Email Marketing sau Nghị định 330/2026/NĐ-CP: Doanh nghiệp cần chứng minh consent thế nào?

Sau Nghị định 330/2026/NĐ-CP, Email Marketing không còn là chuyện “có data là gửi”. Nếu doanh nghiệp không chứng minh được người nhận đã đồng ý nhận email, không lưu lịch sử consent hoặc vẫn tiếp tục gửi sau khi khách yêu cầu dừng, rủi ro không chỉ là bị hủy đăng ký nhiều hơn mà có thể trở thành vi phạm về bảo vệ dữ liệu cá nhân. Với các đội marketing đang dùng BizMail hoặc bất kỳ nền tảng gửi email nào, đây là thời điểm cần rà soát lại toàn bộ cách thu thập, lưu trữ và sử dụng dữ liệu khách hàng.

Nghị định 330/2026/NĐ-CP có gì liên quan đến Email Marketing?

Nghị định 330/2026/NĐ-CP được Chính phủ ban hành ngày 19/08/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Theo thông tin từ Báo Chính phủ, nghị định có hiệu lực từ ngày 19/08/2026 và có các quy định xử phạt liên quan trực tiếp đến sự đồng ý của chủ thể dữ liệu cá nhân.

Với Email Marketing, điểm đáng chú ý nằm ở chỗ email, số điện thoại, họ tên, hành vi mở email, hành vi nhấp vào link, lịch sử mua hàng hoặc thông tin phân nhóm khách hàng đều có thể gắn với dữ liệu cá nhân. Khi doanh nghiệp dùng các dữ liệu này để gửi email quảng cáo, chăm sóc, nuôi dưỡng lead hoặc remarketing, hoạt động đó không chỉ là nghiệp vụ marketing mà còn là hoạt động xử lý dữ liệu cá nhân.

Nói đơn giản hơn: Trước đây nhiều doanh nghiệp quan tâm chủ yếu đến tỷ lệ mở, tỷ lệ nhấp và tỷ lệ chuyển đổi. Sau Nghị định 330/2026/NĐ-CP, một câu hỏi quan trọng hơn cần được trả lời trước khi gửi là: “Doanh nghiệp có chứng minh được người này đã đồng ý nhận nội dung theo mục đích này hay không?”

Vì sao consent trở thành vấn đề sống còn trong Email Marketing?

Consent không chỉ là một checkbox nằm ở cuối form. Trong vận hành Email Marketing, consent là bằng chứng cho thấy người dùng đã biết rõ doanh nghiệp thu thập dữ liệu gì, dùng vào mục đích nào và họ đã chủ động đồng ý với mục đích đó.

Theo Luật Việt Nam, tổ chức có thể bị phạt từ 30-50 triệu đồng nếu xử lý dữ liệu cá nhân sau khi thu thập mà chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác. Mức phạt này cũng áp dụng với hành vi thiết lập phương thức mặc định đồng ý, đưa ra chỉ dẫn không rõ ràng hoặc không lưu nhật ký về sự đồng ý.

Điều này tác động trực tiếp đến các tình huống rất quen thuộc trong marketing: Tự động tick sẵn checkbox “Tôi đồng ý nhận email”, gom chung đồng ý điều khoản dịch vụ với đồng ý nhận quảng cáo, nhập data từ hội thảo vào hệ thống email mà không có bằng chứng đăng ký, hoặc dùng danh sách khách hàng cũ để gửi chiến dịch mới không đúng mục đích ban đầu.

Nếu đội marketing không lưu được nguồn đăng ký, thời điểm đồng ý, nội dung người dùng đã đồng ý và mục đích gửi email, thì khi có khiếu nại hoặc kiểm tra, việc nói “khách hàng từng để lại email” là chưa đủ an toàn.

Các rủi ro pháp lý doanh nghiệp lưu ý khi làm Email Marketing theo Nghị định 330/2026  

Gửi email cho data chưa có nguồn consent rõ ràng

Đây là rủi ro phổ biến nhất. Nhiều doanh nghiệp có sẵn danh sách email từ sự kiện, hội thảo, minigame, file sales, đối tác, cộng đồng hoặc dữ liệu thu thập qua nhiều năm. Vấn đề không nằm ở việc doanh nghiệp có email trong tay, mà nằm ở việc email đó được thu thập trong bối cảnh nào và người dùng đã đồng ý nhận loại nội dung gì.

