5 dấu hiệu website của bạn đang thu thập dữ liệu khách hàng sai Luật Bảo vệ dữ liệu cá nhân (PDPL)

Bạn đã có banner cookie. Bạn đã có form đăng ký nhận newsletter. Website trông có vẻ ổn.

Nhưng “trông có vẻ ổn” và “đúng luật” là hai chuyện khác nhau — và khoảng cách giữa hai điều đó, kể từ ngày 1/1/2026, có thể là mức phạt lên tới 3 tỷ đồng hoặc 5% tổng doanh thu hàng năm theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.

Phần lớn website đang vi phạm không phải vì cố ý — mà vì các lỗi này rất nhỏ, rất phổ biến, và trông hoàn toàn bình thường nếu bạn không biết mình cần tìm gì.

Dưới đây là 5 dấu hiệu cụ thể. Không cần luật sư, không cần kiểm toán — bạn có thể tự kiểm tra ngay trên trình duyệt trong 5 phút.

Dấu hiệu 1: Banner cookie của bạn không có nút “Từ chối” dễ thấy

Mở website của bạn trong cửa sổ ẩn danh (Incognito). Cái đầu tiên hiện ra là gì?

Nếu bạn thấy banner cookie chỉ có một nút to rõ màu sắc nổi bật ghi “Đồng ý” hoặc “Chấp nhận tất cả” — trong khi không có nút “Từ chối”, hoặc nút từ chối nhỏ hơn, mờ hơn, phải click thêm một bước mới ra — đó là dấu hiệu đầu tiên.

Vì sao sai? Luật yêu cầu sự đồng ý phải tự nguyện. Thiết kế khiến “Đồng ý” dễ bấm hơn “Từ chối” về mặt kỹ thuật là tạo ra áp lực không rõ ràng — điều mà cơ quan quản lý tại nhiều quốc gia áp dụng GDPR đã xử phạt, và Việt Nam đang đi theo hướng tương tự.

Kiểm tra nhanh: Nút “Từ chối” có hiện ngay trên màn hình đầu tiên không, hay phải click “Tùy chỉnh” mới tìm được?

Đúng chuẩn trông như thế nào: Cả hai lựa chọn — đồng ý và từ chối — hiện rõ ngay lần đầu, cùng cỡ chữ, cùng dễ thấy. Người dùng không cần thêm bước nào để từ chối.

Dấu hiệu 2: Checkbox đăng ký nhận tin của bạn được tick sẵn mặc định

Vào trang đăng ký tài khoản hoặc đặt hàng của bạn. Cuộn xuống phần checkbox. Bạn có thấy ô “Tôi đồng ý nhận email khuyến mãi” — và ô đó đang được tick sẵn?

Nếu có, đây là lỗi vi phạm trực tiếp.

Vì sao sai? Theo Luật 91/2025/QH15, im lặng hoặc không phản hồi không được coi là sự đồng ý. Một checkbox được tick sẵn là doanh nghiệp tự đồng ý thay cho khách hàng — hoàn toàn không hợp lệ về pháp lý.

Kiểm tra nhanh: Mở trang đăng ký và điền thông tin mà không chủ động tick thêm bất kỳ ô nào. Sau khi hoàn tất, bạn có nhận được email marketing không?

Đúng chuẩn trông như thế nào: Tất cả checkbox marketing đều ở trạng thái chưa tick. Người dùng phải chủ động chọn nếu muốn nhận. Tỷ lệ opt-in có thể giảm — nhưng chất lượng danh sách và sự an toàn pháp lý tăng lên đáng kể.

Dấu hiệu 3: Bạn không biết khách hàng X đã đồng ý gì, vào ngày nào

Thử tự hỏi mình câu này: Nếu sáng mai có cơ quan quản lý liên hệ và hỏi “khách hàng Nguyễn Văn A đã đồng ý cho phép dùng dữ liệu của họ vào ngày nào, với nội dung điều khoản gì” — bạn có thể trả lời trong 2 ngày làm việc không?

Nếu câu trả lời là “có lẽ, nhưng phải hỏi IT” hoặc “không chắc” — đây là dấu hiệu thứ ba và nghiêm trọng nhất.

Vì sao sai? Luật yêu cầu doanh nghiệp phải lưu trữ bằng chứng sự đồng ý và có trách nhiệm chứng minh khi có tranh chấp. Không có audit log, không có lịch sử phiên bản điều khoản, không có dấu thời gian — là không có bằng chứng.

Kiểm tra nhanh: Vào CRM hoặc hệ thống quản lý khách hàng, tìm một record bất kỳ. Có trường nào ghi “đồng ý ngày…/ điều khoản phiên bản…/ kênh thu thập…” không?

Đúng chuẩn trông như thế nào: Mỗi lần khách đồng ý hoặc từ chối đều tạo ra một dòng ghi nhận: timestamp, nội dung chính sách khách được xem tại thời điểm đó, kênh thu thập (web form, app, call center…). Dữ liệu này được lưu độc lập và có thể xuất báo cáo bất cứ lúc nào.

Dấu hiệu 4: Khách hàng không có cách nào tự rút lại sự đồng ý

Mở email từ newsletter của bạn. Tìm link “Hủy đăng ký” hoặc “Unsubscribe”. Bấm vào đó — điều gì xảy ra?

