Có — từ 01/01/2026, shop quần áo nào giữ tên, số điện thoại, địa chỉ khách đều đang "xử lý dữ liệu cá nhân" theo Luật Bảo vệ dữ liệu cá nhân 2025 (Luật 91/2025/QH15) và Nghị định 356/2025/NĐ-CP. Shop phải công khai chính sách bảo mật, xin khách đồng ý chủ động cho từng mục đích, cho khách rút lại hoặc yêu cầu xoá, và không được mua bán dữ liệu. Hộ kinh doanh được miễn vài thủ tục giấy tờ nặng, nhưng không được miễn những việc này.
Cảnh này chắc bạn quen: 11 giờ đêm, chốt xong 40 đơn drop mới, bạn xuất file Excel gửi shipper, quăng vào nhóm Zalo cho bạn đóng hàng, rồi tiện tay tải danh sách số điện thoại lên tài khoản quảng cáo để chạy lại tệp "đã mua". Không ai nghĩ đó là chuyện pháp lý. Nó chỉ là việc vận hành bình thường của một brand nhỏ.
Nhưng một khách nhận cuộc gọi lạ chào bán bảo hiểm, nhớ ra lần duy nhất họ để lộ số là khi đặt áo của bạn — và họ đăng bài. Lúc đó bạn không có văn bản nào chứng minh mình đã xin phép, đã giới hạn ai được xem. Bài này đi theo đúng đường đi của dữ liệu khách trong một shop quần áo, để bạn biết làm gì ở từng chỗ.
Luật Bảo vệ dữ liệu cá nhân 2025 có áp dụng cho shop quần áo nhỏ không?
Có. Luật không phân biệt quy mô: ai thu thập, lưu, dùng hay chia sẻ thông tin của người khác là "xử lý dữ liệu cá nhân". Shop bán qua inbox, sàn, TikTok Shop hay web riêng đều thuộc diện, vì đơn nào cũng cần tên, số điện thoại, địa chỉ để giao.
Cái nhiều chủ brand hiểu nhầm là "bán trên sàn thì sàn lo". Sàn lo phần dữ liệu nằm trên hệ thống của sàn. Nhưng khi bạn chép số khách ra file riêng, nhắn Zalo chăm sóc, gửi cho bên đóng hàng — từ giây đó, bạn là người chịu trách nhiệm cho bản sao ấy.
Ba mốc cần nhớ:
- Luật 91/2025/QH15 thông qua 26/6/2025, hiệu lực 01/01/2026.
- Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết, hiệu lực cùng ngày, thay Nghị định 13/2023.
- Điều 7 của Luật cấm mua bán dữ liệu cá nhân (trừ khi luật khác cho phép) — tức là cái file "data khách thời trang 50.000 số" ai đó rao bán là thứ bạn không được mua, cũng không được bán tệp khách của mình.
Số điện thoại khách đi qua những đâu trong một shop quần áo?
Trong một brand thời trang online điển hình, dữ liệu khách đi qua khoảng 6 trạm — và mỗi trạm là một chỗ phải có lý do, có người chịu trách nhiệm. Đây là phần ít bài luật nào nói, vì người viết luật không ngồi ở bàn đóng hàng.
- Khung chat / form đặt hàng — nơi khách gửi tên, số, địa chỉ, đôi khi cả số đo cơ thể để chọn size.
- File quản lý đơn (Excel, Google Sheet, phần mềm bán hàng) — bản sao lâu dài nhất, nhiều người truy cập nhất.
- Bên giao hàng — bắt buộc phải có số và địa chỉ.
- Người đóng hàng, CTV, bên fulfillment — thường nhận cả file qua nhóm chat.
- Xưởng sản xuất — khi bạn làm áo in tên khách, đơn cá nhân hoá, hoặc nhờ xưởng gửi thẳng.
- Công cụ tiếp thị — tin nhắn chăm sóc, Zalo OA, tải danh sách lên nền tảng quảng cáo.
Trạm 1–3 phục vụ đúng cái khách muốn: nhận được áo. Trạm 4–5 là chia sẻ cho bên khác xử lý hộ. Trạm 6 là mục đích mới — và đó là chỗ shop hay vấp nhất.
Câu nên dán trên bàn đóng hàng: Mỗi người chỉ được nhìn thấy phần dữ liệu đủ để làm xong việc của họ — không hơn một dòng.
Shop có cần khách đồng ý mới được dùng số điện thoại không?
Để giao đúng đơn khách đã đặt, việc dùng tên–số–địa chỉ gắn với chính thoả thuận mua bán giữa bạn và khách. Nhưng dùng số đó cho việc khác — gửi khuyến mãi, chạy quảng cáo, chia cho đối tác — cần khách đồng ý riêng cho từng mục đích.
