Mẫu chính sách bảo mật dữ liệu cá nhân cho website doanh nghiệp: 10 mục nội dung theo Luật Bảo vệ dữ liệu cá nhân 2025

Một công ty bán đồ nội thất trực tuyến dùng bản chính sách bảo mật sao chép từ website nước ngoài, dịch máy sang tiếng Việt, nhắc đến "GDPR" và một văn phòng ở châu Âu không tồn tại. Website có form đăng ký nhận ưu đãi, chatbot, pixel quảng cáo và chuyển đơn hàng cho đơn vị vận chuyển. Khi đối chiếu với luật Việt Nam, bản chính sách này thiếu gần hết những nội dung bắt buộc phải công bố. Việc viết lại không cần dài, nhưng cần đúng các mục mà luật yêu cầu.

Doanh nghiệp thu thập thông tin khách hàng phải công khai trên website quy tắc bảo vệ thông tin gồm mục đích thu thập, phạm vi sử dụng, thời hạn lưu trữ và biện pháp bảo vệ (Điều 16 Luật Bảo vệ quyền lợi người tiêu dùng). Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025 bổ sung: thông tin để sự đồng ý có hiệu lực, quyền của chủ thể dữ liệu, cách gửi yêu cầu, thời hạn xử lý và việc chuyển dữ liệu ra nước ngoài. Pháp luật không ban hành mẫu chính sách cố định; 10 mục gợi ý trong bảng là cấu trúc tham khảo dựa trên các điều luật đó.

Căn cứ pháp lý & ngày rà soát: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, đăng Công báo số 971+972 ngày 24/7/2025, hiệu lực từ 01/01/2026 (Điều 4, 9, 10, 20, 23); Nghị định số 356/2025/NĐ-CP ngày 31/12/2025, hiệu lực từ 01/01/2026, đăng Công báo số 18 ngày 18/01/2026 (Điều 5, 6); Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15 (Văn bản hợp nhất số 47/VBHN-VPQH ngày 17/3/2026, đăng Công báo số 175 ngày 01/4/2026), Điều 15 đến 19. Rà soát ngày 01/10/2026.

Lưu ý: Nội dung mang tính tham khảo. Câu chữ mẫu cần điều chỉnh theo dữ liệu thực tế doanh nghiệp xử lý. Doanh nghiệp xử lý dữ liệu nhạy cảm, dữ liệu trẻ em hoặc hoạt động trong ngân hàng, bảo hiểm, y tế cần bổ sung quy định chuyên ngành.

Vì sao website cần chính sách riêng theo luật Việt Nam

Điều 16 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu tổ chức, cá nhân kinh doanh thu thập, lưu trữ, sử dụng thông tin người tiêu dùng xây dựng quy tắc bảo vệ thông tin với bốn nội dung: mục đích thu thập, phạm vi sử dụng, thời hạn lưu trữ, biện pháp bảo vệ thông tin. Quy tắc này phải niêm yết ở trụ sở, địa điểm kinh doanh và đăng trên website, ứng dụng, để khách hàng tiếp cận trước hoặc tại thời điểm thu thập thông tin.

Luật Bảo vệ dữ liệu cá nhân bổ sung lớp yêu cầu thứ hai. Khoản 2 Điều 9 Luật 91/2025 quy định sự đồng ý chỉ có hiệu lực khi người dùng biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát dữ liệu, quyền và nghĩa vụ của mình. Chính sách trên website là nơi tự nhiên nhất để cung cấp các thông tin này. Bản sao chép từ nước ngoài thường dẫn quy định không áp dụng tại Việt Nam và thiếu thời hạn xử lý yêu cầu theo Nghị định 356/2025.

