Cùng một email quảng cáo, do cùng một công ty gửi vào cùng một thời điểm, có thể hợp pháp khi đến tay người đọc ở Ohio nhưng vi phạm khi đến tay người đọc ở Berlin hay Toronto. Nội dung thư không cần thay đổi gì. Điều khác nhau là vị trí của người nhận và việc người đó đã đồng ý từ trước hay chưa. Một cửa hàng Mỹ nhìn chung có thể gửi email cho người lạ mà không cần hỏi trước, miễn là trung thực và cho người nhận cách từ chối, còn ở Liên minh châu Âu và Canada, cùng bức thư đó thường phải có sự đồng ý trước khi gửi.
Sự phân chia đó là cốt lõi của luật quyền riêng tư email. GDPR và các quy tắc ePrivacy của châu Âu cùng CASL của Canada hoạt động theo cơ chế opt-in (phải đồng ý trước), còn đạo luật CAN-SPAM của Mỹ hoạt động theo cơ chế opt-out (được quyền từ chối sau). Bên cạnh đó là các luật quyền riêng tư chung, như GDPR và CCPA của California, trao cho bạn quyền đối với dữ liệu mà các công ty đang giữ về bạn. Bài này là thông tin chung, không phải tư vấn pháp lý. Luật thay đổi và khác nhau theo từng quốc gia, việc áp dụng còn tùy vào tình huống cụ thể, nên hãy xem hướng dẫn của cơ quan quản lý liên quan hoặc hỏi luật sư có chuyên môn về trường hợp của bạn.
Một email quảng cáo, bốn kết quả
Hãy xem một ví dụ cụ thể. Một cửa hàng trực tuyến nhỏ ở Texas mua một danh sách địa chỉ và gửi cho tất cả mọi người trong danh sách một email “giảm 20% cuối tuần này”. Thư có tiêu đề trung thực, địa chỉ bưu điện và liên kết hủy đăng ký. Dưới đây là đại thể điều đó diễn ra thế nào với từng người nhận ở các nơi khác nhau, với giả định mỗi luật đều áp dụng cho hoạt động của cửa hàng ở đó.
| Người nhận ở | Quy tắc chính | Vị thế có thể có trong ví dụ này |
|---|---|---|
| Hoa Kỳ | Đạo luật CAN-SPAM | Không cần sự đồng ý trước. Thư có thể hợp lệ nếu đáp ứng các quy tắc về nội dung và từ chối, dù các địa chỉ có được bằng cách thu thập tự động gây ra những vấn đề riêng |
| Đức (EU) | GDPR cùng các quy tắc ePrivacy quốc gia, ở Đức là điều 7 của Luật chống cạnh tranh không lành mạnh (UWG) | Nhìn chung cần sự đồng ý trước. Địa chỉ mua về mà không có quan hệ khách hàng thì không đáp ứng ngoại lệ soft opt-in |
| Vương quốc Anh | UK GDPR và quy định 22 của PECR | Nhìn chung cần sự đồng ý trước với thuê bao cá nhân, hoặc một soft opt-in mà cửa hàng không thể viện dẫn ở đây |
| Canada | CASL | Cần sự đồng ý rõ ràng hoặc ngầm định. Danh sách mua về thường không mang lại cái nào, và cửa hàng phải chứng minh được sự đồng ý |
Điều này cũng cho thấy vì sao nước của người gửi quyết định được rất ít. Một công ty Texas nhắm tới khách hàng ở EU có thể thuộc phạm vi luật EU, và CASL bao trùm các thư được truy cập trên máy tính ở Canada. Nơi công ty bán hàng và nơi người nhận ở thường quan trọng hơn nơi công ty đặt văn phòng.
Các luật trong một cái nhìn
| Luật | Ở đâu | Mô hình tiếp thị | Do ai thực thi | Mức phạt tối đa nổi bật |
|---|---|---|---|---|
| GDPR | EU và EEA; cả các tổ chức ở nơi khác nhắm tới hoặc theo dõi người ở đó | Cần một cơ sở pháp lý; đọc cùng các quy tắc ePrivacy | Các cơ quan bảo vệ dữ liệu quốc gia và tòa án | Tới 20 triệu euro hoặc 4% doanh thu toàn cầu hằng năm, tùy mức nào cao hơn |
| Chỉ thị ePrivacy | EU, thông qua luật quốc gia của từng nước thành viên | Opt-in với cá nhân, kèm soft opt-in cho khách hàng hiện có | Các cơ quan quản lý quốc gia, khác nhau theo nước | Do luật quốc gia quy định |
| UK GDPR và PECR | Vương quốc Anh | Opt-in kèm soft opt-in, gần với mô hình EU | Cơ quan quản lý bảo vệ dữ liệu của Anh | 17,5 triệu bảng hoặc 4% doanh thu toàn cầu, tùy mức nào cao hơn |
| Đạo luật CAN-SPAM | Hoa Kỳ | Opt-out | FTC, các cơ quan liên bang khác, tổng chưởng lý các bang, nhà cung cấp dịch vụ truy cập internet | Hơn 50.000 đô la cho mỗi email vi phạm, điều chỉnh theo lạm phát hằng năm |
| CCPA, sửa đổi bởi CPRA | Cư dân California và các doanh nghiệp vì lợi nhuận thuộc diện điều chỉnh | Không có quy tắc đồng ý cho email; điều chỉnh việc thu thập, bán và chia sẻ | Cơ quan Bảo vệ Quyền riêng tư California và Tổng chưởng lý | Phạt theo từng vi phạm, cao hơn với vi phạm cố ý và vi phạm liên quan đến trẻ vị thành niên |
| CASL | Canada, kể cả thư gửi từ nước ngoài và được truy cập ở đó | Đồng ý rõ ràng hoặc ngầm định trước khi gửi | CRTC, Cục Cạnh tranh, Văn phòng Ủy viên Quyền riêng tư | Tới 10 triệu đô la Canada cho mỗi vi phạm với tổ chức, 1 triệu đô la Canada với cá nhân |
Địa chỉ email có phải dữ liệu cá nhân không?
