Luật bảo vệ dữ liệu cá nhân cho shop online, hộ kinh doanh

Từ 2026 có 3 luật mới chạm tới mọi shop có khách: dữ liệu cá nhân, thương mại điện tử, trí tuệ nhân tạo. Trang này tóm lại bằng lời dễ hiểu: phải làm gì, phạt bao nhiêu, ai được miễn, từ ngày nào. Mọi điều khoản đã đối chiếu bản đăng Công báo.

  • Soát 08/11/2026
  • Có trích điều khoản
  • 4 công cụ miễn phí

Trả lời nhanh: shop, hộ kinh doanh phải nói rõ cho khách dữ liệu nào được thu thập, dùng làm gì, ai giữ (chính sách bảo mật), xin đồng ý riêng từng mục đích không đánh dấu sẵn, đáp ứng yêu cầu xem / sửa / xoá trong thời hạn luật định, chỉ bật mã quảng cáo theo dõi sau khi khách đồng ý, và báo sự cố trong 72 giờ. Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải lập hồ sơ đánh giá tác động trừ khi xử lý dữ liệu nhạy cảm, làm dịch vụ xử lý dữ liệu hoặc có từ 100.000 người trở lên.

Lịch hiệu lực

Mốc đã qua màu xanh lá. Ngày cuối của các khoảng thời gian (5 năm, 12 tháng…) là chúng tôi tính từ văn bản.

  • 01/01/2026 – Luật Bảo vệ dữ liệu cá nhân 91/2025 + Nghị định 356/2025Nghị định 13/2023 hết hiệu lực. Luật 91 Điều 38 khoản 1; NĐ 356 Điều 42.
  • 01/03/2026 – Luật Trí tuệ nhân tạo 134/2025Nghĩa vụ minh bạch, gắn nhãn nội dung AI (Điều 11). Luật 134 Điều 34.
  • 01/05/2026 – Nghị định 142/2026 hướng dẫn Luật AICách đánh dấu máy đọc (Điều 17), nhãn hiển thị (Điều 18). NĐ 142 Điều 45.
  • 01/07/2026 – Luật Thương mại điện tử 122/2025 + Nghị định 248/2026Nghị định 52/2013, 85/2021 hết hiệu lực; thông báo website nộp trên Cổng dịch vụ công, UBND cấp tỉnh xác nhận. Luật 122 Điều 40; NĐ 248 Điều 52.
  • 19/08/2026 – Nghị định 330/2026 xử phạt về an ninh mạng và bảo vệ dữ liệu cá nhânMức phạt cụ thể từng lỗi. NĐ 330 Điều 80.
  • 01/01/2027 – Sàn, nền tảng phải xác thực điện tử danh tính người bán, người livestreamNĐ 248 Điều 52 khoản 2.
  • 01/03/2027 – Hết 12 tháng chuyển tiếp cho hệ thống AI đã chạy trước 01/03/2026Riêng y tế, giáo dục, tài chính 18 tháng (đến 01/09/2027). Luật 134 Điều 35.
  • 30/06/2027 – Website TMĐT đã thông báo / đăng ký trước 01/07/2026 hết dùng hồ sơ cũPhải sửa đổi, bổ sung hồ sơ theo NĐ 248. Luật 122 Điều 41 khoản 1; NĐ 248 Điều 53.
  • 31/12/2030 – Hết 5 năm doanh nghiệp nhỏ, khởi nghiệp được tự chọn lập hồ sơ đánh giá tác độngLuật 91 Điều 38 khoản 2 (05 năm từ 01/01/2026).