Ví dụ, một khách hàng tải tài liệu “Bảng giá Cloud Server” không có nghĩa là họ mặc nhiên đồng ý nhận toàn bộ newsletter, email bán chéo dịch vụ khác hoặc chuỗi email khuyến mại dài hạn. Nếu form tải tài liệu không nói rõ mục đích gửi email sau đó, đội marketing nên thận trọng khi đưa dữ liệu này vào chiến dịch automation.

Checkbox đồng ý được tick sẵn

Một số form đăng ký để sẵn lựa chọn “Tôi đồng ý nhận thông tin khuyến mại” nhằm tăng tỷ lệ opt-in. Cách làm này có thể tạo cảm giác thuận tiện cho doanh nghiệp, nhưng lại là điểm rủi ro vì người dùng không thực sự thực hiện hành động đồng ý một cách chủ động.

Báo Chính phủ nêu rõ nhóm hành vi bị phạt 30-50 triệu đồng bao gồm việc thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý. Với Email Marketing, điều đó có nghĩa là checkbox nhận email nên để trống mặc định, nội dung xin phép cần rõ ràng và người dùng phải tự chọn nếu muốn nhận thông tin.

Gộp nhiều mục đích xử lý vào một lần đồng ý

Một lỗi khác là viết consent quá rộng, chẳng hạn: “Tôi đồng ý cho công ty sử dụng thông tin của tôi cho mọi mục đích tiếp thị, chăm sóc, phân tích và chia sẻ với đối tác.” Câu này nghe có vẻ bao quát, nhưng lại không giúp người dùng hiểu rõ từng mục đích cụ thể.

Với email, nên tách bạch các mục đích như nhận bản tin, nhận ưu đãi, nhận tư vấn sản phẩm, nhận tài liệu chuyên môn hoặc nhận thông báo dịch vụ. Không phải mọi loại email đều giống nhau. Email xác nhận giao dịch, email thông báo tài khoản và email marketing cần được quản trị theo những mục đích khác nhau.

Không lưu nhật ký consent

Một doanh nghiệp có thể đã xin phép đúng, nhưng nếu không lưu được bằng chứng thì vẫn gặp khó khi cần chứng minh. Nhật ký consent nên gồm nguồn đăng ký, thời điểm đăng ký, địa chỉ email, nội dung form tại thời điểm người dùng đồng ý, IP hoặc thông tin kỹ thuật phù hợp, trạng thái opt-in, thời điểm rút lại đồng ý nếu có.

Theo Luật Việt Nam, hành vi không lưu nhật ký về sự đồng ý hoặc không chứng minh được đã có sự đồng ý khi có yêu cầu cũng thuộc nhóm có thể bị phạt từ 30-50 triệu đồng. Vì vậy, consent cần được coi là một phần của hạ tầng dữ liệu, không phải chỉ là câu chữ trên landing page.

Tiếp tục gửi email sau khi người dùng yêu cầu dừng

Nếu người nhận đã unsubscribe, yêu cầu không nhận email nữa hoặc yêu cầu hạn chế xử lý dữ liệu nhưng doanh nghiệp vẫn tiếp tục gửi, rủi ro sẽ cao hơn. Theo Luật Việt Nam, mức phạt 50-70 triệu đồng có thể áp dụng với hành vi cố ý tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu yêu cầu ngừng hoặc hạn chế xử lý.

Với Email Marketing, unsubscribe không nên được nhìn như một chỉ số tiêu cực cần “giấu đi”. Ngược lại, đây là một quyền cần được xử lý rõ ràng, nhanh và có ghi nhận hệ thống. Một danh sách nhỏ hơn nhưng sạch consent thường có giá trị dài hạn hơn một tệp lớn nhưng rủi ro cao.

Doanh nghiệp nên rà soát Email Marketing như thế nào?

Đội marketing nên phân loại danh sách email theo nguồn: Form website, landing page, sự kiện, khách hàng mua hàng, CRM sales, đối tác, import thủ công hoặc chiến dịch cũ. Với mỗi nguồn, cần trả lời ba câu hỏi: người dùng đã đồng ý chưa, đồng ý với nội dung gì và doanh nghiệp có bằng chứng không.

Những nhóm data không rõ nguồn không nên tiếp tục đưa vào chiến dịch quảng cáo hàng loạt. Nếu vẫn muốn sử dụng, doanh nghiệp nên có phương án xác minh lại hoặc chạy chiến dịch xin cập nhật tùy chọn nhận tin theo cách thận trọng, minh bạch và phù hợp với tư vấn pháp lý nội bộ.