Theo Điều 4(1) của GDPR, dữ liệu cá nhân là mọi thông tin liên quan đến một thể nhân đã được xác định hoặc có thể xác định. Một địa chỉ như maria.lopez@example.com rõ ràng thuộc loại này. Một địa chỉ kém lộ liễu hơn như ml1987@example.com thường cũng vậy, vì nó thuộc về một người và có thể kết hợp với thông tin khác để nhận dạng người đó. Một địa chỉ dùng chung như info@company.example có thể hoàn toàn không phải dữ liệu cá nhân, trừ khi gắn được với một cá nhân.
Email mang nhiều dữ liệu cá nhân hơn nhiều so với riêng địa chỉ. Có nội dung thư và tệp đính kèm. Có siêu dữ liệu, tức người gửi, người nhận, thời gian, tiêu đề và địa chỉ IP trong phần đầu thư. Có dữ liệu tương tác, như lúc bạn mở thư và bạn bấm vào liên kết nào. Cũng có các hồ sơ suy diễn, như nhóm sở thích và dự đoán về thứ bạn có thể mua tiếp theo.
Thuật ngữ ở Mỹ khác đi. CCPA nói về “thông tin cá nhân”, được định nghĩa rộng để gồm các định danh như địa chỉ email, và những suy luận dùng để dựng hồ sơ. CAN-SPAM không dùng khái niệm đó, vì nó hoàn toàn không phải luật quyền riêng tư chung. Nó điều chỉnh cách gửi email thương mại, và không trao cho bạn quyền xem hay xóa bất cứ thứ gì công ty đang giữ.
Châu Âu: hai luật cùng hoạt động
Nhiều bài mô tả opt-in trong tiếp thị như một quy tắc của GDPR. Yêu cầu đồng ý với email tiếp thị thực ra đến từ một luật khác, Chỉ thị ePrivacy (Chỉ thị 2002/58/EC), còn GDPR định nghĩa thế nào là đồng ý hợp lệ và điều chỉnh những gì xảy ra với dữ liệu. Vì chỉ thị được thực thi riêng ở từng nước thành viên, chi tiết khác nhau trong EU. Chẳng hạn Pháp và Đức có quy định quốc gia riêng và quan điểm riêng của cơ quan quản lý.
Điều 13 của Chỉ thị ePrivacy
Điều 13 đặt ra khung cơ bản. Email tiếp thị trực tiếp tới cá nhân cần sự đồng ý trước. Một ngoại lệ hẹp, thường gọi là soft opt-in, cho phép công ty đã có địa chỉ của bạn trong bối cảnh bán sản phẩm hoặc dịch vụ được tiếp thị các sản phẩm hoặc dịch vụ tương tự của chính mình, với điều kiện bạn có cơ hội rõ ràng và dễ dàng để phản đối khi thông tin được thu thập và trong mọi thư sau đó. Người gửi không được che giấu danh tính, và phải cung cấp một địa chỉ hợp lệ để từ chối.
Quy tắc khi gửi email cho các công ty thì khác nhau. Điều 13(5) để chỗ cho các nước thành viên đối xử khác với pháp nhân, nên một số nước mở rộng opt-in sang địa chỉ công ty còn một số thì không. Các địa chỉ công việc có tên như firstname.lastname@company.example vẫn là dữ liệu cá nhân theo GDPR ngay cả khi quy tắc tiếp thị lỏng hơn.
Điểm ảnh theo dõi (tracking pixel)
Điều 5(3) của cùng chỉ thị yêu cầu sự đồng ý để lưu hoặc truy cập thông tin trên thiết bị của người dùng, trừ khi điều đó thật sự cần thiết cho một dịch vụ người dùng đã yêu cầu. Điều này nổi tiếng nhất qua các biểu ngữ cookie. Hướng dẫn 2/2023 của Ủy ban Bảo vệ Dữ liệu châu Âu về phạm vi kỹ thuật của Điều 5(3) cho rằng điểm ảnh theo dõi trong email có thể thuộc phạm vi đó. Cơ quan quản lý của Pháp, CNIL, đi xa hơn và công bố một khuyến nghị vào tháng 4 năm 2026 đặt sự đồng ý làm mặc định cho điểm ảnh theo dõi trong email, với ngoại lệ hạn chế cho các mục đích như bảo mật. Hãy chờ đợi sự khác biệt giữa các nước, và kiểm tra quan điểm của cơ quan quản lý nước bạn. Bản thân công nghệ này hoạt động ra sao được trình bày trong bài của chúng tôi về điểm ảnh theo dõi trong email.
GDPR bổ sung điều gì
Quy định chung về bảo vệ dữ liệu có hiệu lực từ ngày 25 tháng 5 năm 2018. Nó áp dụng cho các tổ chức đặt tại EU, và theo Điều 3(2) cũng áp dụng cho các tổ chức ở nơi khác cung cấp hàng hóa hoặc dịch vụ cho người ở EU hoặc theo dõi hành vi của họ ở đó. Điều khoản dẫn nhập số 23 đưa ra manh mối về việc nhắm tới: chỉ có một trang web truy cập được từ châu Âu thì chưa đủ, trong khi dùng ngôn ngữ hoặc đơn vị tiền tệ của một nước thành viên để chào bán hàng ở đó thì có thể đủ. Iceland, Liechtenstein và Na Uy áp dụng GDPR thông qua EEA.
Nguyên tắc và cơ sở pháp lý
Điều 5 đặt ra các nguyên tắc. Một địa chỉ thu thập để gửi xác nhận đơn hàng không được tùy tiện dùng lại cho các mục đích không liên quan (giới hạn mục đích). Chỉ nên thu thập dữ liệu cần thiết (tối thiểu hóa dữ liệu), giữ không lâu hơn mức cần thiết (giới hạn lưu trữ) và lưu giữ an toàn. Tổ chức cũng phải chứng minh được mình đã tuân thủ (trách nhiệm giải trình).
Điều 6 yêu cầu có cơ sở pháp lý cho mọi việc sử dụng. Với email, đây là những cơ sở thường gặp:
- Hợp đồng: gửi xác nhận đơn hàng hoặc thông báo tài khoản của bạn.
- Nghĩa vụ pháp lý: lưu hóa đơn cho mục đích thuế.
- Sự đồng ý: đăng ký nhận bản tin.