Shop phải làm gì: 10 việc

  1. Đăng chính sách bảo mật ở chân trang và ngay chỗ khách nhập thông tin: mục đích, phạm vi, thời gian lưu, ai được tiếp cận, biện pháp bảo mật, cách xem / sửa / xoá, khiếu nại (Nghị định 248/2026 Điều 5, Điều 17). Tạo chính sách
  2. Xin đồng ý trước khi thu thập, riêng từng mục đích, không đánh dấu sẵn, im lặng không phải đồng ý (Luật 91/2025 Điều 9, Điều 11 khoản 1; Nghị định 356/2025 Điều 6 khoản 3). Giao đơn khách vừa đặt thì không cần đồng ý vì là thực hiện thoả thuận (Điều 19 khoản 1 điểm d), nhưng vẫn phải báo. Mẫu ô đồng ý
  3. Lưu bằng chứng đồng ý: ai, lúc nào, nội dung gì (Nghị định 356/2025 Điều 6 khoản 1–2).
  4. Quảng cáo theo hành vi chỉ khi khách đồng ý: Facebook Pixel, Google Ads, TikTok Pixel nạp sau khi khách bấm Đồng ý; có cách từ chối nhận quảng cáo; báo trước tần suất gửi tin (Luật 91/2025 Điều 28 khoản 3, 5, 8). Kiểm tra website
  5. Trả lời yêu cầu của khách đúng hạn: phản hồi 02 ngày làm việc; rút lại đồng ý 15 ngày, xem / sửa 10 ngày, xoá 20 ngày (Nghị định 356/2025 Điều 5).
  6. Dữ liệu nhạy cảm (ảnh căn cước, sức khoẻ, vị trí định vị, sinh trắc học, dữ liệu theo dõi hành vi trên mạng…): báo rõ cho khách là nhạy cảm, giới hạn người truy cập (Nghị định 356/2025 Điều 4, Điều 6 khoản 4).
  7. Trẻ em dưới 16 tuổi: xác minh tuổi; dưới 7 tuổi cần cha mẹ đồng ý, từ đủ 7 tuổi cần cả trẻ và cha mẹ (Nghị định 330/2026 Điều 60; Luật 91/2025 Điều 24). Mẫu cha mẹ đồng ý
  8. Camera cửa hàng: biển thông báo dễ thấy, chỉ dùng đúng mục đích, xoá khi hết cần (Luật 91/2025 Điều 32). Tuyển dụng: xoá CV người không trúng tuyển trừ khi họ đồng ý giữ (Điều 25 khoản 1).
  9. Lưu ở nước ngoài (Google Sheets, Gmail, Shopify…): lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài trong 60 ngày (Luật 91/2025 Điều 20). Không có miễn trừ theo quy mô.
  10. Sự cố lộ dữ liệu: báo cơ quan chuyên trách (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an) chậm nhất 72 giờ từ khi phát hiện nếu có thể gây hại, lập biên bản (Luật 91/2025 Điều 23).

Website bán hàng thêm 3 việc theo Luật Thương mại điện tử

  • Công khai trên màn hình chính: thông tin chủ quản (tên, địa chỉ, mã số thuế hoặc số giấy chứng nhận đăng ký kèm ngày, nơi cấp), chính sách bảo mật, quyền và nghĩa vụ các bên, cách khiếu nại có ít nhất một kênh trực tuyến (Luật 122/2025 Điều 11 khoản 1; Nghị định 248/2026 Điều 4, 7, 17).
  • Có đặt hàng trực tuyến: chính sách giá, thanh toán, giao hàng, đổi trả, hoàn tiền (Luật 122/2025 Điều 11 khoản 3), cho khách xem lại và sửa đơn trước khi đặt (Điều 12).
  • Có đặt hàng trực tuyến: thông báo website trước khi vận hành trên Cổng dịch vụ công quốc gia (Luật 122/2025 Điều 14 khoản 1; Nghị định 248/2026 Điều 23, 24); web xác nhận trước 01/07/2026 cập nhật hồ sơ trước 30/06/2027.

Ai được miễn, được ân hạn

Đối tượngĐược gìCăn cứ
Hộ kinh doanh, doanh nghiệp siêu nhỏKhông phải lập hồ sơ đánh giá tác động xử lý dữ liệu, cập nhật hồ sơ, chỉ định người phụ trách bảo vệ dữ liệu. Không giới hạn thời gian.Luật 91/2025 Điều 38 khoản 3; NĐ 356/2025 Điều 41 khoản 2
Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệpTự chọn làm hay không 3 việc trên trong 05 năm từ 01/01/2026.Luật 91/2025 Điều 38 khoản 2; NĐ 356/2025 Điều 41 khoản 1
Hai nhóm trên – mất miễn trừ nếukinh doanh dịch vụ xử lý dữ liệu cá nhân; trực tiếp xử lý dữ liệu nhạy cảm; hoặc từ thời điểm đã xử lý dữ liệu của 100.000 người trở lên (cộng dồn).NĐ 356/2025 Điều 41
Hộ kinh doanh, doanh nghiệp siêu nhỏ, DN nhỏ và vừa khởi nghiệp sáng tạo bán qua nền tảngGiữ dữ liệu hợp đồng ít nhất 01 năm (thay vì 03 năm), áp dụng tối đa 05 năm từ ngày thành lập.Luật 122/2025 Điều 16 khoản 2 điểm c
Doanh nghiệp nhỏ và vừa, khởi nghiệp dùng / làm AIHỗ trợ chi phí đánh giá sự phù hợp, hồ sơ mẫu, công cụ tự đánh giá miễn phí, phiếu hỗ trợ dùng hạ tầng tính toán, dữ liệu. Không miễn nghĩa vụ gắn nhãn.Luật 134/2025 Điều 25

Không có miễn trừ theo quy mô cho: xin đồng ý, chính sách bảo mật, quyền của khách, hồ sơ chuyển dữ liệu ra nước ngoài (Điều 20), báo sự cố 72 giờ, quy định quảng cáo, trẻ em.