10 mục nội dung gợi ý

Mục	Nội dung	Căn cứ
1. Bên kiểm soát dữ liệu	Tên doanh nghiệp, mã số, địa chỉ, đầu mối liên hệ về dữ liệu	Điểm b khoản 2 Điều 9 Luật 91
2. Loại dữ liệu thu thập	Họ tên, số điện thoại, email, địa chỉ giao hàng, lịch sử mua, dữ liệu thiết bị	Điểm a khoản 2 Điều 9 Luật 91
3. Mục đích xử lý	Tách từng mục đích: giao hàng, chăm sóc khách hàng, gửi khuyến mại, phân tích	Điểm a khoản 4 Điều 9 Luật 91; Điều 16 Luật BVQLNTD
4. Phạm vi sử dụng, chia sẻ	Bên nhận (vận chuyển, thanh toán, phần mềm), lựa chọn cho phép hoặc từ chối chia sẻ, quảng cáo	Điều 16, khoản 4 Điều 18 Luật BVQLNTD
5. Chuyển dữ liệu ra nước ngoài	Có lưu trữ, xử lý trên nền tảng ở nước ngoài không	Khoản 1 Điều 20 Luật 91
6. Thời hạn lưu trữ	Thời hạn cụ thể theo từng loại dữ liệu	Điều 16 Luật BVQLNTD
7. Biện pháp bảo vệ	Biện pháp kỹ thuật, quản lý, phân quyền truy cập	Điều 16, 19 Luật BVQLNTD
8. Quyền của khách hàng	Biết, đồng ý, rút đồng ý, xem, sửa, xóa, hạn chế, phản đối, khiếu nại	Khoản 1 Điều 4 Luật 91
9. Cách gửi yêu cầu và thời hạn	Kênh tiếp nhận, biểu mẫu, phản hồi 02 ngày làm việc, thời hạn hoàn thành	Điều 5 Nghị định 356
10. Thay đổi chính sách	Thông báo lại và xin đồng ý khi đổi mục đích, phạm vi	Khoản 1 Điều 18 Luật BVQLNTD

Câu chữ tham khảo cho từng mục

Mục 3 nên viết theo từng mục đích riêng, không gộp. Ví dụ: "Chúng tôi sử dụng số điện thoại và địa chỉ của Quý khách để giao hàng và liên hệ về đơn hàng. Chúng tôi chỉ gửi tin khuyến mại khi Quý khách đánh dấu đồng ý tại ô Nhận ưu đãi; Quý khách có thể hủy bất cứ lúc nào." Cách viết này bám điểm a khoản 4 Điều 9 (đồng ý theo từng mục đích) và điểm b (không kèm điều kiện bắt buộc đồng ý với mục đích khác).

Mục 4 cần nêu nhóm bên nhận và lý do. Ví dụ: "Chúng tôi chia sẻ họ tên, số điện thoại, địa chỉ cho đơn vị vận chuyển để giao hàng. Các đơn vị này cam kết bằng văn bản bảo vệ thông tin của Quý khách." Khoản 4 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu cơ chế để khách hàng lựa chọn cho phép hoặc không cho phép chia sẻ thông tin cho bên thứ ba và dùng thông tin để quảng cáo; ngoại lệ là chuyển cho bên thứ ba lưu trữ, phân tích phục vụ chính doanh nghiệp khi có thỏa thuận bằng văn bản về trách nhiệm bảo vệ thông tin.

Mục 5 áp dụng khi doanh nghiệp dùng máy chủ đám mây, phần mềm email, chatbot hoặc công cụ phân tích đặt ở nước ngoài. Khoản 1 Điều 20 Luật 91 coi việc dùng nền tảng ngoài lãnh thổ để xử lý dữ liệu thu thập tại Việt Nam là chuyển dữ liệu xuyên biên giới. Chính sách nên nêu rõ và doanh nghiệp cần kiểm tra nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới, xem bài checklist Luật Bảo vệ dữ liệu cá nhân.

Mục 9 là phần thường bị bỏ trống. Ví dụ: "Quý khách gửi yêu cầu qua email hoặc biểu mẫu tại trang Liên hệ. Chúng tôi phản hồi trong 02 ngày làm việc. Yêu cầu xem, chỉnh sửa dữ liệu được thực hiện trong 10 ngày; yêu cầu rút đồng ý, hạn chế xử lý trong 15 ngày; yêu cầu xóa trong 20 ngày, trừ trường hợp pháp luật yêu cầu lưu giữ." Các mốc này lấy từ Điều 5 Nghị định 356, với thời hạn dài hơn khi dữ liệu nằm ở bên thứ ba.

Thu thập sự đồng ý trên website

Điều 6 Nghị định 356 cho phép thể hiện sự đồng ý qua website, ứng dụng, email, tin nhắn hoặc cuộc gọi ghi âm, với điều kiện lưu lại được và không đặt sẵn lựa chọn đồng ý. Khoản 4 Điều 9 Luật 91 quy định im lặng hoặc không phản hồi không được coi là đồng ý. Trên thực tế, form đăng ký nên có ô đánh dấu trống cho từng mục đích phụ như nhận khuyến mại, kèm đường dẫn tới chính sách.

