Chính sách bảo mật website: Nội dung bắt buộc theo Luật Bảo vệ dữ liệu cá nhân 2025

Chính sách bảo mật website (privacy policy) không còn là trang "cho có" ở chân website. Từ ngày 01/01/2026, khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực, cùng với Nghị định 330/2026/NĐ-CP về xử phạt có hiệu lực từ ngày 19/8/2026, nội dung chính sách bảo mật trở thành căn cứ để cơ quan chức năng đánh giá doanh nghiệp có minh bạch và có thu thập sự đồng ý hợp lệ hay không. Bài viết này phân tích những nội dung bắt buộc phải có trong chính sách bảo mật theo pháp luật dữ liệu cá nhân hiện hành, kèm lưu ý thực tiễn khi soạn thảo.

1. Vì sao website phải có chính sách bảo mật?

Hầu hết website đều thu thập dữ liệu cá nhân: họ tên, số điện thoại, email qua form tư vấn; địa chỉ giao hàng; cookie, mã định danh quảng cáo qua công cụ phân tích và remarketing. Theo Luật Bảo vệ dữ liệu cá nhân 2025, đó đều là hoạt động xử lý dữ liệu cá nhân, và doanh nghiệp sở hữu website thường đóng vai trò bên kiểm soát dữ liệu (hoặc bên kiểm soát và xử lý dữ liệu).

Chính sách bảo mật là văn bản không thể thiếu vì:

• Điều kiện để sự đồng ý có hiệu lực. Theo khoản 2 Điều 9 Luật 91/2025/QH15, sự đồng ý chỉ có hiệu lực khi chủ thể tự nguyện và biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát dữ liệu và quyền, nghĩa vụ của mình.
• Quyền được biết của chủ thể dữ liệu. Điểm a khoản 1 Điều 4 của Luật ghi nhận quyền được biết về hoạt động xử lý dữ liệu cá nhân của mình.
• Chế tài cụ thể. Nghị định 330/2026/NĐ-CP đặt khung phạt riêng cho hành vi thiếu minh bạch, đồng ý mặc định, không lưu bằng chứng đồng ý, theo dõi để quảng cáo khi chưa có đồng ý.

Với website thương mại điện tử, Luật Thương mại điện tử số 122/2025/QH15 (hiệu lực từ 01/7/2026) và các văn bản hướng dẫn còn đặt thêm yêu cầu riêng về minh bạch thông tin, cần rà soát song song. Tổng quan về nghĩa vụ chung, bạn có thể đọc thêm bài Luật Bảo vệ dữ liệu cá nhân: Doanh nghiệp cần tuân thủ những gì?.

2. Các nội dung bắt buộc trong chính sách bảo mật website

Pháp luật không ban hành mẫu chính sách bảo mật chung, nhưng đối chiếu Luật 91/2025/QH15 có thể xác định các nhóm nội dung tối thiểu sau.

2.1. Thông tin về bên kiểm soát dữ liệu

Ghi rõ tên doanh nghiệp, mã số doanh nghiệp, trụ sở, đầu mối liên hệ về dữ liệu cá nhân (email, điện thoại), kể cả bộ phận hoặc nhân sự bảo vệ dữ liệu nếu đã chỉ định.

2.2. Loại dữ liệu cá nhân được thu thập

Liệt kê theo từng kênh: form liên hệ, tài khoản thành viên, giỏ hàng, chat, cookie. Cần tách riêng dữ liệu nhạy cảm (nếu có), vì Nghị định 356/2025/NĐ-CP đã mở rộng danh mục này, gồm cả dữ liệu tài khoản, giao dịch ngân hàng và dữ liệu theo dõi hành vi trên dịch vụ trực tuyến. Không thông báo việc xử lý dữ liệu nhạy cảm là hành vi bị xử phạt.

2.3. Mục đích xử lý – tách theo từng mục đích

Theo khoản 4 Điều 9, sự đồng ý phải được thực hiện riêng cho từng mục đích và không được ép chủ thể đồng ý với các mục đích khác ngoài nội dung đã thỏa thuận. Vì vậy, chính sách bảo mật nên tách rõ:

• Cung cấp dịch vụ, thực hiện hợp đồng;
• Chăm sóc khách hàng, gửi thông báo;
• Tiếp thị, quảng cáo, remarketing (phải có lựa chọn đồng ý riêng, không gộp với việc đặt hàng);
• Phân tích, cải thiện sản phẩm.

