Luật Bảo vệ dữ liệu cá nhân 2025 — doanh nghiệp làm khảo sát cần biết gì
Nếu doanh nghiệp của bạn đang thuê khảo sát người tiêu dùng hay chạy nghiên cứu thị trường, bạn đang xử lý dữ liệu cá nhân — và từ 01/01/2026, việc đó có một bộ luật riêng điều chỉnh.
Ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực, thay thế Nghị định 13/2023/NĐ-CP. Văn bản hướng dẫn chi tiết là Nghị định 356/2025/NĐ-CP, ban hành ngày 31/12/2025. Đây là lần đầu tiên Việt Nam có một đạo luật ở cấp cao nhất về bảo vệ dữ liệu cá nhân, và nó chạm trực tiếp đến một hoạt động mà nhiều doanh nghiệp vẫn coi là "vô hại": đi hỏi khách hàng nghĩ gì.
Vì sao khảo sát và nghiên cứu thị trường thuộc phạm vi luật
Khảo sát nghe có vẻ chỉ là "thu thập ý kiến". Nhưng khoảnh khắc một câu trả lời được gắn với một con người cụ thể — qua số điện thoại, email, tuổi, giới tính, nghề nghiệp, địa chỉ hay hành vi mua sắm — thì bạn đã đang xử lý dữ liệu cá nhân. Và xử lý dữ liệu cá nhân, dù cho mục đích nghiên cứu, đều nằm trong phạm vi điều chỉnh của luật.
Điều này áp dụng cho cả hai vai. Doanh nghiệp đặt hàng nghiên cứu là bên có trách nhiệm với dữ liệu; đơn vị thực hiện khảo sát là bên xử lý dữ liệu thay mặt bạn. Trách nhiệm không "khoán trắng" được cho nhà cung cấp: nếu dữ liệu được thu thập sai luật, bên thuê vẫn có phần trách nhiệm của mình.
Sáu quyền của người tham gia bạn phải tôn trọng
Luật trao cho chủ thể dữ liệu — tức chính những người trả lời khảo sát của bạn — một loạt quyền mà quy trình nghiên cứu phải đáp ứng được:
| Quyền | Ý nghĩa với một dự án khảo sát |
|---|---|
| Truy cập | Người tham gia có thể yêu cầu biết bạn đang giữ dữ liệu gì về họ. |
| Chỉnh sửa | Họ có thể yêu cầu sửa thông tin sai hoặc lỗi thời. |
| Xóa | Bạn phải có cơ chế xóa dữ liệu của một cá nhân khi được yêu cầu hợp lệ. |
| Rút lại đồng ý | Đồng ý hôm nay không phải là vĩnh viễn — họ có thể rút lại bất cứ lúc nào. |
| Khiếu nại | Người tham gia có quyền khiếu nại về cách dữ liệu của họ được dùng. |
| Khử nhận dạng | Yêu cầu dữ liệu được tách khỏi danh tính cá nhân khi không còn cần thiết. |
Một lưu ý đặc biệt: dữ liệu của trẻ em cần có sự đồng ý của người đại diện theo pháp luật. Nếu khảo sát của bạn chạm đến nhóm dưới tuổi thành niên, đây là điểm không được bỏ qua.
Checklist tuân thủ khi chạy một khảo sát
Bốn việc cần làm đúng, gần như theo trình tự:
1. Thu thập đồng ý đúng cách
Nêu rõ bạn thu dữ liệu gì, dùng để làm gì, giữ trong bao lâu và ai được tiếp cận — trước khi người tham gia bắt đầu trả lời. Đồng ý phải là một hành động chủ động, không phải một ô tick đã điền sẵn.
2. Tối thiểu hóa dữ liệu
Chỉ hỏi những gì thực sự cần cho mục tiêu nghiên cứu. Nếu bạn không cần số điện thoại để phân tích thói quen mua cà phê, đừng thu số điện thoại. Mỗi trường dữ liệu thừa là một rủi ro thừa.
