Quản lý dữ liệu hội viên theo Luật 91/2025/QH15 xoay quanh ba việc: chỉ bắt buộc những trường cần cho tích điểm, xin sự đồng ý riêng cho từng mục đích tiếp thị, và cho khách cách từ chối nhận tin dễ như cách đăng ký. Khi khách quét mã QR tại quầy để tích điểm hoặc nhận voucher sinh nhật, doanh nghiệp thu họ tên, số điện thoại, ngày sinh và lịch sử mua hàng. Nhiều thương hiệu bán lẻ vẫn gửi tin ZNS, tin quảng cáo hoặc chia sẻ danh sách hội viên cho đối tác liên kết khi hội viên chưa đồng ý riêng. Bài này đi qua 4 lỗi thường gặp, cách thiết kế luồng đăng ký trên app, Zalo Mini App và cách phân chia trách nhiệm với nhà cung cấp POS, CRM.
1. Bốn lỗi thường gặp khi quản lý dữ liệu hội viên tại chuỗi bán lẻ và F&B#
a) Bắt buộc nhập ngày sinh, địa chỉ để được tích điểm#
Khoản 2 Điều 3 Luật 91/2025/QH15 đặt nguyên tắc chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng (tương ứng với các nguyên tắc 'Hạn chế mục đích' - Purpose Limitation và 'Tối thiểu hóa dữ liệu' - Data Minimization trong thông lệ quốc tế). Để tích điểm và thanh toán, doanh nghiệp chỉ cần số điện thoại hoặc mã định danh hội viên. Đặt các trường ngày sinh, giới tính, địa chỉ ở chế độ bắt buộc, khiến khách không thể đăng ký nếu không khai, là trái với yêu cầu sự đồng ý phải tự nguyện và không được kèm điều kiện bắt buộc phải đồng ý với các mục đích khác (khoản 2, điểm b khoản 4 Điều 9 Luật). Hành vi từ chối cung cấp dịch vụ nếu khách không đồng ý cho các mục đích không liên quan bị phạt từ 30 đến 50 triệu đồng đối với tổ chức (điểm b khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP). Trường nào không cần cho tích điểm thì để tùy chọn.
b) Tích sẵn ô đồng ý nhận quảng cáo#
Theo Điều 9 Luật PDPD, sự đồng ý phải được thể hiện bằng phương thức rõ ràng, cụ thể, kiểm chứng được (Verifiable Consent - khoản 3), cho từng mục đích (điểm a khoản 4), và sự im lặng hoặc không phản hồi không được coi là sự đồng ý (điểm d khoản 4). Khoản 3 Điều 6 Nghị định 356/2025/NĐ-CP cấm thiết lập phương thức mặc định đồng ý. Vì vậy, 'mặc định tích sẵn' ô 'Tôi đồng ý nhận thông tin khuyến mãi qua SMS/Zalo' hoặc gộp chung điều khoản nhận quảng cáo vào Điều khoản dịch vụ chung không tạo ra sự đồng ý hợp lệ cho mục đích tiếp thị. Thiết lập mặc định đồng ý bị phạt từ 30 đến 50 triệu đồng đối với tổ chức (điểm c khoản 1 Điều 43 Nghị định 330).
c) Tự ý chia sẻ dữ liệu hội viên cho ngân hàng, đối tác liên kết#
Nhiều chuỗi bán lẻ khi hợp tác với các đối tác tài chính (mở thẻ tín dụng đồng thương hiệu, bảo hiểm liên kết) đã tự ý chuyển giao danh sách khách hàng VIP cho đối tác gọi điện telesale chào mời sản phẩm. Việc chuyển giao dữ liệu cá nhân cho bên khác phải có sự đồng ý của chủ thể dữ liệu hoặc thuộc trường hợp khác tại khoản 1 Điều 17 Luật; chuyển giao ngoài các trường hợp này là trái luật. Nếu việc chuyển giao nhằm thu lợi, hành vi có thể bị xem là mua, bán dữ liệu cá nhân (bị nghiêm cấm tại khoản 6 Điều 7 Luật) với mức phạt tiền tối đa 10 lần khoản thu có được (khoản 3 Điều 8 Luật).
