Điều 28 Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15, hiệu lực từ 1/1/2026) là quy định trực tiếp nhất về việc dùng dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo. Tóm gọn: muốn chạy quảng cáo dựa trên hành vi hoặc cá nhân hóa, doanh nghiệp phải có sự đồng ý khi theo dõi người dùng, cho họ từ chối chia sẻ, và đặt thời hạn lưu trữ rồi xóa khi hết cần. Bài này đi qua từng yêu cầu và cách áp dụng vào công việc chạy quảng cáo hằng ngày.
Điều 28 yêu cầu những gì
Theo bài phân tích của LuatVietnam về Điều 28, có tám điểm chính cần lưu ý:
- Thu thập, sử dụng, chuyển giao dữ liệu phải bảo đảm quyền của chủ thể dữ liệu: được biết, đồng ý hoặc không đồng ý, rút lại đồng ý, xem, sửa, yêu cầu xóa, phản đối.
- Bên kiểm soát dữ liệu chỉ được chuyển dữ liệu cho đơn vị kinh doanh quảng cáo theo đúng quy định.
- Dùng dữ liệu khách hàng để quảng cáo phải có sự đồng ý; khách cần biết nội dung, phương thức, hình thức, tần suất giới thiệu sản phẩm và có cách từ chối.
- Tuân thủ quy định về tin nhắn rác, thư điện tử rác, cuộc gọi rác và pháp luật quảng cáo.
- Có cơ chế để người dùng yêu cầu ngừng nhận quảng cáo, và phải ngừng khi được yêu cầu.
- Không được thuê hoặc thỏa thuận để bên khác thực hiện toàn bộ dịch vụ quảng cáo có dùng dữ liệu cá nhân thay cho mình.
- Phải chứng minh được việc sử dụng dữ liệu đúng quy định.
- Với quảng cáo theo hành vi, mục tiêu cụ thể hoặc cá nhân hóa: chỉ thu thập qua theo dõi website, ứng dụng khi có đồng ý; cho phép từ chối chia sẻ; đặt thời hạn lưu trữ và xóa khi không còn cần.
Áp vào thực tế: những hoạt động nào chịu ảnh hưởng
Pixel, thẻ theo dõi và remarketing
Pixel Facebook, thẻ Google Ads, TikTok Pixel đều theo dõi hành vi trên website để dựng tệp remarketing và tối ưu phân phối. Đây đúng là trường hợp "thu thập qua theo dõi website" ở điểm 8. Cách làm an toàn hơn là có banner đồng ý cookie thật sự (có nút từ chối ngang hàng nút đồng ý) và chỉ kích hoạt thẻ quảng cáo khi người dùng chọn đồng ý. Với hệ sinh thái Google, chế độ đồng ý cho phép thẻ điều chỉnh hành vi theo lựa chọn người dùng; xem thêm bài Google Tag Manager cho người chạy quảng cáo để cài điều kiện kích hoạt thẻ.
Với Facebook, việc cài pixel theo đúng sự kiện và chỉ bắn sự kiện khi đã có đồng ý cũng giúp dữ liệu sạch hơn; cách cấu hình sự kiện có trong bài sử dụng Facebook Pixel theo dõi chuyển đổi. Nên rà lại cả các thẻ cũ do agency trước cài mà không còn dùng, vì chúng vẫn thu thập dữ liệu dù không ai đọc báo cáo.
Tải danh sách khách hàng lên nền tảng
Việc tải số điện thoại, email lên Facebook hay Google để tạo tệp tùy chỉnh là chuyển dữ liệu cho bên thứ ba vì mục đích quảng cáo. Danh sách này chỉ nên gồm những người đã đồng ý nhận quảng cáo, và phải loại bỏ người đã rút lại đồng ý trước mỗi lần cập nhật.
Tin nhắn chăm sóc và khuyến mãi
Điểm 3 yêu cầu khách biết trước tần suất và hình thức nhận tin. Một câu đồng ý tốt có dạng: "Tôi đồng ý nhận tin khuyến mãi qua Zalo, tối đa 4 tin mỗi tháng, có thể hủy bất cứ lúc nào". Mỗi tin cũng nên kèm cách hủy đơn giản.
