Ngày 30/06/2026 là mốc cuối cùng để doanh nghiệp tại Việt Nam hoàn tất tuân thủ đầy đủ Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (PDPA Việt Nam). Bộ Công an đã công bố các quy định chi tiết về kiểm tra tuân thủ và mức xử phạt áp dụng từ Q3 năm nay.

Phạm vi áp dụng — gần như mọi doanh nghiệp có user Việt Nam

Nghị định 13 áp dụng cho bất kỳ tổ chức nào xử lý dữ liệu cá nhân của công dân Việt Nam, bất kể tổ chức đó đặt trụ sở ở đâu. Trong marketing, hầu hết hoạt động đều liên quan: email marketing, retargeting, lookalike audience, tracking pixel, CRM, A/B testing.

5 việc cần làm trước hạn

  • Rà soát toàn bộ điểm thu thập dữ liệu — form đăng ký, popup, landing page, chatbot.
  • Triển khai cookie consent banner cho phép user từ chối cookie không cần thiết.
  • Cập nhật Chính sách bảo mật rõ ràng về mục đích sử dụng, thời gian lưu trữ, bên thứ ba được chia sẻ.
  • Thiết lập quy trình tiếp nhận yêu cầu xóa dữ liệu (SLA tối đa 72 giờ).
  • Đăng ký xử lý dữ liệu nhạy cảm với Bộ Công an nếu hoạt động liên quan tới sức khỏe, tài chính, sinh trắc.

Khung phạt — đáng chú ý

Phạt hành chính trong khoảng 50–500 triệu đồng tùy mức độ vi phạm. Với vi phạm nghiêm trọng (rò rỉ dữ liệu trên 1 triệu người, không thông báo trong 72 giờ, chuyển dữ liệu xuyên biên giới trái phép), mức phạt lên tới 3% doanh thu năm liền kề — không có trần.

"Mức phạt theo phần trăm doanh thu là chuyển biến lớn so với khung cũ. Với một doanh nghiệp doanh thu 500 tỷ, một sự cố có thể đồng nghĩa với khoản phạt 15 tỷ."

— Luật sư chuyên về data privacy

Tác động cụ thể tới marketing operations

Email marketing buộc phải có double opt-in và link unsubscribe rõ ràng trong mọi email. Retargeting pixel phải được người dùng đồng ý trước khi kích hoạt — không còn chế độ "consent by browsing". Lookalike audience dựa trên dữ liệu lịch sử có thể vẫn dùng được nhưng phải đảm bảo nguồn gốc dữ liệu hợp lệ.

Các nền tảng quảng cáo lớn (Meta, Google, TikTok) đã cập nhật công cụ consent management từ Q1. Trách nhiệm cuối cùng vẫn thuộc về doanh nghiệp triển khai, không phải nền tảng.