Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, công ty quảng cáo có được thuê lại đơn vị khác không?

29/06/2026
4 lượt xem
0 bình luận

Không được thuê lại toàn bộ dịch vụ quảng cáo có sử dụng dữ liệu cá nhân. Quy định này ảnh hưởng trực tiếp tới mô hình đại lý nhiều tầng.

Chuỗi cung ứng quảng cáo ở Việt Nam thường có nhiều tầng: doanh nghiệp thuê một đại lý, đại lý thuê một đơn vị chuyên môn, đơn vị đó lại dùng dịch vụ của một nền tảng khác. Khoản 6 Điều 28 Luật 91/2025/QH15 đặt giới hạn cho mô hình này.

Quy định

Khoản 6 Điều 28 quy định tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không được thuê lại hoặc thỏa thuận để tổ chức, cá nhân khác thay mặt mình thực hiện toàn bộ dịch vụ quảng cáo có sử dụng dữ liệu cá nhân.

Chữ "toàn bộ" là điểm mấu chốt

Quy định không cấm mọi hình thức hợp tác. Điều bị cấm là việc chuyển giao toàn bộ dịch vụ cho bên khác thực hiện thay mình. Trong thực tế, đây là mô hình một đơn vị nhận hợp đồng rồi giao trọn cho bên thứ ba, còn mình chỉ đứng tên và hưởng chênh lệch.

Việc thuê một phần công việc chuyên môn — thiết kế nội dung, vận hành một kênh cụ thể — không thuộc phạm vi cấm này, nhưng vẫn phải tuân thủ các quy định khác về chuyển giao dữ liệu.

Vì sao có quy định này

Khoản 7 Điều 28 đặt trách nhiệm chứng minh việc sử dụng dữ liệu cá nhân của khách hàng để quảng cáo lên tổ chức, cá nhân kinh doanh dịch vụ quảng cáo. Nếu toàn bộ hoạt động được giao cho bên khác thì bên nhận hợp đồng không thể chứng minh được điều gì.

Ngoài ra, khoản 1 Điều 28 yêu cầu việc thu thập, sử dụng, chuyển giao dữ liệu cá nhân phải bảo đảm quyền của chủ thể dữ liệu quy định tại Điều 4 của Luật. Chuỗi thuê lại càng dài thì khả năng bảo đảm các quyền đó — đặc biệt là quyền yêu cầu ngừng nhận quảng cáo tại khoản 5 Điều 28 — càng giảm.

Giới hạn về nguồn dữ liệu vẫn áp dụng

Khoản 1 Điều 28 quy định tổ chức, cá nhân kinh doanh dịch vụ quảng cáo chỉ được sử dụng dữ liệu cá nhân được bên kiểm soát hoặc bên kiểm soát và xử lý chuyển giao theo thỏa thuận, hoặc thu thập qua hoạt động kinh doanh của mình.

Khoản 2 Điều 28 quy định bên kiểm soát và bên kiểm soát và xử lý chỉ được chuyển dữ liệu cá nhân cho tổ chức, cá nhân kinh doanh dịch vụ quảng cáo theo quy định của pháp luật.

Ghép hai khoản: dữ liệu chỉ được đi theo một đường xác định, từ bên kiểm soát tới đơn vị quảng cáo có thỏa thuận. Việc đơn vị đó chuyển tiếp cho một bên thứ tư nằm ngoài khuôn khổ này.

Ảnh hưởng tới hợp đồng dịch vụ

Với doanh nghiệp là bên thuê dịch vụ quảng cáo, nên đưa vào hợp đồng ba nội dung:

Đơn vị nhận hợp đồng cam kết trực tiếp thực hiện, không thuê lại toàn bộ;
Danh sách các bên thứ ba tham gia vào việc xử lý dữ liệu, và nghĩa vụ thông báo khi có thay đổi;
Nghĩa vụ phối hợp khi khách hàng yêu cầu ngừng nhận quảng cáo hoặc rút lại đồng ý.

Với đơn vị cung cấp dịch vụ quảng cáo

Ba việc cần chuẩn bị để đáp ứng trách nhiệm chứng minh tại khoản 7 Điều 28:

Hồ sơ nguồn gốc từng tệp dữ liệu đang sử dụng, kèm thỏa thuận chuyển giao tương ứng;
Nhật ký đồng ý và nhật ký các yêu cầu ngừng nhận quảng cáo, kèm thời điểm thực hiện;
Sơ đồ các bên tham gia vào chiến dịch và phạm vi dữ liệu mỗi bên được tiếp cận.

Ba tài liệu này cũng chính là phần đầu vào cho hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, nên công sức bỏ ra không lãng phí.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 28
Luật 91/2025/QH15 Điều 4

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.