Mẫu chính sách bảo mật dưới đây gồm 12 mục, mỗi mục có điều khoản mẫu và ghi chú căn cứ. Điều phần lớn mẫu trên mạng bỏ qua: Luật Bảo vệ dữ liệu cá nhân 2025 không đặt nghĩa vụ chung "phải đăng chính sách bảo mật" cho mọi website. Nghĩa vụ công bố bằng tên gọi cụ thể đến từ ba nguồn: Luật Thương mại điện tử số 122/2025/QH15 cho website, ứng dụng bán hàng (từ 01/7/2026); khoản 6 Điều 29 Luật 91/2025/QH15 cho mạng xã hội, dịch vụ truyền thông trực tuyến; và Điều 16 Luật Bảo vệ quyền lợi người tiêu dùng (dưới tên "quy tắc bảo vệ thông tin") cho doanh nghiệp thu thập thông tin người tiêu dùng.
Website giới thiệu của doanh nghiệp chỉ bán cho doanh nghiệp khác (B2B), chỉ có form liên hệ, không bị điều luật nào bắt "đăng chính sách bảo mật". Nếu doanh nghiệp bán cho người tiêu dùng (kể cả chỉ bán tại cửa hàng) và form thu thông tin khách, quy tắc bảo vệ thông tin theo Điều 16 Luật 19/2023 phải được đăng trên chính website đó. Dù thuộc nhóm nào, doanh nghiệp vẫn phải cho người dùng biết loại dữ liệu, mục đích, bên chịu trách nhiệm, quyền của họ trước khi họ đồng ý (khoản 2 Điều 9 Luật 91) và thủ tục thực hiện quyền (khoản 1 Điều 5 Nghị định 356/2025/NĐ-CP). Một trang chính sách bảo mật website soạn từ mẫu chính sách bảo mật dưới đây là cách gọn nhất, nhưng không thay việc xin đồng ý đúng lúc thu thập.
Doanh nghiệp nào bắt buộc công bố chính sách bảo mật?#
Câu trả lời phụ thuộc loại hình, không phụ thuộc quy mô. Bảng dưới tóm tắt căn cứ cho từng nhóm.
| Loại hình | Căn cứ | Yêu cầu chính |
|---|---|---|
| Website, ứng dụng bán hàng của chính doanh nghiệp; sàn, mạng xã hội có bán hàng | Điều 11 Luật 122/2025; Điều 5, điểm a khoản 1 Điều 17 Nghị định 248/2026 | Công khai chính sách bảo mật 8 nội dung tối thiểu, bằng tiếng Việt, đặt trên màn hình chính hoặc đặt đường liên kết có dấu hiệu phân biệt rõ ràng trên màn hình chính |
| Mạng xã hội, dịch vụ truyền thông trực tuyến | Khoản 6 Điều 29 Luật 91/2025 | Công khai chính sách bảo mật, giải thích cách thu thập, sử dụng, chia sẻ; cơ chế truy cập, sửa, xóa dữ liệu |
| Doanh nghiệp bán cho người tiêu dùng có thu thập thông tin (cả cửa hàng, chuỗi bán lẻ) | Điều 16 Luật 19/2023/QH15 | Quy tắc bảo vệ thông tin 4 nội dung, niêm yết tại trụ sở, địa điểm kinh doanh và đăng trên website, ứng dụng (nếu có) |
| Website giới thiệu của doanh nghiệp B2B, phần mềm nội bộ (không thu thập thông tin người tiêu dùng) | Khoản 2 Điều 9, khoản 1 Điều 11 Luật 91/2025; khoản 1 Điều 5 Nghị định 356 | Không có nghĩa vụ "đăng chính sách" theo tên gọi; vẫn phải cung cấp thông tin khi xin đồng ý và công bố thủ tục thực hiện quyền |
Website, ứng dụng thương mại điện tử#
Luật Thương mại điện tử 2025 có hiệu lực từ 01/7/2026 (Điều 40). Nền tảng kinh doanh trực tiếp là nền tảng do tổ chức, cá nhân lập ra để trực tiếp bán hàng hóa, cung ứng dịch vụ (khoản 3 Điều 3); mọi nền tảng phải công khai chính sách bảo mật (điểm b khoản 1 Điều 11). Nghị định 248/2026/NĐ-CP (thay Nghị định 52/2013 và 85/2021) liệt kê 8 nội dung tối thiểu tại khoản 1 Điều 5 và yêu cầu chúng tuân thủ pháp luật bảo vệ dữ liệu cá nhân (khoản 2 Điều 5).