Mức phạt chính

Mức trần (Luật 91/2025 Điều 8): 03 tỷ đồng cho phần lớn vi phạm; 5% doanh thu năm trước cho vi phạm chuyển dữ liệu ra nước ngoài; 10 lần khoản thu cho mua bán dữ liệu. Đây là mức cho tổ chức; cá nhân tối đa một nửa (khoản 6).

Lỗi hay gặp ở shopTổ chứcNghị định 330/2026
Xử lý khi chưa có đồng ý; mặc định đồng ý; ép đồng ý mục đích khác; không lưu nhật ký đồng ý; không báo dữ liệu nhạy cảm30–50 triệuĐiều 43 khoản 1
Coi im lặng là đồng ý; cố tình xử lý tiếp sau khi khách yêu cầu ngừng50–70 triệuĐiều 43 khoản 2
Không có quy trình, biểu mẫu, phản hồi yêu cầu của khách quá 02 ngày làm việc10–20 triệuĐiều 44 khoản 1
Thực hiện yêu cầu của khách quá hạn30–40 triệuĐiều 44 khoản 3
Dùng dữ liệu cơ bản để quảng cáo không có đồng ý; không cho từ chối nhận quảng cáo30–50 triệuĐiều 63 khoản 1
Theo dõi website để quảng cáo theo hành vi không có đồng ý; quảng cáo dựa trên dữ liệu trẻ dưới 16 tuổi chưa có đồng ý của người đại diện50–70 triệuĐiều 63 khoản 2
Không xác minh tuổi; xử lý dữ liệu trẻ thiếu đồng ý của cha mẹ (và của trẻ từ đủ 7 tuổi)30–50 triệuĐiều 60 khoản 1
Không xoá CV người không trúng tuyển20–50 triệuĐiều 61 khoản 1
Lắp camera nơi làm việc không thông báo cho nhân viên50–70 triệuĐiều 61 khoản 2
Camera nơi công cộng không có biển báo dễ thấy10–20 triệuĐiều 71 khoản 1
Không lập / nộp / cập nhật hồ sơ đánh giá tác động (khi thuộc diện phải làm)20–30 triệuĐiều 55
Báo sự cố chậm quá 72 giờ40–60 triệuĐiều 54 khoản 3
Chuyển dữ liệu ra nước ngoài sai thủ tục / không có đồng ý, hợp đồng30–50 / 50–100 triệuĐiều 56 khoản 1, 2

Nghị định 330/2026 Điều 7 khoản 1: mức trong Mục bảo vệ dữ liệu cá nhân là cho tổ chức, cá nhân bằng một nửa. Lỗi trên website thương mại điện tử (thiếu thông tin chủ website, chưa thông báo website…) vẫn phạt theo Nghị định 98/2020 – xem bảng ở công cụ kiểm tra. Luật AI chưa có nghị định xử phạt riêng tính đến ngày soát.

Mấy khái niệm cần biết

Dữ liệu cá nhân cơ bản (Nghị định 356/2025 Điều 3)

Họ tên, ngày sinh, giới tính, nơi ở, địa chỉ liên hệ, quốc tịch, hình ảnh cá nhân, số điện thoại, số định danh, hộ chiếu, bằng lái, biển số xe, hôn nhân, quan hệ gia đình, tài khoản số…

Dữ liệu cá nhân nhạy cảm (Điều 4 khoản 1)

Chủng tộc, dân tộc; quan điểm chính trị, tôn giáo; đời tư, bí mật cá nhân; sức khoẻ; sinh trắc học, di truyền; đời sống tình dục; tội phạm; vị trí qua dịch vụ định vị; tên đăng nhập, mật khẩu tài khoản định danh điện tử, ảnh thẻ căn cước; tài khoản, thẻ, lịch sử giao dịch tại ngân hàng, tổ chức tài chính; dữ liệu theo dõi hành vi, hoạt động trên không gian mạng.

Chuyển dữ liệu ra nước ngoài (Luật 91/2025 Điều 20)

Gồm lưu trên máy chủ, điện toán đám mây ở nước ngoài, gửi cho bên ở nước ngoài, dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Được miễn hồ sơ khi lưu dữ liệu nhân viên của chính mình trên đám mây (khoản 6) và một số trường hợp ở Nghị định 356/2025 Điều 17 khoản 3 (ví dụ thủ tục vận chuyển, thanh toán, đặt phòng, thị thực cho chính khách hàng).

