Luật bảo vệ dữ liệu cá nhân: thu thập thông tin khách hàng

Bạn đang xin số điện thoại để tích điểm, hỏi ngày sinh để tặng ly nước, hay để khách đăng nhập WiFi bằng Zalo? Từ 01/01/2026, những thông tin đó chịu sự điều chỉnh của Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15). Vậy luật bảo vệ dữ liệu cá nhân khi thu thập thông tin khách hàng yêu cầu quán cafe, nhà hàng làm gì?

Trả lời nhanh: bạn vẫn được thu thập, miễn là khách đồng ý rõ ràng, theo từng mục đích, và quán chứng minh được điều đó. Bài này đi từ góc nhìn chủ quán: luật nói gì, từng tình huống ở quán xử lý ra sao, hộ kinh doanh được miễn gì, mức phạt thế nào và một checklist 7 việc làm được ngay trong tuần này.

Lưu ý: nội dung mang tính tham khảo, không thay thế tư vấn của luật sư. Quy định có thể được hướng dẫn thêm, bạn nên kiểm tra lại văn bản hiện hành khi áp dụng.

Luật bảo vệ dữ liệu cá nhân khi thu thập thông tin khách hàng áp dụng cho quán thế nào

Những văn bản bạn cần biết

• Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) có hiệu lực từ 01/01/2026, theo cổng thông tin của tỉnh Hà Tĩnh.
• Nghị định 356/2025/NĐ-CP (ngày 31/12/2025) hướng dẫn thi hành luật. Văn bản này không cho phép “đồng ý mặc định”, và gánh nặng chứng minh sự đồng ý thuộc về bên kiểm soát dữ liệu (ở đây là quán).
• Nghị định 330/2026/NĐ-CP về xử phạt, có hiệu lực từ 19/08/2026, theo báo VOV.

Dữ liệu nào của khách là dữ liệu cá nhân

Hiểu đơn giản, đó là thông tin gắn với một người cụ thể: họ tên, số điện thoại, email, ngày sinh, tài khoản Zalo hoặc Facebook, và cả lịch sử gọi món khi nó được ghi theo từng khách. Cuốn sổ ghi số điện thoại ở quầy, bảng tính khách quen, danh sách thành viên trên phần mềm tích điểm, dữ liệu đăng nhập WiFi đều thuộc nhóm này.

Khi nào phải xin đồng ý của khách

Quy định về sự đồng ý nằm ở Điều 9 của luật. Nguyên tắc chung: muốn xử lý dữ liệu cá nhân của khách, quán cần có sự đồng ý của họ, trừ trường hợp pháp luật có quy định khác.

Thế nào là đồng ý hợp lệ

• Tự nguyện: khách không bị ép hay gài vào thế bắt buộc.
• Biết rõ: khách biết quán thu loại dữ liệu nào, để làm gì và ai là bên giữ dữ liệu.
• Rõ ràng, cụ thể: không dùng câu chữ mơ hồ kiểu “đồng ý mọi điều khoản”.
• Lưu lại được: sự đồng ý có thể in hoặc sao chép dưới dạng văn bản, kể cả bản điện tử.

Mỗi mục đích một sự đồng ý

Theo Điều 9, khách đồng ý riêng cho từng mục đích và không bị buộc phải đồng ý thêm những mục đích nằm ngoài thỏa thuận. Câu quan trọng nhất với chủ quán: “Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.” Nghĩa là ô đã tích sẵn, hay câu “nếu không phản hồi, chúng tôi coi như bạn đồng ý” đều là cách làm rủi ro.

Còn trường hợp không cần đồng ý?

