Cập nhật tháng 11/2026
Bảo vệ dữ liệu cá nhân không còn là chuyện riêng của ngân hàng hay công ty lớn. Từ 1/1/2026, Luật Bảo vệ dữ liệu cá nhân có hiệu lực và áp dụng cho cả doanh nghiệp vừa và nhỏ (SME) đang giữ số điện thoại, email, lịch sử mua hàng của khách. Bài viết tóm tắt những điểm SME cần biết và đưa ra checklist 6 việc để bạn rà lại dữ liệu khách hàng ngay trong tuần này.
Hãy hình dung: một nhân viên sale nghỉ việc. Trước khi đi, bạn ấy xuất file Excel 3.000 khách hàng, gửi qua Zalo cá nhân “để tiện chăm sóc tiếp”.
Vài tháng sau, khách của bạn bắt đầu nhận cuộc gọi chào hàng từ một công ty khác. Một người gọi lại hỏi thẳng: “Sao bên kia có số của tôi?”
Trước đây đó chỉ là chuyện mất khách. Từ năm 2026, đó còn có thể là một vi phạm pháp luật về dữ liệu cá nhân.
Trả lời nhanh
Bảo vệ dữ liệu cá nhân với SME nghĩa là chỉ thu thập và dùng thông tin khách hàng (họ tên, số điện thoại, email, lịch sử mua) khi có sự đồng ý, đúng mục đích, kiểm soát được ai xem và ai xuất dữ liệu, và xóa khi không còn cần. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 1/1/2026; tổ chức vi phạm có thể bị phạt tới 3 tỷ đồng, cao hơn với hành vi mua bán dữ liệu hoặc chuyển dữ liệu ra nước ngoài trái quy định.
Luật Bảo vệ dữ liệu cá nhân 2026 áp dụng cho ai?
Luật áp dụng cho mọi cơ quan, tổ chức, cá nhân xử lý dữ liệu cá nhân tại Việt Nam, kể cả doanh nghiệp vài người. Chỉ cần bạn lưu danh sách khách có tên và số điện thoại, bạn đang “xử lý dữ liệu cá nhân”.
Luật số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 1/1/2026 (toàn văn trên Thư viện Pháp luật). Cùng ngày, Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết cũng có hiệu lực, thay thế Nghị định 13/2023/NĐ-CP (Nghị định 356/2025/NĐ-CP).
Điểm SME nên biết: theo bài phân tích đăng trên VCCI (1/2026), Điều 41 Nghị định 356 cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được “ân hạn” một số nghĩa vụ tuân thủ trong 5 năm kể từ 1/1/2026; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ đó. Ngoại lệ này không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân hoặc trực tiếp xử lý dữ liệu cá nhân nhạy cảm.
Lưu ý
Ân hạn là hoãn một số thủ tục, không phải được miễn trách nhiệm bảo vệ dữ liệu. Xin đồng ý, dùng đúng mục đích, không để lộ hay bán dữ liệu khách vẫn là nghĩa vụ ngay từ bây giờ. Với trường hợp cụ thể của doanh nghiệp bạn, hãy hỏi luật sư hoặc tra cứu tại Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
Dữ liệu khách hàng nào là dữ liệu cá nhân?
Gần như mọi thông tin giúp nhận ra một khách hàng cụ thể đều là dữ liệu cá nhân. Trong một SME bán hàng, dữ liệu này thường nằm rải rác ở nhiều nơi hơn chủ doanh nghiệp nghĩ.
