Dữ liệu khách hàng: cách thu thập hợp pháp và quản lý từ 2026

Phần lớn bài viết về dữ liệu khách hàng ở Việt Nam dạy cách thu thập càng nhiều càng tốt. Từ 01/01/2026, cách tiếp cận đó trở thành rủi ro: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực, và mức phạt cho tổ chức lên tới 3 tỷ đồng.

Bài viết đi theo thứ tự ngược lại: điều kiện hợp pháp trước, cách thu thập và quản lý sau.

Dữ liệu khách hàng là gì?

Là toàn bộ thông tin doanh nghiệp thu thập được về khách hàng trong quá trình họ tiếp cận, tương tác, mua và sử dụng sản phẩm hoặc dịch vụ.

Điểm cần phân biệt ngay: phần lớn dữ liệu khách hàng của doanh nghiệp B2C, và một phần đáng kể của doanh nghiệp B2B, là dữ liệu cá nhân theo định nghĩa pháp luật. Nghĩa là thuộc phạm vi điều chỉnh của Luật 91/2025, không phải chỉ là tài sản dữ liệu của doanh nghiệp.

Góc nhìn	Dữ liệu khách hàng là
Marketing và bán hàng	Tài sản giúp hiểu và tiếp cận khách hàng
Pháp lý từ 01/01/2026	Dữ liệu cá nhân mà doanh nghiệp xử lý, kèm nghĩa vụ kèm theo

Hai góc nhìn này không xung đột, nhưng góc thứ hai quyết định những gì được làm với dữ liệu ở góc thứ nhất.

Phân loại dữ liệu khách hàng: hai cách phân loại song song

Đây là phần các bài viết hay bỏ. Doanh nghiệp cần giữ hai cách phân loại cùng lúc: cách của marketing để khai thác, và cách của pháp luật để tuân thủ.

Cách phân loại theo marketing

Nhóm	Gồm	Dùng để
Định danh	Họ tên, email, số điện thoại, tên doanh nghiệp, chức vụ, địa chỉ	Xác định và liên hệ
Nhân khẩu học	Tuổi, giới tính, khu vực, ngành nghề, quy mô doanh nghiệp	Phân nhóm đối tượng
Hành vi	Trang đã xem, email đã mở, nội dung đã tải, tần suất truy cập	Đánh giá mức độ quan tâm
Giao dịch	Đơn hàng, giá trị, tần suất mua, sản phẩm đã mua, công nợ	Xác định giá trị khách hàng
Tương tác và chăm sóc	Lịch sử liên hệ, yêu cầu hỗ trợ, phản hồi, khiếu nại	Phục vụ và giữ khách

Cách phân loại theo Luật 91/2025

Luật chia dữ liệu cá nhân thành hai loại:

Loại	Định nghĩa theo luật
Dữ liệu cá nhân cơ bản	Dữ liệu phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong giao dịch và quan hệ xã hội, thuộc danh mục do Chính phủ ban hành
Dữ liệu cá nhân nhạy cảm	Dữ liệu gắn liền với quyền riêng tư, khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp, thuộc danh mục do Chính phủ ban hành

Hai điều quan trọng về cách phân loại này:

Danh mục do Chính phủ ban hành, không nằm trong luật. Nghĩa là doanh nghiệp phải tra danh mục tại nghị định hướng dẫn, không suy luận từ định nghĩa. Bài viết nào đang liệt kê danh mục theo Nghị định 13/2023 cần kiểm tra lại.

Dữ liệu nhạy cảm có nghĩa vụ chặt hơn dữ liệu cơ bản. Vì vậy việc đầu tiên cần làm là rà xem trong CRM của mình có trường nào thuộc nhóm nhạy cảm hay không.