Ba yêu cầu hình thức thường bị bỏ sót:
- Tiếng Việt, dễ hiểu, đặt ở vị trí dễ thấy (khoản 2 Điều 11 Luật 122). Bản chỉ có tiếng Anh không đạt.
- Màn hình chính: đặt nội dung, hoặc đường liên kết có dấu hiệu phân biệt rõ ràng, tại vị trí trên màn hình chính của nền tảng (điểm a khoản 1 Điều 17 Nghị định 248).
- Cơ chế đồng ý trước khi mở tài khoản với các nội dung tại khoản 1 Điều 11, trong đó có chính sách bảo mật (khoản 4 Điều 11 Luật 122). Việc chấp nhận các nội dung công khai này không thay sự đồng ý theo từng mục đích của Luật 91; nhận bản tin, quảng cáo, cookie theo dõi vẫn phải là lựa chọn riêng.
Nền tảng đã thông báo, đăng ký trước 01/7/2026 được hoạt động theo nội dung đã xác nhận đến hết 30/6/2027 và phải sửa hồ sơ trong thời gian này (khoản 1 Điều 41 Luật 122; Điều 53 Nghị định 248).
Thủ tục thông báo với cơ quan quản lý chỉ áp dụng khi có chức năng đặt hàng trực tuyến (khoản 1 Điều 14 Luật 122), còn nghĩa vụ công khai tại Điều 11 gắn với khái niệm nền tảng rộng hơn. Theo cách đọc của chúng tôi, website trưng bày hàng hóa, giá và kênh mua để bán trực tiếp có thể bị coi là nền tảng kinh doanh trực tiếp dù không có giỏ hàng, nên đăng chính sách theo Điều 5 Nghị định 248.
Mạng xã hội và dịch vụ truyền thông trực tuyến#
Khoản 6 Điều 29 Luật 91 là điều khoản duy nhất của luật này dùng cụm "công khai chính sách bảo mật", áp dụng cho dịch vụ mạng xã hội, truyền thông trực tuyến, kèm lựa chọn từ chối cookie và "không theo dõi" (khoản 3, khoản 4). Không công khai chính sách bảo mật minh bạch bị phạt 50–70 triệu đồng (điểm d khoản 1 Điều 65 Nghị định 330/2026/NĐ-CP) và có thể bị đình chỉ cung cấp dịch vụ 01–03 tháng (hình thức xử phạt bổ sung, khoản 3 Điều 65).
Doanh nghiệp bán cho người tiêu dùng#
Điều 16 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15 yêu cầu tổ chức, cá nhân kinh doanh thu thập thông tin người tiêu dùng xây dựng "quy tắc bảo vệ thông tin" (mục đích, phạm vi sử dụng, thời hạn lưu trữ, biện pháp bảo vệ), niêm yết tại trụ sở, địa điểm kinh doanh và đăng trên website, ứng dụng (nếu có) để người tiêu dùng tiếp cận trước hoặc tại thời điểm thu thập.
Như vậy phòng khám, spa, cửa hàng thu số điện thoại khách để tích điểm cũng cần chính sách bảo mật thông tin khách hàng, dù không bán online. Điều 16 áp dụng song song với Luật 91 (khoản 2 Điều 5 Luật 91). "Người tiêu dùng" gồm cả cơ quan, tổ chức mua để sử dụng không vì mục đích thương mại (khoản 1 Điều 3 Luật 19/2023), nên doanh nghiệp tự coi là B2B chưa chắc nằm ngoài Điều 16.
Chính sách bảo mật khác gì thông báo xử lý dữ liệu và quy chế nội bộ?#
Ba tài liệu hay bị gọi chung là "chính sách bảo mật". Chính sách bảo mật công khai (còn gọi là chính sách quyền riêng tư) mô tả toàn bộ hoạt động xử lý dữ liệu cho khách hàng và đáp ứng nghĩa vụ công khai của luật thương mại điện tử, luật người tiêu dùng. Thông báo tại điểm thu thập (form, màn hình cài app) cho người dùng biết rõ thông tin ngay trước khi họ đồng ý. Quy chế nội bộ dành cho nhân viên. Bảng so sánh chi tiết có ở cẩm nang thông báo xử lý dữ liệu cá nhân.