d) Gửi tin ZNS, SMS Brandname không có cách từ chối nhận tin#
Gửi tin nhắn quảng bá chương trình khuyến mãi qua Zalo Notification Service (ZNS) hay SMS Brandname mà không có đường link hoặc cú pháp từ chối (Ví dụ: 'Soạn TC gửi 8xxx' hoặc nút 'Ngừng nhận tin' trong tin nhắn Zalo) xâm phạm quyền rút lại sự đồng ý của khách hàng (Điều 10 Luật 91/2025) và yêu cầu phải cung cấp phương thức để khách hàng từ chối nhận thông tin quảng cáo (khoản 3, khoản 5 Điều 28 Luật 91/2025).
2. Thiết kế luồng đăng ký hội viên trên loyalty app và Zalo Mini App#
Cách làm phổ biến là thu dữ liệu theo từng tầng (progressive profiling): khách chỉ khai thêm thông tin khi có lý do cụ thể.
- Tầng 1, kích hoạt cơ bản: chỉ yêu cầu số điện thoại và họ tên để cấp mã thành viên và tích điểm. Liên kết tới thông báo xử lý dữ liệu đặt ngay trên màn hình đăng ký.
- Tầng 2, hoàn thiện hồ sơ: ngày sinh là trường tùy chọn, kèm dòng giải thích "Cung cấp ngày sinh để nhận quà sinh nhật". Việc khách tự điền trường này chỉ dùng được làm bằng chứng đồng ý khi mục đích đã hiển thị rõ và hệ thống ghi lại thời điểm, nội dung khách đã đồng ý (khoản 1, khoản 2 Điều 6 Nghị định 356).
- Tầng 3, tùy chọn kênh tiếp thị: các nút gạt riêng cho từng kênh (thông báo trên app, Zalo ZNS, email bản tin, cuộc gọi tư vấn), mặc định ở trạng thái tắt.
Chương trình hội viên nên có điều khoản xử lý dữ liệu cá nhân riêng, và thu ngân cần được hướng dẫn cách giải thích mục đích khi xin thông tin khách tại quầy.
3. Phân định trách nhiệm quản lý dữ liệu hội viên giữa doanh nghiệp bán lẻ và nhà cung cấp POS, CRM#
Theo quy định tại Điều 2 và Điều 37 Luật 91/2025/QH15:
- Doanh nghiệp bán lẻ là bên kiểm soát dữ liệu: quyết định mục đích xử lý, xin sự đồng ý, bảo đảm quyền của hội viên và chịu trách nhiệm trước hội viên về thiệt hại do quá trình xử lý gây ra (khoản 1 Điều 37).
- Nhà cung cấp phần mềm POS, CRM (KiotViet, Sapo, Haravan, Salesforce, HubSpot…) thường là bên xử lý dữ liệu: chỉ xử lý theo hợp đồng, thỏa thuận ký với bên kiểm soát (điểm b khoản 2 Điều 37).
Bên xử lý chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân (điểm a khoản 2 Điều 37 Luật), vì vậy hai bên cần ký thỏa thuận xử lý dữ liệu (DPA), trong đó có cam kết không tự ý trích xuất dữ liệu bán hàng của thương hiệu để nạp vào các mô hình AI hoặc bán cho bên thứ ba.
