Từ ngày 17 tháng 1 năm 2025, mức phạt dân sự tối đa theo đạo luật CAN-SPAM của Mỹ là 53.088 đô la cho mỗi lá thư vi phạm. Phạt tính trên từng lá thư chứ không phải từng chiến dịch, và không có trần nào gắn với doanh thu công ty.
Con số đó vẫn nguyên cho tới hôm nay. Uỷ ban Thương mại Liên bang Mỹ vốn điều chỉnh mức phạt theo lạm phát vào tháng 1 hằng năm, nhưng năm 2026 không có đợt nào.
Vì sao mức phạt đứng yên năm nay
Nguyên nhân nằm ngoài chuyện thư từ. Đợt đóng cửa chính phủ liên bang khiến Cục Thống kê Lao động không công bố chỉ số giá tiêu dùng tháng 10 năm 2025. Thiếu số đó thì không tính được hệ số điều chỉnh.
Ngày 17 tháng 4 năm 2026, Văn phòng Quản lý và Ngân sách ra bản ghi nhớ M-26-11. Văn bản đó yêu cầu các cơ quan liên bang tiếp tục dùng mức phạt của năm 2025. Ai đọc thấy một con số 2026 khác 53.088 thì đó là số bịa.
Cách CAN-SPAM móc vào mức phạt đó cũng đáng biết. Bảng phạt của uỷ ban không có dòng riêng nào cho CAN-SPAM. Chính đạo luật quy định vi phạm CAN-SPAM được xử như hành vi thương mại không lành mạnh. Nó ăn theo khung phạt của Luật Uỷ ban Thương mại Liên bang.
Hai vụ phạt, không vụ nào vì thủ đoạn tinh vi
Ngày 30 tháng 8 năm 2024, uỷ ban công bố thoả thuận buộc Verkada, hãng camera an ninh đám mây, nộp 2,95 triệu đô la. Khoản lớn nhất cơ quan này từng thu theo CAN-SPAM. Theo cáo buộc, Verkada gửi hơn 30 triệu thư thương mại trong khoảng ba năm và vi phạm luật theo bốn cách.
Bốn lỗi đó đều thuộc loại cơ bản. Không cho người nhận cách ngừng nhận thư. Không thực hiện yêu cầu ngừng nhận trong hạn, mà hướng dẫn của uỷ ban ghi rõ là mười ngày làm việc. Không đặt thông báo về quyền ngừng nhận. Và không có địa chỉ bưu chính thật trong thư.
Vụ còn lại nhỏ hơn nhưng cùng kiểu. Ngày 14 tháng 8 năm 2023, uỷ ban khởi kiện Experian Consumer Services vì gửi thư tiếp thị không kèm đường ngừng nhận. Toà ra phán quyết ngày 22 tháng 8 với khoản phạt 650.000 đô la, kèm lệnh cấm vĩnh viễn.
Ở phía châu Âu, khung phạt nặng hơn nhiều. Quy định chung về bảo vệ dữ liệu cho phép phạt tới hai mươi triệu euro hoặc bốn phần trăm doanh thu toàn cầu, lấy mức cao hơn. Khảo sát của hãng luật DLA Piper công bố ngày 21 tháng 1 năm 2026 cộng tổng các khoản phạt tính tới ngày 10 tháng 1: khoảng 7,1 tỉ euro. Riêng năm 2025 là 1,2 tỉ.
Luật không hỏi người nhận ở đâu
Câu hỏi tự nhiên là luật Mỹ thì liên quan gì tới công ty ở đây. Cách nhiều nơi giải thích, rằng luật áp theo nơi người nhận ở, nghe gọn nhưng không đúng.
Chính văn bản luật ghi rằng địa chỉ thư điện tử không cho biết vị trí địa lý, nên doanh nghiệp tuân thủ khó biết mình phải theo luật nào. Móc nối thẩm quyền nằm ở định nghĩa máy tính được bảo vệ. Định nghĩa đó nói rõ là bao gồm cả máy đặt ngoài nước Mỹ, nếu được dùng theo cách chạm tới thương mại của Mỹ.
Hướng dẫn của uỷ ban cũng nói luật phủ mọi thư thương mại và không chừa thư giữa doanh nghiệp với doanh nghiệp. Công ty xuất khẩu, công ty phần mềm bán ra nước ngoài hay công ty du lịch nhắm khách quốc tế đều nằm trong tầm.
Khả năng bị truy tới cùng qua biên giới thì không cao. Nhưng có một hệ quả gần hơn nhiều. Khiếu nại từ người nhận ở các thị trường đó thường dẫn tới việc tên miền bị đưa vào danh sách chặn, và hậu quả ấy tới ngay.
Điểm dễ chịu là các yêu cầu này trùng gần hết với Nghị định 330/2026 trong nước. Chúng cũng trùng luôn với bộ yêu cầu người gửi của Google, Yahoo, Microsoft và Apple. Làm đúng một lần là đạt cho cả ba nhóm. Phần cấu hình xác thực và đường ngừng nhận thì bên chúng tôi dựng sẵn cho hệ thống thư của khách.
Các vụ phạt lớn nhất theo luật thư quảng cáo đều không phải vì thủ đoạn tinh vi. Chúng xảy ra vì bỏ qua ba bốn yêu cầu cơ bản trong thời gian dài. Một buổi rà lại mẫu thư của công ty thường đủ để loại hết nhóm lỗi đó.
