Hộ kinh doanh vi phạm dữ liệu cá nhân thường không phải vì cố ý, mà vì những thói quen bán hàng quen thuộc: đọc số điện thoại của khách trên livestream, để nhân viên chụp sổ khách, lắp camera không biển báo, ghi tiền sử bệnh của khách spa mà không nói rõ, mua data để telesale. Bài này đi qua 5 tình huống đó theo cùng một thứ tự: chuyện gì xảy ra, vi phạm điều khoản nào và cách sửa. Mức phạt theo Nghị định 330/2026/NĐ-CP được tổng hợp ở mục 6. Hộ kinh doanh được miễn và không được miễn nghĩa vụ nào được phân tích riêng trong bài hộ kinh doanh có phải tuân thủ Luật PDPD.
1. Đọc số điện thoại, địa chỉ khách trên livestream chốt đơn#
- Tình huống: Trong phiên livestream trên TikTok, Facebook hay Shopee, người bán đọc tên khách kèm số điện thoại và địa chỉ để chốt đơn ("Chị Mai chung cư X, số 0912… lấy 2 áo size M"), hoặc giơ phiếu vận đơn có đủ tên, địa chỉ, số điện thoại lên trước máy quay.
- Vi phạm: Đây là công khai dữ liệu cá nhân khi chưa có sự đồng ý của khách (Điều 9, Điều 16 Luật 91/2025/QH15). Người xem có thể dùng thông tin này để giả danh shipper thu tiền COD hoặc gọi điện lừa đảo.
- Cách sửa: Ẩn bình luận có số điện thoại bằng công cụ chốt đơn, chỉ xác nhận đơn qua tin nhắn riêng, không đưa phiếu vận đơn lên hình. Cách thiết kế form chốt đơn và kịch bản livestream được phân tích trong bài livestream bán hàng trên TikTok, Shopee và thu thập lead form tuân thủ PDPD.
2. Nhân viên mang sổ khách sang đối thủ: hộ kinh doanh vi phạm dữ liệu cá nhân dù không trực tiếp làm lộ#
- Tình huống: Spa, salon, phòng gym, shop thời trang lưu danh sách khách quen trong sổ tay ở quầy hoặc file Excel không đặt mật khẩu. Nhân viên nghỉ việc chụp lại danh sách khách VIP để mời sang cửa hàng mới.
- Vi phạm: Chủ hộ là bên kiểm soát dữ liệu, phải có biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu (điểm c khoản 1 Điều 37 Luật 91/2025). Nghị định 330 xử phạt riêng việc không có biện pháp phòng, chống nhân sự nội bộ chia sẻ trái phép dữ liệu cá nhân với bên thứ ba (điểm b khoản 1 Điều 52). Nhân viên mang dữ liệu đi cũng có thể bị phạt với tư cách cá nhân (điểm a khoản 2 Điều 42).
- Cách sửa: Phân quyền trên phần mềm bán hàng (nhân viên chỉ thấy mã khách hoặc số điện thoại đã che bớt), tắt quyền xuất file với tài khoản nhân viên, cho nhân viên ký cam kết bảo mật khi nhận việc. Nếu cửa hàng có nhiều nhân viên, có thể tổ chức một buổi đào tạo nhận thức bảo vệ dữ liệu cá nhân để nhân viên biết việc nào bị cấm.
3. Lắp camera, kể cả camera nhận diện khuôn mặt, nhưng không có biển thông báo#
- Tình huống: Quán ăn, quán cà phê, shop thời trang lắp camera để chống trộm và quản lý nhân viên. Một số nơi dùng camera AI đếm lượt khách, nhận diện khuôn mặt.