Doanh nghiệp cần đối chiếu danh mục cụ thể tại Nghị định 356/2025/NĐ-CP và các văn bản hướng dẫn. (người duyệt bài bổ sung danh mục dữ liệu nhạy cảm theo danh mục Chính phủ ban hành)

Việc cần làm: lập bản đồ hai chiều

Trường trong CRM	Nhóm marketing	Nhóm pháp lý	Nghĩa vụ
Họ tên, email, điện thoại	Định danh	Cơ bản	Có sự đồng ý trước khi thu thập
Ngày sinh, giới tính	Nhân khẩu học	Cơ bản	Như trên, và cần nêu rõ mục đích
Lịch sử truy cập website	Hành vi	Cần xác định theo danh mục	Thông báo rõ nếu dùng công cụ theo dõi
Dữ liệu vị trí	Hành vi	Cần kiểm tra, có khả năng thuộc nhóm nhạy cảm	Nếu nhạy cảm thì nghĩa vụ chặt hơn
Thông tin tài chính, công nợ	Giao dịch	Cần xác định theo danh mục	Kiểm tra trước khi chia sẻ với bên thứ ba

Bảng này là tài liệu nên có trước khi làm bất cứ chiến dịch thu thập dữ liệu nào. Không có nó thì không biết trường nào đang gánh nghĩa vụ gì.

Điều kiện để thu thập dữ liệu khách hàng hợp pháp

Nguyên tắc: đồng ý trước, thu thập sau

Theo Luật 91/2025, dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu trước khi thu thập, trừ trường hợp pháp luật có quy định khác.

Ba yêu cầu về hình thức đồng ý:

Yêu cầu	Nghĩa là
Rõ ràng, cụ thể	Nêu rõ thu thập dữ liệu gì, để làm gì. Không dùng câu chung như “đồng ý với các điều khoản”
Có thể in, sao chép bằng văn bản	Phải lưu lại được, không chỉ là một lần tích chọn không có dấu vết
Gồm cả dạng điện tử hoặc định dạng kiểm chứng được	Tích chọn trên form là được, nhưng phải lưu được bằng chứng

Yêu cầu thứ hai là yêu cầu phần lớn form trên website Việt Nam không đáp ứng. Form có một ô tích “tôi đồng ý” nhưng hệ thống không lưu lại thời điểm tích, nội dung điều khoản tại thời điểm đó, và địa chỉ IP, thì không chứng minh được đã có sự đồng ý.

Quyền rút lại sự đồng ý

Chủ thể dữ liệu có quyền yêu cầu rút lại sự đồng ý.

Đây là điểm có ảnh hưởng lớn nhất tới cách vận hành CRM, và gần như không bài viết nào về quản lý data khách hàng ở Việt Nam đề cập.

Nếu khách hàng rút lại sự đồng ý	Hệ thống phải làm được
Dừng gửi email marketing	Đánh dấu và loại khỏi mọi danh sách gửi, không chỉ một chiến dịch
Dừng xử lý dữ liệu cho mục đích đã rút	Phân biệt được dữ liệu đang xử lý theo mục đích nào
Chứng minh đã dừng	Lưu thời điểm rút lại và hành động đã thực hiện

Câu hỏi để tự kiểm tra: nếu một khách hàng hôm nay yêu cầu doanh nghiệp dừng xử lý dữ liệu của họ, hệ thống hiện tại mất bao lâu để thực hiện, và có bằng chứng gì để chứng minh đã thực hiện?

Nếu dữ liệu đang nằm rải rác trên nhiều file Excel của nhiều người, câu trả lời thường là không làm được.

Hai hành vi bị cấm tuyệt đối

Luật 91/2025 liệt kê các hành vi bị cấm, trong đó hai hành vi liên quan trực tiếp tới hoạt động marketing:

Mua bán dữ liệu cá nhân khi không được phép, trừ trường hợp luật khác có quy định.

Xử lý dữ liệu cá nhân nhằm chống lại Nhà nước, ảnh hưởng quốc phòng và an ninh.

Hành vi thứ nhất chấm dứt một thực tế phổ biến ở Việt Nam: mua danh sách số điện thoại và email để chạy chiến dịch. Mức phạt cho hành vi mua bán dữ liệu cá nhân có thể lên tới 10 lần khoản thu có được từ hành vi vi phạm.

