Agency marketing xử lý dữ liệu khách hàng theo PDPL: DPA cần gì?

Agency marketing xử lý dữ liệu khách hàng PDPL là gì?

Câu trả lời ngắn: agency không chỉ “làm media” mà thường chạm vào dữ liệu cá nhân như lead form, số điện thoại, email, cookie ID, lịch sử mua hàng, tệp remarketing, dữ liệu chuyển đổi và báo cáo hiệu quả chiến dịch.

Trong thực tế Việt Nam, một agency có thể nhận dữ liệu từ client để:

• set up và tối ưu quảng cáo trên nền tảng số;
• chạy email/SMS automation;
• đồng bộ CRM, CDP, chatbot, form landing page;
• phân nhóm khách hàng để retargeting;
• phân tích attribution, báo cáo hiệu quả.

Theo PDPL, câu hỏi không phải “agency có dùng dữ liệu hay không”, mà là agency đang xử lý dữ liệu theo chỉ đạo của client đến mức nào, có tự quyết mục đích/phương tiện xử lý hay không. Nếu xử lý thay mặt client thì thường phải có cơ chế pháp lý và hợp đồng phù hợp theo quy định.

Agency có phải bên xử lý dữ liệu không?

Có thể, nếu agency xử lý dữ liệu cá nhân thay mặt client và chỉ làm theo mục đích do client xác định.

Ví dụ thực tế:

• Client là sàn thương mại điện tử, agency nhận danh sách khách đã bỏ giỏ hàng để chạy chiến dịch nhắc mua lại.
• Client là phòng khám, agency quản lý form đăng ký tư vấn và gửi email chăm sóc.
• Client là app tài chính, agency chạy conversion tracking và tối ưu đối tượng lookalike từ tệp khách hàng.

Trong các tình huống này, agency thường không phải bên tự quyết định mục đích kinh doanh của dữ liệu, nhưng lại có nghĩa vụ kỹ thuật và tổ chức rất cụ thể. Nói ngắn gọn: dữ liệu không “rời” khỏi trách nhiệm tuân thủ chỉ vì đã giao cho agency.

DPA giữa agency và client cần gì?

Câu trả lời trực tiếp: DPA là phần bắt buộc về vận hành để làm rõ ai làm gì với dữ liệu, xử lý trong bao lâu, bảo vệ ra sao và trả/xóa như thế nào khi kết thúc dịch vụ.

Một DPA thực dụng cho agency nên có thêm: danh sách công cụ đang dùng (Google Ads, Meta Ads, email platform, cloud, BI tool), mô tả dữ liệu đổ qua từng công cụ, và ai chịu trách nhiệm pháp lý khi dùng bên thứ ba.

Agency marketing cần làm gì để tuân thủ PDPL?

Câu trả lời ngắn: phải thiết kế quy trình như một nhà cung ứng xử lý dữ liệu, không phải chỉ như một bên sáng tạo nội dung.

Ví dụ: một agency chạy lead gen cho chuỗi nha khoa. Nếu team media tải CSV khách hàng từ client lên nền tảng quảng cáo, lưu bản sao trên Google Drive, rồi tiếp tục dùng trong báo cáo tháng sau, thì agency phải có quyền xử lý rõ ràng, có giới hạn thời gian lưu, có kiểm soát chia sẻ file và có cơ chế xóa khi hợp đồng kết thúc.

Agency dùng tracker, pixel, CRM hay CDP thì có nghĩa vụ gì?

Câu trả lời trực tiếp: các công cụ này không tự quyết định đúng/sai, nhưng chúng làm phát sinh nghĩa vụ minh bạch, quản trị consent và kiểm soát luồng dữ liệu theo quy định.

Nếu agency cài pixel, server-side tracking, form tracker, webhook vào CRM, cần lưu ý:

• thông báo cho client về loại dữ liệu đi qua từng tracker;
• kiểm tra cơ sở xử lý và các thông báo/đồng ý cần có tùy từng tình huống;
• giới hạn dữ liệu gửi sang nền tảng quảng cáo ở mức tối thiểu cần thiết;
• ghi lại bằng chứng cấu hình, log thay đổi và version tag;
• rà soát nhà cung cấp phụ trợ, đặc biệt là cloud và analytics.

Không nên khẳng định “công cụ X là bất hợp pháp”. Đúng hơn là: việc dùng công cụ đó có thể phát sinh nghĩa vụ pháp lý nào, và ai chịu trách nhiệm hoàn thành nghĩa vụ đó.

Nếu lộ dữ liệu khách hàng thì agency hay client chịu trách nhiệm?

Thường cả hai bên đều phải xem lại vai trò, lỗi cấu hình, lỗi con người và điều khoản hợp đồng.

Theo quy định, nếu phát hiện vi phạm dữ liệu cá nhân, việc thông báo phải được thực hiện trong 72 giờ kể từ khi phát hiện. Trong hợp đồng DPA nên có:

• đầu mối phản ứng sự cố 24/7;
• mốc thời gian thông báo nội bộ trong vài giờ đầu;
• nghĩa vụ hỗ trợ điều tra và cung cấp log;
• cơ chế phối hợp thông báo cho cơ quan có thẩm quyền khi cần.

Về chế tài, mức phạt cụ thể sẽ do nghị định hướng dẫn của Chính phủ ban hành; vi phạm nghiêm trọng có thể bị xử lý hình sự. Vì vậy, agency không nên coi DPA là mẫu giấy ký cho có, mà là một phần của hệ thống vận hành rủi ro.

Mẫu checklist nhanh cho agency trước khi nhận dự án

Trước khi onboard client mới, hãy hỏi 6 câu:

1. Dữ liệu nào sẽ đi qua agency?
2. Agency đang là bên xử lý hay có quyền quyết định độc lập ở phần nào?
3. Dữ liệu có chia cho nền tảng/phụ xử lý nào không?
4. Có DPA và điều khoản bảo mật trước khi nhận file chưa?
5. Có quy trình xóa/trả dữ liệu khi kết thúc chiến dịch chưa?
6. Nếu xảy ra sự cố, ai báo cho ai trong bao lâu?

Nếu bạn đang vận hành agency, consent.vn có thể giúp chuẩn hóa banner cookie, lưu bằng chứng đồng ý và quy trình DSAR để đội account/dev không phải xử lý thủ công mỗi lần client hỏi về dữ liệu.

Nguồn: Luật 91/2025/QH15, Nghị định 13/2023/NĐ-CP, thuvienphapluat.vn; cơ quan thực thi A05, bocongan.gov.vn