Chỉ dán đường dẫn chính sách ở chân trang là chưa đủ để chứng minh khách hàng đã đồng ý với từng mục đích. Doanh nghiệp nên lưu nhật ký: thời điểm, phiên bản chính sách, ô đã đánh dấu. Điều 10 Luật 91 yêu cầu yêu cầu rút đồng ý thể hiện bằng văn bản, kể cả dạng điện tử, nên form rút đồng ý trực tuyến là cách đơn giản để đáp ứng.

Ví dụ tự lập

Công ty Nội Thất Gỗ Việt viết lại chính sách theo 10 mục. Mục 2 liệt kê họ tên, số điện thoại, email, địa chỉ, lịch sử đơn hàng và dữ liệu cookie. Mục 3 tách bốn mục đích. Mục 4 nêu đơn vị vận chuyển, cổng thanh toán, phần mềm chăm sóc khách hàng. Mục 5 ghi rõ dữ liệu email marketing được xử lý trên nền tảng có máy chủ ở nước ngoài.

Mục 6 đặt thời hạn lưu dữ liệu đơn hàng theo thời hạn lưu chứng từ kế toán, dữ liệu khuyến mại đến khi khách hủy đăng ký. Mục 9 dẫn tới form yêu cầu trực tuyến và nêu các mốc thời hạn. Form đăng ký nhận ưu đãi đổi sang ô trống, lưu nhật ký đồng ý. Nghĩa vụ khác với khách hàng xem bài Luật Bảo vệ quyền lợi người tiêu dùng.

Checklist

• Liệt kê dữ liệu website thực sự thu thập, gồm cả cookie, pixel, chatbot.
• Viết mục đích riêng cho từng nhóm dữ liệu.
• Ghi thời hạn lưu trữ cụ thể, không ghi chung chung "theo nhu cầu".
• Liệt kê nhóm bên nhận dữ liệu và nền tảng ở nước ngoài.
• Nêu đủ quyền của khách hàng theo khoản 1 Điều 4 Luật 91.
• Công bố kênh gửi yêu cầu, biểu mẫu và thời hạn xử lý theo Nghị định 356.
• Bỏ ô đánh dấu đồng ý mặc định; lưu nhật ký đồng ý.
• Xóa các dẫn chiếu luật nước ngoài không áp dụng.

Câu hỏi thường gặp

Pháp luật có ban hành mẫu chính sách bảo mật dữ liệu cá nhân bắt buộc không?

Không có mẫu cố định. Luật Bảo vệ quyền lợi người tiêu dùng quy định bốn nội dung bắt buộc của quy tắc bảo vệ thông tin (Điều 16); Luật 91/2025 và Nghị định 356/2025 quy định thông tin cần cung cấp để sự đồng ý có hiệu lực và quy trình thực hiện quyền.

Website nhỏ chỉ có form liên hệ có cần chính sách không?

Có, nếu website thu thập thông tin người tiêu dùng. Điều 16 Luật Bảo vệ quyền lợi người tiêu dùng áp dụng cho tổ chức, cá nhân kinh doanh thu thập, lưu trữ, sử dụng thông tin người tiêu dùng, trừ trường hợp pháp luật có quy định khác.

Chính sách phải nêu thời hạn xử lý yêu cầu của khách hàng không?

Điều 5 Nghị định 356 yêu cầu xây dựng quy trình, biểu mẫu rõ ràng và bảo đảm chủ thể dữ liệu biết thủ tục thực hiện quyền. Công bố thời hạn phản hồi 02 ngày làm việc và thời hạn hoàn thành giúp đáp ứng yêu cầu này.

Dùng công cụ email marketing của nước ngoài có phải ghi trong chính sách không?

Nên ghi. Khoản 1 Điều 20 Luật 91 coi việc dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam là chuyển dữ liệu xuyên biên giới, kéo theo nghĩa vụ lập hồ sơ đánh giá tác động riêng.

Khi đổi mục đích sử dụng dữ liệu có phải xin lại đồng ý không?

Có. Khoản 1 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu thông báo lại và được người tiêu dùng đồng ý trước khi thay đổi mục đích, phạm vi sử dụng thông tin đã thông báo.

Có được bắt khách hàng đồng ý nhận quảng cáo mới cho đặt hàng không?

Không nên. Điểm b khoản 4 Điều 9 Luật 91 quy định sự đồng ý không được kèm điều kiện bắt buộc phải đồng ý với mục đích khác nội dung thỏa thuận; khoản 4 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu cơ chế để khách hàng chọn không cho dùng thông tin để quảng cáo.