Luật có quy định riêng một số trường hợp xử lý dữ liệu mà không cần đồng ý (xem Điều 19). Theo Điều 19, đó là các trường hợp như: bảo vệ tính mạng, sức khỏe trong tình huống cấp bách; tình trạng khẩn cấp, an ninh quốc gia, phòng chống tội phạm; phục vụ hoạt động của cơ quan nhà nước; thực hiện thỏa thuận giữa khách và quán theo quy định của pháp luật; và các trường hợp khác luật định. Gửi tin khuyến mãi không nằm trong danh sách này. Lời khuyên thực tế: đừng mặc định việc gửi khuyến mãi nằm trong nhóm ngoại lệ. Với tin nhắn ưu đãi, hãy xin đồng ý riêng, và hỏi luật sư nếu bạn muốn dựa vào một ngoại lệ nào đó.

Áp dụng vào từng tình huống ở quán

Bảng dưới đây là cách áp dụng nguyên tắc ở trên vào quy trình thường gặp. Các ví dụ là minh họa, không phải mẫu pháp lý chính thức.

Tình huống	Nên làm
Trang đăng nhập WiFi	Tách ô “để dùng WiFi” và ô “để nhận ưu đãi”; không tích sẵn; có link chính sách bảo mật
Quét QR để theo dõi Zalo OA	Ghi rõ khách sẽ nhận loại tin gì; cho phép bỏ theo dõi dễ dàng
Tích điểm bằng số điện thoại	Nói rõ số điện thoại dùng để tích điểm; nếu muốn nhắn khuyến mãi thì hỏi thêm một lần riêng
Đặt bàn, form khảo sát, minigame	Ghi mục đích ngay trên form; không dùng dữ liệu đó cho việc khác nếu chưa xin đồng ý

Trang đăng nhập WiFi (captive portal)

Captive portal là trang hiện ra khi khách kết nối WiFi và cần đăng nhập. Đây là điểm thu dữ liệu quen thuộc ở nhiều quán, và thường ít được nhắc trong các bài về luật. Cách làm an toàn: tách hai mục đích. Mục thứ nhất là “để sử dụng WiFi”. Mục thứ hai là “để nhận ưu đãi từ quán qua Zalo hoặc email”, với một ô đồng ý riêng, không tích sẵn.

Ví dụ minh họa dòng chữ cạnh ô đồng ý: “Tôi đồng ý để quán lưu số điện thoại của tôi và gửi ưu đãi qua Zalo. Tôi có thể ngừng nhận bất cứ lúc nào.” Nếu thiết kế cho phép, hãy để khách vẫn dùng WiFi khi không tích ô này.

Quét QR Zalo OA, tích điểm, đặt bàn, khảo sát, minigame

Nguyên tắc giống nhau: nói rõ thu gì, để làm gì, rồi mới xin thông tin. Nếu khách chỉ đưa số điện thoại để tích điểm, đừng tự đem số đó vào danh sách nhắn tin quảng cáo.

Camera, dữ liệu nhân viên, app giao đồ ăn

Những thứ này cũng liên quan đến dữ liệu cá nhân. Quy định cụ thể cho từng loại cần đối chiếu văn bản hiện hành, nên bạn hãy nhờ luật sư rà soát riêng.

Hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn gì

Theo Điều 38 của luật:

• Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện Điều 21 (đánh giá tác động xử lý dữ liệu cá nhân), Điều 22 và khoản 2 Điều 33.
• Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được chọn thực hiện hoặc không trong 5 năm kể từ ngày luật có hiệu lực.
• Ngoại lệ: không được miễn nếu kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể.

Điều cần nhớ: các điều được miễn không bao gồm nghĩa vụ xin đồng ý của khách. Dù là hộ kinh doanh nhỏ, bạn vẫn cần sự đồng ý khi thu thập dữ liệu.

Mức phạt khi vi phạm

Mức trần theo luật

Theo cổng thông tin tỉnh Hà Tĩnh: mức phạt tối đa cho các vi phạm khác là 3 tỷ đồng với tổ chức; cá nhân cùng hành vi bị phạt tối đa bằng một nửa. Riêng hành vi mua bán dữ liệu cá nhân bị phạt tối đa 10 lần khoản thu có được từ vi phạm.