Viết lại nội dung xin consent trên form

Một form tốt không cần viết quá dài, nhưng phải đủ rõ. Thay vì dùng câu chung chung như “Tôi đồng ý nhận thông tin”, doanh nghiệp nên viết cụ thể hơn: “Tôi đồng ý nhận email tư vấn, tài liệu chuyên môn và thông tin sản phẩm từ Bizfly.” Nếu có nhiều mục đích, nên tách thành các lựa chọn riêng.

Quan trọng hơn, checkbox nhận email marketing không nên được tick sẵn. Người dùng cần tự thực hiện hành động đồng ý. Đây là thay đổi nhỏ ở giao diện, nhưng lại có ý nghĩa lớn về mặt chứng minh consent.

Tách email giao dịch và email marketing

Email giao dịch như xác nhận đơn hàng, thông báo tài khoản, OTP, hóa đơn hoặc cập nhật trạng thái dịch vụ không nên bị trộn với email marketing. Nếu một khách hàng cần nhận email xác nhận đơn hàng, điều đó không đồng nghĩa họ đồng ý nhận bản tin khuyến mại.

Doanh nghiệp nên phân tách rõ loại email trong hệ thống: email bắt buộc theo giao dịch, email chăm sóc liên quan đến dịch vụ và email marketing. Việc tách này giúp đội marketing tránh gửi sai mục đích, đồng thời giúp người dùng quản lý tùy chọn nhận tin minh bạch hơn.

>> Xem thêm: Transactional Email với Marketing Email: Phân biệt đúng để tránh rủi ro 

Thiết lập quy trình unsubscribe nghiêm túc

Mỗi email marketing nên có cơ chế hủy đăng ký rõ ràng, dễ thấy và hoạt động ổn định. Khi người dùng unsubscribe, trạng thái đó cần được cập nhật vào hệ thống gửi email, CRM hoặc nền tảng marketing automation để tránh trường hợp một bộ phận khác lại import và gửi lại cho cùng một địa chỉ.

Với doanh nghiệp có nhiều hệ thống, đây là điểm thường bị lỗi. Người dùng đã hủy đăng ký ở công cụ email nhưng dữ liệu trong CRM vẫn còn trạng thái “có thể liên hệ”, dẫn đến sales hoặc automation tiếp tục gửi. Vì vậy, unsubscribe nên được đồng bộ như một tín hiệu dữ liệu quan trọng, không chỉ là thao tác trong một chiến dịch riêng lẻ.

Lưu bằng chứng consent theo từng chiến dịch và từng nguồn

Doanh nghiệp nên lưu nhật ký consent ở mức đủ để truy xuất khi cần: Ai đồng ý, đồng ý lúc nào, đồng ý ở đâu, đồng ý nội dung gì, phiên bản form hoặc landing page nào đang được sử dụng tại thời điểm đó. Nếu thay đổi nội dung form, nên lưu lại phiên bản cũ để tránh mất ngữ cảnh chứng minh.

Với các nền tảng như BizMail, doanh nghiệp có thể quản lý danh sách nhận, trạng thái đăng ký, nhóm khách hàng và hiệu quả chiến dịch tập trung hơn. Tuy nhiên, nền tảng gửi email không tự thay thế trách nhiệm thiết kế consent đúng ngay từ form, CRM và quy trình thu thập dữ liệu. Công cụ chỉ phát huy hiệu quả khi doanh nghiệp đã có nguyên tắc dữ liệu rõ ràng từ đầu.

Ví dụ thực tế: Một form tải tài liệu nên xử lý consent ra sao?

Giả sử doanh nghiệp có landing page cho phép người dùng tải ebook về Email Marketing. Form thu thập họ tên, email, số điện thoại và công ty. Nếu bên dưới form chỉ ghi “Đăng ký để tải tài liệu”, doanh nghiệp mới có cơ sở dùng email để gửi tài liệu đó, nhưng chưa chắc có cơ sở để gửi newsletter hoặc email bán hàng dài hạn.

Cách làm tốt hơn là tách rõ hai hành động. Nút chính vẫn là “Tải tài liệu”. Bên dưới có checkbox để trống với nội dung: “Tôi đồng ý nhận email chia sẻ kiến thức, tài liệu chuyên môn và thông tin sản phẩm phù hợp từ Bizfly.” Khi người dùng tick chọn, hệ thống cần lưu lại thời điểm, nguồn landing page và nội dung consent tại thời điểm đó.

