# Chính sách bảo vệ dữ liệu cá nhân cho website cần có những gì

## Trả lời nhanh

Chính sách bảo vệ dữ liệu cá nhân là trang trên website nói cho khách biết: bạn thu những gì, để làm gì, giữ bao lâu, chia sẻ cho ai, có gửi ra nước ngoài không, khách có quyền gì và gửi yêu cầu ở đâu. Luật cho khách quyền được biết (Luật 91/2025/QH15, Điều 4), nên chính sách là nơi trả lời quyền đó. Nó không thay cho việc xin đồng ý.

## Vì sao website nào cũng nên có?

Nhiều chủ doanh nghiệp nghĩ chỉ cần ghi chính sách khi thu CCCD. Thực ra dữ liệu cá nhân trên website nhiều hơn thế: tên và số điện thoại trong form liên hệ, email nhận bản tin, và cả dữ liệu mà [Pixel](https://dulieucanhan.online/thuat-ngu/pixel) và [cookie](https://dulieucanhan.online/thuat-ngu/cookie) tự gửi đi mà khách không gõ gì. Chính sách phải nói hết những thứ này.

Ví dụ phòng khám nha khoa Nụ Cười (tưởng tượng): form đặt lịch hỏi tên, số điện thoại, tình trạng răng miệng. Thông tin sức khoẻ thường thuộc nhóm nhạy cảm (Luật 91/2025/QH15 có điều riêng về sức khoẻ, Điều 26, chi tiết chưa đối chiếu nên bài này không đi sâu). Phòng khám cần nói rõ dữ liệu này dùng vào đâu và ai được xem.

## Chính sách nên có những mục nào?

| Mục | Viết gì |
|---|---|
| 1. Bạn là ai | Tên doanh nghiệp, địa chỉ, người chịu trách nhiệm. Đây là [bên kiểm soát dữ liệu](https://dulieucanhan.online/thuat-ngu/ben-kiem-soat). |
| 2. Thu những gì | Liệt kê thật: họ tên, số điện thoại, email, địa chỉ giao hàng; dữ liệu tự động như IP, thiết bị, cookie, Pixel. Tách dữ liệu khách tự nhập và dữ liệu thu tự động. |
| 3. Dùng để làm gì | Từng mục đích riêng: xử lý đơn, chăm sóc khách, quảng cáo, đo lường website. Marketing tách khỏi xử lý đơn. |
| 4. Cơ sở xử lý | Khách đồng ý, hoặc trường hợp khác mà luật cho phép (xem Điều 19, nên hỏi luật sư trường hợp cụ thể). |
| 5. Lưu bao lâu | Ghi thời hạn cho từng loại dữ liệu, hoặc tiêu chí tính thời hạn. Chúng tôi chưa thấy số ngày chung nào do luật ấn định cho mọi trường hợp. |
| 6. Chia sẻ cho ai | Đơn vị vận chuyển, cổng thanh toán, nền tảng quảng cáo (Meta, TikTok, Google), đơn vị lưu trữ. Ghi tên loại đối tác; xem [chia sẻ dữ liệu cho đối tác cần thoả thuận gì](https://dulieucanhan.online/bai-viet/chia-se-du-lieu-khach-cho-doi-tac). Bạn không bán dữ liệu, vì [mua bán dữ liệu cá nhân bị cấm](https://dulieucanhan.online/bai-viet/mua-ban-du-lieu-ca-nhan-bi-phat) (Điều 7). |
| 7. Chuyển ra nước ngoài | Nếu dùng Facebook, Google, máy chủ nước ngoài thì nói rõ. Xem [bài về chuyển dữ liệu ra nước ngoài](https://dulieucanhan.online/bai-viet/chuyen-du-lieu-ra-nuoc-ngoai). |
| 8. Quyền của khách | Gồm các quyền chính như: được biết; đồng ý, không đồng ý, rút lại đồng ý; xem, chỉnh sửa; yêu cầu cung cấp, xoá, hạn chế xử lý; phản đối; khiếu nại. |
| 9. Cách gửi yêu cầu | Email hoặc form riêng, ai nhận, bao lâu trả lời. |
| 10. Liên hệ | Email, số điện thoại, địa chỉ. |
| 11. Ngày cập nhật | Ghi ngày chỉnh sửa gần nhất. |

## Viết mục "quyền của khách" và "gửi yêu cầu" cho dễ làm theo

Đừng chỉ chép tên quyền. Hãy cho khách cách làm:

> Muốn xem, sửa, xoá dữ liệu hoặc rút lại đồng ý, bạn gửi email tới [email của bạn] ghi rõ họ tên và số điện thoại đã dùng. Chúng tôi trả lời trong thời hạn luật quy định.

Theo Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026), thời hạn xử lý yêu cầu: rút lại đồng ý, hạn chế xử lý, phản đối thì phản hồi trong 2 ngày làm việc và thực hiện trong 15 ngày; xem, chỉnh sửa, cung cấp dữ liệu trong 10 ngày; xoá dữ liệu trong 20 ngày. Chi tiết xem bài [thời hạn trả lời yêu cầu dữ liệu](https://dulieucanhan.online/bai-viet/thoi-han-tra-loi-yeu-cau-du-lieu). Bạn nên có người nhận yêu cầu và quy trình trước khi ghi các thời hạn vào chính sách.

## Những lỗi hay gặp

- Chép chính sách của website khác rồi không sửa: ghi "chúng tôi không dùng cookie" trong khi trang có Pixel.
- Ghi chung chung "phục vụ mục đích kinh doanh", không nói rõ.
- Không nhắc dữ liệu tự động (cookie, Pixel, IP).
- Chính sách ghi một đằng, website làm một nẻo: chính sách nói "chỉ dùng cookie sau khi bạn đồng ý" nhưng Pixel vẫn chạy ngay khi mở trang.
- Để chính sách ở chân trang, không có link ở banner và ở form.

Cách tránh lỗi cuối: chạy máy quét miễn phí ở [trang chủ](https://dulieucanhan.online/) để biết website thật sự gọi những dịch vụ nào, rồi viết chính sách theo kết quả đó.

## Bạn cần làm gì

- Liệt kê dữ liệu website thu (form, cookie, Pixel).
- Viết rõ từng mục đích, tách marketing.
- Ghi thời gian lưu, bên nhận dữ liệu, việc chuyển ra nước ngoài.
- Ghi cách khách gửi yêu cầu, và có người xử lý.
- Đặt link chính sách ở banner, form, chân trang.
- Cập nhật khi thêm công cụ mới.

Chưa có chính sách? Dùng công cụ [tạo chính sách miễn phí](https://dulieucanhan.online/tao-chinh-sach), sau đó đọc lại để chắc nó đúng với website của bạn.

## Căn cứ pháp lý

- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 4 (quyền của chủ thể dữ liệu), Điều 7 (hành vi bị nghiêm cấm), Điều 9, 10, 19, 20.
- Nghị định 356/2025/NĐ-CP (thời hạn xử lý yêu cầu, theo bản tin EY 3/2026).

*Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.*