Email B2B thời Nghị định 13: thu thập, lưu trữ và xóa dữ liệu khách hàng đúng luật

Từ khi Nghị định 13 về bảo vệ dữ liệu cá nhân có hiệu lực, không ít đội sale và marketing B2B lo lắng liệu việc lưu email công việc của khách hàng tiềm năng vào CRM có bị coi là vi phạm. Bài viết này tóm tắt các nghĩa vụ chính theo luật bảo vệ dữ liệu cá nhân việt nam áp dụng cho outreach B2B, từ cơ sở pháp lý cho đến lưu trữ và xóa dữ liệu, để đội ngũ vừa chạy được chiến dịch vừa không đặt công ty vào rủi ro pháp lý.

Nghị định 13 có áp dụng cho email B2B hay không

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân có hiệu lực từ tháng 7/2023 và áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân của công dân Việt Nam, không phân biệt B2B hay B2C. Câu hỏi thường gặp nhất trong các buổi đào tạo nội bộ là: thu thập email khách hàng có vi phạm luật không, nếu email đó là email công việc chứ không phải email cá nhân?

Câu trả lời thực tế: một địa chỉ email dạng ten.nhanvien@congty.vn vẫn định danh được một con người cụ thể — người đó có tên, chức danh, và có thể bị nhận diện qua email này. Vì vậy theo luật bảo vệ dữ liệu cá nhân việt nam, đây vẫn là dữ liệu cá nhân, dù công ty sở hữu hộp thư. Sự khác biệt so với dữ liệu tiêu dùng B2C nằm ở bối cảnh sử dụng: mục đích liên hệ là công việc, không phải đời tư, và điều này ảnh hưởng đến cơ sở pháp lý được phép áp dụng, chứ không loại trừ nghĩa vụ tuân thủ.

Cơ sở pháp lý nào cho phép gửi cold email B2B

Nghị định 13 bảo vệ dữ liệu cá nhân không yêu cầu xin sự đồng ý trước cho mọi trường hợp xử lý dữ liệu. Với outreach B2B, cơ sở pháp lý phù hợp nhất thường là lợi ích hợp pháp của bên kiểm soát dữ liệu — ví dụ nhu cầu chính đáng của doanh nghiệp trong việc tìm kiếm đối tác, khách hàng phù hợp với sản phẩm dịch vụ đang cung cấp.

Điều kiện để dựa vào lợi ích hợp pháp không phải là tùy ý: dữ liệu thu thập phải liên quan trực tiếp đến mục đích công việc, người nhận phải được thông báo rõ ai đang liên hệ và vì sao, và phải có kênh để từ chối nhận thêm liên hệ. Nếu chiến dịch gửi số lượng lớn không phân biệt đối tượng, không cá nhân hóa, và không có cách từ chối dễ tiếp cận, cơ sở lợi ích hợp pháp sẽ khó đứng vững nếu bị rà soát.

• Sự đồng ý — khi khách hàng chủ động để lại thông tin (form liên hệ, đăng ký sự kiện)
• Thực hiện hợp đồng — khi đã có quan hệ mua bán hoặc đang trong giai đoạn đàm phán cụ thể
• Lợi ích hợp pháp — cơ sở phổ biến nhất cho cold outreach B2B, có điều kiện kèm theo
• Nghĩa vụ pháp luật — ít gặp trong bối cảnh sale, chủ yếu áp dụng cho báo cáo, thanh tra

Thu thập và lưu trữ dữ liệu đúng cách trong outreach B2B

Nguồn thu thập hợp lý cho danh sách cold email B2B là những nơi thông tin đã được công khai với mục đích công việc: website công ty, trang giới thiệu nhân sự, LinkedIn công khai, danh thiếp trao đổi tại hội thảo, hồ sơ đăng ký gian hàng triển lãm. Mua danh sách trôi nổi không rõ nguồn gốc, hoặc thu thập từ các nền tảng cấm crawl dữ liệu, là điểm yếu pháp lý lớn nhất khi có tranh chấp.

