Từ 19/08/2026, Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân chính thức có hiệu lực. Trước đó, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP đã có hiệu lực từ 01/01/2026. Nói gọn: luật đã có từ đầu năm, còn mức phạt cụ thể thì đến tháng 8 mới đầy đủ.
Bộ phận marketing là nơi chạm vào dữ liệu cá nhân nhiều nhất trong một doanh nghiệp nhỏ: form đăng ký trên website, danh sách số điện thoại gửi Zalo, SMS, email, tệp khách để chạy quảng cáo tiếp thị lại, dữ liệu từ hội chợ, từ cộng tác viên. Bài này tóm tắt những điểm của Nghị định 330 liên quan trực tiếp đến marketing, kèm checklist 12 điểm để rà trong một tuần.
Nghị định 330/2026 có gì mới
- Hiệu lực: từ 19/08/2026, theo Cổng Thông tin điện tử Chính phủ.
- Phạm vi: xử phạt vi phạm hành chính trong cả hai lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; theo tóm tắt của Thư viện Pháp luật, nghị định gồm 4 chương, 82 điều.
- Tổ chức và cá nhân: các mức phạt trong lĩnh vực bảo vệ dữ liệu cá nhân là mức áp dụng cho tổ chức; cá nhân có cùng hành vi bị phạt bằng một nửa.
- Thời hiệu xử phạt: 01 năm.
- Biện pháp khắc phục đi kèm phạt tiền có thể gồm buộc huỷ, xoá dữ liệu đến mức không thể khôi phục, buộc nộp lại khoản thu bất hợp pháp.
Những mức phạt chạm tới marketing
Bảng dưới gom các hành vi hay gặp trong marketing. Mức phạt là mức cho tổ chức, theo nguồn dẫn ở cuối bài.
| Hành vi | Điều trong Nghị định 330 | Mức phạt (tổ chức) |
|---|---|---|
| Xử lý dữ liệu khi chưa có sự đồng ý của chủ thể; thiết lập đồng ý mặc định (ô tích sẵn) | Điều 43 khoản 1 | 30–50 triệu đồng |
| Không thông báo cho chủ thể khi xử lý dữ liệu nhạy cảm của họ | Điều 43 khoản 1 | 30–50 triệu đồng |
| Tiếp tục xử lý sau khi chủ thể yêu cầu ngừng hoặc hạn chế | Điều 43 khoản 2 | 50–70 triệu đồng |
| Coi im lặng, không phản hồi là đồng ý rồi vẫn thu thập, xử lý | Điều 43 khoản 2 | 50–70 triệu đồng |
| Không lập, không duy trì hồ sơ đánh giá tác động xử lý dữ liệu khi bắt đầu xử lý | Điều 55 khoản 1 | 20–30 triệu đồng |
| Thông báo vi phạm dữ liệu (lộ, mất) cho cơ quan chuyên trách chậm quá 72 giờ | Điều 54 khoản 3 | 40–60 triệu đồng |
| Mua, bán trái phép dữ liệu cá nhân | Điều 53 khoản 1 | Từ 2 đến 10 lần khoản thu có được |
| Xử lý dữ liệu bằng AI mà không thông báo nguyên tắc thuật toán, không cho chủ thể từ chối xử lý tự động | Điều 67 | 50–70 triệu đồng |
| Không chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu theo quy định | Điều 57 | Cảnh cáo hoặc 10–20 triệu đồng |
| Camera ở khu vực cung cấp dịch vụ (cửa hàng, showroom) không có biển báo ghi hình | Điều 71 khoản 1 | 10–20 triệu đồng |
Hai dòng đầu là những lỗi phổ biến nhất ở doanh nghiệp nhỏ: form có ô “Tôi đồng ý nhận tin khuyến mãi” tích sẵn, và danh sách khách cũ được dùng để gửi tin quảng cáo dù khách chưa từng đồng ý.
Hành vi mua bán dữ liệu là rủi ro lớn nhất về tiền: phạt tính theo bội số khoản thu, và theo tóm tắt của LuatVietnam, có trường hợp lên tới 1–3 tỷ đồng. “Mua data khách hàng” để gọi điện, nhắn tin là việc nên dừng hẳn.
