Thu thập dữ liệu khách hàng trên website: Làm sao để đúng Luật Bảo vệ dữ liệu cá nhân (PDPL) mà không làm gián đoạn marketing? - FPT BizNext

Mỗi ngày, website của bạn đang âm thầm thu thập hàng trăm, hàng nghìn điểm dữ liệu từ khách truy cập — tên, email, số điện thoại qua form đăng ký; hành vi lướt web qua cookie; vị trí địa lý qua tính năng “tìm cửa hàng gần bạn”; thậm chí lịch sử thanh toán nếu bạn vận hành sàn thương mại điện tử.

Từ ngày 01/01/2026, Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP chính thức có hiệu lực. Câu hỏi không còn là “có cần tuân thủ không” mà là “website của mình đang thiếu gì so với yêu cầu của luật?”

Nội dung chính

1 Website của bạn đang thu thập dữ liệu ở những điểm nào?
2 Dữ liệu thông thường và dữ liệu nhạy cảm: Website bạn đang thu loại nào?
3 4 nguyên tắc của một consent hợp lệ theo luật PDPL
4 Tại sao “có form” và “có banner cookie” vẫn chưa đủ?
5 Khung giải pháp 3 lớp cho một website tuân thủ
6 Doanh nghiệp bắt đầu từ đâu?

Website của bạn đang thu thập dữ liệu ở những điểm nào?

Trước khi nói đến “đúng luật”, cần biết mình đang thu thập gì.

Một website doanh nghiệp trung bình tiếp xúc với dữ liệu khách hàng qua ít nhất 6–8 điểm chạm, nhiều trong số đó diễn ra tự động mà không cần khách chủ động điền form:

Điểm chạm chủ động (khách tự điền):

Form liên hệ, đăng ký dùng thử, đặt hàng
Form đăng ký nhận newsletter, tài liệu miễn phí
Chatbot, livechat — hỏi tên và email ngay khi bắt đầu hội thoại
Form đăng ký tài khoản

Điểm chạm bị động (thu thập qua kỹ thuật):

Cookie theo dõi hành vi lướt web (Google Analytics, Facebook Pixel, Hotjar…)
Tính năng “tìm cửa hàng gần bạn” → truy cập dữ liệu vị trí
Lưu trữ thiết bị (localStorage, session ID)
Pixel quảng cáo bên thứ ba nhúng trong trang

Vì sao điều này quan trọng? Luật không phân biệt bạn thu thập dữ liệu bằng form hay bằng cookie. Chỉ cần có hành động “xử lý dữ liệu cá nhân” — tức là thu thập, lưu trữ, phân tích, hoặc chuyển cho bên thứ ba — thì yêu cầu về sự đồng ý đều áp dụng.

Dữ liệu thông thường và dữ liệu nhạy cảm: Website bạn đang thu loại nào?

Theo Điều 2 – Luật 91/2025/QH15, dữ liệu cá nhân chia thành hai nhóm với mức độ bảo vệ khác nhau:

Dữ liệu cá nhân thông thường bao gồm các thông tin cơ bản như họ tên, giới tính, ngày sinh, địa chỉ email, số điện thoại. Hầu hết form liên hệ, đăng ký tài khoản đều thuộc nhóm này.

Dữ liệu cá nhân nhạy cảm bao gồm: dữ liệu sức khỏe, dữ liệu tài chính (tài khoản ngân hàng, lịch sử giao dịch), dữ liệu vị trí thực tế, dữ liệu sinh trắc học (vân tay, nhận diện khuôn mặt), và quan điểm chính trị, tôn giáo.

Điều cần chú ý cho doanh nghiệp có website: Nhiều tính năng tưởng như vô hại lại đang thu thập dữ liệu nhạy cảm. Form đăng ký vay vốn online thu dữ liệu tài chính. Tính năng giao hàng tận nơi thu dữ liệu vị trí. Đăng ký khám sức khỏe trực tuyến thu dữ liệu y tế. Với dữ liệu nhạy cảm, luật yêu cầu sự đồng ý riêng biệt — không thể gộp chung vào một checkbox “tôi đồng ý với điều khoản sử dụng”.

4 nguyên tắc của một consent hợp lệ theo luật PDPL

Đây là phần quan trọng nhất và cũng là nơi nhiều website đang làm sai. Luật không chỉ yêu cầu bạn “có xin phép” — mà yêu cầu sự đồng ý phải đáp ứng đồng thời 4 tiêu chí:

1. Tự nguyện

Khách hàng phải có quyền lựa chọn thực sự — đồng ý hoặc không đồng ý — mà không bị ép buộc, không bị gắn với điều kiện “đồng ý mới được dùng dịch vụ” (trừ những dữ liệu tối thiểu bắt buộc để cung cấp dịch vụ đó). Thiết kế banner chỉ có nút “Đồng ý” mà không có nút “Từ chối” rõ ràng là vi phạm nguyên tắc này.

2. Cụ thể theo từng mục đích

Một lần đồng ý không bao quát tất cả. Nếu bạn muốn dùng email khách hàng cho cả 3 mục đích: gửi đơn hàng, gửi newsletter khuyến mãi, và chia sẻ với đối tác phân phối — thì cần xin phép riêng cho từng mục đích. Khách có thể đồng ý mục này nhưng từ chối mục kia.

