ liệu có thể được xử lý ở máy chủ ngoài Việt Nam.

Mỗi lần gửi form, hệ thống lưu thời điểm, phiên bản thông báo và các ô khách chọn. Đó là bằng chứng khi bị kiểm tra.

Còn được mua, bán hay chia sẻ danh sách lead không?

Mua bán dữ liệu cá nhân bị cấm, và tùy mức độ có thể bị truy cứu trách nhiệm hình sự. Danh sách mua từ môi giới gần như không kèm bằng chứng đồng ý, nên dùng để gọi điện hay chạy custom audience đều không có căn cứ.

Chia sẻ hợp pháp có điều kiện. Theo EY (3/2026), Nghị định 356 yêu cầu thỏa thuận với bên nhận, ghi rõ mục đích, loại dữ liệu, thời hạn, việc xóa dữ liệu và trách nhiệm các bên; chuyển giao có thu phí cần đồng ý rõ ràng cho từng lần. Chủ đầu tư chuyển lead cho đại lý F1, F2 thuộc trường hợp này.

Telesales, SMS và Zalo ZNS cần đổi gì?

Cuộc gọi, SMS, ZNS quảng cáo cần đồng ý cho đúng kênh. Không có cơ chế dễ tiếp cận để khách từ chối quảng cáo hoặc rút đồng ý bị phạt 30 đến 50 triệu đồng. Tổng đài, đội sale, công cụ ZNS và email cần dùng chung một danh sách chặn.

Nghị định 356 công nhận đồng ý qua cuộc gọi ghi âm, nên kịch bản telesales có thể thêm câu xin phép gửi tin qua Zalo. Nghị định 91/2020/NĐ-CP về chống tin nhắn rác, cuộc gọi rác vẫn áp dụng song song.

Remarketing và custom audience còn hợp pháp không?

Vẫn hợp pháp nếu có đồng ý. Khung phạt của Nghị định 330 cho thấy cơ quan quản lý nhắm vào đâu:

Kèm theo có thể là đình chỉ dịch vụ quảng cáo liên quan từ 1 đến 6 tháng, buộc xóa dữ liệu và nộp lại khoản thu có được.

Meta Pixel, Google tag hay TikTok Pixel dùng cho remarketing chỉ nên chạy sau khi người dùng chấp nhận trên banner cookie có nút từ chối rõ ràng. Conversions API gửi sự kiện từ máy chủ nhưng không được miễn đồng ý. Cách chạy CAPI song song với Pixel có trong bài hướng dẫn quảng cáo Meta 2026 và hệ thống Andromeda.

Tải danh sách khách hàng lên Meta, Google hay TikTok là chuyển dữ liệu cho bên thứ ba. Nền tảng băm (hash) số điện thoại và email trước khi đối chiếu, nhưng chưa có hướng dẫn chính thức coi dữ liệu băm là đã khử nhận dạng. Chỉ tải khách đã chọn ô 3 và bỏ ngay người rút đồng ý.

Nền tảng quảng cáo lưu dữ liệu ở nước ngoài thì sao?

Luật coi việc dùng nền tảng đặt ngoài lãnh thổ để xử lý dữ liệu thu thập tại Việt Nam là chuyển dữ liệu xuyên biên giới. Lead trong Meta Lead Ads, tệp custom audience, CRM có máy chủ ở nước ngoài đều có thể thuộc diện này. Hồ sơ đánh giá tác động phải nộp Bộ Công an trong 60 ngày kể từ lần chuyển đầu tiên; theo PwC (1/2026), hồ sơ được đánh giá trong 15 ngày.

Doanh nghiệp siêu nhỏ được miễn lập hồ sơ này và bổ nhiệm nhân sự bảo vệ dữ liệu; doanh nghiệp nhỏ được miễn 5 năm từ 1/1/2026. Miễn trừ mất khi xử lý dữ liệu nhạy cảm hoặc dữ liệu của từ 100,000 người trở lên, ngưỡng một chủ đầu tư bất động sản dễ vượt. Nghĩa vụ xin đồng ý thì không được miễn.

Agency và vendor cần ký thỏa thuận gì?

Doanh nghiệp sở hữu dữ liệu là bên kiểm soát. Agency, tổng đài, nhà cung cấp CRM hay công cụ gửi ZNS là bên xử lý, chỉ được nhận dữ liệu khi đã có thỏa thuận theo Nghị định 356. Luật cũng cấm đơn vị dịch vụ quảng cáo thuê lại bên khác làm toàn bộ dịch vụ quảng cáo có dùng dữ liệu cá nhân.

Ký thỏa thuận rồi mà file lead vẫn gửi qua nhóm Zalo thì hồ sơ không giúp được nhiều. An toàn hơn là phân quyền theo vai trò trong hệ thống CRM, có nhật ký xuất dữ liệu.