Mức phạt từ 01/01/2026

Hành vi	Mức tối đa
Vi phạm về chuyển dữ liệu xuyên biên giới	5% doanh thu năm trước
Mua bán dữ liệu cá nhân	10 lần khoản thu từ hành vi vi phạm
Các vi phạm khác, tổ chức	3 tỷ đồng
Các vi phạm khác, cá nhân	1,5 tỷ đồng

Ngoài xử phạt hành chính còn có trách nhiệm hình sự và trách nhiệm bồi thường thiệt hại.

Dòng đầu bảng đáng chú ý nhất với doanh nghiệp dùng công cụ nước ngoài. Mức phạt tính theo tỷ lệ doanh thu, không theo số tiền tuyệt đối. Doanh nghiệp đang lưu dữ liệu khách hàng trên nền tảng CRM hoặc email marketing đặt máy chủ ngoài Việt Nam cần xem lại nghĩa vụ về chuyển dữ liệu xuyên biên giới.

Các mức trên cần đối chiếu lại với Luật 91/2025 và nghị định xử phạt tương ứng. (người duyệt bài xác nhận trước khi phát hành)

Các cách thu thập dữ liệu và điều kiện kèm theo

Bảng dưới gộp phần “8 cách thu thập” của bản cũ, và thêm cột điều kiện.

Cách thu thập	Dữ liệu thu được	Điều kiện cần có
Form trên website, landing page	Định danh, nhu cầu	Ô đồng ý riêng, nêu rõ mục đích, lưu được bằng chứng đồng ý
Tải tài liệu, ebook	Định danh, lĩnh vực quan tâm	Nêu rõ sẽ dùng email để làm gì, không chỉ để gửi tài liệu
CRM và lịch sử bán hàng	Giao dịch, tương tác	Dữ liệu từ quan hệ hợp đồng, vẫn cần xác định căn cứ xử lý cho từng mục đích
Mạng xã hội	Định danh, hành vi	Tuân thủ cả quy định pháp luật và điều khoản nền tảng
Email marketing	Hành vi mở, nhấp	Có đồng ý nhận email, và cơ chế hủy nhận hoạt động thật
Chatbot, live chat	Định danh, nhu cầu	Thông báo trước khi lưu nội dung hội thoại
Hội thảo, sự kiện	Định danh, chức vụ	Phiếu đăng ký có nội dung đồng ý, không chỉ thu danh thiếp
Khảo sát, phản hồi	Nhân khẩu học, ý kiến	Nếu khảo sát chạm tới dữ liệu nhạy cảm thì nghĩa vụ chặt hơn

Ba lỗi phổ biến xuyên suốt bảng trên:

Gộp ô đồng ý nhận marketing vào ô đồng ý điều khoản sử dụng. Hai việc khác nhau, cần hai ô.

Thu thập nhiều hơn mức cần thiết. Form đăng ký tải tài liệu hỏi cả ngày sinh và địa chỉ nhà là thu thập không có mục đích tương ứng.

Không lưu bằng chứng đồng ý. Có ô tích nhưng không lưu thời điểm, nội dung điều khoản tại thời điểm đó và nguồn đăng ký.

Quy trình quản lý dữ liệu khách hàng

Bước	Việc làm	Điểm cần chú ý từ 2026
1	Lập bản đồ dữ liệu: đang có trường nào, lấy từ đâu, để làm gì	Bước này bản cũ không có, và là bước đầu tiên của tuân thủ
2	Thu thập đúng nguồn, có bằng chứng đồng ý	Lưu thời điểm, nội dung điều khoản, nguồn
3	Chuẩn hóa và làm sạch	Gộp trùng, chuẩn định dạng số điện thoại và email
4	Phân loại và phân khúc	Phân theo cả nhóm marketing và nhóm pháp lý
5	Lưu trữ tập trung	Dữ liệu rải rác trên Excel thì không thực hiện được quyền rút lại đồng ý
6	Phân quyền và bảo mật	Giới hạn theo vai trò, có nhật ký truy cập
7	Xác định thời hạn lưu và xóa khi hết mục đích	Bước này bản cũ không có
8	Có quy trình xử lý yêu cầu của khách hàng	Rút lại đồng ý, yêu cầu xóa, yêu cầu cung cấp dữ liệu