- Lợi ích hợp pháp: một số trường hợp bảo mật và phòng chống gian lận, và trong một số ít trường hợp là tiếp thị trực tiếp, nhưng chỉ khi các quy tắc ePrivacy cho phép chính bức thư đó.
Điều gì làm sự đồng ý hợp lệ
Điều 4(11) định nghĩa sự đồng ý là tự nguyện, cụ thể, được thông tin đầy đủ và rõ ràng, thể hiện bằng một hành động khẳng định rõ ràng. Điều khoản dẫn nhập số 32 nói im lặng, ô đã tích sẵn và việc không hành động không được tính, và Tòa án Công lý EU đã khẳng định điểm về ô tích sẵn trong vụ Planet49 năm 2019 (C-673/17). Điều 7(3) nói việc rút lại sự đồng ý phải dễ như khi đồng ý, nên một lần đăng ký chỉ bằng một cú bấm không nên cần đăng nhập và năm trang mới hủy được. Điều 7(1) yêu cầu tổ chức phải chứng minh được sự đồng ý, là một lý do các bên gửi uy tín dùng email xác nhận hai bước (double opt-in), dù GDPR không nêu tên phương pháp đó.
Gộp chung là một điểm yếu thường gặp. Điều 7(4) xét xem một dịch vụ có bị đặt điều kiện bằng sự đồng ý mà nó không cần hay không. “Hãy đồng ý nhận tiếp thị nếu không bạn không đọc được trang này” là kiểu sắp đặt mà các cơ quan quản lý xem xét kỹ, và câu trả lời có thể khác theo ngữ cảnh.
Quyền của bạn
| Quyền | Điều | Nó trao cho bạn điều gì | Ví dụ với email |
|---|---|---|---|
| Được thông tin | 13, 14 | Ai xử lý dữ liệu của bạn, vì sao, trong bao lâu và ai nhận nó | Một thông báo quyền riêng tư gắn ở bước đăng ký bản tin |
| Truy cập | 15 | Một bản sao dữ liệu của bạn và chi tiết về việc sử dụng, thường miễn phí | Hỏi một cửa hàng họ giữ gì gắn với địa chỉ của bạn, kể cả các nhóm phân loại |
| Chỉnh sửa | 16 | Sửa dữ liệu không chính xác | Sửa một cái tên viết sai |
| Xóa | 17 | Xóa trong các trường hợp được liệt kê, như dữ liệu không còn cần hoặc sự đồng ý đã rút | Gỡ hồ sơ của bạn khỏi dịch vụ bạn đã rời |
| Hạn chế | 18 | Tạm dừng việc sử dụng trong lúc có tranh chấp | Dừng xử lý trong khi kiểm tra tính chính xác |
| Di chuyển dữ liệu | 20 | Dữ liệu bạn đã cung cấp, ở định dạng máy đọc được, khi việc xử lý dựa trên sự đồng ý hoặc hợp đồng | Xuất danh bạ từ nhà cung cấp email |
| Phản đối | 21 | Dừng xử lý dựa trên lợi ích hợp pháp; tuyệt đối với tiếp thị trực tiếp | Yêu cầu một công ty dừng mọi hoạt động tiếp thị |
| Khiếu nại và bồi thường | 77, 82 | Khiếu nại với một cơ quan, và yêu cầu bồi thường thiệt hại | Báo cáo một người gửi phớt lờ sự phản đối của bạn |
Điều 12(3) cho các tổ chức một tháng để phản hồi, có thể gia hạn thêm hai tháng nữa với yêu cầu phức tạp hoặc nhiều, và khi đó họ phải báo cho bạn trong tháng đầu. Họ có thể yêu cầu bằng chứng danh tính hợp lý. Theo Điều 12(5), họ chỉ được thu phí hợp lý hoặc từ chối khi yêu cầu rõ ràng vô căn cứ hoặc quá mức.
Quyền phản đối tiếp thị là quyền mạnh nhất trong số này, và dễ bị bỏ sót. Điều 21(2) và (3) nói rằng khi bạn đã phản đối tiếp thị trực tiếp, dữ liệu của bạn không còn được xử lý cho mục đích đó. Khác với các phản đối khác, không có phép cân nhắc nào được áp dụng. Công ty có thể giữ địa chỉ của bạn trong danh sách chặn để không gửi thư cho bạn nữa, nhưng không được tiếp tục tiếp thị với bạn.
Ngược lại, quyền xóa có giới hạn. Điều 17(3) liệt kê các ngoại lệ, trong đó có nghĩa vụ pháp lý. Một cửa hàng có thể giữ hóa đơn của bạn sau khi xóa hồ sơ, và họ nên nói điều đó khi bạn hỏi.
Thông báo rò rỉ
Điều 33 yêu cầu một tổ chức thông báo cho cơ quan giám sát về vụ rò rỉ dữ liệu cá nhân trong vòng 72 giờ kể từ khi biết, trừ khi vụ rò rỉ không có khả năng gây rủi ro cho con người. Điều 34 yêu cầu họ báo cho những người bị ảnh hưởng mà không chậm trễ quá mức khi rủi ro cao. Đó là lý do đôi khi bạn nhận tin từ những dịch vụ bạn đã rời bỏ nhiều năm. Nếu nhận được thông báo, hướng dẫn của chúng tôi về việc cần làm sau một vụ rò rỉ dữ liệu email giải thích các bước thực tế.
Có thể sắp có thay đổi. Đề xuất Digital Omnibus của Ủy ban châu Âu, công bố vào tháng 11 năm 2025, sẽ trong số những điều khác, kéo dài 72 giờ thành 96 giờ và giới hạn việc thông báo cơ quan quản lý ở các vụ rò rỉ rủi ro cao. Tính đến cuối năm 2026 đây vẫn là một đề xuất đang trong tiến trình lập pháp, nên các quy tắc hiện hành vẫn áp dụng. Hãy xem văn bản cuối cùng nếu bạn cần dựa vào điều này.
Vương quốc Anh: tương tự, với những cập nhật riêng
Sau Brexit, Anh giữ GDPR trong luật nội địa dưới tên UK GDPR, cùng với Đạo luật Bảo vệ Dữ liệu 2018. Quy định về Quyền riêng tư và Truyền thông điện tử 2003 (PECR) mang các quy tắc ePrivacy, và quy định 22 phản chiếu mô hình opt-in và soft opt-in của EU cho thuê bao cá nhân.
