Bán hàng qua Facebook, Zalo có phải lo luật dữ liệu cá nhân không?

"Tôi không có website thì liên quan gì?"

Nhiều chủ shop online tin luật dữ liệu cá nhân là chuyện của website có form, có cookie. Shop chỉ bán qua trang Facebook, Zalo, TikTok Shop thì nghĩ "dữ liệu nằm ở Facebook, Zalo, không phải ở tôi".

Thực tế, mỗi lần chốt đơn bạn đều nhận dữ liệu cá nhân của khách: họ tên, số điện thoại, địa chỉ. Nghị định 356/2025/NĐ-CP, Điều 3 xếp cả ba vào danh mục dữ liệu cá nhân cơ bản. Bạn chép chúng ra ngoài nền tảng, gọi lại, nhắn khuyến mãi. Phần việc đó là của shop, không phải của Facebook hay Zalo.

Dữ liệu khách đi qua những đâu

Lấy shop gốm Hà Linh (shop tưởng tượng) hồi chưa có website. Shop bán qua trang Facebook và Zalo. Ba bạn nhân viên trả lời tin nhắn trên điện thoại riêng. Đơn chốt xong được chép vào một bảng tính "Đơn hàng 2026", chia sẻ bằng chế độ "ai có đường link đều xem được" cho tiện.

Ba việc đáng làm nhất

1. Một tin nhắn chào nói rõ dùng dữ liệu làm gì

Luật 91/2025/QH15, Điều 9 khoản 2: sự đồng ý chỉ có hiệu lực khi khách tự nguyện và biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát dữ liệu, và các quyền, nghĩa vụ của mình. Với shop bán qua tin nhắn, chỗ dễ nói nhất là tin nhắn trả lời tự động.

Mẫu tham khảo (cần sửa theo shop và chờ luật sư duyệt):

Shop gốm Hà Linh dùng tên, số điện thoại và địa chỉ bạn gửi để xác nhận và giao đơn hàng này, và chỉ chuyển cho hãng giao hàng phần cần để giao. Shop chỉ gửi khuyến mãi khi bạn đồng ý. Bạn có thể yêu cầu xem, sửa hoặc xoá thông tin của mình bất kỳ lúc nào bằng cách nhắn "XOÁ THÔNG TIN". Chính sách bảo vệ dữ liệu cá nhân của shop: [link chính sách của shop].

2. Hỏi riêng trước khi gửi khuyến mãi

Giao đơn và gửi khuyến mãi là hai mục đích khác nhau. Luật 91/2025/QH15, Điều 9 khoản 4 đòi đồng ý theo từng mục đích, và im lặng không phải là đồng ý. Một câu hỏi riêng là đủ: "Bạn có muốn nhận tin khi shop về mẫu bình mới không? Trả lời CÓ nếu đồng ý." Với email, bản tin, xem gửi email marketing: xin đồng ý thế nào.

Giữ lại tin trả lời "CÓ" đó. Nghị định 356/2025/NĐ-CP, Điều 6 đòi kiểm chứng được ai đã đồng ý, lúc nào, đồng ý điều gì, và bên kiểm soát phải lưu sự đồng ý. Coi việc khách không trả lời là đồng ý bị phạt 50–70 triệu đồng với tổ chức (Nghị định 330/2026/NĐ-CP, Điều 43 khoản 2 điểm b; cá nhân bị phạt một nửa).

3. Che thông tin khi đăng feedback

Ảnh chụp màn hình tin nhắn khách khen là cách quảng bá quen thuộc. Nhưng trong ảnh thường có tên, ảnh đại diện, đôi khi cả số điện thoại và địa chỉ. Đăng công khai để quảng cáo là dùng dữ liệu của khách vào một mục đích mới mà khách chưa đồng ý. Chưa có hướng dẫn chi tiết nói riêng về ảnh feedback, nên cách an toàn là che hết những gì nhận ra được người khách, hoặc hỏi khách trước.

Những việc không nên làm

• Không đổi hay bán danh sách khách với shop khác, kể cả để "quảng bá chéo". Mua bán dữ liệu cá nhân là hành vi bị cấm (Luật 91/2025/QH15, Điều 7, trừ trường hợp luật khác quy định). Xem mua bán dữ liệu cá nhân bị phạt thế nào.
• Không mua "data khách hàng" để nhắn tin chào hàng.
• Không giữ file đơn mãi mãi. Luật yêu cầu chỉ lưu trong thời gian phù hợp mục đích và xoá khi xong mục đích (Luật 91/2025/QH15, Điều 3, Điều 14). Bạn tự chọn mốc, ví dụ hết thời gian đổi trả.

Khi khách nhắn "XOÁ THÔNG TIN", bạn phải phản hồi trong 02 ngày làm việc và xoá trong 20 ngày (Nghị định 356/2025/NĐ-CP, Điều 5 khoản 4). Xoá ở cả bảng tính, danh bạ và nhóm chat.

Hộ kinh doanh được miễn gì

Luật 91/2025/QH15, Điều 38 cho hộ kinh doanh và doanh nghiệp siêu nhỏ không phải lập hồ sơ đánh giá tác động và không phải chỉ định nhân sự bảo vệ dữ liệu. Các việc trong bài này không nằm trong phần được miễn. Miễn trừ cũng không áp cho bên trực tiếp xử lý dữ liệu nhạy cảm, bên xử lý dữ liệu của từ 100 nghìn người trở lên, hay bên kinh doanh dịch vụ xử lý dữ liệu. Chi tiết ở doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ không.

Khi shop mở website

Khi có website và gắn Pixel để chạy quảng cáo, shop có thêm một luồng dữ liệu không nhìn thấy bằng mắt: trình duyệt của khách gửi việc khách đang xem món nào thẳng cho Meta, TikTok, trước khi khách nhắn chữ nào. Theo cách hiểu thận trọng của chúng tôi (chưa có hướng dẫn chi tiết), đó là lúc nên có banner xin đồng ý. Đọc tiếp Facebook Pixel có vi phạm luật không hoặc trang ai thu dữ liệu khách.

Bạn cần làm gì

• Đặt tin nhắn chào tự động nói rõ shop dùng tên, số, địa chỉ để làm gì.
• Hỏi riêng trước khi gửi khuyến mãi, và giữ lại câu trả lời đồng ý.
• Khoá bảng tính đơn hàng: chỉ chia sẻ cho từng tài khoản nhân viên.
• Khi nhân viên nghỉ, thu lại quyền vào bảng tính, Zalo, trang Facebook của shop.
• Che thông tin khách trên ảnh feedback.
• Không đổi, bán, mua danh sách khách.
• Đặt mốc xoá đơn cũ, và xử lý yêu cầu xoá trong thời hạn.

Chưa có chính sách để ghim lên trang? Bộ tạo chính sách miễn phí của DuLieuCaNhan.vn soạn bản tiếng Việt từ vài câu trả lời, bạn sửa lại theo shop mình. Khi đã có website, dán địa chỉ vào máy quét miễn phí ở trang chủ để xem trang đang gửi dữ liệu cho ai.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 3, 7, 9, 14, 38.
• Nghị định 356/2025/NĐ-CP: Điều 3 (dữ liệu cơ bản), Điều 5 khoản 4 (thời hạn xoá), Điều 6 (lưu và kiểm chứng sự đồng ý).
• Nghị định 330/2026/NĐ-CP, Điều 43 khoản 2 điểm b: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.