Luật 91 không có điều riêng về "thông báo xử lý dữ liệu cá nhân" như Nghị định 13/2023 trước đây; yêu cầu thông tin nằm ở khoản 2 Điều 9, cùng nguyên tắc đồng ý trước khi thu thập (khoản 1 Điều 11). Theo cách đọc của chúng tôi, chính sách bảo mật dữ liệu cá nhân ở chân trang có thể là một phần cách cung cấp thông tin: form ghi tóm tắt mục đích và dẫn link tới chính sách đầy đủ. Nhưng câu "bằng việc tiếp tục sử dụng website, bạn đồng ý với chính sách bảo mật" không tạo ra sự đồng ý hợp lệ. Cách xin và lưu sự đồng ý có ở cẩm nang sự đồng ý. Văn bản cho nhân viên là quy chế bảo vệ dữ liệu cá nhân nội bộ, không đăng ra ngoài.
Mẫu chính sách bảo mật theo từng mục, kèm căn cứ#
Mẫu chính sách bảo mật này viết cho một công ty có website bán hàng, form tư vấn và bản tin email. Nó phủ 8 nội dung của Điều 5 Nghị định 248, 4 nội dung của Điều 16 Luật 19/2023 và các thông tin Luật 91 yêu cầu. Phần trong ngoặc vuông cần thay bằng thông tin thật. Xóa mục không áp dụng; đừng giữ dữ liệu hoặc mục đích doanh nghiệp không có. Tên trang có thể là "Chính sách bảo mật" hay "Chính sách quyền riêng tư"; luật xét nội dung, không xét tên gọi.
Mục 1. Đơn vị chịu trách nhiệm và phạm vi áp dụng#
Chính sách này áp dụng cho dữ liệu cá nhân do [Tên pháp nhân đầy đủ], mã số doanh nghiệp [số], trụ sở [địa chỉ] ("Công ty") thu thập qua website [tên miền], ứng dụng [tên ứng dụng] và tại [cửa hàng/văn phòng]. Công ty quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu nêu trong chính sách này. Đầu mối về bảo vệ dữ liệu cá nhân: [bộ phận/nhân sự], email [địa chỉ], điện thoại [số].
Ghi chú. Mẫu chính sách bảo mật nào cũng bắt đầu bằng bên chịu trách nhiệm, vì bên kiểm soát dữ liệu là một trong ba thông tin bắt buộc khi xin đồng ý (điểm b khoản 2 Điều 9 Luật 91). Website thương mại điện tử còn phải công khai thông tin chủ quản (Điều 4 Nghị định 248). Lỗi hay gặp: ghi tên thương hiệu thay tên pháp nhân.
Mục 2. Dữ liệu cá nhân chúng tôi thu thập#
Chúng tôi thu thập: (a) thông tin bạn cung cấp: họ tên, số điện thoại, email, địa chỉ giao hàng, nội dung yêu cầu; (b) thông tin phát sinh khi giao dịch: lịch sử đơn hàng, phương thức thanh toán đã chọn (Công ty không lưu số thẻ ngân hàng); (c) thông tin kỹ thuật ghi nhận khi bạn truy cập: địa chỉ IP, loại thiết bị, thời điểm truy cập, dùng để vận hành và bảo vệ website; (d) dữ liệu về trang đã xem và thao tác trên trang, thu qua cookie phân tích, quảng cáo. Dữ liệu tại điểm (d) là dữ liệu theo dõi hành vi trên không gian mạng, thuộc nhóm dữ liệu cá nhân nhạy cảm, và chỉ được thu thập khi bạn đồng ý tại bảng cài đặt cookie.
Ghi chú. Loại dữ liệu là thông tin bắt buộc (điểm a khoản 2 Điều 9 Luật 91). Dữ liệu nhạy cảm (khoản 1 Điều 4 Nghị định 356) gồm cả vị trí qua dịch vụ định vị, ảnh thẻ căn cước, thông tin thẻ ngân hàng, dữ liệu theo dõi hành vi trên mạng; khi xin đồng ý phải nói rõ đó là dữ liệu nhạy cảm (khoản 4 Điều 6). Xem thêm dữ liệu cá nhân nhạy cảm là gì. Mẫu tách điểm (c) khỏi điểm (d) vì máy chủ nào cũng ghi IP trước khi khách chọn gì.