Đạo luật Dữ liệu (Sử dụng và Truy cập) 2025 đã thay đổi một phần bức tranh này. Nó nâng mức phạt PECR tối đa từ 500.000 bảng lên bằng mức của UK GDPR, tức mức cao hơn giữa 17,5 triệu bảng và 4% doanh thu toàn cầu, với thay đổi được cho là có hiệu lực từ đầu năm 2026. Nó cũng tạo ra một phiên bản soft opt-in cho các tổ chức từ thiện, cho phép họ gửi email cho những người đã ủng hộ hoặc hỏi về hoạt động của họ, với các điều kiện gồm cả việc có lựa chọn từ chối ngay khi thu thập. Chính cơ quan quản lý cũng đang được cải tổ, với Văn phòng Ủy viên Thông tin (ICO) sẽ được thay bằng một Ủy ban Thông tin, nên bạn có thể thấy cả hai tên. Trang web của cơ quan này vẫn là nơi để xem hướng dẫn hiện hành, và có công cụ để báo cáo tiếp thị không mong muốn.
CAN-SPAM: luật liên bang Mỹ thực sự yêu cầu gì
Đạo luật CAN-SPAM năm 2003 là luật liên bang chính của Mỹ về email thương mại. Dù tên là vậy, nó không cấm tiếp thị không mong muốn. Nó đặt ra các quy tắc về cách gửi những email như thế, và trao cho người nhận quyền dừng chúng. Quy tắc thực thi của FTC nằm ở 16 CFR Part 316, và cơ quan này công bố một hướng dẫn tuân thủ cho doanh nghiệp rất đáng đọc đầy đủ nếu bạn gửi thư tiếp thị.
Những thư nào được tính
Điều quan trọng là mục đích chính của thư. Thư thương mại quảng cáo hoặc xúc tiến một sản phẩm hay dịch vụ và hoàn toàn thuộc phạm vi luật. Thư giao dịch hoặc thư quan hệ thì xác nhận một giao dịch, cung cấp thông tin bảo hành hoặc an toàn, báo thay đổi trong tài khoản hoặc gói đăng ký, cung cấp thông tin việc làm, hoặc giao hàng đã mua. Chúng được miễn hầu hết yêu cầu nhưng không được chứa thông tin định tuyến sai hoặc gây hiểu lầm. Thư thuần túy cá nhân nằm ngoài đạo luật.
Không có ngoại lệ cho email giữa doanh nghiệp với doanh nghiệp. Một thư quảng cáo gửi tới địa chỉ công ty cũng phải tuân thủ, điều này làm ngạc nhiên những ai quen với cách đối xử mềm hơn mà B2B nhận được ở một số nước.
Các yêu cầu
- Thông tin đầu thư phải chính xác. From, To, Reply-To và dữ liệu định tuyến phải xác định đúng ai đã khởi tạo thư.
- Tiêu đề không được gây hiểu lầm về nội dung.
- Thư phải được nhận diện rõ là quảng cáo, trừ khi người nhận đã chủ động đồng ý trước.
- Thư phải có địa chỉ bưu điện thực hợp lệ, có thể là địa chỉ đường phố, hộp thư bưu điện đã đăng ký hoặc hộp thư tư nhân đã đăng ký.
- Thư phải giải thích rõ cách từ chối và đưa ra cách làm hiệu quả, như địa chỉ trả lời hoặc một liên kết.
- Yêu cầu từ chối phải được thực hiện trong 10 ngày làm việc, và cơ chế này phải còn hoạt động ít nhất 30 ngày sau khi gửi. Người gửi không được thu phí, hỏi thông tin cá nhân ngoài địa chỉ email và tùy chọn từ chối, hay đòi bất kỳ bước nào ngoài một lần trả lời hoặc truy cập một trang web.
- Địa chỉ đã từ chối không được bán hay chuyển giao, trừ cho công ty được thuê để hỗ trợ tuân thủ.
- Công ty vẫn chịu trách nhiệm với bất kỳ ai gửi thay mặt mình, nên thuê một đại lý không chuyển nghĩa vụ đi nơi khác.
Email thương mại có nội dung khiêu dâm phải mang nhãn cảnh báo “SEXUALLY-EXPLICIT:” trong dòng tiêu đề theo một quy tắc riêng của FTC.
Hành vi làm tăng nặng và việc thực thi
Đạo luật coi một số hành vi là tình tiết tăng nặng, gồm thu thập địa chỉ từ các trang web, tạo địa chỉ bằng “tấn công từ điển” kết hợp tên và chữ cái, và dùng tập lệnh để đăng ký hàng loạt tài khoản gửi thư rác. Một số hành vi lừa dối là tội hình sự.
Người nhận cá nhân không có quyền khởi kiện riêng, một trong những điểm bị hiểu sai nhiều nhất về luật này. Việc thực thi thuộc về FTC, các cơ quan liên bang khác với những ngành được quản lý, tổng chưởng lý các bang và nhà cung cấp dịch vụ truy cập internet. Bạn có thể báo cáo vi phạm tại ReportFraud.ftc.gov. FTC có đưa ra các vụ việc: năm 2024 họ công bố khoản phạt 2,95 triệu đô la với công ty camera an ninh Verkada, trong một vụ có cả các cáo buộc theo CAN-SPAM. Đạo luật này cũng loại bỏ hiệu lực của hầu hết luật bang điều chỉnh riêng email thương mại, trừ khi chúng cấm sự giả dối hoặc lừa đảo.
Tin nhắn văn bản là chuyện riêng
Tin nhắn tiếp thị ở Mỹ chủ yếu chịu sự điều chỉnh của Đạo luật Bảo vệ Người tiêu dùng Điện thoại (TCPA), nhìn chung yêu cầu sự đồng ý rõ ràng trước cho tin nhắn tiếp thị tự động. Vì vậy logic opt-out của email không chuyển sang số điện thoại của bạn, và một biểu mẫu thanh toán hỏi số của bạn là đang xin một sự đồng ý riêng.