3. Ẩn danh khi báo cáo
Kết quả trình bày cho ban lãnh đạo nên ở dạng gộp nhóm và ẩn danh — "62% nữ giới 25–34 tuổi ưu tiên giá", chứ không phải một bảng có tên và số điện thoại từng người. Báo cáo insight không cần lộ danh tính cá nhân để có giá trị.
4. Đảm bảo quyền xóa và rút đồng ý
Chuẩn bị sẵn quy trình để khi một người yêu cầu xóa dữ liệu hoặc rút đồng ý, bạn thực hiện được nhanh chóng thay vì lúng túng đi tìm file.
Rủi ro khi mua dữ liệu từ nguồn không tuân thủ
Cách nhanh nhất để một dự án nghiên cứu tiết kiệm chi phí biến thành gánh nặng pháp lý là mua một danh sách "10.000 khách hàng tiềm năng" từ nguồn không rõ ràng rồi bắn khảo sát vào đó. Nếu bên bán không chứng minh được rằng từng người trong danh sách đã đồng ý hợp lệ cho việc này, thì bạn — bên sử dụng dữ liệu — vẫn có thể phải chịu trách nhiệm.
Luật có chế tài hành chính, và trong trường hợp nghiêm trọng có thể là trách nhiệm hình sự tùy mức độ vi phạm. Nhưng thiệt hại lớn nhất thường không phải khoản phạt, mà là uy tín thương hiệu khi khách hàng phát hiện dữ liệu của họ bị dùng theo cách họ chưa từng đồng ý.
Bốn câu hỏi cần đặt cho nhà cung cấp nghiên cứu
1. Dữ liệu người tham gia được thu thập với sự đồng ý như thế nào? Yêu cầu xem mẫu văn bản thu thập đồng ý thực tế, không chỉ một lời cam kết miệng.
2. Người tham gia có thể rút đồng ý và yêu cầu xóa dữ liệu không, bằng cách nào? Nếu nhà cung cấp không có câu trả lời rõ, đó là dấu hiệu quy trình chưa chuẩn.
3. Báo cáo giao cho tôi có ẩn danh và gộp nhóm không? Bạn cần insight, không cần một cơ sở dữ liệu cá nhân mà chính bạn cũng phải đi bảo vệ.
4. Dữ liệu được lưu ở đâu, trong bao lâu, và ai được tiếp cận? Vòng đời của dữ liệu càng rõ ràng thì rủi ro của bạn càng thấp.
Thử dự đoán ngay trên Forely
Đăng ký miễn phí, nhận 1.000 Forely Points. Chọn đúng đáp án — Forely trả gấp đôi số điểm bạn đặt. Tích đủ thì đổi voucher thật.
Mở Forely App →Câu hỏi thường gặp
Khảo sát và nghiên cứu thị trường có thuộc phạm vi Luật Bảo vệ dữ liệu cá nhân 2025 không?
Có. Khi bạn thu thập câu trả lời gắn với một cá nhân — số điện thoại, email, tuổi, hành vi tiêu dùng — đó là hoạt động xử lý dữ liệu cá nhân và thuộc phạm vi điều chỉnh của luật, dù mục đích là nghiên cứu.
Người tham gia im lặng hoặc không phản đối có được coi là đã đồng ý không?
Không. Luật quy định rõ im lặng không được coi là đồng ý. Bạn phải có sự đồng ý rõ ràng, cụ thể và được thể hiện bằng hành động chủ động trước khi xử lý dữ liệu của người tham gia.
Mua danh sách dữ liệu từ bên thứ ba để chạy khảo sát có rủi ro gì?
Rủi ro rất lớn nếu nguồn dữ liệu không chứng minh được sự đồng ý hợp lệ của chủ thể. Doanh nghiệp sử dụng dữ liệu đó vẫn có thể phải chịu trách nhiệm, đối mặt với chế tài hành chính và trong trường hợp nghiêm trọng là trách nhiệm hình sự.