Mục 3. Mục đích xử lý và căn cứ#
Chúng tôi sử dụng dữ liệu của bạn cho từng mục đích sau:
- Xử lý đơn hàng, giao hàng, bảo hành: họ tên, số điện thoại, địa chỉ, lịch sử đơn hàng. Căn cứ: thực hiện thỏa thuận mua bán với bạn.
- Trả lời yêu cầu tư vấn: họ tên, email, nội dung yêu cầu. Căn cứ: sự đồng ý của bạn tại ô xác nhận trên form tư vấn (hệ thống lưu thời điểm và phiên bản thông báo bạn đã đồng ý).
- Gửi bản tin, khuyến mại qua email, tin nhắn: họ tên, email, số điện thoại. Căn cứ: sự đồng ý riêng của bạn; bạn có thể từ chối mà vẫn mua hàng bình thường.
- Lưu chứng từ kế toán, hóa đơn: thông tin trên hóa đơn. Căn cứ: nghĩa vụ theo pháp luật kế toán, thuế.
Ghi chú. Đồng ý phải theo từng mục đích, không kèm điều kiện phải đồng ý mục đích khác (điểm a, b khoản 4 Điều 9 Luật 91); bắt khách nhận quảng cáo mới cho mua hàng bị phạt 30–50 triệu đồng (điểm b khoản 1 Điều 43 Nghị định 330). Bấm "Gửi" không tự chứng minh sự đồng ý: phương thức phải kiểm chứng được người đồng ý, thời điểm, nội dung (khoản 3 Điều 9 Luật 91; khoản 1 Điều 6 Nghị định 356; điểm d khoản 1 Điều 43 Nghị định 330). Theo cách đọc của chúng tôi, trả lời yêu cầu khách chủ động gửi cũng có thể dựa vào điểm d khoản 1 Điều 19 (thực hiện thỏa thuận); mẫu chọn ô xác nhận vì dễ chứng minh hơn. Căn cứ không cần đồng ý chỉ là các trường hợp tại khoản 1 Điều 19. Lỗi hay gặp: cụm "và các mục đích khác phù hợp với quy định pháp luật" ở cuối danh sách.
Mục 4. Cookie và công cụ theo dõi#
Website sử dụng cookie cần thiết để vận hành giỏ hàng, đăng nhập. Cookie phân tích và quảng cáo (ví dụ [tên công cụ]) chỉ được kích hoạt khi bạn chọn đồng ý tại bảng cài đặt cookie. Bạn có thể thay đổi lựa chọn bất cứ lúc nào tại [đường liên kết].
Ghi chú. Thu thập dữ liệu qua theo dõi website, ứng dụng để quảng cáo theo hành vi chỉ được làm khi có đồng ý (điểm a khoản 8 Điều 28 Luật 91), và không được thiết lập mặc định đồng ý (khoản 3 Điều 6 Nghị định 356). Luật không có ngoại lệ riêng cho "cookie cần thiết"; cookie đăng nhập, giỏ hàng và dữ liệu kỹ thuật để bảo vệ website cần một căn cứ tại khoản 1 Điều 19 Luật 91 và nên được ghi kèm căn cứ trong chính sách. Phân tích chi tiết từng loại cookie và thiết kế banner ở bài cookie banner có bắt buộc không.
Mục 5. Ai được tiếp cận dữ liệu của bạn#
Dữ liệu của bạn được chia sẻ cho: (a) đơn vị vận chuyển [tên] để giao hàng: họ tên, số điện thoại, địa chỉ; (b) đơn vị cung cấp dịch vụ email [tên] để gửi bản tin bạn đã đăng ký; (c) nhà cung cấp hạ tầng lưu trữ [tên]; (d) cơ quan nhà nước có thẩm quyền khi có yêu cầu theo quy định pháp luật. Công ty có thỏa thuận bằng văn bản với các bên tại điểm (a) đến (c), trong đó quy định phạm vi xử lý và trách nhiệm bảo vệ dữ liệu. Công ty không bán dữ liệu cá nhân của bạn.