California và các bang khác của Mỹ
Đạo luật Quyền riêng tư Người tiêu dùng California có hiệu lực năm 2020 và được Đạo luật Quyền Riêng tư California sửa đổi đáng kể từ năm 2023. Đó là một luật quyền riêng tư chung, liên quan đến email vì địa chỉ của bạn là thông tin cá nhân và các công ty thường chia sẻ nó cho quảng cáo.
Nó áp dụng cho các doanh nghiệp vì lợi nhuận đang kinh doanh ở California đáp ứng ít nhất một trong ba điều kiện: tổng doanh thu hằng năm vượt một ngưỡng điều chỉnh theo lạm phát (ban đầu là 25 triệu đô la, và đợt điều chỉnh năm 2025 của cơ quan quản lý đặt nó ở 26.625.000 đô la); mua, bán hoặc chia sẻ thông tin cá nhân của từ 100.000 người tiêu dùng hoặc hộ gia đình California trở lên mỗi năm; hoặc thu ít nhất một nửa doanh thu hằng năm từ việc bán hoặc chia sẻ thông tin cá nhân.
Các doanh nghiệp thuộc diện điều chỉnh phải tôn trọng những quyền này:
- Được biết những gì được thu thập, từ đâu, vì sao và chia sẻ với những loại bên thứ ba nào.
- Được xóa thông tin cá nhân thu thập từ bạn, với các ngoại lệ như hoàn tất một giao dịch hoặc đáp ứng nghĩa vụ pháp lý.
- Được sửa thông tin cá nhân không chính xác.
- Được từ chối việc bán hoặc chia sẻ. “Chia sẻ” đặc biệt bao gồm việc tiết lộ cho quảng cáo hành vi xuyên ngữ cảnh, có thể gồm việc tải danh sách email khách hàng lên các nền tảng quảng cáo.
- Được hạn chế việc sử dụng thông tin cá nhân nhạy cảm, một loại bao gồm nội dung thư, email và tin nhắn trừ khi doanh nghiệp là người nhận dự kiến.
- Không bị phân biệt đối xử vì thực hiện các quyền này, dù doanh nghiệp có thể đưa ra các ưu đãi tài chính được công bố, như chương trình khách hàng thân thiết.
Các yêu cầu được biết, xóa và sửa phải được phản hồi trong 45 ngày theo lịch, có thể gia hạn thêm 45 ngày kèm thông báo. Yêu cầu từ chối có hạn ngắn hơn theo quy định, tối đa 15 ngày làm việc. Doanh nghiệp cũng phải coi tín hiệu ưu tiên từ chối như Global Privacy Control, do trình duyệt hoặc tiện ích mở rộng của bạn gửi đi, là một sự từ chối hợp lệ việc bán và chia sẻ.
Cơ quan Bảo vệ Quyền riêng tư California, còn gọi là CalPrivacy, và Tổng chưởng lý thực thi luật. Cá nhân chỉ được kiện về một số vụ rò rỉ dữ liệu gây ra bởi việc không duy trì bảo mật hợp lý, với mức bồi thường theo luật định trên mỗi người tiêu dùng mỗi sự cố. Người dân California cũng có một công cụ riêng theo Đạo luật Xóa (Delete Act): Nền tảng Yêu cầu Xóa và Từ chối (DROP) cho phép họ gửi một yêu cầu xóa tới các nhà môi giới dữ liệu đã đăng ký, và các nhà môi giới dự kiến bắt đầu xử lý những yêu cầu đó vào tháng 8 năm 2026.
Nhiều bang khác, gồm Virginia, Colorado, Connecticut, Texas và Oregon, đã thông qua luật quyền riêng tư toàn diện với các quyền nhìn chung tương tự. Chi tiết và ngưỡng khác nhau, và hầu hết không cho quyền khởi kiện riêng, nên hãy xem trang của tổng chưởng lý bang bạn.
CASL: chế độ nghiêm ngặt của Canada
Luật Chống thư rác của Canada phần lớn có hiệu lực từ ngày 1 tháng 7 năm 2014 và nằm trong số các luật tiếp thị email nghiêm nhất ở bất kỳ đâu. Nó bao trùm các thông điệp điện tử thương mại, gồm email và tin nhắn, gửi tới hoặc được truy cập trên máy tính ở Canada.
Người gửi cần sự đồng ý rõ ràng hoặc, trong những tình huống cụ thể, sự đồng ý ngầm định. Ví dụ nổi tiếng nhất về đồng ý ngầm định là quan hệ kinh doanh hiện có, như một giao dịch mua trong hai năm trước hoặc một yêu cầu tìm hiểu trong sáu tháng trước. Mọi thư phải nêu danh tính người gửi và thông tin liên hệ. Mọi thư cũng cần một cơ chế hủy đăng ký còn hiệu lực ít nhất 60 ngày sau khi gửi, và các yêu cầu phải được xử lý trong 10 ngày làm việc.
Mức phạt có thể lên tới 10 triệu đô la Canada cho mỗi vi phạm với tổ chức và 1 triệu đô la Canada với cá nhân. Quyền khởi kiện riêng của luật, vốn cho phép cá nhân kiện, đã bị chính phủ đình chỉ năm 2017 trước khi có hiệu lực. Người Canada có thể báo cáo thư rác qua Trung tâm Báo cáo Thư rác (Spam Reporting Centre), một phần của chương trình chống thư rác liên bang.
Ở những nơi khác, nói gọn
Đạo luật Thư rác 2003 của Úc yêu cầu sự đồng ý, nhận diện người gửi và một chức năng hủy đăng ký hoạt động được, và các yêu cầu phải được thực hiện trong năm ngày làm việc. Cơ quan Truyền thông và Truyền thông Úc thực thi luật này. LGPD của Brazil là luật chung kiểu GDPR, do cơ quan quốc gia ANPD thực thi, với các quyền truy cập, sửa, xóa và được thông tin về việc chia sẻ. Đạo luật Bảo vệ Dữ liệu Cá nhân Kỹ thuật số 2023 của Ấn Độ đưa vào việc xử lý dựa trên sự đồng ý, và các quy tắc của nó, được thông báo vào tháng 11 năm 2025, sẽ được triển khai dần trong 18 tháng, nên phần lớn các nghĩa vụ vận hành chưa có hiệu lực. Luật Bảo vệ Dữ liệu Liên bang sửa đổi của Thụy Sĩ áp dụng từ tháng 9 năm 2023 và bám sát các nguyên tắc GDPR.
