Trả lời nhanh: Có. Từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 áp dụng cho mọi tổ chức, cá nhân xử lý dữ liệu người khác, nên spa, phòng khám, shop thu số điện thoại và Zalo của khách đều phải có sự đồng ý trước. Im lặng hoặc việc khách tiếp tục dùng website không được coi là đồng ý; sự đồng ý phải rõ ràng, tự nguyện và gắn với một mục đích cụ thể. Mức phạt hành chính với hành vi xử lý dữ liệu trái quy định có thể tới 3 tỷ đồng với tổ chức, theo Điều 8 Luật 91/2025/QH15.
Bài viết tổng hợp thông tin để tham khảo, không thay thế tư vấn pháp lý. Hãy đối chiếu văn bản gốc và hỏi người có chuyên môn trước khi áp dụng.
Câu hỏi không phải là "có được thu số điện thoại không", mà là "thu và xin đồng ý thế nào cho đúng". Bài này đi qua bốn điều kiện của một sự đồng ý hợp lệ, vài tình huống thật ở spa và phòng khám, và một bộ mẫu câu bạn có thể dùng ngay hôm nay.
Im lặng có được coi là đồng ý không?
Không. Một trong những điểm mới quan trọng của khung pháp lý mới là sự đồng ý phải thể hiện bằng hành động rõ ràng của chủ thể dữ liệu, không được suy đoán từ việc khách không phản hồi.
Điều đó có nghĩa là các cách làm quen thuộc sau đây không đạt yêu cầu:
- Ghi một dòng nhỏ ở cuối trang "chúng tôi có thể liên hệ lại" rồi coi như khách đã đồng ý.
- Ô tích sẵn dấu tick "đồng ý nhận tin khuyến mãi" trong form đăng ký.
- Banner kiểu "tiếp tục sử dụng website nghĩa là bạn đồng ý".
- Lấy số điện thoại khách để lại khi mua hàng rồi dùng luôn cho mục đích gửi quảng cáo mà không hỏi lại.
Nghị định 356/2025/NĐ-CP, có hiệu lực cùng thời điểm, quy định chi tiết cơ chế đồng ý và yêu cầu không được thiết lập mặc định đồng ý hoặc gây nhầm lẫn. Nếu bạn muốn hiểu bối cảnh chung, xem bài Luật Bảo vệ dữ liệu cá nhân: website cần làm gì.
Bốn điều kiện của một sự đồng ý hợp lệ
Một sự đồng ý đúng luật cần hội đủ bốn yếu tố. Bạn có thể dùng bảng dưới để tự chấm xem mẫu câu của mình đã đạt chưa.
| Điều kiện | Nghĩa là | Ví dụ chưa đạt |
|---|---|---|
| Tự nguyện | Khách phải chủ động chọn, không bị ép buộc | Bắt buộc tích ô nhận quảng cáo mới cho đặt hàng |
| Rõ ràng | Thể hiện bằng hành động cụ thể, không suy đoán | Ô tích mặc định đã bật sẵn |
| Cụ thể theo mục đích | Mỗi mục đích xin một lần đồng ý riêng | Xin một lần rồi dùng cho mọi mục đích |
| Có thể rút lại | Khách đổi ý thì phải có cách hủy | Không có cách nào hủy nhận tin |
Điểm thứ tư hay bị bỏ qua nhất. Khách đồng ý nhận tin hôm nay không có nghĩa là mãi mãi, nên hệ thống gửi tin phải có cách cho khách hủy nhận, ví dụ trả lời "HUY" qua tin nhắn hoặc có nút hủy trong trang cá nhân.
Dữ liệu nhạy cảm: vì sao spa và phòng khám phải cẩn trọng hơn
Với spa, phòng khám và thẩm mỹ viện, dữ liệu thu được thường vượt ra ngoài số điện thoại. Ảnh trước và sau điều trị, tình trạng da, hồ sơ sức khỏe, kết quả soi da đều có thể thuộc nhóm dữ liệu cá nhân nhạy cảm, được kiểm soát chặt hơn dữ liệu thông thường.