Ghi chú. Bên được tiếp cận thông tin cá nhân là nội dung tối thiểu (điểm d khoản 1 Điều 5 Nghị định 248). Chuyển giao cần thỏa thuận theo khoản 1 Điều 7 Nghị định 356. Thuê bên thứ ba thu thập, lưu trữ, sử dụng thông tin người tiêu dùng còn phải được người tiêu dùng đồng ý và lập văn bản (khoản 2 Điều 15 Luật 19/2023): nên nêu tên các bên này ở trang thanh toán, form và lấy đồng ý tại đó; đăng trong chính sách thôi chưa phải là sự đồng ý. Lỗi hay gặp: ghi "đối tác của chúng tôi" mà không nói đối tác nào, nhận dữ liệu gì.
Mục 6. Chuyển dữ liệu ra nước ngoài#
Một số dữ liệu được lưu trữ hoặc xử lý trên máy chủ đặt tại [quốc gia] của [nhà cung cấp], để [mục đích]. Công ty đã lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo quy định.
Ghi chú. Dùng CRM, email marketing, công cụ phân tích đặt máy chủ ở nước ngoài là chuyển dữ liệu xuyên biên giới (khoản 1 Điều 20 Luật 91). Nghĩa vụ chính là gửi hồ sơ đánh giá tác động trong 60 ngày kể từ lần chuyển đầu tiên (khoản 2 Điều 20). Theo cách đọc của chúng tôi, ghi việc chuyển vào chính sách không đưa doanh nghiệp vào miễn trừ "đã được công khai theo quy định của pháp luật" (điểm b khoản 3 Điều 17 Nghị định 356). Xem chuyển dữ liệu ra nước ngoài là gì.
Mục 7. Thời gian lưu trữ#
Dữ liệu đơn hàng được lưu trong thời gian bảo hành và giải quyết khiếu nại, sau đó phần thông tin trên chứng từ, hóa đơn được lưu [] năm theo thời hạn lưu chứng từ của pháp luật kế toán. Dữ liệu yêu cầu tư vấn được lưu [] tháng kể từ lần liên hệ cuối. Dữ liệu nhận bản tin được xóa khi bạn hủy đăng ký hoặc sau [__] tháng không tương tác. Hết thời hạn, dữ liệu được xóa hoặc khử nhận dạng.
Ghi chú. Dữ liệu chỉ được lưu trong khoảng thời gian phù hợp với mục đích xử lý, trừ khi pháp luật quy định khác (khoản 3 Điều 3 Luật 91). Điều 5 Nghị định 248 cho phép ghi thời gian lưu trữ hoặc "phương pháp xác định" thời gian lưu trữ. Nhưng điểm c khoản 1 Điều 16 và khoản 1 Điều 17 Luật 19/2023 dùng chữ "thời hạn lưu trữ", nên doanh nghiệp bán cho người tiêu dùng nên điền con số cụ thể vào các ô [__] thay vì chỉ ghi cách xác định. Lỗi hay gặp: một câu "lưu trữ cho đến khi có yêu cầu hủy bỏ" cho mọi loại dữ liệu.
Mục 8. Biện pháp bảo vệ dữ liệu#
Công ty áp dụng mã hóa đường truyền, phân quyền truy cập theo vai trò, ghi nhật ký truy cập hệ thống và đào tạo nhân viên về bảo vệ dữ liệu cá nhân. Nếu xảy ra sự cố ảnh hưởng đến dữ liệu của bạn, Công ty sẽ thông báo theo quy định pháp luật.
Ghi chú. Biện pháp bảo mật là nội dung tối thiểu (điểm đ khoản 1 Điều 5 Nghị định 248; điểm d khoản 1 Điều 16 Luật 19/2023). Chỉ mô tả biện pháp đang thật sự làm; câu "cam kết bảo mật 100%" sẽ bị đem ra đối chiếu khi xảy ra sự cố.
Mục 9. Quyền của bạn và cách thực hiện#
Bạn có quyền: được biết về việc xử lý dữ liệu; đồng ý, không đồng ý, rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý; phản đối xử lý; yêu cầu Công ty áp dụng biện pháp bảo vệ dữ liệu của bạn; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường. Để thực hiện, gửi yêu cầu bằng văn bản hoặc email tới [địa chỉ], hoặc dùng mẫu yêu cầu tại [đường liên kết]. Công ty phản hồi trong 02 ngày làm việc kể từ khi nhận yêu cầu hợp lệ và thông báo thời hạn thực hiện cho từng loại yêu cầu.