Nếu nước bạn không được nêu ở đây, nó vẫn có thể có luật liên quan. Cơ quan bảo vệ dữ liệu hoặc bảo vệ người tiêu dùng quốc gia là nơi để kiểm tra.
Vì sao hủy đăng ký không chặn được biên lai của bạn
Người ta hay hỏi vì sao từ chối tiếp thị của một cửa hàng mà email đơn hàng vẫn tiếp tục đến. Các luật cố ý tách hai loại này, và đó cũng là lý do người gửi không thể thoát khỏi quy tắc tiếp thị chỉ bằng cách gọi một thứ là thư dịch vụ.
| Loại | Ví dụ | GDPR và ePrivacy | CAN-SPAM | CASL |
|---|---|---|---|---|
| Giao dịch | Biên lai, cập nhật vận chuyển, đặt lại mật khẩu, cảnh báo bảo mật | Cần một cơ sở pháp lý, thường là hợp đồng hoặc lợi ích hợp pháp, chứ không phải sự đồng ý tiếp thị | Miễn hầu hết quy tắc; không có thông tin định tuyến sai | Các loại được liệt kê được miễn đồng ý nhưng vẫn cần nội dung nhận diện người gửi và hủy đăng ký |
| Tiếp thị | Giảm giá, bản tin quảng bá, gợi ý sản phẩm | Đồng ý hoặc soft opt-in; quyền phản đối tuyệt đối | Được phép không cần đồng ý; mọi yêu cầu đều áp dụng | Cần sự đồng ý rõ ràng hoặc ngầm định |
| Hỗn hợp | Một xác nhận đơn hàng kèm biểu ngữ quảng cáo lớn | Phần quảng cáo có thể cần sự đồng ý tiếp thị | Xét theo mục đích chính, nhìn vào tiêu đề và cách bố trí nội dung | Có thể bị coi là thương mại nếu quảng bá sản phẩm |
Không phải quy tắc nào bạn gặp cũng đến từ cơ quan lập pháp. Từ năm 2024, Google và Yahoo yêu cầu các bên gửi hàng loạt hỗ trợ hủy đăng ký bằng một cú bấm qua cơ chế trong RFC 8058, và xử lý yêu cầu trong vòng hai ngày. Đó là điều kiện để thư được chuyển tốt do các nhà cung cấp hộp thư đặt ra, không có sức mạnh pháp lý nào đứng sau, nhưng trên thực tế nó chặn một số người gửi nhanh hơn 10 ngày làm việc của luật.
Dùng quyền của bạn, từng bước
1. Dừng tiếp thị
Dùng nút hủy đăng ký mà ứng dụng thư hiển thị cạnh người gửi, dựa trên phần đầu thư List-Unsubscribe. Nếu không có, hãy dùng liên kết ở chân thư của một thư hợp pháp. Chỉ làm vậy với những người gửi bạn nhận ra, vì một liên kết trong thư rác rõ ràng có thể dẫn tới bất cứ đâu, và báo cáo là phản ứng tốt hơn ở đó. Ghi lại ngày. Theo CAN-SPAM và CASL, thư phải ngừng trong vòng 10 ngày làm việc. Ở EU và Anh, sự phản đối nên có hiệu lực không chậm trễ, dù các cơ quan quản lý nhìn chung chấp nhận một thời gian xử lý ngắn.
2. Tìm hiểu công ty giữ những gì
Gửi yêu cầu truy cập của chủ thể dữ liệu theo GDPR, hoặc yêu cầu được biết theo CCPA. Nhiều công ty có biểu mẫu hoặc cổng quyền riêng tư, và dùng nó có thể nhanh hơn. Nếu không, một tin nhắn ngắn như mẫu này là đủ:
Tiêu đề: Yêu cầu truy cập dữ liệu cá nhân
Tôi yêu cầu được truy cập dữ liệu cá nhân mà quý công ty đang giữ về tôi theo Điều 15 của GDPR [hoặc: theo Đạo luật Quyền riêng tư Người tiêu dùng California]. Địa chỉ email của tôi trong hồ sơ của quý công ty là [địa chỉ]. Vui lòng cung cấp một bản sao dữ liệu, các mục đích xử lý, các loại bên nhận mà quý công ty đã chia sẻ dữ liệu, thời gian lưu giữ, và nguồn dữ liệu nếu quý công ty không thu thập từ tôi. Tôi mong nhận được phản hồi trong thời hạn pháp luật quy định.
Hãy gửi từ địa chỉ mà công ty đang lưu, tới đầu mối quyền riêng tư trong chính sách quyền riêng tư của họ, và giữ một bản sao có ghi ngày. Hãy chờ việc kiểm tra danh tính. Điều đó là chính đáng, dù nên tương xứng. Một cửa hàng đòi bản quét hộ chiếu để trả lời yêu cầu về một địa chỉ nhận bản tin là điều đáng chất vấn.
3. Yêu cầu xóa
Nếu bạn đã ngừng dùng một dịch vụ, hãy yêu cầu xóa theo Điều 17 của GDPR hoặc xóa theo CCPA. Công ty có thể giữ các hồ sơ họ buộc phải lưu, như hóa đơn, và một địa chỉ trong danh sách chặn để không vô tình gửi email cho bạn. Hỏi họ đang giữ gì và vì sao là hợp lý.
4. Từ chối việc bán và chia sẻ ở các bang của Mỹ
Tìm một liên kết như “Do Not Sell or Share My Personal Information” hoặc “Your Privacy Choices”, hoặc bật Global Privacy Control trong trình duyệt hay tiện ích hỗ trợ nó. Người dân California có thể dùng DROP với các nhà môi giới dữ liệu đã đăng ký.
5. Nâng cấp khiếu nại nếu không đi đến đâu
- EU và EEA: khiếu nại với cơ quan bảo vệ dữ liệu quốc gia của bạn. Ủy ban Bảo vệ Dữ liệu châu Âu liệt kê tất cả.
- Anh: khiếu nại với cơ quan quản lý bảo vệ dữ liệu của Anh sau khi nêu vấn đề với tổ chức trước, hoặc báo cáo tiếp thị không mong muốn qua công cụ trực tuyến của họ.