Dữ liệu nhạy cảm trong ngành dược, làm đẹp và bất động sản

Theo EY, Nghị định 356 mở rộng dữ liệu sức khỏe thành “tình trạng sức khỏe”, không giới hạn ở hồ sơ bệnh án, và đưa tài khoản, thẻ ngân hàng, lịch sử giao dịch tài chính, ảnh căn cước vào nhóm nhạy cảm. Form dược hỏi “Bạn có bị tiểu đường?”, spa lưu tiền sử dị ứng, sàn bất động sản thu ảnh căn cước hay hỏi khoản vay để chấm điểm lead đều chạm vào nhóm này. Loại dữ liệu này cần đồng ý riêng, mã hóa khi chuyển giao, không nên dùng để tạo tệp quảng cáo, và khi bị lộ phải thông báo trong 72 giờ kể từ khi phát hiện.

Khách rút đồng ý hoặc yêu cầu xóa: phải xử lý trong bao lâu?

Nghị định 13 từng đặt hạn 72 giờ. Nghị định 356 yêu cầu phản hồi trong 2 ngày làm việc, rồi thực hiện theo từng loại yêu cầu:

Không có quy trình xử lý yêu cầu có thể bị phạt 10 đến 20 triệu đồng. Một yêu cầu rút đồng ý phải đi qua CRM, tổng đài, đại lý, custom audience và ZNS, nên trạng thái đồng ý trong CDP hoặc kho dữ liệu khách hàng cần đồng bộ tự động.

Ví dụ minh họa: luồng lead của một chủ đầu tư bất động sản

Tình huống giả định, không phải dữ liệu khách hàng thật: chủ đầu tư căn hộ thu khoảng 3,000 lead mỗi tháng từ landing page, Lead Ads và Zalo, phân phối qua 6 đại lý.

Tệp remarketing sẽ nhỏ đi, nhưng gồm những người chủ động đồng ý. Lead B2B cũng thuộc phạm vi luật: với dự án bất động sản khu công nghiệp, tên và số điện thoại giám đốc nhà máy vẫn là dữ liệu cá nhân.

Checklist cho đội marketing

• Liệt kê mọi điểm thu dữ liệu: form, Lead Ads, Zalo, hotline, sự kiện, chatbot.
• Bỏ ô tích sẵn; tách đồng ý theo mục đích, ghi rõ kênh và tần suất.
• Lưu bằng chứng đồng ý; bỏ trường thông tin thừa; ngừng dùng danh sách mua ngoài.
• Cho pixel chạy sau banner cookie; lọc custom audience theo trạng thái đồng ý.
• Ký thỏa thuận xử lý dữ liệu với agency, tổng đài, đại lý, nhà cung cấp phần mềm.
• Dựng quy trình xử lý yêu cầu rút đồng ý, xóa dữ liệu theo thời hạn trên.
• Kiểm tra diện miễn trừ; nếu không được miễn, lập hồ sơ đánh giá tác động và chỉ định nhân sự bảo vệ dữ liệu.

Với data-driven marketing từ 2026, lợi thế nằm ở dữ liệu rõ nguồn gốc và trạng thái đồng ý luôn cập nhật, không còn ở việc gom thật nhiều dữ liệu.

Bài viết tổng hợp quy định để tham khảo, không phải ý kiến tư vấn pháp lý. Doanh nghiệp nên đối chiếu văn bản gốc và hỏi luật sư cho trường hợp cụ thể.

Adtek rà soát luồng thu lead, CRM và đo lường quảng cáo cho doanh nghiệp bất động sản, làm đẹp, dược phẩm và bán lẻ. Nếu bạn muốn kiểm tra luồng dữ liệu hiện tại, hãy liên hệ đội ngũ Adtek.

Nguồn tham khảo

• Thư Viện Pháp Luật (6/2025). Luật Bảo vệ dữ liệu cá nhân 2025, số 91/2025/QH15.
• Thư Viện Pháp Luật (12/2025). Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân.
• EY Việt Nam (7/2025). Tin nhanh Pháp lý: Luật Bảo vệ dữ liệu cá nhân.
• Frasers Law Company (7/2025). Luật Bảo vệ dữ liệu cá nhân được chờ đợi từ lâu: thay đổi những gì và doanh nghiệp của bạn bị tác động ra sao?
• PwC Việt Nam (1/2026). New rules on personal data protection.
• Apolat Legal (1/2026). Key highlights of the Personal Data Protection Law 2025 and Decree 356.
• EY Việt Nam (3/2026). Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
• GV Lawyers (8/2026). Nghị định 330/2026/NĐ-CP: những vấn đề doanh nghiệp cần lưu ý về bảo vệ dữ liệu cá nhân.
• Tạp chí Luật sư Việt Nam (8/2026). Lưu ý các mức phạt đối với vi phạm quy định về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo.