Gọi điện, nhắn tin quảng cáo: cần gì để không vi phạm luật dữ liệu?

Số điện thoại có phải dữ liệu cá nhân không?

Có. Số điện thoại gắn với một người cụ thể thì là dữ liệu cá nhân. Người đưa số cho bạn là chủ thể dữ liệu. Bạn quyết định gọi hay nhắn để làm gì, nên bạn là bên kiểm soát dữ liệu.

Không cần là công ty lớn. Một shop gốm như shop Hà Linh (shop tưởng tượng) lưu số khách để giao hàng cũng đang xử lý dữ liệu cá nhân. Vấn đề nảy sinh khi shop dùng chính danh sách đó để gửi tin khuyến mãi mà khách chưa từng được hỏi.

Ba điều dễ vi phạm nhất

1. Mua bán dữ liệu

Điều 7 cấm mua bán dữ liệu cá nhân, trừ trường hợp luật khác có quy định. Điều 8 nêu mức phạt tiền tối đa với hành vi này là bằng 10 lần khoản thu có được từ vi phạm. Theo Nghị định 330/2026/NĐ-CP, Điều 53, mức phạt với mua bán trái phép dữ liệu cá nhân là từ 02 đến 10 lần khoản thu; nếu không có khoản thu thì từ 70 triệu đồng, có thể lên tới 1 tỷ đồng hoặc 3 tỷ đồng tuỳ số người và hậu quả (cá nhân bị phạt một nửa), kèm việc bị buộc xoá dữ liệu đã mua bán. Ngoài phạt hành chính, vi phạm nặng còn có thể bị truy cứu hình sự và phải bồi thường nếu gây thiệt hại.

Ví dụ: một công ty bất động sản mua "data khách tiềm năng 5.000 số" từ một người tự xưng có nguồn. Những người trong danh sách chưa từng đưa số cho công ty. Việc mua danh sách ấy là rủi ro lớn, và việc dùng nó để gọi cũng vậy. Công ty khó chứng minh được số này có từ đâu và ai đã đồng ý. Xem thêm môi giới bất động sản và dữ liệu khách hàng.

Lời khuyên: đừng mua, đừng bán, và đừng "cho mượn" danh sách khách để đổi lấy khoản tiền hay lợi ích nào. Tìm khách bằng quảng cáo công khai, biểu mẫu để lại thông tin có xin đồng ý, hoặc giới thiệu từ người đã đồng ý.

2. Dùng số cho mục đích khác với lúc thu

Khách để lại số khi đặt hàng thì đó là để giao hàng. Dùng số ấy gọi chào bán dòng sản phẩm mới là mục đích mới. Bạn cần nói rõ mục đích này và xin đồng ý.

Đồng ý theo Luật 91, Điều 9, và theo Nghị định 356/2025/NĐ-CP, phải rõ ràng, lưu trữ và kiểm chứng được thời điểm cùng nội dung. Cấm mặc định là đồng ý. Ô tích sẵn "tôi đồng ý nhận quảng cáo" hay cả câu "mua hàng là đồng ý nhận tin" đều khó đạt yêu cầu. Xem thêm bài về tiếp tục sử dụng không phải là đồng ý. Với email, bản tin, xem gửi email marketing: xin đồng ý thế nào.

3. Không cho khách đường từ chối

Khách có quyền đồng ý, không đồng ý và rút lại đồng ý (Điều 4, Điều 10). Mỗi tin quảng cáo nên có cách từ chối đơn giản: "Nhắn KHONG để ngừng nhận tin" hoặc nút huỷ đăng ký. Cuộc gọi telesales thì nhân viên phải biết ghi nhận lời từ chối và ngừng gọi.

Thời hạn xử lý rút lại đồng ý theo Nghị định 356/2025/NĐ-CP: phản hồi trong 2 ngày làm việc, thực hiện trong 15 ngày. Chi tiết xem bài về thời hạn trả lời yêu cầu dữ liệu.

Điều 28 về quảng cáo áp dụng cho ai?

Điều 28 của Luật 91 có tên "Kinh doanh dịch vụ quảng cáo" và nội dung đáng chú ý:

• chỉ dùng dữ liệu được chuyển giao theo thoả thuận, hoặc thu qua hoạt động kinh doanh của mình;
• phải có đồng ý của khách và cách để khách từ chối nhận quảng cáo;
• quảng cáo theo hành vi hoặc cá nhân hoá phải có đồng ý khi theo dõi website, ứng dụng, kèm cách từ chối chia sẻ dữ liệu;
• không được thuê bên khác làm trọn gói dịch vụ quảng cáo có dùng dữ liệu cá nhân.

Điều này viết cho bên kinh doanh dịch vụ quảng cáo, tức là công ty làm nghề quảng cáo cho người khác. Shop tự gửi tin cho khách của mình có thuộc phạm vi này hay không, hiện chưa có hướng dẫn chi tiết. Cách an toàn là coi các yêu cầu ở trên như tiêu chuẩn tham khảo: có đồng ý, có đường từ chối, dùng dữ liệu mình tự thu. Nếu bạn thuê một agency gọi điện hoặc chạy tin nhắn hàng loạt, hãy hỏi luật sư trước khi đưa danh sách cho họ.

Một quy trình đơn giản cho shop

Bạn cần làm gì

• Rà các danh sách số đang có: nguồn từ đâu, khách có đồng ý nhận quảng cáo chưa.
• Ngừng dùng và xoá danh sách mua hoặc không rõ nguồn.
• Thêm ô đồng ý nhận quảng cáo, tách riêng khỏi ô đồng ý điều khoản mua hàng.
• Thêm câu hướng dẫn từ chối vào mọi tin nhắn.
• Lập danh sách "không liên hệ" và dặn nhân viên telesales dùng nó.
• Dùng máy quét website miễn phí để kiểm tra form thu số điện thoại trên website, và tạo chính sách nói rõ bạn dùng số vào việc gì.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 4, Điều 7, Điều 8, Điều 9, Điều 10, Điều 28.
• Nghị định 356/2025/NĐ-CP: yêu cầu về đồng ý và thời hạn xử lý yêu cầu của chủ thể dữ liệu.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.