Bỏ qua tới nội dung chính
DuLieuCaNhan.vn

Chính sách bảo vệ dữ liệu cá nhân cho website cần có những gì

Chính sách bảo vệ dữ liệu cá nhân của website nên ghi: thu gì, để làm gì, lưu bao lâu, chia sẻ cho ai, quyền của khách và cách liên hệ. Có mục tạo sẵn.

Bản Markdown của bài

Trả lời nhanh

Chính sách bảo vệ dữ liệu cá nhân là trang trên website nói cho khách biết: bạn thu những gì, để làm gì, giữ bao lâu, chia sẻ cho ai, có gửi ra nước ngoài không, khách có quyền gì và gửi yêu cầu ở đâu. Luật cho khách quyền được biết (Luật 91/2025/QH15, Điều 4), nên chính sách là nơi trả lời quyền đó. Nó không thay cho việc xin đồng ý.

Vì sao website nào cũng nên có?

Nhiều chủ doanh nghiệp nghĩ chỉ cần ghi chính sách khi thu CCCD. Thực ra dữ liệu cá nhân trên website nhiều hơn thế: tên và số điện thoại trong form liên hệ, email nhận bản tin, và cả dữ liệu mà và tự gửi đi mà khách không gõ gì. Chính sách phải nói hết những thứ này.

Ví dụ phòng khám nha khoa Nụ Cười (tưởng tượng): form đặt lịch hỏi tên, số điện thoại, tình trạng răng miệng. Thông tin sức khoẻ thường thuộc nhóm nhạy cảm (Luật 91/2025/QH15 có điều riêng về sức khoẻ, Điều 26, chi tiết chưa đối chiếu nên bài này không đi sâu). Phòng khám cần nói rõ dữ liệu này dùng vào đâu và ai được xem.

Chính sách nên có những mục nào?

MụcViết gì
1. Bạn là aiTên doanh nghiệp, địa chỉ, người chịu trách nhiệm. Đây là .
2. Thu những gìLiệt kê thật: họ tên, số điện thoại, email, địa chỉ giao hàng; dữ liệu tự động như IP, thiết bị, cookie, Pixel. Tách dữ liệu khách tự nhập và dữ liệu thu tự động.
3. Dùng để làm gìTừng mục đích riêng: xử lý đơn, chăm sóc khách, quảng cáo, đo lường website. Marketing tách khỏi xử lý đơn.
4. Cơ sở xử lýKhách đồng ý, hoặc trường hợp khác mà luật cho phép (xem Điều 19, nên hỏi luật sư trường hợp cụ thể).
5. Lưu bao lâuGhi thời hạn cho từng loại dữ liệu, hoặc tiêu chí tính thời hạn. Chúng tôi chưa thấy số ngày chung nào do luật ấn định cho mọi trường hợp.
6. Chia sẻ cho aiĐơn vị vận chuyển, cổng thanh toán, nền tảng quảng cáo (Meta, TikTok, Google), đơn vị lưu trữ. Ghi tên loại đối tác; xem chia sẻ dữ liệu cho đối tác cần thoả thuận gì. Bạn không bán dữ liệu, vì mua bán dữ liệu cá nhân bị cấm (Điều 7).
7. Chuyển ra nước ngoàiNếu dùng Facebook, Google, máy chủ nước ngoài thì nói rõ. Xem bài về chuyển dữ liệu ra nước ngoài.
8. Quyền của kháchGồm các quyền chính như: được biết; đồng ý, không đồng ý, rút lại đồng ý; xem, chỉnh sửa; yêu cầu cung cấp, xoá, hạn chế xử lý; phản đối; khiếu nại.
9. Cách gửi yêu cầuEmail hoặc form riêng, ai nhận, bao lâu trả lời.
10. Liên hệEmail, số điện thoại, địa chỉ.
11. Ngày cập nhậtGhi ngày chỉnh sửa gần nhất.