| Loại dữ liệu | Ví dụ trong SME | Nơi thường nằm |
|---|---|---|
| Thông tin liên hệ | Họ tên, số điện thoại, email, địa chỉ giao hàng | Excel, sổ tay, danh bạ điện thoại của sale |
| Lịch sử giao dịch | Đơn đã mua, báo giá, công nợ | Phần mềm bán hàng, file kế toán |
| Nội dung trao đổi | Tin nhắn Zalo, Facebook, ghi âm cuộc gọi | Tài khoản Zalo cá nhân, điện thoại của nhân viên |
| Giấy tờ tùy thân | Ảnh CCCD khi làm hợp đồng | Nhóm chat, Google Drive |
| Dữ liệu có thể nhạy cảm | Tình trạng sức khỏe (spa, phòng khám), tài chính | Phiếu tư vấn, hồ sơ khách |
Nếu doanh nghiệp bạn thuộc nhóm spa, phòng khám, tài chính, bảo hiểm, hãy kiểm tra kỹ danh mục dữ liệu nhạy cảm trong Nghị định 356, vì đây là nhóm không được hưởng ân hạn.
Vi phạm bảo vệ dữ liệu cá nhân bị phạt bao nhiêu?
Mức phạt hành chính tối đa với tổ chức là 3 tỷ đồng cho nhiều vi phạm thông thường, và có thể cao hơn nhiều với hành vi mua bán dữ liệu. Theo Điều 8 Luật 91/2025/QH15 (tóm tắt của LuatVietnam):
| Hành vi vi phạm | Mức phạt tối đa với tổ chức |
|---|---|
| Mua, bán dữ liệu cá nhân | 10 lần khoản thu có được từ hành vi vi phạm |
| Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới | 5% doanh thu của năm trước liền kề |
| Các vi phạm khác về bảo vệ dữ liệu cá nhân | 3 tỷ đồng |
| Cá nhân vi phạm | Tối đa bằng một nửa mức phạt của tổ chức |
Ngoài phạt tiền, VCCI lưu ý vi phạm còn có thể dẫn tới bồi thường thiệt hại hoặc trách nhiệm hình sự tùy mức độ. Với SME, thiệt hại lớn nhất thường là uy tín: khách hàng mất niềm tin khi biết số của họ bị lộ ra ngoài.
SME cần làm gì? Checklist 6 việc với dữ liệu khách hàng
SME nên bắt đầu bằng 6 câu hỏi đơn giản về dữ liệu khách hàng, trả lời được hết là đã đi được phần lớn chặng đường. Bạn không cần thuê chuyên gia ngay; một buổi họp 60 phút với trưởng nhóm sale và kế toán là đủ để bắt đầu.
Checklist bảo vệ dữ liệu cá nhân cho SME: 6 câu hỏi về dữ liệu khách hàng
1. Lập bản đồ: dữ liệu khách đang nằm ở đâu?
Liệt kê mọi nơi có thông tin khách: file Excel, Google Drive, nhóm Zalo nội bộ, tài khoản Zalo cá nhân của từng sale, phần mềm bán hàng. Không biết dữ liệu ở đâu thì không thể bảo vệ.
2. Ai được xem khách nào?
Áp dụng nguyên tắc ít quyền nhất: sale chỉ xem khách mình phụ trách, trưởng nhóm xem khách của nhóm, kế toán xem thông tin cần cho hóa đơn. Số điện thoại và email nên được che bớt, chỉ hiện khi thật sự cần gọi.
3. Ai được xuất file?
Xuất cả danh sách khách ra Excel là cách dữ liệu “đi ra cửa” phổ biến nhất. Chỉ cho vài người có quyền xuất, đặt hạn mức và yêu cầu duyệt khi xuất số lượng lớn.
4. Khách đã đồng ý chưa, đồng ý cho việc gì?
Form đăng ký, phiếu tư vấn nên ghi rõ doanh nghiệp dùng thông tin để làm gì (tư vấn, chăm sóc sau bán, gửi ưu đãi). Khách rút lại đồng ý thì ngừng gửi tin quảng cáo cho họ.