Quảng cáo dùng dữ liệu cá nhân: Điều 28 Luật 91/2025
Ngoài mức phạt, cần nắm nguyên tắc riêng cho quảng cáo tại Điều 28 Luật Bảo vệ dữ liệu cá nhân. Theo phân tích của LuatVietnam:
- Xử lý dữ liệu khách để quảng cáo phải có sự đồng ý của khách, và khách phải biết rõ nội dung, phương thức, hình thức, tần suất sẽ nhận quảng cáo.
- Phải có cách để khách từ chối nhận quảng cáo, và ngừng gửi khi khách yêu cầu.
- Thu thập dữ liệu bằng cách theo dõi hành vi trên website, ứng dụng (để quảng cáo nhắm mục tiêu, tiếp thị lại) chỉ được làm khi có đồng ý; phải xác định thời gian lưu và xoá khi không còn cần.
- Đơn vị kinh doanh dịch vụ quảng cáo phải chứng minh việc dùng dữ liệu là hợp pháp.
Việc gửi tin còn phải theo quy định về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác và pháp luật quảng cáo.
Checklist 12 điểm cho bộ phận marketing
Mỗi điểm có thể làm trong vài giờ. Rà theo thứ tự từ trên xuống, vì các điểm đầu liên quan đến mức phạt phổ biến nhất.
Nhóm A — Đồng ý
- Bỏ mọi ô đồng ý tích sẵn trên form website, landing page, form quảng cáo. Khách phải tự tích.
- Tách các mục đích: “Liên hệ tư vấn đơn này” khác với “Nhận tin khuyến mãi định kỳ”. Mỗi mục đích một ô riêng.
- Ghi rõ khách sẽ nhận gì, qua kênh nào (Zalo, SMS, email), khoảng bao lâu một lần. Đây là yêu cầu “biết rõ nội dung, phương thức, hình thức, tần suất” của Điều 28.
- Lưu bằng chứng đồng ý: thời điểm, form nào, nội dung câu đồng ý ở phiên bản nào. Plugin form, CRM thường lưu được; hãy kiểm tra.
Nhóm B — Danh sách khách và kênh gửi
- Phân loại danh sách khách cũ: ai đã đồng ý nhận tin, ai chưa rõ. Với nhóm chưa rõ, chỉ liên hệ để xin lại sự đồng ý, không gửi khuyến mãi.
- Có cách huỷ đăng ký ở mọi tin: “Nhắn HUY để ngừng nhận”, link huỷ trong email. Khi khách yêu cầu, xoá khỏi danh sách gửi trong vòng thời gian ngắn nhất; tiếp tục gửi sau yêu cầu ngừng thuộc nhóm phạt 50–70 triệu đồng.
- Không mua, không bán, không “đổi” danh sách với đối tác. Nếu dùng dữ liệu từ cộng tác viên, hội chợ, phải có bằng chứng người đó đã đồng ý chia sẻ cho bạn.
Nhóm C — Website, quảng cáo, công cụ đo
- Cập nhật chính sách quyền riêng tư trên website: dữ liệu gì, để làm gì, lưu bao lâu, chia sẻ cho ai (agency, nền tảng quảng cáo), khách liên hệ ai để xem, sửa, xoá.
- Rà mã theo dõi: Meta Pixel, Google tag, TikTok Pixel. Theo Điều 28, theo dõi hành vi để quảng cáo cần có đồng ý; cân nhắc banner đồng ý cookie có lựa chọn từ chối thật sự.
- Rà công cụ AI xử lý dữ liệu khách: chatbot, chấm điểm khách tiềm năng, cá nhân hoá nội dung. Điều 67 phạt khi không thông báo nguyên tắc xử lý tự động và không cho khách từ chối. Đây cũng là chỗ gặp Luật Trí tuệ nhân tạo về nghĩa vụ minh bạch.
Nhóm D — Hồ sơ và sự cố
- Lập hồ sơ đánh giá tác động xử lý dữ liệu cho các hoạt động marketing chính (form, CRM, gửi tin, quảng cáo). Theo VCCI, luật có một số ngoại lệ cho doanh nghiệp nhỏ, siêu nhỏ và khởi nghiệp; hãy kiểm tra doanh nghiệp bạn có thuộc diện ngoại lệ không trước khi bỏ qua bước này.
