Để livestream bán hàng tuân thủ PDPD, chủ shop trên TikTok Shop hay Shopee Live cần làm đúng ba việc: không đọc số điện thoại, địa chỉ của khách trên sóng; xin sự đồng ý riêng khi thu thập thông tin qua lead form; và kiểm soát file đơn hàng giao cho nhân viên, đơn vị vận chuyển. Một phiên live có thể tạo hàng nghìn đơn, nên chỉ một thói quen sai cũng lặp lại hàng nghìn lần. Bài viết đi qua các lỗi thường gặp của người bán e-commerce, cách chuẩn hóa luồng chốt đơn và mức phạt theo Nghị định 330/2026/NĐ-CP.
1. 4 lỗi dữ liệu thường gặp của nhà bán hàng e-commerce#
Lỗi 1: Đọc to họ tên, số điện thoại, địa chỉ của khách trên livestream khi chưa được khách đồng ý. Công khai dữ liệu cá nhân khi chưa có sự đồng ý có thể bị phạt từ 30 đến 50 triệu đồng đối với tổ chức (điểm b khoản 2 Điều 50 Nghị định 330/2026/NĐ-CP); cá nhân, hộ kinh doanh bị phạt bằng một phần hai mức này (khoản 1 Điều 7, khoản 3 Điều 2 Nghị định 330/2026/NĐ-CP).
Lỗi 2: Thu thông tin qua quảng cáo lead form tặng quà, rồi dùng số điện thoại đó gửi SMS, Zalo ZNS quảng cáo sản phẩm khác. Sự đồng ý phải được thể hiện cho từng mục đích (điểm a khoản 4 Điều 9 Luật 91/2025/QH15).
Lỗi 3: Mua tệp dữ liệu khách hàng từ bên môi giới để chạy telesale. Luật cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác (khoản 6 Điều 7 Luật).
Lỗi 4: Xuất file Excel hàng nghìn đơn hàng cho nhân viên chốt đơn lưu trên máy tính hoặc điện thoại cá nhân.
2. Quy trình livestream bán hàng tuân thủ PDPD và chuẩn hóa lead form#
Khi livestream: Host chỉ nên đọc tên viết tắt và 3 số cuối điện thoại (ví dụ: "Chúc mừng chị Mai đuôi số 456 đã chốt đơn"). Không đọc đầy đủ địa chỉ và số điện thoại trên sóng, vì công khai dữ liệu cá nhân chỉ được thực hiện khi có sự đồng ý của chủ thể hoặc thuộc trường hợp luật cho phép (khoản 2 Điều 16 Luật 91/2025/QH15).
Với quảng cáo lead form: Form cần cho khách biết loại dữ liệu thu thập, mục đích, bên xử lý và quyền của họ (khoản 2 Điều 9 Luật), thường qua đường link tới thông báo xử lý dữ liệu cá nhân. Ô đồng ý phải để trống cho khách tự tích, không tích sẵn (khoản 3 Điều 6 Nghị định 356/2025/NĐ-CP).
Với quản lý đơn hàng: Tập trung dữ liệu trên phần mềm POS/CRM có phân quyền, không cho nhân viên tự xuất file Excel về máy riêng.
3. Nút hủy nhận tin (unsubscribe) và bảo mật khâu vận chuyển#
Tin nhắn Zalo ZNS, email chăm sóc tự động hay SMS Brandname có nội dung quảng cáo cần có cách từ chối nhận tin dễ dùng, như cú pháp "Soạn TC gửi 8x.." hoặc đường link hủy nhận tin (unsubscribe). Căn cứ: khoản 3, khoản 5 Điều 28 Luật và quy định về chống tin nhắn rác.
Khi đóng gói, shop nên làm việc với đơn vị giao hàng để che bớt số điện thoại khách trên nhãn vận chuyển (shipping label). Nhãn lộ đủ thông tin dễ bị chụp lại ở kho để lừa đảo khách.
4. Checklist livestream bán hàng tuân thủ PDPD cho chủ shop#
- Đăng chính sách bảo mật trên website, landing page và trang shop (tham khảo mẫu chính sách bảo mật), và đặt thông báo ngắn ngay tại lead form.
- Cập nhật ô đồng ý trên tất cả lead form và Zalo OA.
- Tổ chức đào tạo nhận thức bảo vệ dữ liệu và ký cam kết bảo mật với đội sales, host livestream.
- Ký phụ lục bảo vệ dữ liệu (DPA) với đơn vị vận chuyển và nhà cung cấp phần mềm POS.
- Mở kênh nhận yêu cầu xóa dữ liệu, sửa thông tin: phản hồi trong 02 ngày làm việc và xóa trong 20 ngày (khoản 4 Điều 5 Nghị định 356).
Shop là hộ kinh doanh hoặc doanh nghiệp siêu nhỏ không phải lập hồ sơ DPIA và chỉ định nhân sự bảo vệ dữ liệu, trừ khi trực tiếp xử lý dữ liệu nhạy cảm, xử lý dữ liệu của từ 100.000 khách trở lên hoặc kinh doanh dịch vụ xử lý dữ liệu (khoản 3 Điều 38 Luật; khoản 2 Điều 41 Nghị định 356). Các quy định về sự đồng ý và công khai dữ liệu ở trên vẫn áp dụng cho mọi shop. Shop đã vượt ngưỡng 100.000 khách nên rà soát lại nghĩa vụ với tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
