Chuyển đến nội dung
fnblegal
Marketing & dữ liệu

Thu số điện thoại khách để tích điểm: quán cần làm gì theo Luật Bảo vệ dữ liệu cá nhân

Từ 01/01/2026, số điện thoại khách để tích điểm, gửi Zalo hay lưu trên CRM đều chịu Luật Bảo vệ dữ liệu cá nhân. Từ 19/08/2026 đã có nghị định xử phạt.

Điểm nổi bật

  • Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hướng dẫn cùng có hiệu lực từ 01/01/2026.
  • Nghị định 330/2026/NĐ-CP ngày 19/08/2026 quy định xử phạt: xử lý dữ liệu không có sự đồng ý hoặc đồng ý bị gây hiểu nhầm bị phạt 30–50 triệu đồng; tiếp tục xử lý sau khi khách yêu cầu dừng bị phạt 50–70 triệu đồng.
  • Sự im lặng hoặc không phản hồi không được coi là đồng ý; quán cần xin đồng ý riêng cho từng mục đích như tích điểm và gửi tin khuyến mãi.
  • Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải lập đánh giá tác động và bố trí nhân sự bảo vệ dữ liệu, nhưng vẫn phải xin đồng ý, thông báo và đáp ứng quyền của khách.
  • Mua bán dữ liệu cá nhân bị cấm; danh sách khách hàng không được bán, trao đổi hoặc để nhân viên mang theo khi nghỉ việc.

Ban biên tập fnblegalCập nhật

Thu số điện thoại khách để tích điểm: quán cần làm gì theo Luật Bảo vệ dữ liệu cá nhân
Mục lục (7 phần)
  1. Ba văn bản cần biết
  2. Quán thường xử lý dữ liệu ở đâu
  3. 5 việc quán cần làm
  4. Hộ kinh doanh có được miễn không
  5. Mức phạt theo Nghị định 330/2026
  6. Việc cần làm ngay
  7. Nguồn tham khảo

Chương trình tích điểm, nhóm Zalo khách quen, phần mềm CRM gửi tin nhắn sinh nhật: đây là công cụ quen thuộc của quán cà phê và chuỗi nhà hàng. Điểm chung của chúng là thu và lưu số điện thoại khách, tức là xử lý dữ liệu cá nhân. Từ 01/01/2026, việc này chịu điều chỉnh của Luật Bảo vệ dữ liệu cá nhân, và từ 19/08/2026 đã có nghị định xử phạt riêng. Bài viết tóm tắt những việc một quán cần làm, viết cho chủ quán chứ không cho chuyên gia công nghệ.

Ba văn bản cần biết

Văn bản Ngày ban hành Hiệu lực Nội dung
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 Thông qua 26/06/2025 01/01/2026 Nguyên tắc, sự đồng ý, quyền của chủ thể dữ liệu, hành vi bị cấm
Nghị định 356/2025/NĐ-CP 31/12/2025 01/01/2026 Hướng dẫn chi tiết, thay thế Nghị định 13/2023/NĐ-CP
Nghị định 330/2026/NĐ-CP 19/08/2026 19/08/2026 Xử phạt vi phạm hành chính về an ninh mạng và bảo vệ dữ liệu cá nhân

Quán thường xử lý dữ liệu ở đâu

  • POS và chương trình tích điểm: số điện thoại, tên, lịch sử mua.
  • Zalo, Facebook: danh sách khách, nhóm chat, tin nhắn chăm sóc.
  • CRM, Google Sheets: ngày sinh, món yêu thích, ghi chú.
  • Đặt bàn và giao hàng: tên, số điện thoại, địa chỉ nhận hàng.
  • Camera: hình ảnh khách và nhân viên.

Nhiều quán không biết dữ liệu khách đang nằm ở bao nhiêu nơi. Đó là điểm bắt đầu của hầu hết vi phạm.

5 việc quán cần làm

1. Xin sự đồng ý rõ ràng, tách theo mục đích

Luật yêu cầu sự đồng ý phải rõ ràng, minh bạch và kiểm chứng được. Sự im lặng hoặc không phản hồi không được coi là đồng ý. Với quán, cách làm thực tế là tách 2 mục đích:

  • Tích điểm: khách đồng ý cho quán lưu số điện thoại để ghi nhận điểm và ưu đãi thành viên.
  • Gửi tin tiếp thị: khách đồng ý nhận tin khuyến mãi qua Zalo, SMS. Nên có ô đánh dấu riêng, không đánh dấu sẵn.

Lưu lại bằng chứng: thời điểm, kênh đăng ký (mã QR, máy POS, form), nội dung khách đã đồng ý.

2. Có thông báo quyền riêng tư ngắn gọn

Một trang thông báo 1 màn hình điện thoại là đủ cho phần lớn quán: quán thu gì, để làm gì, lưu bao lâu, ai được xem, khách liên hệ ở đâu để xem, sửa hoặc xóa. Gắn đường dẫn vào mã QR đăng ký thành viên và in tóm tắt ở quầy.

3. Chỉ thu những gì cần

Tích điểm chỉ cần số điện thoại, có thể thêm tên gọi. Không thu số căn cước công dân, không chụp giấy tờ tùy thân của khách. Ngày sinh chỉ thu nếu thực sự dùng cho ưu đãi sinh nhật. Xử lý ngoài phạm vi đã thông báo hoặc lưu giữ quá mức có thể bị phạt 20–40 triệu đồng.

4. Đáp ứng yêu cầu của khách

Khách có quyền được biết, đồng ý hoặc từ chối, rút lại sự đồng ý, xem, chỉnh sửa, xóa dữ liệu và phản đối việc xử lý. Quán cần:

  • Một đầu mối nhận yêu cầu (số hotline hoặc Zalo OA).
  • Quy trình xóa trên tất cả nơi lưu: POS, CRM, danh sách Zalo, file Excel.
  • Ghi nhận ngày nhận và ngày xử lý xong.