Bên kiểm soát / bên xử lý

Shop quyết định mục đích và cách dùng dữ liệu khách là bên kiểm soát (thường kiêm luôn bên xử lý). Đơn vị vận chuyển, phần mềm bán hàng làm theo yêu cầu của shop là bên xử lý; cần thoả thuận bằng hợp đồng (Luật 91/2025 Điều 37 khoản 1 điểm a).

Hỏi đáp

Hộ kinh doanh có phải làm theo Luật Bảo vệ dữ liệu cá nhân không?

Có. Luật 91/2025/QH15 áp dụng cho mọi tổ chức, cá nhân xử lý dữ liệu cá nhân. Hộ kinh doanh, doanh nghiệp siêu nhỏ chỉ được miễn lập hồ sơ đánh giá tác động xử lý dữ liệu và chỉ định người phụ trách bảo vệ dữ liệu (Điều 38 khoản 3), trừ khi kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc đã xử lý dữ liệu của từ 100.000 người trở lên (Nghị định 356/2025 Điều 41 khoản 2). Xin đồng ý, đăng chính sách, đáp ứng yêu cầu của khách, báo sự cố vẫn phải làm.

Doanh nghiệp nhỏ được ưu đãi gì?

Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được tự chọn có lập hồ sơ đánh giá tác động (Điều 21, 22) và chỉ định người phụ trách (Điều 33 khoản 2) hay không trong 05 năm từ 01/01/2026, trừ 3 trường hợp như trên (Luật 91/2025 Điều 38 khoản 2; Nghị định 356/2025 Điều 41 khoản 1). Luật Thương mại điện tử cho hộ kinh doanh, doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và vừa khởi nghiệp sáng tạo chỉ phải giữ dữ liệu hợp đồng trên nền tảng 01 năm thay vì 03 năm, trong tối đa 05 năm từ ngày thành lập (Luật 122/2025 Điều 16 khoản 2 điểm c).

Phạt tối đa bao nhiêu?

Luật 91/2025 Điều 8: tối đa 03 tỷ đồng cho phần lớn vi phạm; 5% doanh thu năm trước với vi phạm chuyển dữ liệu ra nước ngoài; 10 lần khoản thu với mua bán dữ liệu. Các mức này cho tổ chức; cá nhân tối đa bằng một nửa. Mức cụ thể từng lỗi nằm ở Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026), ví dụ xử lý dữ liệu khi chưa có đồng ý hoặc mặc định đồng ý: 30–50 triệu đồng (Điều 43 khoản 1).

Dùng Google Sheets, Gmail lưu đơn hàng có phải là chuyển dữ liệu ra nước ngoài?

Luật 91/2025 Điều 20 khoản 1 coi lưu dữ liệu công dân Việt Nam trên hệ thống đặt ngoài lãnh thổ, kể cả điện toán đám mây của nhà cung cấp nước ngoài, và dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam là chuyển dữ liệu ra nước ngoài. Khi đó phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, gửi cơ quan chuyên trách trong 60 ngày (khoản 2). Điều 38 không miễn nghĩa vụ này cho hộ kinh doanh, doanh nghiệp nhỏ.

Nghị định 13/2023 còn hiệu lực không?

Không. Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026, thay bằng Luật 91/2025 và Nghị định 356/2025 (Nghị định 356/2025 Điều 42 khoản 2). Việc xử lý đã được khách đồng ý theo Nghị định 13 được làm tiếp, không phải xin lại (Luật 91/2025 Điều 39).

Khách yêu cầu xoá dữ liệu thì phải làm trong bao lâu?

Phản hồi trong 02 ngày làm việc, xoá xong trong 20 ngày (30 ngày nếu phải nhờ bên thứ ba), được gia hạn một lần không quá 20 ngày (Nghị định 356/2025 Điều 5 khoản 4). Rút lại đồng ý: 15 ngày; xem, sửa: 10 ngày.

Văn bản gốc đã đối chiếu

Soát lại 08/11/2026 theo bản đăng Công báo. Nội dung trên trang là thông tin tham khảo, không thay tư vấn pháp lý.

Công cụ liên quan

Khám phá thêm công cụ miễn phí của Dorabot

Chuyển địa chỉ mới 2025 Đổi địa chỉ cũ sang tên tỉnh, xã sau sáp nhập 2025, từng dòng hoặc cả danh sách, tải ra Excel. QR chuyển khoản VietQR Mã QR có sẵn số tài khoản, số tiền, nội dung; 50 ngân hàng và ví, gửi link qua Zalo. In mã vạch Barcode Tạo và in mã vạch hàng loạt (Code 128, EAN…) cho tem hàng, vận đơn.