2.4. Căn cứ xử lý

Ngoài sự đồng ý, Điều 19 liệt kê các trường hợp xử lý không cần sự đồng ý. Chính sách nên nêu căn cứ cho từng hoạt động, tránh viện dẫn chung chung "theo quy định pháp luật".

2.5. Bên nhận dữ liệu và chuyển dữ liệu ra nước ngoài

Nêu các nhóm bên thứ ba nhận dữ liệu (vận chuyển, cổng thanh toán, hosting, email marketing, CRM, nền tảng quảng cáo). Nếu máy chủ hoặc công cụ đặt ở nước ngoài, đó là chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20, kéo theo nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới. Đây là nhóm vi phạm có mức phạt tối đa cao nhất (đến 5% doanh thu năm trước liền kề đối với tổ chức).

2.6. Thời gian lưu trữ và cách xóa, hủy dữ liệu

Nêu thời hạn hoặc tiêu chí lưu trữ cho từng nhóm dữ liệu và cách xóa, hủy, khử nhận dạng khi hết mục đích (Điều 14).

2.7. Quyền của chủ thể dữ liệu và cách thực hiện

Khoản 1 Điều 4 ghi nhận các quyền: được biết; đồng ý, không đồng ý, rút lại sự đồng ý; xem, chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý; phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường. Chính sách cần hướng dẫn cách gửi yêu cầu (biểu mẫu, email) và cam kết xử lý trong thời hạn theo Nghị định 356/2025/NĐ-CP.

2.8. Cookie và công nghệ theo dõi

Mô tả loại cookie (cần thiết, phân tích, quảng cáo) và cách từ chối. Cookie quảng cáo chỉ nên kích hoạt sau khi người dùng đồng ý, vì im lặng hoặc không phản hồi không được coi là đồng ý (khoản 4 Điều 9).

2.9. Biện pháp bảo vệ và thông báo vi phạm

Mô tả tổng quát biện pháp kỹ thuật, quản lý (mã hóa, phân quyền, sao lưu) và cam kết thông báo khi xảy ra vi phạm: theo Điều 23, trường hợp thuộc diện phải thông báo, bên kiểm soát dữ liệu phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện.

2.10. Hiệu lực và cập nhật chính sách

Ghi ngày hiệu lực, lịch sử phiên bản, cách thông báo khi thay đổi; mục đích mới cần sự đồng ý mới.

3. Bảng kiểm tra nhanh nội dung chính sách bảo mật

Nội dung	Căn cứ chính (Luật 91/2025/QH15)	Rủi ro nếu thiếu
Thông tin bên kiểm soát dữ liệu	Khoản 2 Điều 9	Sự đồng ý có thể không có hiệu lực
Loại dữ liệu, mục đích xử lý	Khoản 2, khoản 4 Điều 9	Bị coi là thiếu minh bạch
Đồng ý riêng cho tiếp thị	Khoản 4 Điều 9	Xử phạt hành vi gộp đồng ý
Quyền chủ thể và kênh yêu cầu	Điều 4, Điều 10	Xử phạt không đáp ứng yêu cầu chủ thể
Bên nhận, chuyển dữ liệu ra nước ngoài	Điều 17, Điều 20	Phạt tối đa đến 5% doanh thu
Lưu trữ, xóa dữ liệu	Điều 14	Lưu trữ quá mục đích
Cookie, theo dõi hành vi	Điều 9	Xử phạt theo dõi quảng cáo không đồng ý
Thông báo vi phạm 72 giờ	Điều 23	Xử phạt chậm thông báo

4. Mức xử phạt cần biết

Điều 8 Luật 91/2025/QH15 đặt mức phạt tiền tối đa đối với tổ chức:

• Mua, bán dữ liệu cá nhân: tối đa 10 lần khoản thu có được từ hành vi vi phạm;
• Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới: tối đa 5% doanh thu năm trước liền kề;
• Các hành vi vi phạm khác: tối đa 03 tỷ đồng.

Cá nhân vi phạm chịu mức phạt tối đa bằng một phần hai mức phạt đối với tổ chức (khoản 6 Điều 8).

