Bốn mươi triệu đồng là mức tiền một tổ chức phải nộp nếu gửi thư điện tử quảng cáo tới người chưa đồng ý nhận. Con số nằm ở khoản 1 Điều 37 Nghị định 330/2026/NĐ-CP, do Chính phủ ban hành ngày 19 tháng 8 năm 2026 và có hiệu lực ngay hôm đó. Cá nhân vi phạm cùng hành vi chịu từ mười tới hai mươi triệu.
Mức ấy nhỏ so với trần ba tỉ đồng của luật gốc. Nhưng nó cụ thể, và gắn với một việc mà phòng tiếp thị của gần như mọi công ty đều làm hàng tuần. Trần ba tỉ là chuyện của một vụ rò rỉ lớn; bốn mươi triệu là chuyện của một chiến dịch gửi thư.
Nghị định còn một mức nữa ít được nhắc. Gửi quá ba thư điện tử quảng cáo tới cùng một địa chỉ trong vòng một ngày cũng bị phạt. Tiền từ ba mươi tới năm mươi triệu đồng, trừ khi có thoả thuận khác với người nhận. Nhịp gửi bị đếm, không chỉ sự đồng ý.
Vì sao khung này rơi trúng phòng tiếp thị
Địa chỉ thư điện tử của một người là dữ liệu cá nhân. Những trường mà hệ thống tiếp thị nào cũng lưu cũng vậy: họ tên, số điện thoại, lịch sử mua hàng, giờ mở thư, đường dẫn đã bấm.
Mọi danh sách nhận thư vì thế là một kho dữ liệu cá nhân. Mỗi lần bấm nút gửi là một hoạt động xử lý dữ liệu. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ ngày 1 tháng 1 năm 2026, đặt ba câu hỏi rất cụ thể. Dữ liệu này lấy từ đâu, người ta đồng ý cho mục đích gì, và công ty chứng minh được bằng gì.
Câu thứ ba mới khó. Nghị định 330 phạt từ ba mươi tới năm mươi triệu đồng cho hành vi xử lý dữ liệu đã thu thập mà không có sự đồng ý. Tiếp tục xử lý sau khi chủ thể yêu cầu dừng thì lên năm mươi tới bảy mươi triệu. Cả hai mức đều giả định cơ quan kiểm tra sẽ hỏi hồ sơ, và hồ sơ phải có sẵn.
Dọn phần đã tích luỹ khó hơn ngừng làm sai
Ở phần lớn công ty, danh sách nhận thư được gom qua nhiều năm từ nhiều nguồn mà không ai ghi lại nguồn gốc. Một phần từ khách thật đăng ký trên website. Một phần từ danh thiếp nhặt ở hội chợ. Một phần từ tệp mà nhân viên cũ mang về, và một phần mua lại của bên thứ ba.
Riêng phần mua lại nằm trong khung nặng nhất. Luật đặt mức phạt cho hành vi mua bán dữ liệu cá nhân bằng mười lần khoản thu có được. Không trần cố định, mà gắn thẳng vào quy mô. Người bán và người mua cùng nằm trong khung đó.
Với những địa chỉ không rõ nguồn, công ty đứng trước hai lựa chọn không dễ chịu. Gửi một lá thư xin xác nhận lại sự đồng ý và chấp nhận danh sách hao đi đáng kể. Hoặc giữ nguyên và mang rủi ro sang năm sau.
Có một điểm an ủi thuần kỹ thuật. Danh sách được dọn sạch thì tỉ lệ mở thư tăng, tỉ lệ bị báo rác giảm, uy tín gửi của cả tên miền cải thiện theo. Việc buộc phải làm vì lý do pháp lý trùng khít với việc nên làm vì lý do hiệu quả.
Xoá tới mức không khôi phục được
Phần biện pháp khắc phục hậu quả đáng đọc kỹ hơn phần tiền phạt. Bên vi phạm có thể bị buộc xoá hoặc huỷ dữ liệu tới mức không khôi phục được. Kèm theo là nộp lại khoản thu bất chính, cải chính thông tin, và xin lỗi công khai chủ thể dữ liệu.
Yêu cầu xoá tới mức không khôi phục được chạm vào chỗ ít ai chuẩn bị: bản sao lưu. Một địa chỉ bị gỡ khỏi cơ sở dữ liệu chính vẫn nằm trong bản sao lưu hàng đêm. Nó còn nằm trong tệp xuất ra để chạy chiến dịch, và trong công cụ phân tích của bên thứ ba. Không vẽ được sơ đồ dữ liệu đi những đâu thì không thực hiện nổi lệnh xoá.
Phạm vi áp dụng cũng rộng hơn nhiều người tưởng. Nghị định điều chỉnh cả tổ chức nước ngoài có hoạt động trên lãnh thổ Việt Nam, hoặc có xử lý dữ liệu cá nhân của công dân Việt Nam. Thuê nền tảng gửi thư đặt máy chủ ở nước ngoài không đưa công ty ra khỏi khung.
Về bằng chứng kỹ thuật, thứ đứng vững nhất trước một đợt kiểm tra là cái đo được từ bên ngoài. Công bố chính sách mã hoá đường truyền cho hệ thống thư là một ví dụ. Giữ lại báo cáo về các lần kết nối thất bại là ví dụ thứ hai. Cả hai cho thấy tổ chức đã áp dụng biện pháp bảo vệ, không phải chỉ khai trong quy chế nội bộ. Phần dựng và theo dõi đó là việc chúng tôi làm cùng khách.
Một danh sách nhận thư có nguồn gốc rõ ràng vừa là tài sản pháp lý an toàn, vừa là tài sản kinh doanh tốt hơn. Bây giờ là lúc hợp lý để làm một lần cho dứt, thay vì chờ tới khi có người khiếu nại.
