Checklist dữ liệu cá nhân cho website
Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP có hiệu lực, thay Nghị định 13/2023. Đây là những việc một website thu thập dữ liệu cần kiểm tra, xếp theo thứ tự nên làm.
1. Xin đồng ý đúng cách
- Ô đồng ý không tích sẵn, không có chỉ dẫn gây nhầm giữa đồng ý và không đồng ý (khoản 3 Điều 6 NĐ 356/2025).
- Không coi im lặng hay "tiếp tục sử dụng website" là đồng ý (điểm d khoản 4 Điều 9 Luật 91/2025).
- Đồng ý riêng cho từng mục đích. Không gộp việc nhận quảng cáo vào điều khoản dịch vụ (điểm a, b khoản 4 Điều 9).
- Lưu được ai đồng ý, lúc nào, với nội dung gì. Khi có tranh chấp, chủ site phải chứng minh (khoản 1, 2 Điều 6 NĐ 356/2025).
- Người dùng rút lại đồng ý được, bằng văn bản hoặc dạng điện tử (khoản 2 Điều 10 Luật 91/2025).
2. Cookie và tracking
- Google Analytics, Facebook Pixel, TikTok Pixel chỉ chạy sau khi người dùng bấm đồng ý trên banner.
- Từ chối cookie không thiết yếu mà vẫn dùng được site.
- Theo dõi website để quảng cáo theo hành vi chỉ được làm khi có đồng ý, phải có cách từ chối, xác định thời gian lưu (khoản 8 Điều 28 Luật 91/2025).
- Dữ liệu theo dõi hành vi trên không gian mạng được xếp vào nhóm dữ liệu nhạy cảm (điểm l khoản 1 Điều 4 NĐ 356/2025).
3. Trang chính sách bảo mật
- Có trang chính sách công khai, link ở footer và ngay tại form thu thập dữ liệu.
- Nêu loại dữ liệu, mục đích, bên nhận dữ liệu (Google, Meta, Firebase, OpenAI...), thời gian lưu.
- Nêu quyền của người dùng: được biết, đồng ý, rút đồng ý, xem, sửa, xóa, hạn chế xử lý, khiếu nại (khoản 1 Điều 4 Luật 91/2025).
- Không còn dẫn Nghị định 13/2023, văn bản đã hết hiệu lực từ 01/01/2026.
Chính sách bảo mật cần có những mục gì →
4. Thời hạn xử lý yêu cầu của người dùng
Theo Điều 5 NĐ 356/2025:
| Yêu cầu | Thời hạn | Nếu cần bên thứ ba cùng xử lý |
|---|---|---|
| Xác nhận đã nhận, hướng dẫn thủ tục | 2 ngày làm việc | |
| Xem, sửa, cung cấp dữ liệu | 10 ngày | 15 ngày |
| Rút đồng ý, hạn chế, phản đối xử lý | 15 ngày | 20 ngày |
| Xóa dữ liệu | 20 ngày | 30 ngày |
5. Giấy tờ: để sau, nên hỏi người làm luật
Hồ sơ đánh giá tác động, hồ sơ chuyển dữ liệu ra nước ngoài (khi dùng Firebase, Vercel, dịch vụ đặt ở nước ngoài), chỉ định nhân sự bảo vệ dữ liệu. Hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn một phần (xem chi tiết). Với site nhỏ, nên sửa xong các mục 1-3 trước, rồi hỏi người làm luật phần này.
Hỏi nhanh
Website không có form thì có phải làm gì không?
Site tĩnh không có form, không gắn tracking, không bán hàng thì gần như không thu thập dữ liệu cá nhân, nên không phát sinh nghĩa vụ đáng kể theo Luật 91/2025.
Nghị định 13/2023 còn dùng được không?
Không. Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026, được thay bằng Nghị định 356/2025/NĐ-CP. Chính sách bảo mật còn dẫn Nghị định 13 nên cập nhật.
Gắn Google Analytics có cần xin đồng ý không?
Nên xin. Dữ liệu theo dõi hành vi trên không gian mạng được NĐ 356/2025 xếp vào nhóm nhạy cảm, và Luật 91/2025 yêu cầu xin đồng ý trước khi thu thập. Cách an toàn là chỉ nạp Google Analytics sau khi người dùng bấm đồng ý trên banner cookie.
Tự kiểm tra website của bạn
vn-law-check là bộ hướng dẫn mã nguồn mở cho AI coding agent (Claude Code, Cursor, Copilot, Windsurf, Cline, Codex). Bạn gõ "audit pháp lý site này", agent quét code rồi chỉ ra file, dòng cần sửa kèm điều luật liên quan. Miễn phí.
/plugin marketplace add mhfed/vn-law-check
/plugin install vn-law-check