Đây là điểm dễ bị phạt nhất: tiếp tục gửi tin cho khách đã yêu cầu dừng thuộc khung 50–70 triệu đồng.

5. Kiểm soát nhân viên truy cập dữ liệu

  • Phân quyền trên CRM: thu ngân chỉ tra cứu điểm, không xuất được danh sách.
  • Không lưu danh sách khách trên điện thoại cá nhân hoặc tài khoản Zalo cá nhân của nhân viên.
  • Thu hồi tài khoản ngay khi nhân viên nghỉ việc.
  • Tuyệt đối không mua, bán hoặc trao đổi danh sách khách; mua bán dữ liệu cá nhân là hành vi bị cấm.
  • Khi phát hiện lộ dữ liệu, Nghị định 356/2025 yêu cầu thông báo trong 72 giờ.

Hộ kinh doanh có được miễn không

Luật có cơ chế giảm nhẹ, nhưng không phải miễn toàn bộ:

Đối tượng Đánh giá tác động và nhân sự bảo vệ dữ liệu Sự đồng ý, thông báo, quyền của khách
Hộ kinh doanh, doanh nghiệp siêu nhỏ Không phải thực hiện Vẫn phải thực hiện
Doanh nghiệp nhỏ, khởi nghiệp Được chọn thực hiện hoặc không trong 5 năm kể từ 01/01/2026 Vẫn phải thực hiện

Mức giảm nhẹ không áp dụng nếu quán xử lý dữ liệu cá nhân nhạy cảm hoặc dữ liệu của số lượng lớn chủ thể. Chuỗi có chương trình thành viên hàng chục nghìn người nên rà soát kỹ ngưỡng này.

Mức phạt theo Nghị định 330/2026

Hành vi Mức phạt
Xử lý ngoài phạm vi, không chính xác, lưu giữ quá mức 20–40 triệu đồng
Xử lý không có sự đồng ý hoặc cơ chế đồng ý gây hiểu nhầm 30–50 triệu đồng
Cản trở hoạt động bảo vệ dữ liệu, lợi dụng dữ liệu của người khác 40–60 triệu đồng
Tiếp tục xử lý sau khi chủ thể yêu cầu dừng 50–70 triệu đồng

Ngoài phạt tiền, có thể bị buộc xóa dữ liệu. Luật còn đặt mức phạt tối đa 3 tỷ đồng với nhiều hành vi, và với mua bán dữ liệu là 10 lần khoản thu có được nếu cao hơn 3 tỷ đồng.

Việc cần làm ngay

  • Liệt kê mọi nơi đang lưu số điện thoại khách: POS, CRM, Zalo, Excel, sổ tay.
  • Sửa form hoặc mã QR đăng ký: tách ô đồng ý tích điểm và ô đồng ý nhận tin tiếp thị.
  • Viết thông báo quyền riêng tư 1 trang và gắn vào mã QR.
  • Chỉ định một người nhận và xử lý yêu cầu xem, sửa, xóa của khách.
  • Tạo danh sách "không gửi tin" và đồng bộ trên mọi kênh.
  • Phân quyền lại CRM, gỡ danh sách khách khỏi thiết bị cá nhân của nhân viên.
  • Thêm điều khoản bảo mật dữ liệu vào hợp đồng lao động và nội quy.

Bạn có thể làm bài Đánh giá sức khỏe pháp lý để xem nhóm marketing và dữ liệu của quán đang ở mức nào. Nếu cần rà soát chương trình thành viên cụ thể, có thể gửi yêu cầu qua trang Dịch vụ.

Nguồn tham khảo

Hỏi đáp

Quán nhỏ là hộ kinh doanh có phải tuân thủ luật này không?

Có. Luật chỉ miễn cho hộ kinh doanh và doanh nghiệp siêu nhỏ một số nghĩa vụ như đánh giá tác động xử lý dữ liệu và bố trí nhân sự bảo vệ dữ liệu, trừ khi xử lý dữ liệu nhạy cảm hoặc số lượng lớn. Các nghĩa vụ về sự đồng ý, mục đích và quyền của khách vẫn áp dụng.

Khách đọc số điện thoại cho thu ngân để tích điểm có được coi là đồng ý không?

Chỉ nên coi là đồng ý cho mục đích tích điểm nếu khách được cho biết rõ mục đích đó. Muốn gửi tin khuyến mãi qua Zalo hoặc SMS, quán nên xin một sự đồng ý riêng, có thể kiểm chứng được như ô đánh dấu trên mã QR hoặc tin nhắn xác nhận.

Khách yêu cầu xóa số điện thoại thì quán phải làm gì?

Ghi nhận yêu cầu, xóa hoặc ngừng xử lý trên tất cả hệ thống (POS, CRM, danh sách Zalo, file Excel) và phản hồi khách. Tiếp tục xử lý sau khi khách đã yêu cầu dừng là hành vi bị phạt 50–70 triệu đồng theo Nghị định 330/2026.

Nguồn tham khảo: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15

Bài viết được biên soạn với sự hỗ trợ của AI dựa trên nguồn tham khảo và được Ban biên tập fnblegal kiểm duyệt trước khi đăng.

Lưu ý: Nội dung trên fnblegal là thông tin tham khảo, tổng hợp từ văn bản pháp luật và nguồn báo chí tại thời điểm đăng; không thay thế ý kiến tư vấn cho từng trường hợp cụ thể. Trước khi áp dụng, hãy đối chiếu văn bản gốc hoặc hỏi luật sư.

Chia sẻ:FacebookLinkedIn

Đọc tiếp

Xem tất cả →