Nếu người dùng không tick checkbox, doanh nghiệp vẫn có thể gửi email chứa tài liệu họ vừa yêu cầu nếu phù hợp với bối cảnh giao dịch, nhưng không nên tự động đưa họ vào chuỗi email marketing dài hạn. Đây là cách tôn trọng mục đích ban đầu và tránh biến mọi form thu lead thành một “cửa sau” để gom data quảng cáo.

Nghị định 330/2026 thay đổi tư duy làm Email Marketing như thế nào?

Điểm lớn nhất không phải là marketer sẽ không được gửi email nữa. Email Marketing vẫn là kênh quan trọng để nuôi dưỡng khách hàng, chăm sóc lead và thúc đẩy chuyển đổi. Nhưng cách làm cần chuyển từ tư duy “gửi càng nhiều càng tốt” sang “gửi đúng người, đúng mục đích, có bằng chứng đồng ý”.

Về dài hạn, đây không hẳn là bất lợi. Khi danh sách email sạch hơn, người nhận thật sự quan tâm hơn, tỷ lệ tương tác thường có nền tảng tốt hơn. Doanh nghiệp cũng giảm nguy cơ khiếu nại, giảm tỷ lệ spam và xây dựng được niềm tin tốt hơn với khách hàng.

Với các đội marketing chuyên nghiệp, consent nên trở thành một chỉ số vận hành bên cạnh open rate, click rate và conversion rate. Một chiến dịch có doanh thu tốt nhưng dùng dữ liệu không rõ nguồn vẫn là chiến dịch có rủi ro. Ngược lại, một hệ thống email có consent rõ, unsubscribe rõ và nhật ký đầy đủ sẽ bền hơn khi quy mô dữ liệu ngày càng lớn.

FAQ

Nghị định 330/2026/NĐ-CP có cấm Email Marketing không?

Không. Nghị định không cấm Email Marketing, nhưng đặt ra yêu cầu chặt chẽ hơn về việc xử lý dữ liệu cá nhân, đặc biệt là sự đồng ý của người dùng. Doanh nghiệp vẫn có thể gửi email nếu có cơ sở phù hợp, minh bạch về mục đích và lưu được bằng chứng consent.

Có được mặc định tick checkbox nhận email không?

Không nên. Theo thông tin từ Báo Chính phủ, hành vi thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn không rõ ràng giữa đồng ý và không đồng ý thuộc nhóm có thể bị xử phạt từ 30-50 triệu đồng. Với form marketing, checkbox nhận email nên để trống để người dùng tự chọn.

Im lặng có được xem là đồng ý nhận email không?

Không. Luật Việt Nam dẫn quy định tại Điều 43 Nghị định 330/2026/NĐ-CP cho biết hành vi tự coi sự im lặng hoặc không phản hồi là đồng ý xử lý dữ liệu cá nhân có thể bị phạt từ 50-70 triệu đồng.

Data khách hàng cũ có gửi email marketing được không?

Không nên mặc nhiên gửi. Doanh nghiệp cần kiểm tra khách hàng đã đồng ý nhận loại email nào, vào thời điểm nào và có còn trong phạm vi mục đích ban đầu hay không. Nếu không chứng minh được consent, nên rà soát lại trước khi dùng cho chiến dịch marketing mới.

BizMail có giúp doanh nghiệp tuân thủ consent không?

BizMail có thể hỗ trợ doanh nghiệp quản lý danh sách, nhóm người nhận, trạng thái đăng ký, nội dung email và theo dõi hiệu quả chiến dịch tập trung hơn. Tuy nhiên, việc xin consent đúng, viết nội dung form rõ ràng, phân loại mục đích xử lý và lưu bằng chứng từ nguồn thu thập dữ liệu vẫn là trách nhiệm doanh nghiệp cần thiết kế trong toàn bộ quy trình.

Kết luận

Nghị định 330/2026/NĐ-CP là lời nhắc rất rõ cho các đội marketing: Email Marketing không thể chỉ dựa vào việc “có data”. Doanh nghiệp cần chứng minh được consent, tách rõ mục đích gửi, tôn trọng yêu cầu hủy đăng ký và lưu nhật ký đầy đủ. Làm đúng những điều này không chỉ để tránh rủi ro xử phạt, mà còn giúp Email Marketing trở thành một kênh bền vững, đáng tin và có giá trị hơn với khách hàng.