3. Có thể kiểm chứng được

Bạn phải lưu lại được: ai đã đồng ý, đồng ý khi nào, đồng ý với nội dung gì (bản sao form/chính sách tại thời điểm đó), thông qua kênh nào. Nếu bị cơ quan quản lý thanh tra, bạn cần xuất được bằng chứng này, không phải hứa miệng “chúng tôi có lưu”.

4. Có thể rút lại bất kỳ lúc nào

Việc rút lại sự đồng ý phải dễ dàng như khi đồng ý. Nếu đăng ký nhận tin mất 5 giây nhưng hủy nhận tin mất 3 bước và một email xác nhận, đó là thiết kế vi phạm luật.

Tại sao “có form” và “có banner cookie” vẫn chưa đủ?

Đây là câu hỏi nhiều doanh nghiệp đặt ra — và câu trả lời nằm ở điểm mấu chốt sau:

Form và banner là điểm thu thập. Bạn cần cả một hệ thống quản lý.

Cụ thể, những khoảng trống mà hầu hết website Việt Nam hiện đang có:

Thiếu audit log: Khi khách đồng ý qua form, thông tin đó đi đâu? Ai lưu? Ở đâu? Lưu bao lâu? Nếu bị kiểm tra, bạn có thể xuất ra bằng chứng không?
Thiếu cơ chế rút lại thực tế: Khách hủy nhận email qua đường link unsubscribe — nhưng CRM vẫn gắn tag “tiếp thị được” và tiếp tục nhắm quảng cáo. Đây là vi phạm dù khách đã rút lại sự đồng ý.
Dữ liệu nằm rải rác: Consent thu trên website nhưng không đồng bộ với công cụ email marketing, CDP, hay hệ thống CRM — khiến không ai biết ai đang đồng ý cái gì ở thời điểm nào.
Thiếu đồng bộ liên phòng ban: Marketing muốn dùng data, IT giữ hệ thống, Pháp chế chịu rủi ro — ba phòng ban không nói chuyện được với nhau vì không có một nguồn sự thật duy nhất về trạng thái consent.

Khung giải pháp 3 lớp cho một website tuân thủ

Thay vì cố gắng vá từng lỗ hổng riêng lẻ, cách tiếp cận bền vững hơn là xây theo 3 lớp:

Lớp 1 — Thu thập đúng cách (Collect Right)

Thiết kế lại toàn bộ điểm chạm thu thập dữ liệu để đảm bảo:

Không có checkbox mặc định được tick sẵn
Phân loại rõ mục đích: “Tôi đồng ý nhận thông tin khuyến mãi” là một consent, “Tôi đồng ý để website lưu cookie phân tích” là consent khác
Mỗi loại dữ liệu nhạy cảm có form/hộp đồng ý riêng biệt
Nút “Từ chối” dễ tìm và dễ dùng như nút “Đồng ý”

Lớp 2 — Lưu trữ có bằng chứng (Prove It)

Mỗi lần đồng ý cần tạo ra một bản ghi gồm: timestamp, ID người dùng, nội dung chính sách họ đã được hiển thị, kênh thu thập, và phiên bản form/banner. Đây là audit log — và đây là thứ cơ quan quản lý sẽ yêu cầu khi có thanh tra.

Lớp 3 — Đồng bộ toàn hệ thống (Sync Everything)

Khi khách rút lại sự đồng ý ở bất kỳ điểm nào, tín hiệu đó phải lan tới tất cả hệ thống đang dùng dữ liệu của họ — CRM, email marketing tool, CDP, data warehouse, nền tảng quảng cáo. Theo Nghị định 356, doanh nghiệp có 2 ngày làm việc để phản hồi yêu cầu rút lại và 15–20 ngày để thực hiện. Không có đồng bộ tự động, con số này gần như không thể đáp ứng bằng quy trình thủ công.

Doanh nghiệp bắt đầu từ đâu?

Một cách thực dụng để bắt đầu trong tuần này mà không cần dự án lớn:

Bước 1 — Kiểm kê điểm chạm dữ liệu: Liệt kê tất cả nơi trên website đang thu thập dữ liệu người dùng. Phân loại dữ liệu thu được: thông thường hay nhạy cảm?

Bước 2 — Kiểm tra banner và form hiện tại: Có checkbox mặc định tick sẵn không? Có nút từ chối rõ ràng không? Có phân loại mục đích sử dụng không?

Bước 3 — Kiểm tra hệ thống lưu trữ: Nếu cơ quan quản lý hỏi “khách hàng X đã đồng ý những gì vào ngày Y”, bạn trả lời được không trong 2 ngày làm việc?

Bước 4 — Kiểm tra luồng rút lại: Thử tự mình hủy đăng ký nhận email → xem có còn nhận không sau 24 giờ. Thử tự mình gửi yêu cầu xóa dữ liệu → quy trình nội bộ xử lý thế nào?

Nếu có bất kỳ câu nào bạn không trả lời được dứt khoát, đó là khoảng trống cần xử lý.

Giải pháp cho khoảng trống đó chính xác là điều một Consent Management Platform (CMP) được thiết kế để làm — không chỉ là một công cụ phần mềm, mà là hạ tầng quản lý toàn vòng đời sự đồng ý của khách hàng trên mọi kênh.

FPT Consenta giúp doanh nghiệp xây dựng hạ tầng consent đúng chuẩn PDPL – consent chạy đúng, đủ và có bằng chứng để Marketing nhanh và an toàn.