Trong thực tế, điều này nghĩa là:
- Ảnh trước và sau chỉ nên đăng khi khách đồng ý rõ ràng và bạn lưu lại bằng chứng đồng ý.
- Hồ sơ khách không nên nằm trong file Excel chia sẻ công khai qua đường link ai có link đều xem được.
- Nhân viên tư vấn không nên tải được toàn bộ danh sách khách nếu không cần thiết cho công việc.
Việc phân loại chính xác dữ liệu nào là nhạy cảm trong ngành của bạn cần đối chiếu văn bản, vì danh mục này ảnh hưởng trực tiếp tới nghĩa vụ phải làm.
Miễn trừ cho hộ kinh doanh và doanh nghiệp siêu nhỏ
Một số nguồn tổng hợp cho biết hộ kinh doanh và doanh nghiệp siêu nhỏ có thể được miễn, giảm một số nghĩa vụ thủ tục như lập hồ sơ đánh giá tác động xử lý dữ liệu, và phần miễn trừ này mất hiệu lực khi đơn vị xử lý dữ liệu nhạy cảm.
Dù phần miễn trừ được hiểu thế nào, nguyên tắc an toàn vẫn là: cứ xin đồng ý cho đúng. Với phòng khám xử lý thông tin sức khỏe, gần như không nên trông vào miễn trừ, vì dữ liệu nhạy cảm thường không được miễn.
Mẫu câu xin đồng ý cho từng tình huống
Bốn tình huống dưới đây là những chỗ chủ spa, phòng khám và shop thu số điện thoại nhiều nhất.
Form đặt lịch trên website: Khi gửi thông tin, bạn đồng ý để [Tên cơ sở] dùng họ tên và số điện thoại để xác nhận và nhắc lịch hẹn. Xem [Chính sách bảo mật]. Bạn có thể yêu cầu xem, sửa hoặc xóa thông tin bất cứ lúc nào qua số [SĐT].
Khách để lại số tại quầy: Anh/chị cho em xin số điện thoại để nhắc lịch và chăm sóc sau dịch vụ. Em chỉ dùng cho việc này, anh/chị muốn em xóa lúc nào cũng được.
Ô đăng ký nhận ưu đãi (tách riêng, mặc định không tích): Tôi đồng ý nhận tin ưu đãi qua Zalo hoặc tin nhắn và có thể hủy bất cứ lúc nào.
Tin nhắn nhắc lịch tự động: [Tên cơ sở] nhắc anh/chị lịch hẹn ngày [ngày]. Trả lời HUY để không nhận tin nhắc lịch.
Điểm chung của bốn mẫu trên là mỗi mục đích được hỏi riêng và đều có cách rút lại. Nếu bạn dùng CRM để nhắc lịch tự động, hãy kiểm tra phần cài đặt xem hệ thống có ghi lại thời điểm khách đồng ý và kênh khách đồng ý hay không, vì đó là bằng chứng khi cần đối chiếu. Xem thêm bài CRM cho spa: quản lý khách, nhắc lịch, công nợ.
Checklist cho spa, phòng khám và shop
- 1. Liệt kê mọi nơi đang thu số điện thoại khách: form website, sổ tại quầy, Zalo, fanpage
- 2. Xem mỗi nơi đã có câu xin đồng ý chưa
- 3. Bỏ mọi ô tích sẵn và mọi câu "tiếp tục là đồng ý"
- 4. Tách ô nhận tin khuyến mãi thành lựa chọn riêng, mặc định không tích
- 5. Ghi rõ mục đích và thời gian lưu dữ liệu trong chính sách bảo mật
- 6. Có cách để khách hủy nhận tin và yêu cầu xóa dữ liệu
- 7. Lưu lại bằng chứng đồng ý, gồm thời điểm và nội dung khách đã đồng ý
- 8. Với ảnh trước và sau, xin đồng ý riêng trước khi đăng
- 9. Không mua, không trao đổi danh sách số điện thoại với bên khác
- 10. Giới hạn quyền truy cập danh sách khách theo vai trò nhân viên
Nếu bạn còn gửi tin khuyến mãi hàng loạt qua tin nhắn hoặc gọi điện, hãy đọc thêm bài nhắn tin, gọi điện quảng cáo bị phạt bao nhiêu tiền, vì đây là nhóm hành vi có quy định riêng bên cạnh luật dữ liệu cá nhân.