Mức phạt thực tế theo Nghị định 330/2026/NĐ-CP

Mức phạt	Ví dụ hành vi
30–50 triệu đồng	Xử lý dữ liệu khi chưa có đồng ý; để ô đồng ý tích sẵn hoặc diễn đạt gây nhầm lẫn; không lưu bằng chứng đồng ý khi được yêu cầu
50–70 triệu đồng	Coi sự im lặng là đồng ý; cố ý tiếp tục xử lý sau khi khách yêu cầu dừng

Số liệu trên theo báo VOV. Con số 3 tỷ là mức trần, không phải mức thường gặp. Mục tiêu của bạn không phải lo sợ mà là làm đúng những việc đơn giản dưới đây.

Checklist tuân thủ cho quán nhỏ

1. Liệt kê dữ liệu đang thu: sổ ở quầy, phần mềm tích điểm, WiFi, Zalo OA, form đặt bàn.
2. Viết thông báo ngắn: thu gì, để làm gì, ai giữ, khách có quyền gì.
3. Tách ô đồng ý theo mục đích: không tích sẵn, không gộp.
4. Lưu bằng chứng đồng ý: ngày giờ và nội dung khách đã đồng ý.
5. Cho khách cách rút đồng ý: bỏ theo dõi Zalo OA, trả lời “dừng” hoặc liên hệ quán.
6. Không mua bán hay chia sẻ danh sách khách cho bên khác.
7. Giới hạn người xem dữ liệu: chỉ người cần dùng mới được truy cập.

WiFi Marketing hỗ trợ bạn thế nào

Với quán dùng WiFi Marketing, trang đăng nhập là điểm khách kết nối WiFi và để lại thông tin, nên cũng là nơi hợp lý để đặt phần xin đồng ý. Khi chọn giải pháp, hãy kiểm tra trang đăng nhập có cho thêm ô đồng ý và link chính sách bảo mật hay không. Bạn có thể xem thêm về giải pháp thu thập thông tin khách hàng hoặc ZaloWiFi.

Công cụ chỉ hỗ trợ, việc tuân thủ vẫn phụ thuộc cách quán thiết kế nội dung đồng ý và vận hành hằng ngày. Liên hệ SmartWifi qua Zalo hoặc trang Liên hệ để được tư vấn giải pháp phù hợp với mô hình kinh doanh của bạn.

Câu hỏi thường gặp

Xin số điện thoại khách ở quán cafe có vi phạm luật không?

Không, nếu khách biết quán thu số để làm gì và đồng ý rõ ràng. Rủi ro nằm ở việc thu mà không nói mục đích, hoặc dùng cho việc khác mà khách chưa đồng ý.

Hộ kinh doanh nhỏ có phải làm hồ sơ đánh giá tác động không?

Theo khoản 3 Điều 38, hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện Điều 21 (đánh giá tác động xử lý dữ liệu), trừ các ngoại lệ như xử lý dữ liệu nhạy cảm hoặc dữ liệu của số lượng lớn chủ thể. Việc xin đồng ý của khách vẫn áp dụng.

Gửi tin khuyến mãi qua Zalo cho khách có cần đồng ý riêng không?

Nên có. Luật yêu cầu đồng ý theo từng mục đích, nên nhận tin ưu đãi cần một sự đồng ý riêng, không gộp với việc tích điểm hay dùng WiFi.

Mua danh sách số điện thoại để chạy quảng cáo có bị phạt không?

Mua bán dữ liệu cá nhân là hành vi có mức phạt tối đa 10 lần khoản thu có được từ vi phạm. Bạn nên xây danh sách từ chính khách của quán, có đồng ý rõ ràng.

Khách yêu cầu xóa số điện thoại thì quán phải làm gì?

Khách có quyền rút lại sự đồng ý hoặc yêu cầu quán ngừng xử lý dữ liệu của mình (theo cổng thông tin tỉnh Hà Tĩnh). Theo Nghị định 330/2026/NĐ-CP, cố ý tiếp tục xử lý sau khi khách yêu cầu dừng thuộc nhóm phạt 50–70 triệu đồng (nguồn: báo VOV). Hãy hỏi luật sư về thời hạn cụ thể.