- Vi phạm: Ghi hình để bảo vệ tài sản không cần sự đồng ý, nhưng phải thông báo để khách biết mình đang bị ghi hình (khoản 1, khoản 2 Điều 32 Luật 91/2025). Dữ liệu nhận diện khuôn mặt là dữ liệu sinh trắc học, thuộc dữ liệu cá nhân nhạy cảm (điểm đ khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP), nên dùng camera để nhận diện, lập hồ sơ khách thì cần sự đồng ý (Điều 9 Luật). Trích xuất clip khách cãi nhau hay sơ suất để đăng lên mạng xã hội là chia sẻ, công khai trái phép dữ liệu ghi hình.
- Cách sửa: Đặt biển thông báo ở lối vào và quầy thu ngân, ví dụ: "Khu vực có camera giám sát nhằm bảo đảm an ninh, an toàn tài sản". Không lắp camera ở phòng thay đồ, nhà vệ sinh, phòng trị liệu kín. Không đăng hình ảnh camera lên mạng xã hội.
4. Ghi tình trạng da, tiền sử bệnh của khách spa, phòng khám mà không báo đây là dữ liệu nhạy cảm#
- Tình huống: Phiếu thăm khám tại spa, nha khoa ghi tình trạng mụn, nám, tiền sử dị ứng thuốc, bệnh nền, kèm ảnh chụp cận mặt trước và sau khi làm dịch vụ.
- Vi phạm: Thông tin về tình trạng sức khỏe là dữ liệu cá nhân nhạy cảm (điểm d khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP). Khi xin đồng ý, cơ sở phải thông báo cho khách rằng đây là dữ liệu nhạy cảm (khoản 4 Điều 6 Nghị định 356), đồng thời phải phân quyền truy cập và có biện pháp bảo mật (khoản 2 Điều 4 Nghị định 356). Dùng ảnh trước, sau để quảng cáo là một mục đích khác, cần sự đồng ý riêng (điểm a khoản 4 Điều 9 Luật). Hộ kinh doanh trực tiếp xử lý dữ liệu nhạy cảm cũng không được hưởng ưu đãi miễn hồ sơ đánh giá tác động và nhân sự bảo vệ dữ liệu (khoản 3 Điều 38 Luật).
- Cách sửa: Tách phiếu đăng ký dịch vụ thành hai phần. Phần một: khách đồng ý cho cơ sở xử lý thông tin sức khỏe để tư vấn, thực hiện dịch vụ, có dòng ghi rõ đây là dữ liệu cá nhân nhạy cảm. Phần hai: một ô để trống cho khách tự chọn có cho dùng ảnh trước, sau để quảng cáo hay không. Lưu phiếu có chữ ký của khách; chỉ kỹ thuật viên phụ trách được xem hồ sơ.
5. Mua danh sách số điện thoại để telesale, nhắn tin hàng loạt#
- Tình huống: Hộ kinh doanh bất động sản, nội thất, bảo hiểm, giáo dục mua file số điện thoại "khách hàng tiềm năng" từ các hội nhóm để nhân viên gọi điện hoặc nhắn tin hàng loạt.
- Vi phạm: Mua, bán dữ liệu cá nhân là hành vi bị nghiêm cấm (khoản 6 Điều 7 Luật 91/2025) và bị xử phạt theo Điều 53 Nghị định 330. Gọi điện, nhắn tin quảng cáo tới người chưa đồng ý là xử lý dữ liệu cá nhân khi chưa có sự đồng ý (điểm a khoản 1 Điều 43 Nghị định 330). Việc gọi điện, nhắn tin quảng cáo còn phải tuân theo quy định về chống tin nhắn rác, cuộc gọi rác (khoản 4 Điều 28 Luật). Ranh giới giữa chuyển giao data hợp pháp và mua bán trái phép được phân tích trong bài telesale bất động sản và mua bán data khách hàng.
- Cách sửa: Chỉ gọi, nhắn tin cho khách đã tự để lại số và đã đồng ý nhận ưu đãi; xóa các tệp mua ngoài không rõ nguồn. Khi thuê phần mềm POS, CRM hoặc đại lý quảng cáo, hợp đồng cần nêu rõ trách nhiệm bảo vệ dữ liệu của mỗi bên (điểm a khoản 1 Điều 37 Luật).
