Checklist tuân thủ PDPD cho marketing dưới đây gồm 5 bước: xin sự đồng ý chủ động (opt-in), kiểm soát cookie và tracking pixel, ký thỏa thuận xử lý dữ liệu với agency, cho khách hủy đăng ký dễ dàng và đặt quy tắc dùng dữ liệu cho nhân sự marketing. Đây là những điểm mà hoạt động marketing và e-commerce chạm vào dữ liệu cá nhân nhiều nhất: pixel Facebook, Google, TikTok trên website, cookie, remarketing, form thu lead và hệ thống gửi email, SMS tự động. Mỗi bước dưới đây nêu yêu cầu của Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP và việc bộ phận marketing cần làm.
1. Bước đầu tiên của checklist tuân thủ PDPD cho marketing: chuyển từ opt-out sang opt-in#
Nhiều form đăng ký nhận tài liệu vẫn để sẵn dấu tích ở ô "Tôi đồng ý nhận email quảng cáo"; ai không muốn nhận phải tự bỏ dấu tích.
Cách làm này không tạo ra sự đồng ý hợp lệ. Sự đồng ý của chủ thể dữ liệu phải tự nguyện, rõ ràng, cụ thể; sự im lặng hoặc không phản hồi không được coi là đồng ý (khoản 2, khoản 3, điểm d khoản 4 Điều 9 Luật 91/2025), và bên kiểm soát không được thiết lập phương thức mặc định đồng ý (khoản 3 Điều 6 Nghị định 356/2025/NĐ-CP). Hành vi thiết lập mặc định đồng ý bị phạt từ 30 đến 50 triệu đồng đối với tổ chức (điểm c khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP). Vì vậy, lead form và landing page phải để trống ô đồng ý để người dùng tự tích.
Bắt người dùng đồng ý nhận quảng cáo mới cho tải tài liệu hoặc mua hàng cũng vi phạm, vì sự đồng ý không được kèm điều kiện bắt buộc phải đồng ý với mục đích khác (điểm b khoản 4 Điều 9 Luật; điểm b khoản 1 Điều 43 Nghị định 330). Form cần tách "Đồng ý điều khoản mua hàng" và "Đồng ý nhận tin quảng cáo". Nguyên tắc này áp dụng cả cho form chốt đơn trên mạng xã hội, xem thêm hướng dẫn thu thập lead form khi livestream bán hàng.
2. Kiểm soát cookie banner và tracking pixel#
Website thương mại điện tử thường gắn nhiều đoạn mã theo dõi (Facebook Pixel, Google Analytics, Hotjar, TikTok Pixel) để đo chuyển đổi. Các đoạn mã này thu địa chỉ IP, vị trí, thói quen duyệt web và sản phẩm đã xem. Khi gắn được với một người cụ thể, đây là dữ liệu cá nhân (khoản 1 Điều 2 Luật). Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên không gian mạng còn thuộc danh mục dữ liệu cá nhân nhạy cảm (điểm l khoản 1 Điều 4 Nghị định 356), nên khi xin đồng ý phải thông báo cho người dùng đây là dữ liệu nhạy cảm (khoản 4 Điều 6 Nghị định 356).
Marketing và IT cần cài cookie consent banner hiển thị ngay lần truy cập đầu tiên, có lựa chọn "Từ chối tất cả cookie không thiết yếu". Nếu người dùng bấm "Từ chối", website không được kích hoạt pixel quảng cáo để theo dõi họ: khi dùng dữ liệu cá nhân để quảng cáo theo hành vi, nhắm mục tiêu hoặc cá nhân hóa, doanh nghiệp chỉ được thu thập dữ liệu qua việc theo dõi website, ứng dụng khi có sự đồng ý (điểm a khoản 8 Điều 28 Luật). Lượng dữ liệu để tối ưu quảng cáo sẽ giảm, nhưng đây là điều kiện bắt buộc. Với pixel gửi dữ liệu từ máy chủ (Meta CAPI, server-side GTM), xem bài server-side tracking và tuân thủ PDPD.