Nếu: trang hiện ra yêu cầu đăng nhập tài khoản mới hủy được; hoặc phải điền email lần nữa; hoặc có thông báo “yêu cầu của bạn đã được ghi nhận, chúng tôi sẽ xử lý trong 5–7 ngày làm việc” — đây là dấu hiệu thứ tư.

Giờ thử câu hỏi khó hơn: nếu khách muốn rút lại sự đồng ý với cookie phân tích hoặc quyền chia sẻ dữ liệu với đối tác — họ làm điều đó ở đâu trên website của bạn?

Vì sao sai? Theo Nghị định 356/2025/NĐ-CP, doanh nghiệp có 2 ngày làm việc để phản hồi và 15–20 ngày để thực hiện yêu cầu rút lại sự đồng ý. Nếu không có cơ chế tự phục vụ, mọi yêu cầu đều phải xử lý thủ công — vừa không đáp ứng được thời hạn, vừa tạo rủi ro sai sót.

Kiểm tra nhanh: Thử tự gửi yêu cầu “xóa dữ liệu của tôi” đến email hỗ trợ của chính công ty bạn. Quy trình nội bộ xử lý request đó như thế nào? Ai chịu trách nhiệm? Mất bao lâu?

Đúng chuẩn trông như thế nào: Khách hàng có thể truy cập một trang “Quản lý quyền riêng tư” hoặc “Tùy chỉnh consent” mà không cần đăng nhập. Từ đó họ có thể xem, chỉnh sửa, hoặc rút lại từng loại đồng ý một cách độc lập. Hệ thống tự động đồng bộ lựa chọn này xuống CRM và các công cụ marketing trong thời gian thực.

Dấu hiệu 5: Form thu thông tin nhạy cảm nhưng không nói rõ sẽ dùng để làm gì

Vào form đặt lịch tư vấn, form đăng ký vay, form nhập địa chỉ giao hàng, hoặc bất kỳ form nào thu thập thông tin ngoài họ tên và email cơ bản. Đọc kỹ các trường thông tin và phần mô tả bên dưới (nếu có).

Câu hỏi: người dùng có biết tại sao bạn cần thông tin đó và sẽ dùng nó để làm gì không?

“Nhập địa chỉ để giao hàng” — ổn. “Nhập địa chỉ” — mơ hồ. “Nhập địa chỉ” kèm nhỏ xíu bên dưới “Bằng cách tiếp tục, bạn đồng ý với điều khoản của chúng tôi” — không ổn.

Vì sao sai? Luật yêu cầu consent phải cụ thể theo từng mục đích. Câu “đồng ý với điều khoản” không thể là căn cứ pháp lý cho tất cả mọi cách bạn dự định xử lý dữ liệu — đặc biệt với dữ liệu nhạy cảm như vị trí, thông tin tài chính, hay dữ liệu sức khỏe.

Kiểm tra nhanh: Với mỗi trường thông tin trong form, tự hỏi: “Người dùng có biết dữ liệu này sẽ được dùng để làm X không? Họ có đồng ý riêng với mục đích X đó không?”

Đúng chuẩn trông như thế nào: Mỗi nhóm mục đích sử dụng có hộp chọn riêng, với mô tả ngắn gọn và rõ ràng: “Chúng tôi dùng địa chỉ này để giao hàng và — nếu bạn đồng ý — để gợi ý cửa hàng gần bạn trong các lần sau.” Hai mục đích, hai checkbox.

Bạn phát hiện ra 1 trong 5 dấu hiệu — tiếp theo là gì?

Tin tốt: những lỗi này đều có thể sửa được. Và sửa đúng cách ngay từ đầu dễ hơn rất nhiều so với vá sau khi có sự cố.

Tin thực tế: sửa từng điểm riêng lẻ chỉ giải quyết phần ngọn. Vấn đề gốc rễ là không có một hệ thống quản lý sự đồng ý tập trung — để consent được thu đúng cách ở mọi kênh, lưu trữ có bằng chứng, và đồng bộ tới mọi công cụ đang dùng dữ liệu đó.

Đó chính xác là bài toán mà một Consent Management Platform (CMP) được xây dựng để giải quyết.

Tóm tắt nhanh — 5 dấu hiệu cần kiểm tra

Cập nhật: tháng 7/năm 2026. Bài viết tổng hợp thông tin từ Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Không phải tư vấn pháp lý — doanh nghiệp nên tham khảo thêm ý kiến của bộ phận pháp chế hoặc luật sư chuyên ngành trước khi đưa ra quyết định cụ thể.

Đọc tiếp:

• Thu thập dữ liệu khách hàng trên website: làm sao để đúng luật PDPL mà không làm gián đoạn Marketing?

Thông tin thêm về giải pháp CMP do FPT phát triển:
Giải pháp CMP (nền tảng quản lý sự đồng ý của người dùng) của FPT giúp doanh nghiệp quản lý toàn bộ quá trình xin phép và sử dụng dữ liệu khách hàng một cách minh bạch, có hệ thống. Mọi sự đồng ý đều được ghi nhận và lưu trữ đầy đủ, giúp doanh nghiệp tuân thủ quy định, giảm rủi ro pháp lý và vận hành hiệu quả hơn.

Để bắt đầu khám phá giải pháp phù hợp với nhu cầu doanh nghiệp, hãy để lại thông tin ở cuối trang để kết nối với các chuyên gia FPT.