Chính sách bảo mật website cần có những nội dung gì?

Chính sách bảo mật website  cần có những nội dung gì?

Chính sách bảo mật website cần giải thích doanh nghiệp thu thập dữ liệu nào, sử dụng để làm gì, ai được tiếp cận, lưu bao lâu, bảo vệ thế nào và người dùng thực hiện quyền ở đâu. Nội dung phải khớp với biểu mẫu, phần mềm và cách vận hành thực tế. Nền tảng thương mại điện tử còn phải đáp ứng yêu cầu công khai của Luật Thương mại điện tử và Nghị định 248/2026/NĐ-CP.

Website nào cần công khai chính sách bảo vệ thông tin?

Khi xử lý dữ liệu cá nhân, doanh nghiệp phải bảo đảm quyền được biết và các yêu cầu về căn cứ xử lý theo Điều 4, 9 và 11 Luật 91/2025/QH15. Cách thực hiện cần gắn với từng điểm thu thập, như đăng ký tài khoản, đặt lịch tư vấn hoặc nhập địa chỉ giao hàng.

Đối với thông tin người tiêu dùng, Điều 16 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu xây dựng quy tắc bảo vệ, trừ trường hợp pháp luật quy định khác; công khai tại địa điểm kinh doanh và trên website, ứng dụng nếu có, để người tiêu dùng tiếp cận trước hoặc khi thu thập thông tin.

Với nền tảng thương mại điện tử, khoản 1–2 Điều 11 Luật 122/2025/QH15 yêu cầu công khai chính sách bảo mật ở vị trí dễ thấy, bằng tiếng Việt, dễ hiểu. Cần xác định chức năng website để áp dụng đúng; không chỉ nhìn tên trang là “giới thiệu doanh nghiệp” hay “bán hàng”.

Chính sách bảo mật và chính sách quyền riêng tư có khác nhau không?

Doanh nghiệp có thể dùng hai tên này cho tài liệu giải thích cách xử lý dữ liệu. Cần kiểm tra nội dung thay vì chỉ tên gọi.

Một trang chỉ nói về mật khẩu, mã hóa và bảo vệ máy chủ chưa giải thích được dữ liệu được dùng vào việc gì. Ngược lại, tuyên bố tôn trọng quyền riêng tư cũng chưa đủ nếu thiếu thời gian lưu và kênh tiếp nhận yêu cầu. Chính sách công khai nên nối được quyền của người dùng với cách doanh nghiệp thực hiện.

Những nhóm nội dung nào phải được viết rõ?

Doanh nghiệp cần thể hiện đúng đơn vị chịu trách nhiệm xử lý và đầu mối liên hệ. Khoản 2 Điều 9 Luật 91/2025/QH15 yêu cầu người đồng ý biết loại dữ liệu, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, cùng quyền và nghĩa vụ của mình.

Riêng nền tảng thương mại điện tử, Điều 5 Nghị định 248/2026/NĐ-CP quy định tám nội dung tối thiểu. Có thể sắp xếp thành sáu nhóm dưới đây để biên tập và đối chiếu:

Nên đối chiếu với người quản lý website và bộ phận sử dụng dữ liệu để xác nhận luồng thực tế trước khi viết.

Có chính sách rồi thì có cần xin đồng ý riêng không?

Việc công khai chính sách không tự chứng minh người dùng đã đồng ý xử lý dữ liệu. Theo khoản 3–4 Điều 9 Luật 91/2025/QH15, sự đồng ý phải rõ ràng, kiểm chứng được, theo từng mục đích; im lặng không phải đồng ý. Điều 19 quy định các trường hợp xử lý không cần đồng ý, nhưng phải đối chiếu căn cứ của hoạt động cụ thể.

Điều 6 Nghị định 356/2025/NĐ-CP còn yêu cầu bên kiểm soát, bên kiểm soát và xử lý lưu bằng chứng đồng ý; không được thiết lập mặc định đồng ý.

Với nền tảng thương mại điện tử, khoản 4 Điều 11 Luật 122/2025/QH15 còn yêu cầu cơ chế đồng ý với các nội dung điều kiện hoạt động trước khi mở tài khoản. Doanh nghiệp cần thiết kế bước này đồng thời với yêu cầu đồng ý theo từng mục đích của pháp luật dữ liệu.