Bước 1, bước 7 và bước 8 là ba bước mới so với cách làm cũ, và là ba bước quyết định việc doanh nghiệp có đáp ứng được Luật 91/2025 hay không.

Bước 5 có lý do pháp lý, không chỉ lý do tiện lợi. Dữ liệu nằm trên 15 file Excel của 15 người thì không ai trả lời được câu hỏi “dữ liệu của khách hàng này đang nằm ở đâu”.

Sáu sai lầm phổ biến

Sai lầm	Hậu quả
Mua danh sách data để chạy chiến dịch	Hành vi mua bán dữ liệu cá nhân, mức phạt tới 10 lần khoản thu từ vi phạm
Lưu trữ bằng Excel rời rạc	Không thực hiện được quyền rút lại đồng ý, không biết dữ liệu nằm ở đâu
Có ô đồng ý nhưng không lưu bằng chứng	Không chứng minh được đã có sự đồng ý
Thu thập nhiều hơn mức cần	Tăng nghĩa vụ và rủi ro mà không tăng giá trị khai thác
Không phân quyền truy cập	Cả phòng xem được toàn bộ dữ liệu khách hàng
Lưu dữ liệu vô thời hạn	Giữ dữ liệu đã hết mục đích sử dụng

Sai lầm thứ nhất là sai lầm thay đổi bản chất từ 01/01/2026. Trước đây là vấn đề về chất lượng dữ liệu và hiệu quả chiến dịch. Từ 2026 là vấn đề pháp lý.

Những việc cần làm trước 01/01/2026

Việc	Ai làm
Rà toàn bộ trường dữ liệu đang thu thập, lập bản đồ dữ liệu	Marketing và IT
Đối chiếu với danh mục dữ liệu cá nhân cơ bản và nhạy cảm do Chính phủ ban hành	Pháp chế hoặc tư vấn pháp lý
Sửa form trên website: tách ô đồng ý, nêu rõ mục đích, lưu bằng chứng	Marketing và IT
Gom dữ liệu rời rạc về một hệ thống	IT
Thiết lập phân quyền theo vai trò và nhật ký truy cập	IT
Xác định thời hạn lưu cho từng loại dữ liệu	Pháp chế và các bộ phận sử dụng
Xây quy trình xử lý yêu cầu rút lại đồng ý và yêu cầu xóa	Pháp chế, chăm sóc khách hàng, IT
Rà soát việc lưu dữ liệu trên nền tảng đặt máy chủ ngoài Việt Nam	IT và pháp chế

Việc cuối bảng thường bị phát hiện muộn nhất. Nhiều doanh nghiệp dùng công cụ email marketing và CRM nước ngoài mà chưa xem xét nghĩa vụ về chuyển dữ liệu xuyên biên giới, nơi mức phạt tính theo tỷ lệ doanh thu.

Quản lý dữ liệu khách hàng trên hệ thống Arito

Arito xử lý:

• Lưu toàn bộ dữ liệu khách hàng tập trung trên một hệ thống, thay vì nhiều file rời rạc
• Ghi nhận nguồn và thời điểm thu thập của từng hồ sơ khách hàng, phục vụ chứng minh căn cứ xử lý
• Đánh dấu trạng thái đồng ý theo từng mục đích, và dừng xử lý khi khách hàng rút lại đồng ý
• Phân quyền xem và sửa theo vai trò, không để toàn bộ nhân viên truy cập toàn bộ dữ liệu
• Nhật ký truy cập và thao tác, truy được ai xem gì và sửa gì lúc nào
• Gộp trùng và chuẩn hóa dữ liệu khi nhập từ nhiều nguồn
• Thiết lập thời hạn lưu theo loại dữ liệu, cảnh báo hồ sơ đã hết mục đích sử dụng
• Dữ liệu đặt tại Việt Nam, phục vụ yêu cầu về lưu trữ và chuyển dữ liệu

Xem phần mềm CRM hoặc tích hợp CRM.