5. Lưu đến khi nào, xóa khi nào?
Theo khoản 1 Điều 14 của luật, dữ liệu phải được xóa, hủy khi khách yêu cầu, khi mục đích xử lý đã hoàn thành hoặc khi hết thời hạn lưu trữ. Hãy đặt thời hạn lưu cho từng loại dữ liệu, ví dụ lead không phát sinh giao dịch sau một khoảng thời gian thì xử lý theo quy định nội bộ.
6. Khi có sự cố, ai làm gì?
Chỉ định một người chịu trách nhiệm về dữ liệu khách. Có sao lưu định kỳ, có quy trình thu hồi quyền truy cập ngay ngày nhân viên nghỉ việc, và biết cần thông báo cho ai khi phát hiện dữ liệu bị lộ.
Vì sao Excel và Zalo cá nhân là rủi ro lớn nhất?
Với phần lớn SME, nguy cơ lộ dữ liệu không đến từ tin tặc mà đến từ những bản sao không ai kiểm soát. Mỗi file Excel gửi qua Zalo, mỗi danh bạ trong điện thoại cá nhân của sale là một bản sao nằm ngoài tầm với của doanh nghiệp.
Khi nhân viên nghỉ việc, các bản sao này đi theo họ. Doanh nghiệp vừa mất khách, vừa không chứng minh được mình đã kiểm soát dữ liệu ra sao. Chúng tôi đã viết riêng về chuyện này trong bài sales nghỉ việc mất khách hàng.
Bảo vệ dữ liệu khách hàng bắt đầu từ một câu hỏi đơn giản: nếu ngày mai một nhân viên nghỉ việc, họ mang theo được bao nhiêu khách?
Gom dữ liệu về một nơi duy nhất, nơi mỗi lượt xem, mỗi lượt xuất đều theo quyền, là bước có tác động lớn nhất với chi phí thấp nhất.
SMECRM giúp kiểm soát dữ liệu khách hàng thế nào?
SMECRM, phần mềm CRM cho doanh nghiệp vừa và nhỏ của Abenla, giúp đưa dữ liệu khách hàng từ Excel và điện thoại cá nhân về một hệ thống có phân quyền. Các chức năng sau đang vận hành ở bản Beta và có trong cả gói Khởi động miễn phí:
- Vai trò, ma trận quyền, phòng ban: giới hạn phạm vi dữ liệu theo phòng ban và người phụ trách.
- Che số điện thoại, email: bấm để xem, có hạn mức xem và kiểm soát xuất file.
- Giới hạn IP truy cập: chỉ cho đăng nhập từ mạng của công ty khi cần.
- Người phụ trách và chuyển giao có kiểm soát: khi nhân viên nghỉ, khách được bàn giao trong hệ thống thay vì đi theo điện thoại cá nhân.
- Sao lưu tự động hằng ngày và tự xuất dữ liệu ra Excel/CSV theo quyền.
Phần mềm giúp bạn làm được các việc 2, 3 và 6 trong checklist một cách có hệ thống. Việc xin đồng ý, đặt thời hạn lưu và tư vấn pháp lý cho trường hợp cụ thể vẫn là phần doanh nghiệp cần tự làm. Nếu đội của bạn đang trò chuyện với khách chủ yếu qua Zalo, xem thêm CRM tích hợp Zalo.
Kết luận: SME cần làm gì với dữ liệu khách hàng?
SME không cần làm mọi thứ ngay, nhưng cần bắt đầu ngay. Tóm lại:
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 có hiệu lực từ 1/1/2026 và áp dụng cho mọi doanh nghiệp giữ thông tin khách hàng.
- Doanh nghiệp nhỏ được ân hạn một số nghĩa vụ trong 5 năm, trừ khi xử lý dữ liệu nhạy cảm hoặc kinh doanh dịch vụ xử lý dữ liệu.
- Mức phạt tới 3 tỷ đồng với tổ chức, cao hơn nhiều với mua bán dữ liệu.
- Bắt đầu từ 6 câu hỏi: dữ liệu ở đâu, ai xem, ai xuất, khách đồng ý chưa, xóa khi nào, sự cố thì sao.