6. Mức phạt khi hộ kinh doanh vi phạm dữ liệu cá nhân#
Các mức dưới đây là khung phạt áp dụng cho tổ chức theo Mục 6 Chương II Nghị định 330/2026/NĐ-CP. Hộ kinh doanh bị áp dụng mức phạt tiền như đối với cá nhân, tức bằng một phần hai mức của tổ chức (khoản 3 Điều 2, khoản 1 Điều 7 Nghị định 330).
- Công khai số điện thoại, địa chỉ khách trên livestream khi chưa có sự đồng ý: 30–50 triệu đồng, buộc gỡ bỏ dữ liệu đã công khai (điểm b khoản 2, điểm b khoản 3 Điều 50). Nếu khách bị thiệt hại, chủ hộ còn phải bồi thường (khoản 1 Điều 8 Luật 91/2025).
- Không có biện pháp phòng, chống nhân sự nội bộ chia sẻ trái phép dữ liệu với bên thứ ba: 20–30 triệu đồng (điểm b khoản 1 Điều 52). Nhân viên thu thập, sử dụng, tiết lộ trái phép dữ liệu của khách gây thiệt hại cho khách: 20–30 triệu đồng; khoản này quy định trực tiếp cho cá nhân (điểm a khoản 2 Điều 42).
- Lắp camera tại khu vực phục vụ khách mà không có biển báo hoặc thông báo điện tử ở vị trí dễ nhận biết: 10–20 triệu đồng (điểm a khoản 1 Điều 71). Dùng camera nhận diện khuôn mặt để lập hồ sơ khách khi không có sự đồng ý, hoặc trích xuất, đăng clip camera trái phép: 30–50 triệu đồng, có thể bị tịch thu phương tiện vi phạm và buộc xóa dữ liệu (khoản 2, 3, 4 Điều 71).
- Thu thập dữ liệu sức khỏe của khách không có sự đồng ý hoặc không đúng mục đích: 50–80 triệu đồng (khoản 4 Điều 48). Không thông báo cho khách biết dữ liệu nhạy cảm của họ đang được xử lý: 30–50 triệu đồng (điểm h khoản 1 Điều 43).
- Gọi điện, nhắn tin quảng cáo dùng số điện thoại chưa có sự đồng ý: 30–50 triệu đồng, buộc xóa dữ liệu đã xử lý khi không có sự đồng ý hợp lệ (điểm a khoản 1, điểm a khoản 4 Điều 43).
- Mua, bán dữ liệu cá nhân: từ 2 đến 10 lần khoản thu có được; nếu không có khoản thu, từ 70–100 triệu đồng với dữ liệu cơ bản của dưới 1.000 người và tăng theo số người bị ảnh hưởng (Điều 53). Tùy tính chất, mức độ, hậu quả, người vi phạm có thể bị truy cứu trách nhiệm hình sự (khoản 1 Điều 8 Luật).
Tránh để hộ kinh doanh vi phạm dữ liệu cá nhân: việc cần làm tiếp theo#
Rà lại 5 điểm trên tại cửa hàng: phiên livestream, sổ khách và phần mềm bán hàng, biển báo camera, phiếu thông tin khách, nguồn gốc các tệp số điện thoại. Sau đó áp dụng quy trình bảo vệ dữ liệu khách hàng 6 bước cho hộ kinh doanh để có mẫu thông báo, mẫu đồng ý và cách xử lý khi lộ dữ liệu. Nếu cửa hàng xử lý dữ liệu sức khỏe, dùng camera nhận diện khuôn mặt hoặc đã xử lý dữ liệu của từ 100.000 khách trở lên, ưu đãi tại khoản 3 Điều 38 Luật không còn áp dụng; lúc này nên rà soát tuân thủ bảo vệ dữ liệu cá nhân để xác định hồ sơ phải lập.
