Nghị định 330/2026/NĐ-CP ban hành và có hiệu lực ngày 19/8/2026 là văn bản đầu tiên quy định mức phạt hành chính cụ thể cho vi phạm về bảo vệ dữ liệu cá nhân. Với đội marketing, những hành vi bị phạt nặng nhất lại là việc rất quen: coi khách im lặng là đồng ý, tiếp tục nhắn tin sau khi khách đã từ chối, dùng số điện thoại sai mục đích. Mức phạt lên tới 70 triệu đồng mỗi hành vi, kèm buộc xóa dữ liệu.
Những hành vi liên quan marketing và mức phạt
Theo bản tin của VOV ngày 22/8/2026 và bài phân tích trên Tạp chí Luật sư Việt Nam, các nhóm hành vi đáng chú ý gồm:
| Hành vi | Mức phạt tiền |
|---|---|
| Xử lý dữ liệu sau khi thu thập mà không có sự đồng ý; ép đồng ý mục đích không liên quan mới cho dùng dịch vụ; mặc định tích sẵn ô đồng ý; không lưu được bằng chứng đồng ý; không xin đồng ý riêng cho từng mục đích | 30–50 triệu đồng |
| Coi việc chủ thể im lặng, không phản hồi là đồng ý; cố ý tiếp tục xử lý sau khi người dùng yêu cầu ngừng hoặc hạn chế | 50–70 triệu đồng |
| Dùng dữ liệu vượt phạm vi, mục đích đã được đồng ý; lưu dữ liệu lâu hơn mức cần thiết | 20–40 triệu đồng |
| Sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật | 40–60 triệu đồng |
Ngoài tiền phạt, cơ quan chức năng có thể buộc xóa dữ liệu đến mức không khôi phục được, tịch thu phương tiện vi phạm, buộc nộp lại số lợi bất hợp pháp. Các bài báo trên không nêu rõ việc mức phạt khác nhau giữa cá nhân và tổ chức, nên khi cần con số chính xác cho doanh nghiệp, hãy đối chiếu văn bản gốc hoặc hỏi luật sư.
Ở tầng luật, VCCI lưu ý rằng Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cho phép mức phạt tối đa tới 5% doanh thu năm trước với một số vi phạm, và tiếp thị, quảng cáo được xếp vào nhóm lĩnh vực có yêu cầu tuân thủ đặc biệt chặt.
Năm thói quen marketing cần bỏ ngay
1. Form có ô "đồng ý nhận tin" tích sẵn
Ô tích sẵn là ví dụ điển hình của đồng ý mặc định. Hãy để ô trống, người dùng tự tích. Nếu bạn thu thập cho nhiều mục đích (tư vấn đơn hàng, gửi khuyến mãi, chia sẻ cho đối tác), mỗi mục đích một ô riêng.
2. Gửi tin nhắn "nếu không phản hồi, chúng tôi hiểu là bạn đồng ý"
Câu này từng phổ biến trong SMS và email. Với Nghị định 330, coi im lặng là đồng ý thuộc khung phạt cao nhất trong nhóm này. Mọi chiến dịch xin phép lại tệp cũ phải chờ người nhận chủ động bấm đồng ý.
3. Nhắn tiếp cho người đã bấm hủy đăng ký
Danh sách từ chối phải được đồng bộ trên mọi công cụ: email, Zalo, SMS, tổng đài, tệp tải lên nền tảng quảng cáo. Lỗi hay gặp là khách hủy trên email nhưng vẫn nằm trong tệp gọi điện của đội telesale.
4. Dùng số điện thoại khách để làm việc khác
Khách để lại số để nhận báo giá không có nghĩa là đồng ý vào nhóm Zalo khuyến mãi hay bị chia cho đơn vị bảo hiểm đối tác. Đó là dùng vượt mục đích.
5. Giữ tệp khách "phòng khi cần"
Danh sách khách tham gia minigame từ ba năm trước, file đăng ký sự kiện cũ... nếu không còn mục đích, nên xóa. Lưu quá thời hạn cần thiết cũng có mức phạt riêng.
Bằng chứng đồng ý: phần dễ bị bỏ quên nhất
Nghị định phạt cả việc không lưu nhật ký đồng ý hoặc không chứng minh được sự đồng ý. Với form trên website hay landing page, mỗi bản ghi nên lưu thời điểm, nguồn (trang nào, chiến dịch nào), nội dung câu đồng ý tại thời điểm đó và lựa chọn của người dùng. Với form khách hàng tiềm năng chạy trên Facebook hoặc TikTok, tải bản ghi và câu hỏi đồng ý về hệ thống CRM thay vì chỉ giữ trên nền tảng.