Điều 9 của Luật nói rõ: đồng ý phải tự nguyện, rõ ràng, cho từng mục đích, khách phải biết loại dữ liệu, mục đích, ai xử lý và quyền của họ; im lặng hoặc không phản hồi không phải là đồng ý. Nghị định 356/2025 bổ sung: ô tích sẵn, câu chữ đánh đố kiểu "bỏ chọn nếu không muốn" bị cấm; đồng ý phải lưu được thời điểm và nội dung — qua email, cuộc gọi ghi âm, hoặc cơ chế kỹ thuật trên web/app.
Dịch ra ngôn ngữ shop: một tin nhắn mẫu khi chốt đơn là đủ để có bằng chứng.
"Shop dùng tên, SĐT, địa chỉ của bạn để giao đơn này và gửi cho đơn vị vận chuyển. Bạn có muốn nhận tin về drop mới / ưu đãi qua Zalo không? Trả lời CÓ nếu muốn — không trả lời thì shop sẽ không gửi. Chính sách bảo mật: [link]."
Khách trả lời "CÓ" là bằng chứng đồng ý cho mục đích tiếp thị, có giờ có ngày. Khách im lặng thì bạn chỉ giao hàng, không đưa vào tệp chăm sóc. Bài nhắn tin chăm khách sau mua có kịch bản chi tiết cho phần sau khi khách đã đồng ý.
Chính sách bảo mật thông tin khách hàng của shop quần áo cần những mục gì?
Một chính sách dùng được cho shop nhỏ cần 7 mục, viết bằng tiếng người, đặt ở chỗ khách thấy trước khi đặt hàng (chân web, bio, tin nhắn chốt đơn).
- Shop là ai: tên hộ kinh doanh/công ty, mã số thuế, địa chỉ, cách liên hệ về dữ liệu.
- Thu thập gì: tên, SĐT, địa chỉ, lịch sử đơn; số đo cơ thể nếu bạn tư vấn size; tên in nếu làm áo cá nhân hoá. Đừng ghi những thứ bạn không thu.
- Dùng để làm gì: tách riêng "giao đơn và bảo hành" với "gửi tin ưu đãi" — mục sau cần đồng ý riêng.
- Chia cho ai: đơn vị vận chuyển, bên đóng hàng/fulfillment, xưởng sản xuất (nếu in tên/gửi thẳng), phần mềm bán hàng. Nêu theo nhóm là được.
- Lưu bao lâu: ví dụ hết thời hạn đổi trả/bảo hành thì xoá khỏi file vận hành; phần nằm trên hoá đơn lưu theo luật kế toán.
- Quyền của khách và cách thực hiện: xem, sửa, rút đồng ý, yêu cầu xoá, ngừng nhận quảng cáo — kèm một kênh duy nhất để yêu cầu.
- Shop bảo vệ thế nào: ai được truy cập file, mật khẩu, không gửi file khách vào nhóm chat đông người.
Nếu bạn có web bán hàng, trang này đi cùng các trang công khai khác mà luật thương mại điện tử yêu cầu — xem thêm website bán quần áo có phải thông báo Bộ Công Thương không.
Hộ kinh doanh bán quần áo được miễn gì, không được miễn gì?
Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn ba việc giấy tờ nặng: lập hồ sơ đánh giá tác động xử lý dữ liệu, cập nhật hồ sơ đó, và chỉ định nhân sự/bộ phận bảo vệ dữ liệu. Doanh nghiệp nhỏ và khởi nghiệp được tự chọn có làm hay không trong 5 năm kể từ 01/01/2026.
Miễn trừ mất khi shop trực tiếp xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu, hoặc tích luỹ dữ liệu từ 100.000 người trở lên (ngưỡng theo Nghị định 356/2025). Một brand bán ổn vài năm, gộp cả inbox, sàn và web, chạm ngưỡng đó nhanh hơn bạn nghĩ. Cũng lưu ý: Nghị định 356 đưa thông tin tài khoản ngân hàng, thẻ, lịch sử giao dịch và ảnh căn cước vào nhóm nhạy cảm — đừng bắt khách gửi ảnh CCCD để "xác minh chống bom hàng".
Không được miễn: xin đồng ý đúng cách, công khai chính sách, đáp ứng quyền của khách, không mua bán dữ liệu, có thoả thuận khi giao dữ liệu cho bên khác. Muốn giảm bom hàng thì dùng cách vận hành thay vì gom giấy tờ khách — bài hạn chế bom hàng COD có các cách đó.