Ghi chú. Danh sách quyền theo khoản 1 Điều 4 Luật 91 (xem quyền của chủ thể dữ liệu). Doanh nghiệp phải có quy trình, biểu mẫu thực hiện quyền và bảo đảm người dùng biết thủ tục (khoản 1 Điều 5 Nghị định 356); không có những thứ này bị phạt 10–20 triệu đồng (điểm a, điểm c khoản 1 Điều 44 Nghị định 330). Thời hạn theo Điều 5 Nghị định 356:
| Loại yêu cầu | Phản hồi | Thực hiện | Nếu cần bên xử lý, bên thứ ba | Gia hạn tối đa 01 lần |
|---|---|---|---|---|
| Rút lại đồng ý, hạn chế, phản đối xử lý | 02 ngày làm việc | 15 ngày | 20 ngày | 15 ngày |
| Xem, chỉnh sửa, cung cấp dữ liệu | 02 ngày làm việc | 10 ngày | 15 ngày | 10 ngày |
| Xóa dữ liệu | 02 ngày làm việc | 20 ngày | 30 ngày | 20 ngày |
| Áp dụng biện pháp bảo vệ dữ liệu | 02 ngày làm việc | 15 ngày | Không quy định riêng | 15 ngày |
Rút lại đồng ý không ảnh hưởng việc xử lý trước đó (khoản 4 Điều 10 Luật 91).
Mục 10. Dữ liệu của trẻ em#
Dịch vụ của chúng tôi không dành cho trẻ em dưới 16 tuổi. Khi đăng ký tài khoản, bạn được yêu cầu xác nhận ngày sinh. Nếu bạn là cha mẹ, người giám hộ và cho rằng trẻ đã cung cấp dữ liệu cho chúng tôi, vui lòng liên hệ [địa chỉ] để chúng tôi xử lý.
Ghi chú. Trẻ em là người dưới 16 tuổi (Điều 1 Luật Trẻ em 2016), nên 16 là mốc luật định cho Điều 24 Luật 91; người đại diện theo pháp luật thực hiện quyền thay trẻ (khoản 2 Điều 24). Nghị định 330 phạt 30–50 triệu đồng nếu không xác minh tuổi trước khi xử lý dữ liệu của trẻ em, xử lý dữ liệu trẻ dưới 07 tuổi không có đồng ý của người đại diện, hoặc xử lý dữ liệu trẻ từ đủ 07 tuổi mà không có đồng thời đồng ý của trẻ và người đại diện (điểm a, b, c khoản 1 Điều 60). Công bố, tiết lộ đời sống riêng tư của trẻ từ đủ 07 tuổi mà thiếu đồng ý kép bị phạt 50–100 triệu đồng (điểm a khoản 2 Điều 60). Dịch vụ không dành cho trẻ em vẫn nên có bước hỏi tuổi khi đăng ký; dịch vụ có khách hàng dưới 16 tuổi cần mục riêng về đồng ý của cha mẹ. Xem dữ liệu cá nhân trẻ em.
Mục 11. Khiếu nại về bảo mật thông tin#
Nếu bạn cho rằng dữ liệu bị thu thập, sử dụng sai mục đích, vui lòng gửi phản ánh qua [email/biểu mẫu trực tuyến/hotline]. Công ty xác nhận đã nhận trong [số] ngày làm việc và trả lời kết quả trong [số] ngày.
Ghi chú. Phương thức tiếp nhận, giải quyết khiếu nại về bảo mật thông tin là nội dung tối thiểu (điểm h khoản 1 Điều 5 Nghị định 248); nền tảng thương mại điện tử phải có ít nhất một phương thức liên hệ trực tuyến và nêu thời hạn phản hồi ban đầu (khoản 1, khoản 3 Điều 7 Nghị định 248). Luật 19/2023 cũng yêu cầu giải quyết phản ánh về thông tin bị thu thập trái phép, dùng sai mục đích (khoản 2 Điều 19).
Mục 12. Cập nhật chính sách#
Phiên bản hiện hành: [số], hiệu lực từ [ngày]. Khi thay đổi mục đích hoặc phạm vi sử dụng dữ liệu, Công ty sẽ thông báo và xin sự đồng ý của bạn trước khi áp dụng thay đổi. Các phiên bản trước được lưu tại [đường liên kết].
