Dữ liệu cá nhân trong marketing du lịch: Luật 91/2025/QH15 nói gì

Luật định nghĩa sự đồng ý là việc chủ thể dữ liệu cho phép xử lý dữ liệu cá nhân của mình. Sự đồng ý chỉ có hiệu lực khi tự nguyện và người đồng ý biết rõ: loại dữ liệu, mục đích xử lý; bên kiểm soát dữ liệu; quyền và nghĩa vụ của mình.

• Đồng ý phải thể hiện rõ ràng, cụ thể, in hoặc sao chép được bằng văn bản, kể cả dạng điện tử hay định dạng kiểm chứng được.
• Không được kèm điều kiện bắt buộc phải đồng ý cho các mục đích khác với nội dung thỏa thuận.
• Đồng ý có hiệu lực tới khi chủ thể thay đổi, hoặc theo quy định của pháp luật.
• Im lặng hoặc không phản hồi không được coi là đồng ý.

Nghị định 356/2025/NĐ-CP thêm chi tiết: sự đồng ý có thể thể hiện bằng văn bản, ghi âm cuộc gọi, cú pháp tin nhắn, email hoặc trên nền tảng điện tử có thiết lập kỹ thuật xin đồng ý; phải được lưu để chứng minh, kiểm chứng được thời điểm và nội dung; cấm thiết lập mặc định đồng ý hay chỉ dẫn gây nhầm giữa đồng ý và không đồng ý.

Điều 28 viết cho hoạt động kinh doanh dịch vụ quảng cáo, nhưng các khoản về sự đồng ý và quảng cáo theo hành vi chạm tới mọi đơn vị dùng dữ liệu khách để quảng cáo. Tóm tắt các khoản:

1. Đơn vị kinh doanh dịch vụ quảng cáo chỉ dùng dữ liệu được chuyển giao theo thỏa thuận hoặc tự thu thập qua hoạt động kinh doanh của mình.
2. Xử lý dữ liệu khách để quảng cáo phải được khách đồng ý, trên cơ sở biết rõ nội dung, phương thức, hình thức, tần suất giới thiệu sản phẩm; có cách để khách từ chối.
3. Dùng dữ liệu cá nhân để quảng cáo phải phù hợp pháp luật về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác và pháp luật quảng cáo.
4. Chủ thể dữ liệu có quyền yêu cầu ngừng nhận quảng cáo; bên quảng cáo phải ngừng theo yêu cầu.
5. Đơn vị kinh doanh dịch vụ quảng cáo không được thuê lại toàn bộ dịch vụ quảng cáo có dùng dữ liệu cá nhân.
6. Phải chứng minh được việc dùng dữ liệu khách để quảng cáo.
7. Quảng cáo theo hành vi, có mục tiêu hoặc cá nhân hóa: chỉ thu thập qua theo dõi website, cổng thông tin, ứng dụng khi có đồng ý; phải cho từ chối chia sẻ, xác định thời gian lưu, xóa khi không còn cần.

Phần về quảng cáo theo hành vi là phần người làm marketing số nên đọc kỹ nhất: pixel đo lường, thẻ theo dõi, danh sách tiếp thị lại đều là cách theo dõi hoạt động trên website, ứng dụng. Theo câu chữ của điều này, việc thu thập đó cần sự đồng ý của chủ thể dữ liệu.

Theo phân tích của EY về Nghị định 356/2025/NĐ-CP, so với Nghị định 13, nhóm dữ liệu cá nhân được bổ sung dữ liệu theo dõi hành vi, hoạt động sử dụng mạng xã hội, truyền thông trực tuyến.

Với du lịch, nhiều hệ thống đặt chỗ lưu ảnh hộ chiếu, căn cước để làm thủ tục; đây là loại dữ liệu cần phân quyền truy cập và không nên dùng lại cho marketing.

• Nhân sự bảo vệ dữ liệu nội bộ cần ít nhất 2 năm kinh nghiệm liên quan.
• Cá nhân cung cấp dịch vụ bảo vệ dữ liệu cần ít nhất 3 năm kinh nghiệm; tổ chức dịch vụ cần ít nhất 3 nhân sự đạt chuẩn.
• Hồ sơ đánh giá tác động phải được Cục A05, Bộ Công an, xem xét và chấp thuận.
• Vi phạm với dữ liệu vị trí, dữ liệu sinh trắc học: thông báo trong 72 giờ.

Đơn vị du lịch dùng phần mềm quản lý khách, hệ thống email hay lưu trữ đám mây đặt máy chủ ở nước ngoài nên hỏi bên cung cấp về chuyển dữ liệu xuyên biên giới; mức phạt cho nhóm vi phạm này tính theo doanh thu.