- Mỹ: báo cáo email thương mại lừa dối hoặc không tuân thủ tại ReportFraud.ftc.gov. Với vấn đề CCPA, nộp khiếu nại cho Cơ quan Bảo vệ Quyền riêng tư California hoặc Tổng chưởng lý.
- Canada: báo cáo cho Trung tâm Báo cáo Thư rác.
Hãy giữ bằng chứng đơn giản: ngày gửi yêu cầu, một bản sao yêu cầu, một bản sao phản hồi nếu có, và các ví dụ về thư vẫn tiếp tục đến cùng phần đầu thư đầy đủ. Cơ quan quản lý không thể theo đuổi mọi khiếu nại, nên một khiếu nại cá nhân có thể không mang lại kết quả nhanh, nhưng nó bổ sung vào hồ sơ chống lại kẻ tái phạm.
Những gì các luật này không bao trùm
Thư rác tội phạm là khoảng trống rõ nhất. Kẻ bán thuốc giả từ một máy chủ bị chiếm quyền phớt lờ mọi quy tắc nói trên, vì vậy bộ lọc thư rác và nút báo cáo của nhà cung cấp làm được nhiều hơn mọi đạo luật với loại thư đó. Nhận biết và báo cáo kiểu lừa đảo này là một kỹ năng thực tế, và không cơ quan quản lý nào làm thay bạn được.
Thư từ riêng của bạn cũng phần lớn nằm ngoài các quy tắc này. Một lời nhắn cá nhân gửi bạn bè không phải email thương mại, và GDPR có ngoại lệ cho hoạt động thuần túy cá nhân hoặc trong gia đình theo Điều 2(2)(c). Việc cơ quan thực thi pháp luật truy cập hộp thư thuộc các luật riêng, như Đạo luật Truyền thông Lưu trữ (Stored Communications Act) của Mỹ và các luật giám sát quốc gia, và những luật ấy đáng có phần giải thích riêng.
Cuối cùng, hầu hết các luật này ràng buộc những tổ chức thuộc một loại nào đó, hoặc trên một quy mô nào đó. Một cửa hàng nhỏ ở California dưới ngưỡng CCPA vẫn phải tuân theo CAN-SPAM nhưng không có nghĩa vụ CCPA. Một tổ chức phi lợi nhuận có thể thoát khỏi CCPA mà vẫn chịu GDPR khi gửi email cho người ở châu Âu. Luôn xem người gửi là ai trước khi cho rằng quy tắc nào áp dụng.
Địa chỉ dùng một lần nằm ở đâu?
Địa chỉ email dùng một lần là một hộp thư tạm thời không cần đăng ký và xóa thư sau một thời gian ngắn. Chúng tôi không biết luật nào trong các chế độ nêu trên cấm người ta dùng nó để bảo vệ quyền riêng tư của mình, và làm vậy theo cùng tinh thần với nghĩa vụ tối thiểu hóa dữ liệu mà GDPR đặt lên các tổ chức. Nếu một trang không cần quan hệ lâu dài với bạn, bạn có thể quyết định không đưa ra quan hệ đó, miễn là điều khoản của trang cho phép. Quy tắc và điều khoản khác nhau, nên đây là nhận xét chung và không bảo đảm cho một trường hợp cụ thể.
Các cách dùng thông thường gồm nhận một tệp tải xuống một lần hoặc kiểm thử email đăng ký và xác nhận của chính trang web của bạn. VookMail là một dịch vụ như vậy. Địa chỉ có sẵn khi trang tải xong, bạn có thể bấm Mới để gõ tên người dùng trên một trong hơn 30 tên miền hoặc dùng nút Ngẫu nhiên màu vàng để có địa chỉ ngẫu nhiên, và thư, tệp đính kèm cùng địa chỉ bị xóa sau khoảng một ngày. Cách dịch vụ xử lý dữ liệu được nêu trong chính sách quyền riêng tư, và trang phương pháp giải thích cách thư của các tên miền đến nhà cung cấp dịch vụ chuyển thư qua bản ghi MX và được chuyển tiếp qua HTTPS.
Có một số giới hạn:
- Các dịch vụ có thể từ chối địa chỉ dùng một lần, và nhiều nơi có lý do chính đáng. Bài của chúng tôi về vì sao các trang web chặn email dùng một lần giải thích những lý do đó. Khi một trang từ chối, hãy tôn trọng và dùng địa chỉ hoặc bí danh lâu dài.
- Ai biết hoặc đoán được một địa chỉ tạm thời đều có thể mở hộp thư đó, nên nó cho bạn sự riêng tư khỏi danh sách gửi thư của một công ty chứ không cho tính bảo mật nội dung thư. Địa chỉ ngẫu nhiên là lựa chọn an toàn hơn.
- Ngân hàng, cơ quan nhà nước, y tế và các tài khoản mạng xã hội chính cần một địa chỉ bạn luôn kiểm soát, vì họ gửi thông báo có ý nghĩa pháp lý và thư khôi phục.
- Lạm dụng không được bảo vệ. Gian lận, quấy rối, mạo danh hoặc lách lệnh cấm có thể kéo theo hậu quả pháp lý dù dùng địa chỉ nào, và điều khoản và điều kiện của chúng tôi nghiêm cấm những việc đó.
- Yêu cầu về quyền cần một địa chỉ ổn định. Công ty thường xác minh bạn qua địa chỉ đang lưu, nên nếu sau này bạn có thể muốn dùng quyền GDPR hoặc CCPA, một địa chỉ lâu dài phục vụ bạn tốt hơn.
Nếu bạn tự gửi email
Một bản tin hay một cửa hàng trực tuyến nhỏ đặt bạn vào phía bên kia của tất cả những điều này. Nếu độc giả của bạn ở nhiều nước, cách thực tế là xây dựng theo quy tắc nghiêm nhất áp dụng cho đối tượng của bạn. Danh sách dưới đây là mức cơ bản, và một đánh giá tuân thủ thực sự còn tùy vào nước bạn và khách hàng của bạn.
- Thu thập sự đồng ý bằng ô chọn chưa tích hoặc một hành động đăng ký rõ ràng, và ghi lại khi nào và bằng cách nào nó được trao.
- Cân nhắc double opt-in, vừa cho bạn bằng chứng về sự đồng ý vừa chặn lỗi gõ sai và đăng ký giả.
