Kick off dự án: “ Thiết kế giao diện Ứng dụng Emerald Touch Screen và Hệ thống Cổng thông tin Emerald Portal của…
1. Lỗi từ chối truy cập (Access denied) Lỗi từ chối truy cập (access denied) là một trong những vấn đề phổ…
1. Có nên để AI tự đăng bài lên website không? Không nên để AI tự đăng bài trực tiếp lên website…
Khi nói đến việc lựa chọn nhà cung cấp dịch vụ hosting trên internet cho trang web của mình, đại đa số…
Từ ngày 19/8/2026, Nghị định 330/2026/NĐ-CP chính thức có hiệu lực, đưa việc bảo vệ dữ liệu cá nhân từ chỗ “nên làm” sang giai đoạn có chế tài cụ thể. Nghị định có hiệu lực ngay từ ngày ký, không có thời gian chuyển tiếp. Điều đáng lo là nhiều hành vi bị xử phạt lại nằm ở những chi tiết rất quen thuộc trên website: ô “Tôi đồng ý” được tick sẵn trong form, banner cookie chỉ có một nút “Chấp nhận”, hay chatbot hỏi số điện thoại mà không nói rõ dùng để làm gì.
Bài viết dưới đây của Wecan Group tổng hợp 8 lỗi thường gặp trên website và chatbot AI có thể bị phạt theo Nghị định 330/2026, kèm mức phạt tham khảo, cách sửa và checklist rà soát nhanh. Mục tiêu là giúp doanh nghiệp tự kiểm tra và khắc phục trước khi rủi ro trở thành biên bản xử phạt hoặc một vụ lộ dữ liệu khách hàng.
Nghị định 330/2026/NĐ-CP do Chính phủ ban hành ngày 19/8/2026, quy định xử phạt vi phạm hành chính trong hai lĩnh vực: an ninh mạng và bảo vệ dữ liệu cá nhân. Văn bản gồm 4 chương, 82 điều; nhóm hành vi về dữ liệu cá nhân nằm từ Điều 39 đến Điều 71. Đây là văn bản xử phạt đi kèm Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hướng dẫn luật.
Một số điểm doanh nghiệp cần nắm:
| Nội dung | Quy định |
|---|---|
| Ngày ban hành và hiệu lực | 19/8/2026, không có thời gian chuyển tiếp |
| Đối tượng | Tổ chức, cá nhân Việt Nam và nước ngoài; hộ kinh doanh bị phạt như cá nhân |
| Mức phạt trong bài | Áp dụng cho tổ chức; cá nhân bằng 1/2 mức của tổ chức |
| Thời hiệu xử phạt | 01 năm |
| Hình thức bổ sung | Tịch thu tang vật, đình chỉ hoạt động hoặc tước giấy phép từ 1–24 tháng |
| Biện pháp khắc phục | Buộc xóa dữ liệu thu thập trái phép đến mức không thể khôi phục, nộp lại khoản thu bất hợp pháp |
Website là nơi doanh nghiệp thu thập dữ liệu cá nhân nhiều nhất: form, giỏ hàng, chatbot, mã theo dõi quảng cáo.
Tiền phạt chưa phải phần đắt nhất: biện pháp buộc xóa dữ liệu thu thập không hợp lệ có thể xóa sổ cả danh sách khách hàng tiềm năng tích lũy nhiều năm. Đó là lý do việc rà soát website nên làm ngay, thay vì chờ đến khi có sự cố. Nếu doanh nghiệp chưa từng rà soát, có thể bắt đầu từ checklist bảo vệ dữ liệu cá nhân trên website doanh nghiệp mà Wecan Group đã chia sẻ.
Bảng dưới đây tóm tắt 8 lỗi phổ biến nhất mà Wecan Group thường gặp khi rà soát website doanh nghiệp, đối chiếu với điều khoản tương ứng. Mức phạt là mức áp dụng cho tổ chức, trích theo tóm tắt của các nguồn pháp lý ở cuối bài.