Gửi danh sách khách cho xưởng, CTV, bên đóng hàng thế nào cho đúng?
Nguyên tắc là "đủ để làm việc, không hơn": mỗi bên chỉ nhận đúng cột họ cần, có thoả thuận ghi mục đích, loại dữ liệu, thời hạn lưu và cách xoá. Nghị định 356/2025 yêu cầu chuyển dữ liệu cho bên xử lý phải có thoả thuận nêu các nội dung này.
Từ phía xưởng, đây là chỗ chúng tôi thấy brand gửi thừa nhiều nhất. Làm áo in tên cho từng khách, xưởng chỉ cần mã đơn + tên in + size + vị trí in. Không cần số điện thoại, không cần địa chỉ. Vậy mà rất nhiều file gửi qua là nguyên bảng xuất từ phần mềm bán hàng, đủ mọi cột.
| Bên nhận | Cần | Không cần |
|---|---|---|
| Xưởng in tên / cá nhân hoá | Mã đơn, tên in, size, vị trí | SĐT, địa chỉ, lịch sử mua |
| Người đóng hàng | Mã đơn, mã SKU, số lượng | SĐT (đã in sẵn trên vận đơn) |
| Bên giao hàng | Tên, SĐT, địa chỉ, tiền thu hộ | Số đo, lịch sử mua |
| CTV bán hộ | Mã đơn của chính họ | Toàn bộ tệp khách shop |
Cắt cột trước khi gửi mất hai phút. Nếu bạn thuê bên ngoài đóng hàng hoặc nhờ giao thẳng, ghi thêm một đoạn về dữ liệu vào hợp đồng — xem thuê fulfillment đóng hàng hộ và in tên khách lên áo.
Vi phạm bảo vệ dữ liệu khách hàng bị phạt bao nhiêu?
Luật đặt mức trần: tổ chức tối đa 3 tỷ đồng, cá nhân bằng một nửa; mua bán dữ liệu bị phạt tối đa 10 lần khoản thu từ vi phạm; chuyển dữ liệu ra nước ngoài trái quy định tối đa 5% doanh thu năm trước. Mức cụ thể cho từng hành vi do nghị định xử phạt quy định.
Nói thật, rủi ro gần nhất với brand nhỏ không phải đoàn kiểm tra. Mà là một khách bị làm phiền, chụp màn hình tin nhắn, gắn tên shop. Với brand đang sống bằng niềm tin và lượt mua lại, một bài như vậy đắt hơn mức phạt.
Khách đòi xoá thông tin thì shop làm trong bao lâu?
Theo Nghị định 356/2025: phản hồi trong 2 ngày làm việc; xem/sửa dữ liệu trong 10 ngày; rút đồng ý trong 15 ngày; xoá trong 20 ngày — mỗi mốc được gia hạn một lần. Dữ liệu nằm trên hoá đơn, chứng từ phải lưu theo luật kế toán, thuế thì giải thích cho khách và chỉ xoá khỏi file vận hành, danh sách tiếp thị.
Để làm được trong hạn, bạn cần biết dữ liệu khách nằm ở đâu — chính là 6 trạm ở trên. Shop nào để số khách rải ở 5 nhóm chat và 3 file Excel thì sẽ không bao giờ xoá sạch được.
Checklist 8 việc cho shop quần áo trong tuần này
- Vẽ ra 6 trạm dữ liệu của shop bạn, ghi ai đang cầm bản sao nào.
- Viết chính sách bảo mật 7 mục, gắn link ở chân web, bio, tin nhắn chốt đơn.
- Thêm câu xin đồng ý nhận tin ưu đãi vào tin chốt đơn — không có "CÓ" thì không đưa vào tệp.
- Tách danh sách "chỉ giao hàng" và "đồng ý nhận tin".
- Bỏ thói quen gửi nguyên file khách vào nhóm chat; cắt cột trước khi gửi.
- Thêm đoạn dữ liệu vào thoả thuận với bên đóng hàng, CTV, xưởng.
- Ngừng xin ảnh CCCD, số tài khoản khách nếu không thật cần.
- Chọn một kênh nhận yêu cầu xoá/rút đồng ý và ghi lại ngày nhận.
Xưởng may liên quan gì tới chuyện dữ liệu của brand?
Xưởng chỉ nên nhận dữ liệu khách khi thật cần — chủ yếu là đơn in tên hoặc cá nhân hoá — và chỉ nhận đúng phần để sản xuất. Với đơn thường, thứ xưởng cần là tech pack, file in, bảng size và số lượng theo size, không phải danh sách khách.