Nếu website dùng Google Ads hoặc GA4, cơ chế đồng ý cookie là một phần của bức tranh này. Bài Consent Mode v2 và đo lường khi bị từ chối cookie hướng dẫn cách vừa tôn trọng lựa chọn của người dùng vừa giữ được dữ liệu đo lường tổng hợp.
Tình huống thường gặp: tệp khách sau minigame và form quảng cáo
Một shop mỹ phẩm chạy minigame trên fanpage, yêu cầu người chơi để lại số điện thoại để nhận quà. Sau đó cả danh sách được đưa vào chiến dịch nhắn tin khuyến mãi hằng tuần. Rủi ro nằm ở chỗ người chơi chỉ đồng ý cho mục đích nhận quà, không phải nhận quảng cáo định kỳ. Cách làm đúng là thêm một ô riêng, không tích sẵn: "Tôi muốn nhận thông tin khuyến mãi qua Zalo", và chỉ đưa người tích ô này vào chiến dịch.
Tương tự, với form khách hàng tiềm năng chạy trên mạng xã hội, câu hỏi đồng ý nên nêu rõ ai sẽ liên hệ, qua kênh nào và vì mục đích gì. Khi chuyển tệp sang công cụ chăm sóc tự động, giữ lại trường thông tin đồng ý để lọc. Bài email marketing tự động hóa có gợi ý cách gắn nhãn đồng ý trong luồng gửi.
Checklist rà soát trong 30 ngày
- Liệt kê mọi điểm thu thập dữ liệu: form web, form quảng cáo, chatbot, minigame, quầy sự kiện.
- Sửa câu xin đồng ý: rõ mục đích, rõ kênh liên lạc, không tích sẵn.
- Gộp danh sách từ chối về một nơi và đồng bộ sang mọi công cụ gửi tin.
- Xóa hoặc ẩn danh các tệp không còn mục đích sử dụng.
- Rà hợp đồng với agency, đơn vị gửi tin, đơn vị telesale: ai chịu trách nhiệm khi có khiếu nại.
- Đào tạo nhân viên bán hàng không lấy số từ nhóm Facebook, không mua danh sách bên ngoài.
Doanh nghiệp nhỏ có được miễn không?
Nghị định 356/2025/NĐ-CP có thời gian ân hạn 5 năm từ 1/1/2026 cho doanh nghiệp nhỏ và khởi nghiệp với một số nghĩa vụ. Tuy nhiên, theo VCCI, ân hạn không áp dụng cho đơn vị cung cấp dịch vụ xử lý dữ liệu hoặc trực tiếp xử lý dữ liệu nhạy cảm, và bài viết nêu đích danh nhóm marketing số. Ân hạn cũng không có nghĩa là được bỏ qua sự đồng ý của khách hàng. Vì vậy, các thói quen ở trên vẫn nên sửa dù công ty bạn chỉ có vài nhân sự.
Bài viết mang tính tham khảo, không thay thế tư vấn pháp lý cho trường hợp cụ thể.
Câu hỏi thường gặp
Nghị định 330/2026/NĐ-CP có hiệu lực từ khi nào?
Theo VOV, nghị định ban hành và có hiệu lực từ ngày 19/8/2026, quy định xử phạt vi phạm hành chính về an ninh mạng và bảo vệ dữ liệu cá nhân.
Gửi tin nhắn quảng cáo cho khách cũ có bị phạt không?
Nếu khách đã đồng ý nhận tin cho mục đích đó và chưa rút lại thì có thể gửi. Gửi khi chưa có đồng ý hoặc sau khi khách đã yêu cầu ngừng có thể bị phạt từ 30 đến 70 triệu đồng tùy hành vi.
Mua data khách hàng để chạy quảng cáo có hợp pháp không?
Dữ liệu mua từ bên ngoài thường không có sự đồng ý của chủ thể cho mục đích của bạn, nên rủi ro vi phạm rất cao. Ngoài phạt hành chính, mua bán dữ liệu cá nhân trái phép còn có thể bị xử lý hình sự.
Form có ô đồng ý tích sẵn có vi phạm không?
Có rủi ro. Nghị định 330 liệt kê việc thiết lập đồng ý mặc định hoặc diễn đạt gây nhầm lẫn giữa đồng ý và từ chối trong nhóm hành vi bị phạt 30–50 triệu đồng.