| # | Lỗi trên website / chatbot | Căn cứ | Mức phạt tổ chức (tham khảo) |
|---|---|---|---|
| 1 | Ô đồng ý tick sẵn, nút từ chối mờ hoặc bị giấu | Điều 43 | 30–50 triệu đồng |
| 2 | Một ô đồng ý gộp mọi mục đích | Điều 43 | 30–50 triệu đồng |
| 3 | Không lưu nhật ký đồng ý | Điều 43 | 30–50 triệu đồng |
| 4 | Coi im lặng, đóng banner là đồng ý | Điều 43 | 50–70 triệu đồng |
| 5 | Form thu thập vượt mục đích, hỏi dữ liệu nhạy cảm | Điều 48 | 30–50 triệu đồng (nhạy cảm: 50–80 triệu đồng) |
| 6 | Không có cách rút đồng ý, vẫn xử lý sau khi khách yêu cầu dừng | Điều 43, 44 | Đến 70 triệu đồng |
| 7 | Chatbot AI không minh bạch về xử lý tự động | Điều 67 | 50–70 triệu đồng |
| 8 | Lộ dữ liệu nhưng không thông báo trong 72 giờ | Điều 54 | 40–60 triệu đồng |
Đây là lỗi gặp nhiều nhất. Form đăng ký có sẵn dấu tick ở dòng “Tôi đồng ý nhận thông tin khuyến mãi”, hoặc banner cookie có nút “Chấp nhận” to, màu nổi, còn “Từ chối” là dòng chữ nhỏ màu xám. Điều 43 Nghị định 330/2026 phạt từ 30–50 triệu đồng với hành vi thiết lập mặc định đồng ý, hoặc chỉ dẫn không rõ ràng khiến người dùng nhầm lẫn giữa đồng ý và không đồng ý.
Cách sửa:
Nhiều form chỉ có một dòng: “Tôi đồng ý với chính sách bảo mật”. Một lần tick đó được dùng cho cả việc liên hệ tư vấn, gửi email marketing, chia sẻ cho đối tác và chạy quảng cáo. Điều 43 xử phạt trường hợp hình thức xin đồng ý không bảo đảm chủ thể đồng ý theo từng mục đích, hoặc bắt khách đồng ý cho mục đích không liên quan mới cung cấp dịch vụ.
Cách sửa:
Khách điền form, dữ liệu chảy vào email hoặc Google Sheet, nhưng không ai biết họ đã tick những ô nào và nội dung chính sách lúc đó ra sao. Điều 43 phạt 30–50 triệu đồng khi doanh nghiệp không ghi nhận, không lưu nhật ký hoặc không chứng minh được đã có sự đồng ý khi được yêu cầu.
Cách sửa:
Mỗi ô đồng ý trên form đều cần lưu được bằng chứng: ai đồng ý, lúc nào, cho mục đích gì
Câu “Bằng việc tiếp tục truy cập, bạn đồng ý với việc sử dụng cookie” từng rất phổ biến. Theo Nghị định 330/2026, việc thu thập, xử lý dữ liệu khi chủ thể im lặng hoặc không phản hồi, hay tự ý coi sự im lặng là đồng ý, bị phạt ở mức cao hơn: 50–70 triệu đồng, kèm buộc nộp lại khoản thu bất hợp pháp.
Cách sửa:
Form “Nhận báo giá” yêu cầu ngày sinh, số căn cước, địa chỉ nhà riêng; form đặt lịch nha khoa hỏi luôn tiền sử bệnh. Theo tóm tắt của các hãng luật, Điều 48 phạt 30–50 triệu đồng khi thu thập dữ liệu vượt phạm vi, mục đích; nếu là dữ liệu cá nhân nhạy cảm (như thông tin sức khỏe), mức phạt là 50–80 triệu đồng. Điều 43 cũng yêu cầu thông báo cho chủ thể khi dữ liệu nhạy cảm của họ được xử lý.
Cách sửa:
Khách bấm “Hủy đăng ký” nhưng tuần sau vẫn nhận email, hoặc website không có bất kỳ kênh nào để yêu cầu xóa dữ liệu. Điều 43 phạt 50–70 triệu đồng khi cố ý tiếp tục xử lý dữ liệu sau khi chủ thể yêu cầu ngừng hoặc hạn chế. Điều 44 xử phạt việc không thiết lập quy trình, biểu mẫu tiếp nhận yêu cầu của chủ thể dữ liệu hoặc không xử lý đúng thời hạn; theo tổng hợp của EY, mức phạt cho việc không đáp ứng yêu cầu đúng hạn là đến 40 triệu đồng.
Cách sửa:
Chatbot AI trên website thường hỏi tên, số điện thoại, nhu cầu, thậm chí triệu chứng bệnh. Nghị định 330/2026 dành riêng Điều 67 cho bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo. Theo tóm tắt của LuatVietnam và GV Lawyers, việc không thông báo hoặc không giải thích cho người dùng về cách thuật toán xử lý và ảnh hưởng của quyết định tự động có thể bị phạt 50–70 triệu đồng.
Không phải chatbot nào cũng thuộc diện áp dụng Điều 67; điều này cần đối chiếu với văn bản gốc và tư vấn pháp lý. Tuy nhiên, chatbot thu thập số điện thoại hay thông tin sức khỏe vẫn phải tuân thủ các quy định chung về sự đồng ý ở Điều 43.
