Gửi email marketing, bản tin: xin đồng ý thế nào cho đúng luật?

Email là dữ liệu cá nhân

Một địa chỉ email gắn với một người cụ thể là dữ liệu cá nhân: nó giúp nhận ra và liên lạc với người đó. Chủ shop hay nghĩ chỉ số điện thoại, CCCD mới tính. Nhưng danh sách 3.000 email khách hàng trong phần mềm gửi thư cũng là dữ liệu cá nhân, và việc gửi thư cho họ là xử lý dữ liệu.

Bài này nói về email. Gọi điện, tin nhắn SMS và Zalo có bài riêng: gọi điện, nhắn tin quảng cáo.

Email từ đâu thì dùng được đến đâu

Lấy shop gốm Hà Linh (shop tưởng tượng) đang muốn làm bản tin hằng tháng giới thiệu mẫu gốm mới.

Mua, bán trái phép dữ liệu cá nhân bị phạt từ 02 đến 10 lần khoản thu, hoặc từ 70 triệu đồng nếu không có khoản thu, với tổ chức (Nghị định 330/2026/NĐ-CP, Điều 53). Xem mua bán dữ liệu cá nhân bị phạt thế nào.

Ô đăng ký đúng cách

Luật 91/2025/QH15, Điều 9 khoản 2: sự đồng ý chỉ có hiệu lực khi khách biết rõ loại dữ liệu, mục đích, bên kiểm soát, và quyền, nghĩa vụ của mình. Nghị định 356/2025/NĐ-CP, Điều 6 thêm: phải kiểm chứng được ai đồng ý, lúc nào, nội dung gì; phải lưu sự đồng ý; không được đặt sẵn mặc định đồng ý.

Mẫu tham khảo (chờ luật sư duyệt):

☐ Tôi muốn nhận bản tin hằng tháng của shop gốm Hà Linh qua email: mẫu gốm mới và ưu đãi. Tôi có thể huỷ bất kỳ lúc nào bằng đường link ở cuối mỗi thư. Xem [Chính sách bảo vệ dữ liệu cá nhân].

Ô này để trống, không bắt buộc, tách khỏi ô đồng ý xử lý đơn hàng. Cách viết các ô đồng ý khác có ở bài ô đồng ý trên form website.

Email xác nhận hai bước. Sau khi khách đánh dấu, gửi một email "Bấm để xác nhận đăng ký". Luật không nhắc tên cách này, nhưng nó giúp chứng minh đúng chủ email đã đồng ý, chứ không phải ai đó gõ email của người khác.

Đặt sẵn mặc định đồng ý, xin đồng ý không kiểm chứng được, hay không lưu nhật ký đồng ý đều bị phạt 30–50 triệu đồng với tổ chức; coi im lặng là đồng ý bị phạt 50–70 triệu đồng (Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm c, d, g và khoản 2 điểm b). Cá nhân bị phạt một nửa.

Huỷ đăng ký

Huỷ đăng ký là rút lại đồng ý (Luật 91/2025/QH15, Điều 10). Theo Nghị định 356/2025/NĐ-CP, Điều 5 khoản 2, yêu cầu rút lại đồng ý phải được phản hồi trong 02 ngày làm việc và thực hiện trong 15 ngày. Phần mềm gửi thư thường dừng ngay khi khách bấm link huỷ; cứ để nó làm vậy. Nếu khách trả lời thư "đừng gửi nữa" thay vì bấm link, đó cũng là một yêu cầu: gỡ tay khỏi danh sách.

Điều 28 về quảng cáo còn đòi có cách để khách từ chối nhận quảng cáo; điều này viết cho bên kinh doanh dịch vụ quảng cáo, áp cho shop tự gửi bản tin thế nào chưa có hướng dẫn chi tiết. Một link huỷ ở cuối mỗi thư đáp ứng được cả hai cách hiểu.

Hai chỗ ít ai để ý

Phần mềm gửi thư ở nước ngoài. Nhiều dịch vụ gửi email đặt máy chủ ở nước ngoài. Luật 91/2025/QH15, Điều 20 coi việc dùng nền tảng ở ngoài lãnh thổ để xử lý dữ liệu cá nhân thu thập tại Việt Nam là một trường hợp chuyển dữ liệu cá nhân xuyên biên giới. Việc dùng một dịch vụ gửi thư có thuộc trường hợp đó không là cách hiểu thận trọng, chưa có hướng dẫn chi tiết. Xem dùng Facebook, Google có phải chuyển dữ liệu ra nước ngoài.

Đo lượt mở thư. Phần mềm gửi thư thường gắn một ảnh nhỏ vô hình để biết ai đã mở thư, mở lúc nào. Đó là theo dõi việc khách đọc thư. Nghị định 356/2025/NĐ-CP, Điều 4 khoản 1 điểm l xếp dữ liệu theo dõi hành vi trên không gian mạng vào nhóm nhạy cảm; việc đo lượt mở thư có thuộc điểm này không là cách hiểu, chưa có hướng dẫn chi tiết. Ít nhất, hãy ghi việc đo lượt mở vào chính sách bảo vệ dữ liệu.

Bạn cần làm gì

• Rà danh sách email: ghi nguồn của từng nhóm; bỏ nhóm mua ngoài hay chép từ nơi khác.
• Với khách đặt hàng chưa từng đồng ý, gửi một thư hỏi "có muốn nhận bản tin không" thay vì gửi thẳng khuyến mãi.
• Sửa ô đăng ký: để trống, không bắt buộc, tách khỏi ô đặt hàng.
• Bật email xác nhận hai bước nếu phần mềm có.
• Đặt link huỷ ở cuối mỗi thư; xử lý cả yêu cầu huỷ gửi bằng thư trả lời.
• Ghi vào chính sách: phần mềm gửi thư nào, máy chủ ở đâu, có đo lượt mở không.

Chưa có chính sách để gắn link ở ô đăng ký? Dùng công cụ tạo chính sách.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 7, 9, 10, 20, 28.
• Nghị định 356/2025/NĐ-CP: Điều 4 khoản 1 điểm l, Điều 5 khoản 2, Điều 6.
• Nghị định 330/2026/NĐ-CP: Điều 43, Điều 53: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.