Về lưu trữ, quy định xử lý dữ liệu cá nhân email marketing yêu cầu gắn thời hạn lưu trữ với mục đích sử dụng — không lưu vô thời hạn 'phòng khi cần'. Một danh sách outreach không có phản hồi sau nhiều vòng chiến dịch, không còn phù hợp với mục đích ban đầu, nên được rà soát và loại bỏ hoặc chuyển sang trạng thái ngừng liên hệ.

Quyền của chủ thể dữ liệu và cách xử lý yêu cầu

Người nhận cold email có quyền yêu cầu biết dữ liệu của mình đang được lưu ở đâu, yêu cầu chỉnh sửa thông tin sai, hoặc yêu cầu xóa khỏi danh sách liên hệ. Doanh nghiệp cần có quy trình nội bộ để tiếp nhận và xử lý các yêu cầu này trong thời gian hợp lý, thay vì chỉ dựa vào việc người dùng tự bấm unsubscribe trên email — vì yêu cầu có thể đến qua nhiều kênh khác như trả lời email trực tiếp hoặc liên hệ qua điện thoại.

Việc phản hồi chậm hoặc không xử lý dứt điểm không chỉ là rủi ro pháp lý mà còn ảnh hưởng trực tiếp đến uy tín thương hiệu gửi — một người từng yêu cầu ngừng liên hệ nhưng vẫn tiếp tục nhận email rất dễ báo cáo là spam, kéo theo thiệt hại về deliverability cho toàn bộ domain gửi.

Những sai lầm thường gặp khi đội sale tự triển khai

Sai lầm phổ biến nhất là coi email công việc như một loại dữ liệu 'không thuộc phạm vi luật' vì nó gắn với công ty chứ không phải cá nhân — cách hiểu này không đúng theo Nghị định 13 bảo vệ dữ liệu cá nhân. Sai lầm thứ hai là gộp chung nhiều nguồn dữ liệu không đồng nhất về cách thu thập vào một danh sách outreach duy nhất, khiến không ai trong đội biết chính xác nguồn gốc và cơ sở pháp lý của từng địa chỉ.

• Không ghi lại nguồn và thời điểm thu thập từng địa chỉ email
• Gửi cùng một nội dung hàng loạt không cá nhân hóa, không nêu rõ danh tính người/công ty gửi
• Không có quy trình xử lý khi khách hàng phản hồi 'xin ngừng liên hệ'
• Giữ database cũ nhiều năm không rà soát lại mục đích sử dụng
• Chia sẻ danh sách liên hệ giữa các phòng ban mà không kiểm soát mục đích sử dụng lại

Checklist tuân thủ và cách LDM triển khai cho khách hàng

Với các chiến dịch outreach B2B, LDM thiết kế quy trình để mỗi bước thu thập, gửi và lưu trữ dữ liệu đều có thể truy vết được: nguồn thu thập được ghi nhận, nội dung gửi cá nhân hóa theo đúng đối tượng công việc, và mọi yêu cầu ngừng liên hệ được xử lý tập trung thay vì rải rác qua nhiều tài khoản gửi riêng lẻ. Cách tiếp cận này không chỉ giúp tuân thủ quy định xử lý dữ liệu cá nhân email marketing mà còn giữ deliverability ổn định, vì tỷ lệ báo cáo spam giảm rõ rệt khi người nhận luôn có cách thoát khỏi danh sách một cách dễ dàng.

• Ghi rõ nguồn và mục đích thu thập cho mỗi địa chỉ email trong CRM
• Xác định cơ sở pháp lý áp dụng trước khi khởi động chiến dịch, không mặc định 'cứ gửi trước'
• Cá nhân hóa nội dung theo đúng vai trò công việc của người nhận
• Có một kênh duy nhất, dễ tìm để từ chối nhận liên hệ tiếp theo
• Rà soát và làm sạch database định kỳ, loại bỏ liên hệ không còn phù hợp mục đích
• Đào tạo đội sale phân biệt dữ liệu công việc thông thường và dữ liệu cá nhân nhạy cảm cần tránh thu thập

Câu hỏi thường gặp