Cách sửa:
Website WordPress dùng plugin lỗi thời bị chèn mã, cơ sở dữ liệu khách hàng bị tải xuống. Nhiều doanh nghiệp chọn “lặng lẽ sửa”. Theo Nghị định 330/2026, khi vi phạm gây hoặc có thể gây thiệt hại, doanh nghiệp phải thông báo cho cơ quan chuyên trách trong 72 giờ. Thông báo chậm bị phạt 40–60 triệu đồng; không áp dụng biện pháp ngăn chặn, khắc phục có thể bị phạt đến 80 triệu đồng (Điều 54).
Cách sửa:
Wecan Group gợi ý chia việc sửa thành 3 đợt theo mức độ rủi ro và công sức:
Nếu dữ liệu khách hàng được lưu trên máy chủ ở nước ngoài, doanh nghiệp cần xem xét thêm quy định về chuyển dữ liệu xuyên biên giới. Theo tổng hợp của EY, chuyển dữ liệu xuyên biên giới dẫn đến mất hoặc lộ lọt dữ liệu có thể bị phạt đến 5% doanh thu năm trước tại Việt Nam (Điều 56).
Doanh nghiệp có thể dùng checklist dưới đây để tự rà soát trong khoảng một buổi làm việc:
Form và banner cookie
Lưu trữ và quyền của khách hàng
Chatbot AI
Bảo mật và sự cố
Nghị định 330/2026 có hiệu lực từ khi nào? Có thời gian chuyển tiếp không?
Nghị định có hiệu lực từ ngày ký 19/8/2026 và không quy định thời gian chuyển tiếp cho doanh nghiệp điều chỉnh. Với hành vi xảy ra trước ngày này, theo phân tích của Tilleke & Gibbins, nhìn chung áp dụng quy định tại thời điểm vi phạm, và doanh nghiệp được áp dụng quy định có lợi hơn nếu có.
Website nhỏ, hộ kinh doanh có bị phạt không?
Có. Nghị định áp dụng cho cả tổ chức và cá nhân; hộ kinh doanh bị phạt tiền như cá nhân, tức bằng 1/2 mức phạt của tổ chức cho cùng hành vi.
Website chỉ dùng Google Analytics có cần banner cookie không?
Cookie phân tích và quảng cáo không phải cookie thiết yếu để website hoạt động, nên cần xin đồng ý trước khi kích hoạt. Không được coi việc người dùng tiếp tục truy cập là đồng ý.
Chatbot AI có phải xin đồng ý trước khi hỏi số điện thoại không?
Có. Số điện thoại là dữ liệu cá nhân; chatbot cần nêu mục đích sử dụng và để khách tự lựa chọn. Với chatbot ngành y tế, nha khoa, bảo hiểm, cần thận trọng hơn vì thông tin sức khỏe là dữ liệu nhạy cảm.
Ai có trách nhiệm khi website do agency làm bị vi phạm?
Doanh nghiệp sở hữu website và thu thập dữ liệu khách hàng là bên chịu trách nhiệm chính. Vì vậy, khi thuê đơn vị thiết kế, doanh nghiệp nên đưa yêu cầu về form, cookie, nhật ký đồng ý và bảo mật vào phạm vi công việc ngay từ đầu.
Wecan Group thiết kế website doanh nghiệp, chatbot AI và cung cấp dịch vụ SEO, với quy trình chú trọng bảo mật và tuân thủ pháp luật Việt Nam. Khi xây dựng hoặc nâng cấp website, đội ngũ Wecan Group có thể hỗ trợ doanh nghiệp:
Tìm hiểu thêm về dịch vụ thiết kế website chuẩn Luật Bảo vệ dữ liệu cá nhân và liên hệ Wecan Group để được tư vấn rà soát website, chatbot của doanh nghiệp.
Nguồn tham khảo: LuatVietnam – Nghị định 330/2026: xử lý dữ liệu khi chưa được đồng ý; LuatVietnam – 10 điểm đáng chú ý Nghị định 330/2026; VnExpress – Mặc định “im lặng là đồng ý” có thể bị phạt 70 triệu đồng; EY – Tóm tắt Nghị định 330/2026 (PDF).
Lưu ý: Nội dung bài viết mang tính tham khảo, được tổng hợp từ Nghị định 330/2026/NĐ-CP và các bản tóm tắt của cơ quan báo chí, hãng luật tại thời điểm tháng 11/2026; không thay thế tư vấn pháp lý. Doanh nghiệp nên đối chiếu văn bản gốc hoặc tham khảo luật sư trước khi ra quyết định.