Thuê agency chạy quảng cáo
Điểm 6 dễ gây hiểu nhầm. Luật không cấm thuê agency, nhưng không cho phép giao toàn bộ dịch vụ quảng cáo có dùng dữ liệu cá nhân cho bên khác thực hiện thay. Trên thực tế, doanh nghiệp nên giữ quyền kiểm soát tài khoản quảng cáo, tệp khách hàng và quyết định mục đích sử dụng; hợp đồng với agency cần ghi rõ phạm vi xử lý dữ liệu, cách bảo mật và việc xóa dữ liệu khi kết thúc hợp tác.
Nghĩa vụ chứng minh: chuẩn bị hồ sơ gì
Điểm 7 đặt gánh nặng chứng minh lên doanh nghiệp. Bộ hồ sơ tối thiểu nên có:
- Bản lưu nội dung banner cookie và câu xin đồng ý theo từng thời kỳ.
- Nhật ký đồng ý và rút lại đồng ý của từng khách (thời điểm, kênh, nội dung).
- Danh sách các thẻ theo dõi đang chạy trên website, mục đích từng thẻ, thời hạn lưu cookie.
- Quy trình xử lý yêu cầu ngừng nhận quảng cáo và thời gian xử lý thực tế.
- Hợp đồng và phụ lục xử lý dữ liệu với agency, đơn vị gửi tin.
Doanh nghiệp marketing số không nằm trong diện ân hạn
Nghị định 356/2025/NĐ-CP hướng dẫn luật này có thời gian ân hạn 5 năm cho doanh nghiệp nhỏ và khởi nghiệp. Nhưng VCCI phân tích rằng ân hạn không áp dụng với đơn vị cung cấp dịch vụ xử lý dữ liệu cá nhân hoặc trực tiếp xử lý dữ liệu nhạy cảm, và nêu rõ fintech, thương mại điện tử, marketing số thuộc nhóm bị ảnh hưởng. Agency nhỏ, đơn vị chạy quảng cáo thuê hay nền tảng gửi tin cần tuân thủ ngay, không nên chờ đến năm 2031.
Hiệu quả quảng cáo có giảm không?
Có thể giảm một phần, vì một số người dùng sẽ từ chối theo dõi và tệp remarketing nhỏ lại. Bù lại, có những cách giữ hiệu quả mà vẫn đúng luật:
- Dữ liệu bên thứ nhất có đồng ý: đầu tư vào chương trình thành viên, đăng ký nhận tin với quyền lợi rõ ràng để khách chủ động chia sẻ.
- Đo lường phía máy chủ có kiểm soát: Conversions API hay lượt chuyển đổi nâng cao vẫn phải tôn trọng lựa chọn của người dùng, nhưng giúp dữ liệu của người đồng ý được ghi nhận đầy đủ hơn.
- Nhắm theo ngữ cảnh: chọn vị trí, chủ đề, từ khóa thay vì phụ thuộc hoàn toàn vào hành vi cá nhân.
- Creative tốt hơn: khi nhắm mục tiêu rộng, chất lượng nội dung là thứ quyết định ai dừng lại xem.
Nội dung chỉ mang tính tham khảo. Với mô hình kinh doanh phức tạp, nên tham vấn luật sư về bảo vệ dữ liệu.
Câu hỏi thường gặp
Điều 28 Luật Bảo vệ dữ liệu cá nhân quy định gì?
Điều 28 quy định việc bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo: phải có sự đồng ý, cho phép từ chối nhận quảng cáo, chứng minh việc sử dụng dữ liệu, và đặt điều kiện riêng cho quảng cáo theo hành vi hoặc cá nhân hóa.
Website có bắt buộc hiện banner cookie không?
Nếu website dùng pixel hay thẻ theo dõi để chạy quảng cáo theo hành vi, Điều 28 yêu cầu có sự đồng ý của người dùng khi theo dõi. Banner đồng ý cookie là cách phổ biến để thu thập và lưu sự đồng ý đó.
Agency có được dùng tệp khách hàng của nhãn hàng để chạy quảng cáo?
Được, nếu khách hàng đã đồng ý cho mục đích quảng cáo và có hợp đồng quy định rõ phạm vi xử lý. Nhãn hàng không nên giao toàn bộ dịch vụ có dùng dữ liệu cá nhân cho agency mà không kiểm soát.
Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ khi nào?
Luật số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026, cùng với Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết.
