Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, gửi tin nhắn quảng cáo có cần đồng ý của khách không?

28/06/2026
3 lượt xem
0 bình luận

Cần. Và sự đồng ý phải trên cơ sở khách biết rõ nội dung, phương thức, hình thức và cả tần suất giới thiệu sản phẩm.

Điều 28 Luật 91/2025/QH15 dành riêng cho việc sử dụng dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo, và có những yêu cầu chi tiết hơn nhiều so với quy định chung về sự đồng ý.

Bốn thông tin khách phải biết rõ

Khoản 3 Điều 28 quy định việc xử lý dữ liệu cá nhân của khách hàng để kinh doanh dịch vụ quảng cáo phải được sự đồng ý của khách hàng, trên cơ sở khách hàng biết rõ:

Nội dung giới thiệu sản phẩm;
Phương thức;
Hình thức;
Tần suất giới thiệu sản phẩm.

Cùng khoản này yêu cầu cung cấp phương thức cho khách hàng để có thể từ chối nhận các thông tin quảng cáo.

Yêu cầu về tần suất là điểm mới đáng chú ý

Quy định chung tại Điều 9 chỉ đòi hỏi khách biết rõ loại dữ liệu, mục đích, bên kiểm soát và các quyền của mình. Điều 28 bổ sung yêu cầu về tần suất, tức nội dung xin đồng ý cần nêu được mức độ liên hệ dự kiến chứ không chỉ nêu là "sẽ gửi thông tin khuyến mại".

Nguồn dữ liệu bị giới hạn

Khoản 1 Điều 28 quy định tổ chức, cá nhân kinh doanh dịch vụ quảng cáo chỉ được sử dụng dữ liệu cá nhân của khách hàng được bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao theo thỏa thuận, hoặc thu thập qua hoạt động kinh doanh của mình. Việc thu thập, sử dụng, chuyển giao phải bảo đảm quyền của chủ thể dữ liệu quy định tại Điều 4 của Luật.

Khoản 2 Điều 28 nêu bên kiểm soát và bên kiểm soát và xử lý chỉ được chuyển dữ liệu cá nhân cho tổ chức, cá nhân kinh doanh dịch vụ quảng cáo theo quy định của pháp luật.

Hai khoản này khép lại đường sử dụng danh sách mua từ nguồn thứ ba — vốn cũng là hành vi bị nghiêm cấm theo khoản 6 Điều 7 của Luật.

Quyền yêu cầu ngừng nhận

Khoản 5 Điều 28 quy định chủ thể dữ liệu có quyền yêu cầu ngừng nhận thông tin từ dịch vụ quảng cáo; tổ chức, cá nhân kinh doanh dịch vụ quảng cáo phải cung cấp cơ chế và ngừng quảng cáo theo yêu cầu.

Về mặt vận hành, cơ chế này phải hoạt động thật, không chỉ tồn tại trên hình thức. Một liên kết hủy nhận tin dẫn tới trang lỗi, hoặc yêu cầu đăng nhập mới hủy được, là chưa đáp ứng.

Trách nhiệm chứng minh

Khoản 7 Điều 28 quy định tổ chức, cá nhân kinh doanh dịch vụ quảng cáo có trách nhiệm chứng minh việc sử dụng dữ liệu cá nhân của khách hàng để quảng cáo; tuân thủ quy định tại các khoản 1, 2, 3, 4 Điều này và quy định của pháp luật về quảng cáo.

Nghĩa vụ chứng minh nằm ở bên gửi quảng cáo. Không lưu được bằng chứng đồng ý thì mặc nhiên ở thế bất lợi khi có khiếu nại.

Liên hệ với pháp luật về tin nhắn rác

Khoản 4 Điều 28 nêu việc sử dụng dữ liệu cá nhân để quảng cáo phải phù hợp với quy định của pháp luật về phòng, chống tin nhắn rác, thư điện tử rác, cuộc gọi rác và quy định của pháp luật về quảng cáo.

Nghĩa là doanh nghiệp phải đồng thời đáp ứng cả hai hệ quy định, không thể lấy việc tuân thủ một bên để bù cho bên kia.

Bốn việc cần làm với chiến dịch hiện tại

Rà nguồn gốc từng danh sách gửi tin; loại bỏ danh sách không chứng minh được nguồn;
Bổ sung thông tin về nội dung, phương thức, hình thức và tần suất vào nội dung xin đồng ý;
Kiểm tra cơ chế từ chối nhận tin có hoạt động không, mất bao lâu để có hiệu lực;
Lưu nhật ký đồng ý đủ để chứng minh khi cần.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 28

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.