Trong kỷ nguyên kinh tế số, dữ liệu cá nhân được ví như 'mỏ vàng' giúp các doanh nghiệp tối ưu hóa chiến dịch quảng cáo và tiếp cận khách hàng mục tiêu một cách chính xác. Tuy nhiên, kể từ khi Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực, việc khai thác nguồn tài nguyên này đã được đặt dưới sự giám sát chặt chẽ của pháp luật.

8 "nguyên tắc vàng" khi dùng dữ liệu cá nhân làm quảng cáo

Theo quy định tại Điều 28 Luật Bảo vệ dữ liệu cá nhân 2025, các tổ chức, cá nhân kinh doanh dịch vụ quảng cáo cần đặc biệt lưu ý các vấn đề sau:

1. Nguồn gốc dữ liệu phải minh bạch: Doanh nghiệp chỉ được sử dụng dữ liệu khách hàng được chuyển giao theo thỏa thuận hoặc thu thập hợp pháp qua hoạt động kinh doanh. Mọi hành vi thu thập trái phép đều bị nghiêm cấm.

2. Bảo đảm quyền của chủ thể dữ liệu: Việc xử lý dữ liệu phải tôn trọng các quyền cơ bản như quyền được biết, quyền đồng ý hoặc rút lại sự đồng ý theo quy định tại Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025.

3. Sự đồng ý là điều kiện tiên quyết: Khách hàng phải biết rõ nội dung, phương thức và tần suất quảng cáo trước khi đồng ý cho phép xử lý dữ liệu của mình.

4. Tuân thủ quy định về chống tin nhắn rác: Việc quảng cáo phải phù hợp với pháp luật về phòng, chống tin nhắn rác, thư điện tử rác và cuộc gọi rác.

5. Cung cấp cơ chế từ chối: Doanh nghiệp bắt buộc phải thiết lập phương thức để khách hàng có thể dễ dàng từ chối nhận thông tin quảng cáo bất cứ lúc nào.

6. Cấm thuê lại dịch vụ quảng cáo trái phép: Tổ chức kinh doanh quảng cáo không được thuê bên thứ ba thay mặt mình thực hiện toàn bộ dịch vụ có sử dụng dữ liệu cá nhân nếu không có thỏa thuận hợp pháp.

7. Trách nhiệm chứng minh: Khi có tranh chấp, doanh nghiệp có nghĩa vụ chứng minh việc sử dụng dữ liệu khách hàng là đúng quy định.

8. Kiểm soát việc cá nhân hóa quảng cáo: Đối với các hình thức quảng cáo theo hành vi hoặc cá nhân hóa, doanh nghiệp chỉ được thu thập dữ liệu qua theo dõi trang web/ứng dụng khi có sự đồng ý rõ ràng.

Trích dẫn Điều 28: "Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo chỉ được sử dụng dữ liệu cá nhân của khách hàng được bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao theo thỏa thuận hoặc thu thập qua hoạt động kinh doanh của mình để kinh doanh dịch vụ quảng cáo..."

Chế tài nghiêm khắc: Phạt tới 3 tỷ đồng và hơn thế nữa

Không chỉ dừng lại ở việc nhắc nhở, Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025 đã thiết lập khung hình phạt cực kỳ nghiêm khắc đối với các hành vi vi phạm:

• Mức phạt tiền tối đa: Lên đến 03 tỷ đồng đối với các hành vi vi phạm thông thường trong lĩnh vực bảo vệ dữ liệu cá nhân.
• Đối với hành vi mua bán dữ liệu: Phạt tới 10 lần khoản thu bất chính.
• Vi phạm chuyển dữ liệu xuyên biên giới: Có thể bị phạt tới 5% doanh thu của năm trước liền kề.

Ngoài phạt tiền, doanh nghiệp còn có thể đối mặt với việc bị truy cứu trách nhiệm hình sự hoặc phải bồi thường thiệt hại nếu gây ra hậu quả nghiêm trọng cho chủ thể dữ liệu.

Lời khuyên cho doanh nghiệp: Để phát triển bền vững trong năm 2026, các đơn vị quảng cáo cần rà soát lại toàn bộ quy trình thu thập dữ liệu, xây dựng hệ thống quản lý bảo mật và luôn đặt quyền lợi của khách hàng lên hàng đầu. Việc tuân thủ pháp luật không chỉ giúp tránh rủi ro pháp lý mà còn là cách tốt nhất để xây dựng niềm tin với người tiêu dùng.