Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, gửi quảng cáo không xin phép bị xử lý ra sao?

15/07/2026
4 lượt xem
0 bình luận

Ba lớp rủi ro chồng lên nhau: nghĩa vụ tại Điều 28, khả năng nguồn dữ liệu vi phạm điều cấm tại Điều 7, và chế tài tại Điều 8.

Chiến dịch tiếp thị gửi tới danh sách chưa có sự đồng ý là rủi ro pháp lý phổ biến nhất mà doanh nghiệp Việt Nam đang mang, đơn giản vì đây là cách làm quen thuộc suốt nhiều năm.

Nghĩa vụ tại Điều 28

Khoản 3 Điều 28 Luật 91/2025/QH15 quy định việc xử lý dữ liệu cá nhân của khách hàng để kinh doanh dịch vụ quảng cáo phải được sự đồng ý của khách hàng, trên cơ sở khách hàng biết rõ nội dung, phương thức, hình thức, tần suất giới thiệu sản phẩm; cung cấp phương thức cho khách hàng để có thể từ chối nhận các thông tin quảng cáo.

Khoản 5 Điều 28 quy định chủ thể dữ liệu có quyền yêu cầu ngừng nhận thông tin từ dịch vụ quảng cáo; tổ chức, cá nhân kinh doanh dịch vụ quảng cáo phải cung cấp cơ chế và ngừng quảng cáo theo yêu cầu.

Khoản 7 Điều 28 đặt trách nhiệm chứng minh việc sử dụng dữ liệu cá nhân của khách hàng để quảng cáo lên chính tổ chức, cá nhân kinh doanh dịch vụ quảng cáo.

Nghĩa vụ chứng minh đảo ngược thế trận

Khi có khiếu nại, doanh nghiệp không thể nói "chúng tôi tin là khách đã đồng ý". Phải có bằng chứng. Điều 6 Nghị định 356/2025/NĐ-CP cũng quy định trách nhiệm chứng minh sự đồng ý thuộc về bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân.

Rủi ro nặng hơn nằm ở nguồn dữ liệu

Khoản 6 Điều 7 Luật 91/2025/QH15 xếp hành vi mua, bán dữ liệu cá nhân vào nhóm bị nghiêm cấm, trừ trường hợp luật có quy định khác.

Nếu danh sách dùng cho chiến dịch được mua từ bên ngoài, vi phạm không dừng ở việc thiếu đồng ý mà chạm vào điều cấm. Khoản 3 Điều 8 quy định mức phạt tiền tối đa với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu hoặc mức tính theo khoản thu thấp hơn mức tối đa tại khoản 5 thì áp dụng mức tại khoản 5.

Chế tài chung

Khoản 5 Điều 8 quy định mức phạt tiền tối đa đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng. Khoản 6 Điều 8 quy định cá nhân thực hiện cùng hành vi thì mức phạt tiền tối đa bằng một phần hai mức phạt đối với tổ chức.

Khoản 1 Điều 8 nêu ba lớp trách nhiệm có thể áp dụng: xử phạt hành chính, truy cứu trách nhiệm hình sự tùy tính chất mức độ hậu quả, và bồi thường nếu gây thiệt hại.

Còn một hệ quy định song song

Khoản 4 Điều 28 nêu việc sử dụng dữ liệu cá nhân để quảng cáo phải phù hợp với quy định của pháp luật về phòng, chống tin nhắn rác, thư điện tử rác, cuộc gọi rác và quy định của pháp luật về quảng cáo.

Nghĩa là cùng một hành vi có thể bị xem xét theo nhiều hệ quy định khác nhau.

Việc cần làm ngay với chiến dịch đang chạy

Dừng ngay các danh sách không xác định được nguồn gốc;
Với danh sách còn lại, kiểm tra có lưu được bằng chứng đồng ý không;
Bổ sung nội dung, phương thức, hình thức và tần suất vào phần xin đồng ý cho các chiến dịch mới;
Kiểm tra cơ chế từ chối nhận tin có hoạt động và có hiệu lực trong bao lâu;
Lưu nhật ký các yêu cầu ngừng nhận và thời điểm thực hiện.

Chi phí của việc dừng một danh sách không rõ nguồn nhỏ hơn nhiều so với mức phạt tính theo bội số khoản thu.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 28
Luật 91/2025/QH15 Điều 8
Luật 91/2025/QH15 Điều 7

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.