Ghi chú. Thay đổi mục đích, phạm vi sử dụng thông tin đã thông báo phải được thông báo lại và được người tiêu dùng đồng ý (khoản 1 Điều 18 Luật 19/2023). Website bán hàng có chức năng đặt hàng trực tuyến khi đổi nội dung công khai (gồm chính sách bảo mật) phải sửa đổi, bổ sung thông báo trong 20 ngày làm việc (điểm d khoản 3 Điều 23 Nghị định 248).
Đăng mẫu chính sách bảo mật ở đâu và gắn với nút đồng ý thế nào?#
Mẫu chính sách bảo mật đầy đủ vẫn có thể không đạt nếu đặt sai chỗ. Chúng tôi khuyến nghị:
- Một trang chính sách bảo mật dữ liệu cá nhân đầy đủ, link ở chân trang mọi trang, ở màn hình đăng ký và trong ứng dụng. Với website thương mại điện tử, link phải đặt trên màn hình chính, có dấu hiệu phân biệt rõ ràng (điểm a khoản 1 Điều 17 Nghị định 248).
- Thông báo ngắn tại từng điểm thu thập: form tư vấn, trang thanh toán, màn hình cài app. Hai đến ba câu nêu dữ liệu nào, để làm gì, ai nhận (kể cả đơn vị vận chuyển, dịch vụ email nhận dữ liệu), kèm link tới chính sách.
- Ô đồng ý riêng cho từng mục đích không bắt buộc (bản tin, quảng cáo, cookie quảng cáo), không tích sẵn. Đặt phương thức mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm bị phạt 30–50 triệu đồng (điểm c khoản 1 Điều 43 Nghị định 330).
- Lưu bằng chứng đồng ý: ai đồng ý, lúc nào, với phiên bản chính sách nào (khoản 1, khoản 2 Điều 6 Nghị định 356). Không lưu được nhật ký đồng ý cũng thuộc khoản 1 Điều 43 (điểm g).
- Cửa hàng, văn phòng có tiếp khách niêm yết quy tắc bảo vệ thông tin (đủ mục đích, phạm vi sử dụng, thời hạn lưu trữ, biện pháp bảo vệ) ở vị trí dễ nhìn thấy tại trụ sở, địa điểm kinh doanh (khoản 2 Điều 16 Luật 19/2023).
Ứng dụng di động xem thêm tuân thủ cho mobile app; bán hàng online, chạy quảng cáo xem checklist cho marketing và thương mại điện tử.
Thiếu thông tin minh bạch dẫn đến đồng ý không dựa trên hiểu biết rõ bị phạt 30–50 triệu đồng (điểm đ khoản 1 Điều 43 Nghị định 330). Mức phạt dữ liệu cá nhân trong bài là mức cho tổ chức; cá nhân bị phạt một nửa (khoản 1 Điều 7). Nghị định xử phạt trong lĩnh vực thương mại hiện hành (Nghị định 98/2020/NĐ-CP, đã sửa đổi) được ban hành theo khung của Nghị định 52/2013; chúng tôi chưa thấy nghị định xử phạt mới tương ứng với Luật 122.
Lỗi hay gặp khi dùng mẫu chính sách bảo mật tải trên mạng#
- Căn cứ đã hết hiệu lực. Mẫu chính sách bảo mật dẫn Nghị định 52/2013, Nghị định 13/2023 hoặc Luật An ninh mạng 2018 cho thấy chính sách chưa được cập nhật từ 2026.
- Dịch nguyên chính sách bảo mật website của công ty mẹ theo GDPR. Luật 91 không có căn cứ "lợi ích hợp pháp" (legitimate interests) rộng như GDPR; điểm a khoản 1 Điều 19 chỉ cho bảo vệ quyền, lợi ích chính đáng "một cách cần thiết trước hành vi xâm phạm".
- Câu "đồng ý bằng việc sử dụng website". Trái nguyên tắc im lặng không phải là đồng ý (điểm d khoản 4 Điều 9 Luật 91).
- Chính sách và thực tế lệch nhau. Chính sách ghi "không chia sẻ cho bên thứ ba" trong khi website gắn pixel quảng cáo.
Doanh nghiệp cần rà soát chính sách bảo mật thông tin khách hàng hiện có, đối chiếu với form, cookie và luồng dữ liệu thực tế có thể tham khảo dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân cho doanh nghiệp của LexData.