Nghị định 330/2026/NĐ-CP cụ thể hóa khung phạt cho từng hành vi. Một số ví dụ liên quan trực tiếp đến website: xử lý dữ liệu không có sự đồng ý, đồng ý mặc định hoặc thiếu bằng chứng đồng ý có khung phạt từ 30–50 triệu đồng; coi im lặng là đồng ý hoặc tiếp tục xử lý sau khi chủ thể yêu cầu dừng có khung phạt 50–70 triệu đồng; theo dõi hoạt động của khách hàng trên website, ứng dụng để quảng cáo hành vi, cá nhân hóa mà không có sự đồng ý có khung phạt 50–70 triệu đồng. Ngoài phạt tiền, doanh nghiệp còn có thể phải bồi thường thiệt hại.

5. Lưu ý thực tiễn khi soạn chính sách bảo mật

Thứ nhất, không sao chép chính sách của website khác. Mỗi website dùng công cụ khác nhau; chính sách sao chép thường mô tả sai thực tế xử lý và trở thành bằng chứng thiếu minh bạch.

Thứ hai, chính sách phải khớp với kỹ thuật. Nếu chính sách nói "chỉ dùng cookie quảng cáo khi bạn đồng ý" nhưng pixel quảng cáo đã chạy ngay khi tải trang, doanh nghiệp vẫn vi phạm.

Thứ ba, lưu bằng chứng đồng ý. Khoản 3 Điều 9 yêu cầu sự đồng ý được thể hiện bằng cách thức có thể in, sao chép thành văn bản, bao gồm dạng điện tử hoặc định dạng kiểm chứng được. Nên lưu thời điểm, phiên bản chính sách và lựa chọn của người dùng; ô tích đồng ý để trống mặc định.

Thứ tư, đồng bộ với hợp đồng với bên xử lý dữ liệu. Agency, đơn vị vận hành website, nhà cung cấp phần mềm thường là bên xử lý dữ liệu; hợp đồng với họ cần điều khoản bảo vệ dữ liệu và nghĩa vụ thông báo sự cố. Luật Taga hỗ trợ tư vấn soạn thảo hợp đồng xử lý dữ liệu, hợp đồng dịch vụ có điều khoản bảo mật phù hợp luật mới.

Thứ năm, xác định nghĩa vụ đánh giá tác động. Điều 21 yêu cầu lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý. Theo Điều 38, doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc chưa thực hiện nghĩa vụ tại Điều 21, Điều 22 và khoản 2 Điều 33 trong 05 năm kể từ ngày Luật có hiệu lực; hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ này. Ngoại lệ không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể. Lưu ý: ưu đãi này không miễn nghĩa vụ có chính sách bảo mật minh bạch và xin đồng ý hợp lệ.

Để hiểu thêm quyền riêng tư của khách hàng ở góc độ dân sự và thương mại, xem bài Pháp luật về quyền riêng tư và bảo mật thông tin khách hàng tại Việt Nam. Với doanh nghiệp bán hàng trực tuyến, tham khảo thêm Pháp lý cho doanh nghiệp kinh doanh trên sàn thương mại điện tử.

Căn cứ pháp lý

• Bộ luật Dân sự số 91/2015/QH13 (Điều 38 về quyền về đời sống riêng tư, bí mật cá nhân);
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ 01/01/2026;
• Luật Thương mại điện tử số 122/2025/QH15, hiệu lực từ 01/7/2026;
• Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, hiệu lực từ 01/01/2026 (thay thế Nghị định 13/2023/NĐ-CP);
• Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, hiệu lực từ 19/8/2026.

Kết luận

Chính sách bảo mật website theo pháp luật hiện hành phải phản ánh đúng thực tế xử lý dữ liệu, tách bạch mục đích, hướng dẫn rõ quyền của chủ thể dữ liệu và đi kèm cơ chế đồng ý có thể kiểm chứng. Văn bản sao chép, chung chung có thể trở thành bằng chứng vi phạm khi bị kiểm tra.

Luật Taga hỗ trợ doanh nghiệp rà soát hiện trạng, soạn thảo chính sách bảo mật, điều khoản sử dụng, mẫu đồng ý và hợp đồng xử lý dữ liệu phù hợp Luật Bảo vệ dữ liệu cá nhân 2025 và các nghị định hướng dẫn. Liên hệ hotline 0968 856 464 hoặc gửi yêu cầu qua trang liên hệ để được luật sư tư vấn.