- Gắn một thông báo quyền riêng tư rõ ràng ở mọi nơi bạn thu thập địa chỉ.
- Tách luồng giao dịch và luồng tiếp thị, và đừng lén nhét quảng cáo vào biên lai.
- Ghi danh tính tổ chức của bạn và địa chỉ bưu điện hợp lệ trong mọi email tiếp thị.
- Hỗ trợ hủy đăng ký một cú bấm bằng các phần đầu thư
List-UnsubscribevàList-Unsubscribe-Post, và xử lý các yêu cầu từ chối nhanh chóng. - Giữ danh sách chặn để các địa chỉ đã từ chối không bao giờ bị nhập lại.
- Đừng mua danh sách. Danh sách mua về không qua được các phép thử về sự đồng ý ở các nước opt-in, và thường kéo theo khiếu nại và thư trả lại làm hại khả năng chuyển thư của bạn ở khắp nơi.
- Công khai việc theo dõi lượt mở và lượt bấm, và kiểm tra xem các nước của độc giả có yêu cầu sự đồng ý cho việc đó không. Pháp hiện có hướng dẫn cụ thể về điều này.
- Đặt thời gian lưu giữ và xóa dữ liệu của người đăng ký không hoạt động mà bạn không còn cần.
- Có quy trình trả lời các yêu cầu truy cập, xóa và sửa trong vòng một tháng (GDPR) hoặc 45 ngày (CCPA).
- Thử luồng đăng ký và hủy đăng ký bằng một hộp thư mới trước khi ra mắt, để bạn thấy điều người đăng ký thấy.
Những niềm tin gây rắc rối
“Nếu địa chỉ công khai thì tôi có thể tiếp thị đến nó.” Trong các hệ thống opt-in, một địa chỉ hiển thị công khai tự nó không cho sự đồng ý. Theo CAN-SPAM, thu thập địa chỉ từ các trang web là tình tiết tăng nặng. Việc công bố đơn giản là không giải quyết được câu hỏi.
“Hủy đăng ký chỉ xác nhận địa chỉ của tôi cho kẻ gửi thư rác.” Điều này đúng với thư rác rõ ràng từ người gửi không rõ, nơi báo cáo là lựa chọn tốt hơn. Với người gửi hợp pháp, hủy đăng ký là bước đúng, và luật yêu cầu người gửi phải tôn trọng nó.
“GDPR chỉ áp dụng cho các công ty EU.” Điều 3(2) với tới các tổ chức ở nơi khác nhắm tới hoặc theo dõi người ở EU hay EEA. Các cơ quan quản lý thực thi điều này với công ty không có mặt ở châu Âu ra sao là chuyện khác, và trên thực tế có thể khó.
“CAN-SPAM cho phép tôi kiện kẻ gửi thư rác.” Nó không trao cho cá nhân quyền như vậy. Các luật khác có thể giúp trong những tình huống cụ thể, và luật bang chống lừa dối có thể vẫn còn hiệu lực dù bị loại trừ, nên luật sư có thể cho bạn biết có điều gì áp dụng cho trường hợp của bạn không.
“Xóa tài khoản là xóa hết dữ liệu của tôi.” Các công ty có thể hợp pháp giữ một số hồ sơ, như lịch sử giao dịch cho thuế. Họ nên giải thích điều đó khi bạn hỏi.
“Email giao dịch không bị điều chỉnh.” Chúng thoát khỏi nhiều quy tắc tiếp thị, nhưng vẫn cần cơ sở pháp lý theo GDPR và không được lừa dối.
Câu trả lời ngắn cho các câu hỏi thường gặp
Công ty có thể gửi email cho tôi nếu tôi chưa từng đăng ký không?
Tùy bạn ở đâu. Ở Mỹ, nhìn chung là có, miễn là họ tuân theo CAN-SPAM và dừng khi bạn từ chối. Ở EU, Anh và Canada, một email tiếp thị nhìn chung cần sự đồng ý của bạn hoặc thuộc ngoại lệ hẹp dành cho khách hàng hiện có.
Công ty ngoài châu Âu có phải trả lời yêu cầu GDPR của tôi không?
Nếu họ cung cấp hàng hóa hoặc dịch vụ cho người ở EU hoặc EEA, hoặc theo dõi hành vi của họ ở đó, GDPR có thể áp dụng cho họ. Điều 27 cũng nhìn chung yêu cầu một công ty như vậy chỉ định đại diện ở EU, với thông tin phải xuất hiện trong thông báo quyền riêng tư của họ. Việc bạn có thực thi được yêu cầu trên thực tế hay không là một câu hỏi riêng.
Tôi có quyền theo CCPA nếu sống ngoài California không?
CCPA bảo vệ cư dân California. Một số công ty mở rộng những lựa chọn tương tự cho mọi người, và nhiều bang khác có luật riêng, nên vẫn đáng để hỏi.
Hủy đăng ký nên có hiệu lực nhanh đến đâu?
Tối đa mười ngày làm việc theo CAN-SPAM và CASL, năm ngày làm việc ở Úc, và trên thực tế là không chậm trễ quá mức ở EU và Anh. Các bên gửi lớn dùng Gmail và Yahoo cũng được kỳ vọng xử lý trong hai ngày theo quy tắc của những nhà cung cấp này.
Theo dõi lượt mở có hợp pháp không?
Ở Mỹ, CAN-SPAM không đề cập trực tiếp. Ở EU, các cơ quan quản lý ngày càng coi điểm ảnh theo dõi trong email thuộc Điều 5(3) của Chỉ thị ePrivacy, và CNIL của Pháp hiện coi sự đồng ý là quy tắc mặc định. Ở nơi khác, tùy vào luật quốc gia.
Tôi đọc chính các đạo luật ở đâu?
GDPR và Chỉ thị ePrivacy có trên EUR-Lex. FTC công bố hướng dẫn tuân thủ CAN-SPAM, cơ quan quản lý và Tổng chưởng lý California công bố hướng dẫn CCPA, và Chính phủ Canada vận hành một trang về CASL. Đây là những nguồn chính thức nên dựa vào, vì bản tổng quan này chỉ phản ánh được luật như chúng tôi hiểu vào lúc viết.