Đọc thêm: CRM là gì và SME có cần CRM không; Sales nghỉ việc: làm sao không mất khách; quản lý lead cho SME.
Câu hỏi thường gặp về bảo vệ dữ liệu cá nhân
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026, cùng thời điểm với Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Hai văn bản này thay thế Nghị định 13/2023/NĐ-CP.
Có. Mọi tổ chức xử lý dữ liệu cá nhân đều thuộc phạm vi của luật. Nghị định 356 cho doanh nghiệp nhỏ, khởi nghiệp ân hạn một số nghĩa vụ trong 5 năm, trừ khi kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu nhạy cảm.
Có. Số điện thoại, họ tên, email, địa chỉ và lịch sử mua hàng gắn với một người cụ thể đều là dữ liệu cá nhân. Doanh nghiệp cần dùng đúng mục đích khách đã đồng ý và kiểm soát ai được xem, ai được xuất.
Theo Điều 8 Luật 91/2025/QH15, tổ chức có thể bị phạt tới 3 tỷ đồng cho nhiều vi phạm thông thường, tới 10 lần khoản thu nếu mua bán dữ liệu và tới 5% doanh thu năm trước nếu vi phạm chuyển dữ liệu ra nước ngoài. Cá nhân bị phạt tối đa bằng một nửa.
Theo khoản 1 Điều 14 của luật, dữ liệu cá nhân phải được xóa, hủy khi khách yêu cầu, khi mục đích xử lý đã hoàn thành, khi hết thời hạn lưu trữ hoặc theo quyết định của cơ quan có thẩm quyền, trừ trường hợp pháp luật yêu cầu lưu.
CRM giúp gom dữ liệu khách về một nơi, phân quyền ai xem khách nào, che số điện thoại và kiểm soát việc xuất file. Đây là nền tảng để tuân thủ, nhưng doanh nghiệp vẫn cần quy trình xin đồng ý và tư vấn pháp lý cho trường hợp cụ thể.
Dữ liệu khách hàng ở một nơi, ai xem gì đều theo quyền
SMECRM, phần mềm CRM cho doanh nghiệp vừa và nhỏ của Abenla, kết nối chat đa kênh, tổng đài, SMS Brandname, Zalo ZNS và email trên một hồ sơ khách hàng.
- Gói Khởi động miễn phí trọn đời đến 10 người dùng: phân quyền, phòng ban, che số điện thoại, kiểm soát xuất file, sao lưu hằng ngày.
- Tài khoản mới được dùng thử đầy đủ tính năng 30 ngày.
- Triển khai và đào tạo online miễn phí. Xem chi tiết tại Bảng giá SMECRM.
Hotline: 028 73088 669, email: info@abenla.com
Nguồn: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Thư viện Pháp luật, LuatVietnam); Nghị định 356/2025/NĐ-CP (Thư viện Pháp luật); “Luật Bảo vệ dữ liệu cá nhân: lưu ý về hành lang pháp lý mới cho doanh nghiệp”, VCCI, 15/01/2026. Bài viết mang tính thông tin, không thay thế tư vấn pháp lý.
Bài viết liên quan:
Khách hẹn rồi không đến: 5 cách giảm tỷ lệ lỡ hẹn
Quản lý khách hàng bằng Excel: 6 dấu hiệu nên chuyển sang CRM
Lead là gì? Phân biệt lead, khách hàng tiềm năng và cơ hội
Giao việc cho nhân viên: 5 cách để không còn câu “em quên mất”
Click-to-call là gì? Gọi khách ngay từ CRM, cuộc gọi tự lưu
Gọi điện quảng cáo: dự thảo mới, telesale phải đổi gì từ 2027?
Muốn dùng AI trong bán hàng, dữ liệu khách hàng phải sạch trước
Đánh giá hiệu suất nhân viên sale bằng số liệu, không cảm tính