Câu hỏi thường gặp

Dữ liệu khách hàng gồm những thông tin nào?

Dữ liệu định danh, nhân khẩu học, hành vi, giao dịch, và dữ liệu tương tác chăm sóc. Phần lớn trong đó là dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

Thu thập data khách hàng thế nào là hợp pháp?

Phải có sự đồng ý của chủ thể dữ liệu trước khi thu thập, trừ trường hợp pháp luật quy định khác. Sự đồng ý phải rõ ràng, cụ thể, và có thể in hoặc sao chép bằng văn bản, gồm cả dạng điện tử hoặc định dạng kiểm chứng được.

Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ khi nào?

Luật số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026.

Mua danh sách data khách hàng có vi phạm không?

Mua bán dữ liệu cá nhân khi không được phép là hành vi bị cấm, trừ trường hợp luật khác có quy định. Mức phạt có thể lên tới 10 lần khoản thu có được từ hành vi vi phạm.

Mức phạt tối đa là bao nhiêu?

Tối đa 3 tỷ đồng với tổ chức và 1,5 tỷ đồng với cá nhân cho các vi phạm thông thường, tới 5% doanh thu năm trước với vi phạm về chuyển dữ liệu xuyên biên giới.

Khách hàng có quyền yêu cầu xóa dữ liệu không?

Chủ thể dữ liệu có quyền đồng ý hoặc không đồng ý và yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân. Doanh nghiệp cần có quy trình và hệ thống thực hiện được yêu cầu này.

Dữ liệu cá nhân nhạy cảm gồm những gì?

Luật định nghĩa đây là dữ liệu gắn liền với quyền riêng tư, nhưng danh mục cụ thể do Chính phủ ban hành. Doanh nghiệp cần tra danh mục tại nghị định hướng dẫn, không suy luận từ định nghĩa.

Lưu dữ liệu khách hàng trên nền tảng nước ngoài có được không?

Cần xem xét nghĩa vụ về chuyển dữ liệu xuyên biên giới, nơi mức phạt tính theo tỷ lệ doanh thu năm trước. Đây là điểm cần tư vấn pháp lý cụ thể.

Doanh nghiệp nhỏ có thuộc phạm vi áp dụng không?

Cần đối chiếu phạm vi áp dụng tại Luật 91/2025 và Nghị định 356/2025. Quy mô nhỏ không tự động được miễn nghĩa vụ.

Tổng kết

Bốn điều quyết định:

Sự đồng ý phải có trước khi thu thập, và phải lưu được bằng chứng. Một ô tích không lưu dấu vết thì không chứng minh được gì.

Dữ liệu rời rạc trên Excel không còn là vấn đề tiện lợi. Từ 2026, khách hàng có quyền rút lại đồng ý, và hệ thống phải thực hiện được yêu cầu đó.

Thu ít hơn, dùng kỹ hơn. Mỗi trường dữ liệu thu thập thêm là một nghĩa vụ thêm. Trường nào không có mục đích rõ thì bỏ.

Rà lại nơi dữ liệu đang được lưu, kể cả trên công cụ nước ngoài. Đây là nhóm vi phạm có mức phạt tính theo tỷ lệ doanh thu, không theo số tuyệt đối.

Nội dung mang tính tham khảo, không thay thế tư vấn pháp lý. Khi áp dụng cần đối chiếu Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.

Bài viết liên quan

• Phần mềm CRM
• Tích hợp CRM
• Mobile CRM là gì
• Đánh giá nhân sự là gì
• Phần mềm ERP