Form liên hệ, form đăng ký, form đặt hàng — dù chỉ thu thập tên và số điện thoại, vẫn thuộc phạm vi điều chỉnh của Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15. Bài viết liệt kê 6 yếu tố bắt buộc mọi form thu thập dữ liệu cần có.
📌 Trả lời nhanh: 6 yếu tố bắt buộc: (1) checkbox đồng ý riêng biệt (không tick sẵn), (2) nêu rõ mục đích thu thập ngay cạnh form, (3) chỉ thu thập trường thông tin thực sự cần thiết, (4) link tới Chính sách Bảo mật đầy đủ, (5) thông báo nếu dữ liệu được chia sẻ với bên thứ ba, (6) cơ chế bảo mật khi truyền dữ liệu (HTTPS, không lưu plain-text mật khẩu nếu có).
1. Checkbox đồng ý riêng biệt, không tick sẵn
Đây là lỗi phổ biến nhất: nhiều form chỉ có nút “Gửi” mà ngầm hiểu là đã đồng ý, hoặc có checkbox nhưng tick sẵn mặc định. Cả 2 cách đều không hợp lệ theo Nghị định 356/2025 vì bị coi là “đồng ý ngầm định”.
<label>
<input type="checkbox" name="consent" required>
Tôi đồng ý cho phép [Tên doanh nghiệp] thu thập, xử lý thông tin theo
<a href="/chinh-sach-bao-mat" target="_blank">Chính sách Bảo mật</a>
</label>Nếu form có nhiều mục đích sử dụng khác nhau (vd vừa xử lý đơn hàng vừa gửi email marketing), nên tách thành 2 checkbox riêng — không gộp chung 1 checkbox cho nhiều mục đích, vì người dùng có quyền đồng ý mục đích này nhưng từ chối mục đích khác.
2. Nêu rõ mục đích thu thập ngay cạnh form
Không cần dài dòng — 1 câu ngắn đặt ngay phía trên hoặc dưới form là đủ:
“Thông tin bạn cung cấp được sử dụng để liên hệ tư vấn và không dùng cho mục đích nào khác.”
Việc này giúp minh bạch ngay tại điểm thu thập, không bắt người dùng phải tự tìm hiểu qua trang Chính sách Bảo mật riêng mới biết dữ liệu của mình dùng để làm gì.
3. Chỉ thu thập trường thông tin thực sự cần thiết
Nguyên tắc “thu thập tối thiểu” — form liên hệ đơn giản không cần hỏi ngày sinh, giới tính, hoặc số CCCD nếu không thực sự phục vụ mục đích xử lý. Mỗi trường thông tin thêm vào form không chỉ tăng rủi ro tuân thủ mà còn giảm tỷ lệ hoàn thành form (conversion rate) — đây là điểm vừa tốt cho compliance vừa tốt cho marketing.
| Loại form | Trường thông tin nên có | Trường nên tránh nếu không cần thiết |
|---|---|---|
| Form liên hệ | Tên, email hoặc SĐT, nội dung | Ngày sinh, giới tính, địa chỉ đầy đủ |
| Form đăng ký nhận tin | Tên đầy đủ, số điện thoại (nếu chỉ gửi email) | |
| Form đặt hàng | Tên, SĐT, địa chỉ giao hàng | CCCD (trừ khi pháp luật khác yêu cầu, vd giao dịch tài chính) |
| Form đặt lịch hẹn | Tên, SĐT, thời gian mong muốn | Thông tin sức khỏe chi tiết (trừ khi thực sự cần cho dịch vụ y tế) |
4. Link tới Chính sách Bảo mật đầy đủ
Checkbox đồng ý (mục 1) nên link trực tiếp tới trang Chính sách Bảo mật đầy đủ (xem mẫu tại Chính sách bảo mật Website) — không chỉ nói “đồng ý với điều khoản” mà không có link cụ thể nào.
5. Thông báo nếu dữ liệu chia sẻ với bên thứ ba
Nếu thông tin từ form được chuyển cho bên thứ ba (vd đơn vị vận chuyển, CRM bên ngoài, callcenter thuê ngoài), cần nêu rõ — không nhất thiết liệt kê tên cụ thể từng đối tác, nhưng cần nêu loại đối tác và mục đích chia sẻ.
6. Bảo mật khi truyền và lưu trữ dữ liệu
- Website phải chạy HTTPS toàn bộ, không riêng trang có form
- Dữ liệu form gửi qua email không nên chứa thông tin nhạy cảm ở dạng không mã hoá nếu có thể tránh
- Nếu form lưu vào database, cần có kiểm soát truy cập (không để bất kỳ ai trong nội bộ cũng xem được toàn bộ dữ liệu khách hàng)
Ví dụ: Form liên hệ tuân thủ đầy đủ 6 yếu tố
<form>
<p><em>Thông tin bạn cung cấp được dùng để liên hệ tư vấn, không chia sẻ cho bên thứ ba
ngoài mục đích này.</em></p>
<label>Họ tên <input type="text" name="name" required></label>
<label>Số điện thoại <input type="tel" name="phone" required></label>
<label>Nội dung <textarea name="message"></textarea></label>
<label>
<input type="checkbox" name="consent" required>
Tôi đồng ý cho phép thu thập, xử lý thông tin theo
<a href="/chinh-sach-bao-mat" target="_blank">Chính sách Bảo mật</a>
</label>
<button type="submit">Gửi</button>
</form>Câu hỏi thường gặp
Form chỉ thu thập email để đăng ký nhận bản tin có cần checkbox đồng ý không? Có. Bất kỳ hình thức thu thập dữ liệu cá nhân nào (kể cả chỉ email) đều cần cơ chế đồng ý rõ ràng.
Có thể gộp checkbox đồng ý xử lý dữ liệu với checkbox đồng ý điều khoản sử dụng không? Không nên gộp. Đồng ý xử lý dữ liệu cá nhân và đồng ý điều khoản sử dụng dịch vụ là 2 vấn đề pháp lý khác nhau, nên tách riêng để người dùng hiểu rõ đang đồng ý điều gì.
Form khảo sát ẩn danh (không thu thập tên/email) có cần tuân thủ luật này không? Nếu form hoàn toàn ẩn danh, không thu thập bất kỳ thông tin nào có thể định danh người trả lời, phạm vi áp dụng của luật sẽ hẹp hơn nhiều. Tuy nhiên cần lưu ý: địa chỉ IP, thông tin thiết bị cũng có thể được coi là dữ liệu có khả năng định danh trong một số trường hợp.
Doanh nghiệp B2B (form chỉ thu thập tên công ty, không phải cá nhân) có cần tuân thủ không? Nếu form chỉ thu thập thông tin công ty thuần túy (tên công ty, mã số thuế) không gắn với cá nhân cụ thể, không thuộc phạm vi “dữ liệu cá nhân”. Nhưng hầu hết form B2B thực tế vẫn thu thập tên người liên hệ, email cá nhân — nên vẫn cần tuân thủ với phần dữ liệu cá nhân đó.
Nguồn tham khảo
- Nghị định số 356/2025/NĐ-CP, Chương II (yêu cầu về cơ chế đồng ý)
- Luật Bảo vệ Dữ liệu Cá nhân, số 91/2025/QH15, Điều 7 (nguyên tắc xử lý dữ liệu)