3. Minh bạch việc chia sẻ dữ liệu và ký DPA với agency#
Danh sách khách hàng (số điện thoại, email) thường được xuất ra file Excel gửi cho agency chạy quảng cáo, hoặc tải lên tệp đối tượng tùy chỉnh (Custom Audience) của Google, Facebook. Đây là chuyển giao dữ liệu cá nhân cho bên khác.
Bộ phận marketing cần làm hai việc. Một là, thông báo xử lý dữ liệu trên landing page phải liệt kê rõ dữ liệu sẽ được chia sẻ cho Meta, Google hay đối tác truyền thông nào, vì sự đồng ý chỉ có hiệu lực khi người dùng biết rõ các thông tin này (khoản 2 Điều 9 Luật). Hai là, mọi agency và nền tảng email marketing phải ký thỏa thuận xử lý dữ liệu (DPA) trước khi nhận dữ liệu (điểm a khoản 2 Điều 37 Luật). Thỏa thuận quy định agency chỉ dùng tệp dữ liệu cho chiến dịch của bạn, không bán lại, và phải xóa hoặc trả lại dữ liệu khi kết thúc hợp đồng; bên xử lý không làm việc này bị phạt từ 30 đến 50 triệu đồng đối với tổ chức (điểm c khoản 2 Điều 51 Nghị định 330).
4. Cho khách hủy đăng ký dễ dàng#
Khách đã đồng ý nhận email, SMS quảng cáo có quyền rút lại sự đồng ý bất kỳ lúc nào (Điều 10 Luật). Khi nhận yêu cầu, doanh nghiệp phải phản hồi trong 02 ngày làm việc và ngừng xử lý trong 15 ngày (khoản 2 Điều 5 Nghị định 356).
Phòng marketing cần bảo đảm:
- Mọi email quảng cáo có link "Hủy đăng ký" rõ ràng ở cuối thư. Khách bấm vào là được gỡ khỏi danh sách gửi, không phải gọi tổng đài hay điền form giải thích.
- Với chương trình tích điểm, ưu đãi sinh nhật, trạng thái đồng ý được đồng bộ giữa app, CRM và kênh gửi tin; xem cách quản lý dữ liệu hội viên trên loyalty app và CRM.
- SMS Brandname quảng cáo có kèm cách từ chối (ví dụ cú pháp nhắn tin hủy). Khi người dùng đã từ chối, mọi nền tảng marketing automation, CDP phải cập nhật trạng thái ngừng gửi ngay. Cố ý tiếp tục xử lý dữ liệu sau khi chủ thể đã yêu cầu ngừng bị phạt từ 50 đến 70 triệu đồng đối với tổ chức (điểm a khoản 2 Điều 43 Nghị định 330).
5. Bước cuối của checklist tuân thủ PDPD cho marketing: quy tắc dùng dữ liệu cho nhân sự#
Rủi ro thường gặp là nhân viên tải file chứa hàng chục nghìn khách hàng về máy cá nhân để lọc data, gửi qua Zalo, Skype cá nhân cho đồng nghiệp, hoặc quên xóa file khi nghỉ việc.
Doanh nghiệp cần ban hành quy chế sử dụng dữ liệu nội bộ: chỉ cấp quyền truy cập cho nhân sự trực tiếp làm chiến dịch; không chia sẻ dữ liệu khách hàng qua ứng dụng chat cá nhân; mã hóa ổ cứng laptop và định kỳ rà soát nhật ký truy cập. Bên kiểm soát phải có biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu (điểm c khoản 1 Điều 37 Luật). Với đội marketing đông người, một buổi đào tạo nhận thức bảo vệ dữ liệu cá nhân giúp nhân viên nắm các quy tắc này.
Áp dụng checklist tuân thủ PDPD cho marketing: việc cần làm tiếp theo#
Rà lại checklist mỗi khi thêm công cụ tracking, nền tảng gửi tin hoặc agency mới. Tỷ lệ thu lead và lượng dữ liệu tracking có thể giảm trong thời gian đầu; bù lại, danh sách còn lại là những người đã chủ động đồng ý và doanh nghiệp chứng minh được điều đó khi bị kiểm tra. Nếu cần rà soát toàn bộ luồng dữ liệu marketing, có thể dùng dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân của LexData.