Viết mục "quyền của khách" và "gửi yêu cầu" cho dễ làm theo

Đừng chỉ chép tên quyền. Hãy cho khách cách làm:

Muốn xem, sửa, xoá dữ liệu hoặc rút lại đồng ý, bạn gửi email tới [email của bạn] ghi rõ họ tên và số điện thoại đã dùng. Chúng tôi trả lời trong thời hạn luật quy định.

Theo Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026), thời hạn xử lý yêu cầu: rút lại đồng ý, hạn chế xử lý, phản đối thì phản hồi trong 2 ngày làm việc và thực hiện trong 15 ngày; xem, chỉnh sửa, cung cấp dữ liệu trong 10 ngày; xoá dữ liệu trong 20 ngày. Chi tiết xem bài thời hạn trả lời yêu cầu dữ liệu. Bạn nên có người nhận yêu cầu và quy trình trước khi ghi các thời hạn vào chính sách.

Những lỗi hay gặp

  • Chép chính sách của website khác rồi không sửa: ghi "chúng tôi không dùng cookie" trong khi trang có Pixel.
  • Ghi chung chung "phục vụ mục đích kinh doanh", không nói rõ.
  • Không nhắc dữ liệu tự động (cookie, Pixel, IP).
  • Chính sách ghi một đằng, website làm một nẻo: chính sách nói "chỉ dùng cookie sau khi bạn đồng ý" nhưng Pixel vẫn chạy ngay khi mở trang.
  • Để chính sách ở chân trang, không có link ở banner và ở form.

Cách tránh lỗi cuối: chạy máy quét miễn phí ở trang chủ để biết website thật sự gọi những dịch vụ nào, rồi viết chính sách theo kết quả đó.

Bạn cần làm gì

  • Liệt kê dữ liệu website thu (form, cookie, Pixel).
  • Viết rõ từng mục đích, tách marketing.
  • Ghi thời gian lưu, bên nhận dữ liệu, việc chuyển ra nước ngoài.
  • Ghi cách khách gửi yêu cầu, và có người xử lý.
  • Đặt link chính sách ở banner, form, chân trang.
  • Cập nhật khi thêm công cụ mới.

Chưa có chính sách? Dùng công cụ tạo chính sách miễn phí, sau đó đọc lại để chắc nó đúng với website của bạn.

Căn cứ pháp lý

  • Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 4 (quyền của chủ thể dữ liệu), Điều 7 (hành vi bị nghiêm cấm), Điều 9, 10, 19, 20.
  • Nghị định 356/2025/NĐ-CP (thời hạn xử lý yêu cầu, theo bản tin EY 3/2026).

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.

Câu hỏi thường gặp

Website nhỏ có cần chính sách bảo vệ dữ liệu cá nhân không?

Nên có. Luật cho chủ thể dữ liệu quyền được biết (Luật 91/2025/QH15, Điều 4). Chính sách là nơi bạn nói cho khách biết dữ liệu được dùng ra sao.

Chính sách phải dài bao nhiêu?

Chúng tôi chưa thấy quy định về độ dài. Quan trọng là đủ ý, viết dễ hiểu, đúng với việc website làm thật.

Copy chính sách của website khác có được không?

Không nên. Chính sách phải đúng với những gì website của bạn thật sự thu và gửi đi. Chép của người khác dễ ghi sai hoặc thiếu.

Chính sách thay cho banner cookie được không?

Không. Chính sách là thông tin. Với Pixel và cookie theo dõi, vẫn cần xin đồng ý trước khi chạy.

Nguồn

  1. 1.Luật Bảo vệ dữ liệu cá nhân 2025 (toàn văn)thuvienphapluat.vn
  2. 2.Nghị định 356/2025/NĐ-CP (luatvietnam.vn)luatvietnam.vn
  3. 3.Bản tin EY, tháng 3/2026, về Nghị định 356/2025/NĐ-CPey.com

Bài liên quan

Nhận tin quy định và xử phạt

Tin quy định mới và các vụ xử phạt liên quan đến dữ liệu cá nhân ở Việt Nam, mỗi tin kèm link nguồn. Thư nào cũng có liên kết huỷ nhận.

Xem các tin đã đăng

Đang tải câu đồng ý…