Ví dụ minh họa: khách tạo tài khoản để mua hàng. Mục đích xử lý đơn và mục đích gửi quảng cáo định kỳ cần được phân biệt. Không nên gộp thành một lựa chọn bắt buộc cho phép mọi hoạt động tiếp thị mới hoàn tất đăng ký.

Website có cookie, công cụ theo dõi thì phải ghi gì?

Cookie và công cụ theo dõi có thể liên quan đến mã nhận diện, dữ liệu tương tác. Cần xác định dữ liệu nào giúp nhận diện cá nhân, ai nhận và dùng vào việc gì.

Khoản 8 Điều 28 Luật 91/2025/QH15 yêu cầu sự đồng ý khi thu thập dữ liệu qua theo dõi website, ứng dụng để quảng cáo theo hành vi, có mục tiêu cụ thể hoặc cá nhân hóa; đồng thời phải có phương thức từ chối chia sẻ, xác định thời gian lưu và xóa khi không còn cần thiết.

Vì vậy, cần kiểm tra cả cấu hình thực tế. Thông báo “chúng tôi sử dụng cookie” sẽ không giải quyết được trường hợp dữ liệu đã gửi cho nền tảng quảng cáo trước khi người dùng có lựa chọn phù hợp.

Những câu nào trong chính sách dễ gây hiểu sai?

“Tiếp tục sử dụng website là đồng ý với mọi hoạt động xử lý.” Câu này quá rộng nếu được dùng làm bằng chứng đồng ý. Cần xác định hành động thể hiện đồng ý, thông tin người dùng được biết và từng mục đích áp dụng.

“Không chia sẻ dữ liệu với bất kỳ ai.” Cần kiểm tra lại nếu doanh nghiệp sử dụng đơn vị lưu trữ, giao hàng hoặc gửi email. Nên mô tả đúng bên nhận và phạm vi thay vì đưa ra cam kết không khớp vận hành.

“Lưu dữ liệu đến khi doanh nghiệp không còn nhu cầu.” Cách viết này khó giúp người dùng xác định thời gian. Nên nêu mốc hoặc tiêu chí cụ thể theo nhóm dữ liệu; việc tiếp tục lưu phải có căn cứ phù hợp Điều 3 và Điều 14 Luật 91/2025/QH15.

Website đã đăng ký trước tháng 7/2026 cần rà soát gì?

Luật 122/2025/QH15 và Nghị định 248/2026/NĐ-CP có hiệu lực từ ngày 01/07/2026. Theo khoản 3 Điều 52 Nghị định, Nghị định 52/2013/NĐ-CP và Nghị định 85/2021/NĐ-CP hết hiệu lực, trừ trường hợp chuyển tiếp tại Điều 53.

Điều 41 Luật và Điều 53 Nghị định 248/2026/NĐ-CP cho phép website, ứng dụng đã được xác nhận thông báo hoặc đăng ký trước ngày 01/07/2026 tiếp tục hoạt động theo nội dung đã xác nhận đến hết ngày 30/06/2027; trong thời gian này thực hiện sửa đổi, bổ sung hồ sơ theo Nghị định. Cần đối chiếu hồ sơ cụ thể, không hiểu cơ chế này là miễn nghĩa vụ bảo vệ dữ liệu cá nhân.

Trước khi sửa chính sách, nên kiểm tra biểu mẫu, nhà cung cấp, nơi lưu dữ liệu và quy trình thực hiện quyền. Việc đăng lại một trang chính sách cũng không thay thế hợp đồng xử lý dữ liệu hoặc hồ sơ đánh giá tác động khi thuộc diện phải thực hiện.

Cần sửa chính sách cho đúng với website đang vận hành?

Doanh nghiệp có thể chuẩn bị URL website, ảnh biểu mẫu, chính sách hiện có và danh sách phần mềm tích hợp để Justix rà soát. Dịch vụ bảo vệ dữ liệu khách hàng, website và marketing hỗ trợ soạn chính sách, thông báo và nội dung lựa chọn phù hợp từng mục đích. Liên hệ 0372717888 / 0878853686 để trao đổi phạm vi.