Ở HYPO, đơn cá nhân hoá đi qua máy in DTG Brother GTX và DTF ngay tại xưởng, thêu trên 4 máy, nên dữ liệu in không phải chuyển thêm cho bên in ngoài nào. Chúng tôi chỉ xin mã đơn, tên in, size và vị trí — đủ để làm, và đủ để 3 trạm QC đối chiếu từng chiếc trước khi đóng gói. Nếu bạn đang làm drop có in tên, mẫu thử mất khoảng 3–5 ngày, đơn từ khoảng 50 áo/mã.
Song song chuyện pháp lý, đừng quên bài toán lãi: công cụ tính giá sàn của HYPO giúp bạn xem lãi thật mỗi đơn sau phí sàn trước khi chốt số lượng.
Đang làm drop có in tên khách hoặc cá nhân hoá?
Nhắn HYPO qua Zalo: mô tả sản phẩm, số lượng, kiểu in — nhận tư vấn kỹ thuật in và cách gửi file đơn gọn, không thừa dữ liệu khách. Miễn phí, không cần chốt.
Nhắn Zalo 0888 599 919 Thử công cụ tính giáCâu hỏi thường gặp
Shop quần áo nhỏ có bắt buộc phải có chính sách bảo mật thông tin khách hàng không?
Có, nếu shop thu thập và dùng thông tin khách như tên, số điện thoại, địa chỉ giao hàng. Luật Bảo vệ dữ liệu cá nhân 2025 (Luật 91/2025/QH15, hiệu lực 01/01/2026) áp dụng cho cả hộ kinh doanh và shop cá nhân. Khách chỉ đồng ý hợp lệ khi được biết loại dữ liệu, mục đích, ai xử lý và quyền của họ, nên shop cần một văn bản công khai nói rõ các điều đó.
Hộ kinh doanh bán quần áo được miễn những nghĩa vụ nào?
Hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn lập hồ sơ đánh giá tác động xử lý dữ liệu, cập nhật hồ sơ đó và chỉ định nhân sự/bộ phận bảo vệ dữ liệu. Doanh nghiệp nhỏ và khởi nghiệp được chọn có làm các việc này hay không trong 5 năm từ 01/01/2026. Miễn trừ mất hiệu lực nếu shop xử lý dữ liệu nhạy cảm hoặc tích luỹ dữ liệu từ 100.000 chủ thể trở lên. Các nghĩa vụ khác như xin đồng ý, cho khách rút đồng ý, không mua bán dữ liệu vẫn phải làm.
Khách không phản hồi tin nhắn xin đồng ý thì có tính là đồng ý không?
Không. Theo Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025, sự im lặng hoặc không phản hồi không được coi là sự đồng ý. Ô tích sẵn hoặc câu chữ gây hiểu nhầm cũng bị Nghị định 356/2025 cấm. Đồng ý phải là hành động chủ động, cho từng mục đích, và lưu lại được.
Bán quần áo vi phạm bảo vệ dữ liệu khách hàng bị phạt bao nhiêu?
Luật đặt mức trần: tổ chức tối đa 3 tỷ đồng cho phần lớn vi phạm, cá nhân bằng một nửa; mua bán dữ liệu cá nhân bị phạt tối đa 10 lần khoản thu có được từ vi phạm; chuyển dữ liệu ra nước ngoài trái quy định tối đa 5% doanh thu năm trước. Mức cụ thể từng hành vi do nghị định xử phạt quy định.
Gửi danh sách khách cho xưởng in tên hoặc cho bên đóng hàng hộ có vi phạm không?
Không vi phạm nếu làm đúng: chỉ gửi đúng phần dữ liệu bên đó cần (xưởng in tên chỉ cần tên in và mã đơn, không cần số điện thoại, địa chỉ), có thoả thuận ghi rõ mục đích, loại dữ liệu, thời hạn lưu và xoá, và chính sách bảo mật của shop có nêu việc chia sẻ cho bên giao hàng, sản xuất.
Khách yêu cầu xoá thông tin thì shop phải làm trong bao lâu?
Theo Nghị định 356/2025, shop phải phản hồi yêu cầu trong 2 ngày làm việc; xoá dữ liệu thực hiện trong 20 ngày, rút lại đồng ý trong 15 ngày, xem và sửa dữ liệu trong 10 ngày, mỗi mốc được gia hạn một lần. Riêng dữ liệu trên hoá đơn, chứng từ kế toán phải lưu theo luật kế toán và thuế thì không xoá được, cần giải thích cho khách.
Nguồn tham khảo: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 7, 8, 9, 19, 28, 38–39); Nghị định 356/2025/NĐ-CP; bản tóm tắt của EY Việt Nam và Luật Việt An. Bài không thay thế tư vấn pháp lý.