Ví dụ: phòng khám xử lý dữ liệu khách thế nào
Website V-Medical, phòng khám da liễu do DCA thực hiện là ví dụ cho hướng làm gọn: form đặt lịch chỉ hỏi những thông tin cần cho việc tư vấn, có câu đồng ý ngay dưới nút gửi, và dữ liệu khách được đưa vào hệ thống có phân quyền thay vì gửi về một email cá nhân. Với phòng khám, cách làm này vừa giúp tuân thủ yêu cầu về sự đồng ý, vừa giảm rủi ro khi dữ liệu sức khỏe của khách bị truy cập ngoài ý muốn.
Khi nào bạn tự làm, khi nào nên nhờ đơn vị
Bạn tự làm được nếu chỉ có một form đặt hàng hoặc đặt lịch, vài trăm khách và không dùng công cụ theo dõi. Nên nhờ đơn vị có kinh nghiệm nếu bạn có nhiều chi nhánh, dữ liệu khách nằm rải rác ở website, Zalo, phần mềm bán hàng và file Excel, hoặc ngành của bạn xử lý dữ liệu nhạy cảm. Khi đó việc quan trọng không phải là thêm một câu xin đồng ý, mà là thiết kế lại luồng dữ liệu: thu ở đâu, lưu ở đâu, ai xem được, xóa bằng cách nào. Làm đúng từ đầu rẻ hơn nhiều so với xử lý khi có khiếu nại.
Câu hỏi thường gặp
Có. Nhắc lịch hẹn là một mục đích xử lý dữ liệu, nên bạn vẫn cần khách đồng ý cho mục đích đó. Chỉ cần một câu ngắn, rõ khi thu số, và cho khách cách hủy nếu không muốn nhận tin nữa.
Chỉ khi bạn nói rõ sẽ dùng số đó làm gì và khách chủ động đồng ý. Việc khách nhắn tin hỏi giá không đồng nghĩa với việc khách đồng ý nhận tin khuyến mãi về sau.
Chỉ nên gửi nếu khách đã đồng ý cho mục đích nhận tin, và bạn còn lưu được bằng chứng đồng ý. Nếu trước đây bạn chưa xin đồng ý, hãy chủ động liên hệ xin lại thay vì gửi thẳng.
Bạn cần có cách tiếp nhận yêu cầu và xóa dữ liệu trong hệ thống, kể cả dữ liệu nằm trong file hoặc phần mềm. Nên ghi rõ đầu mối tiếp nhận trong chính sách bảo mật để khách biết gửi yêu cầu cho ai.
Có. Luật cấm mua bán dữ liệu cá nhân, với mức phạt tối đa có thể tính tới 10 lần khoản thu từ hành vi vi phạm. Cách an toàn là xây danh sách từ khách tự để lại thông tin và đồng ý.
Nguồn tham khảo
- VnEconomy: Những điểm mới trong Luật Bảo vệ dữ liệu cá nhân từ 1/1/2026
- Hệ thống pháp luật: Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025
- SunTeco: Cookie consent có bắt buộc ở Việt Nam không
- Bảo vệ dữ liệu cá nhân: Dùng cookie và công nghệ theo dõi trên website thế nào cho đúng luật
Thông tin cập nhật đến tháng 10/2026.
Lưu ý: các mức thuế, phí và thời hạn nêu trong bài có thể thay đổi; hãy đối chiếu văn bản pháp luật hiện hành hoặc hỏi cơ quan thuế trước khi áp dụng.