4. Đồng bộ danh sách ngừng liên hệ và xử lý yêu cầu xóa dữ liệu#
Khoản 5 Điều 4 Luật 91/2025/QH15 yêu cầu doanh nghiệp kịp thời thực hiện yêu cầu của chủ thể dữ liệu trong thời hạn luật định, và Điều 5 Nghị định 356/2025/NĐ-CP quy định cụ thể: phản hồi trong 02 ngày làm việc kể từ khi nhận yêu cầu hợp lệ; thực hiện yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý trong 15 ngày (20 ngày nếu phải yêu cầu bên xử lý, bên thứ ba ngừng xử lý); thực hiện yêu cầu xóa dữ liệu trong 20 ngày (30 ngày nếu cần bên xử lý, bên thứ ba thực hiện). Trường hợp phức tạp được gia hạn tối đa 01 lần và phải thông báo lý do cho khách hàng. Về kỹ thuật, nút "Hủy nhận tin" trên Zalo, SMS cần được đồng bộ với hệ thống marketing automation (HubSpot, MoEngage, Insider, Salesforce). Khi khách bấm từ chối, hệ thống gán nhãn ngừng liên hệ và chặn các chiến dịch gửi tin tự động tiếp theo trên mọi kênh.
5. Câu hỏi thường gặp về quản lý dữ liệu hội viên bán lẻ#
Q1: Thu thập số điện thoại của khách hàng tại quầy thu ngân bằng lời nói có cần bằng chứng không?
A1: Có. Theo khoản 1, khoản 2 Điều 6 Nghị định 356, sự đồng ý phải kiểm chứng được; doanh nghiệp phải lưu trữ sự đồng ý và chịu trách nhiệm chứng minh khi có tranh chấp. Doanh nghiệp nên gửi tin nhắn SMS/ZNS xác nhận ngay khi tạo tài khoản có chứa liên kết xác nhận và chính sách bảo mật, hoặc cho khách hàng xác nhận trên màn hình phụ hướng về khách tại quầy.
Q2: Khách hàng yêu cầu xóa số điện thoại thì điểm tích lũy cũ xử lý như thế nào?
A2: Khi khách hàng rút lại sự đồng ý và yêu cầu xóa dữ liệu, tài khoản hội viên và điểm tích lũy thường không thể duy trì. Doanh nghiệp cần thông báo rõ hậu quả này cho khách hàng trước khi thực hiện lệnh xóa (điểm a khoản 1 Điều 14 Luật: chủ thể dữ liệu yêu cầu xóa và chấp nhận các rủi ro, thiệt hại có thể xảy ra).
Q3: Dữ liệu khách hàng cũ thu thập từ trước 2026 có cần xin lại sự đồng ý không?
A3: Theo khoản 1 Điều 39 Luật 91/2025/QH15, hoạt động xử lý đã được khách hàng đồng ý theo Nghị định 13/2023/NĐ-CP trước ngày 01/01/2026 được tiếp tục thực hiện, không phải xin đồng ý lại. Với dữ liệu cũ không có bằng chứng đồng ý hoặc không có thông báo xử lý dữ liệu, Luật không có quy định riêng. Cách làm thận trọng là tạm dừng gửi tin quảng cáo tới nhóm đó và chỉ tiếp tục với những khách xác nhận lại sự đồng ý, vì doanh nghiệp phải chứng minh được sự đồng ý khi có tranh chấp (khoản 2 Điều 6 Nghị định 356).
6. Rà soát dữ liệu hội viên nên bắt đầu từ form đăng ký#
Bắt đầu từ form đăng ký và danh sách ngừng liên hệ, vì đây là hai chỗ khách hàng và cơ quan kiểm tra nhìn thấy trước. Với chuỗi có nhiều kênh thu thập (quầy, app, Zalo Mini App, website), nên rà soát tuân thủ bảo vệ dữ liệu cá nhân trên toàn bộ luồng dữ liệu hội viên. Doanh nghiệp vừa và lớn phải lập hồ sơ đánh giá tác động (DPIA) theo Điều 21 Luật; doanh nghiệp nhỏ, siêu nhỏ và hộ kinh doanh được miễn hoặc được lựa chọn không lập theo khoản 2, khoản 3 Điều 38 Luật, nhưng ưu đãi này không còn khi tệp hội viên tích lũy đạt từ 100 nghìn chủ thể dữ liệu trở lên (Điều 41 Nghị định 356).