- Viết quy trình sự cố 72 giờ: khi lộ file khách, mất tài khoản quảng cáo, nhân viên nghỉ việc mang theo dữ liệu thì ai báo, báo cho ai, trong bao lâu. Thông báo chậm quá 72 giờ bị phạt 40–60 triệu đồng.
Mẫu câu đồng ý gợi ý
Dưới đây là mẫu tham khảo, nên được người có chuyên môn pháp lý xem lại cho phù hợp doanh nghiệp của bạn:
☐ Tôi đồng ý để [Tên công ty] dùng số điện thoại và email này để gửi thông tin khuyến mãi, sản phẩm mới qua Zalo và email, tối đa 4 lần mỗi tháng. Tôi có thể ngừng nhận bất cứ lúc nào bằng cách nhắn “HUY” hoặc bấm “Huỷ đăng ký” trong email. Xem [Chính sách quyền riêng tư].
Câu này nêu được: ai dùng, dùng dữ liệu gì, để làm gì, qua kênh nào, tần suất, và cách rút lại đồng ý.
Câu hỏi thường gặp
Nghị định 330/2026 có hiệu lực từ khi nào?
Theo Cổng Thông tin điện tử Chính phủ, Nghị định 330/2026/NĐ-CP có hiệu lực từ ngày 19/08/2026. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP đã có hiệu lực từ 01/01/2026.
Gửi tin khuyến mãi cho khách cũ chưa từng đồng ý bị phạt bao nhiêu?
Xử lý dữ liệu khi chưa có sự đồng ý thuộc khoản 1 Điều 43, mức phạt 30–50 triệu đồng với tổ chức. Nếu khách đã yêu cầu ngừng mà vẫn gửi, mức phạt là 50–70 triệu đồng theo khoản 2. Cá nhân vi phạm bị phạt bằng một nửa mức của tổ chức.
Ô “Tôi đồng ý nhận tin” tích sẵn có hợp lệ không?
Không. Thiết lập đồng ý mặc định thuộc nhóm hành vi bị phạt ở khoản 1 Điều 43. Khách phải tự tích chọn.
Chạy quảng cáo tiếp thị lại bằng Pixel có cần xin đồng ý không?
Theo Điều 28 Luật Bảo vệ dữ liệu cá nhân, thu thập dữ liệu bằng cách theo dõi hành vi trên website, ứng dụng để quảng cáo chỉ được thực hiện khi có sự đồng ý. Doanh nghiệp nên có banner đồng ý cookie cho phép từ chối và cập nhật chính sách quyền riêng tư.
Doanh nghiệp nhỏ có được miễn nghĩa vụ không?
Theo VCCI, luật có một số ngoại lệ cho doanh nghiệp nhỏ, siêu nhỏ và khởi nghiệp, nhưng các nghĩa vụ cốt lõi như xin đồng ý, cho phép rút lại đồng ý, không mua bán dữ liệu vẫn áp dụng. Hãy đối chiếu văn bản gốc hoặc hỏi luật sư để biết doanh nghiệp bạn được ngoại lệ ở điểm nào.
PDL có thể giúp gì
PDL rà form, landing page, mã theo dõi và chatbot trên website của bạn theo checklist trên, sửa ô đồng ý, banner cookie và trang chính sách quyền riêng tư, rồi chạy quảng cáo chỉ trên tệp khách hợp lệ. Xem thiết kế website, quảng cáo trực tuyến hoặc nhận tư vấn.
Đọc tiếp
Nguồn:
- Cổng Thông tin điện tử Chính phủ: Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng
- Thư viện Pháp luật: Nghị định 330/2026/NĐ-CP (văn bản); Nghị định 330 xử phạt ra sao
- LuatVietnam: 10 điểm đáng chú ý Nghị định 330/2026/NĐ-CP về bảo vệ dữ liệu cá nhân; 8 lưu ý khi sử dụng dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: Thư viện Pháp luật
- Hiệu lực Luật 91/2025 và Nghị định 356/2025: PwC Việt Nam; VCCI
Bài viết là thông tin tham khảo, không thay tư vấn pháp lý. Với trường hợp cụ thể, hãy đối chiếu văn bản gốc và hỏi ý kiến luật sư.
