Taboola, Outbrain native ads theo PDPL: cần làm gì?

Taboola Outbrain native ads PDPL là gì?

Taboola, Outbrain native ads PDPL là cách nói về việc dùng mạng quảng cáo nội dung gắn tracker để cá nhân hóa đề xuất bài viết, đo chuyển đổi và tối ưu phân phối. Vấn đề không nằm ở “native ads” tự thân, mà ở việc cookie, pixel, script hoặc SDK nào đang thu thập dữ liệu gì, cho mục đích nào, và có cần đồng ý trước hay không.

Cookie của Taboola, Outbrain có cần xin đồng ý trước khi tải không?

Có thể cần, nếu cookie hoặc tracker dùng để phân tích hành vi, cá nhân hóa quảng cáo hoặc chia sẻ dữ liệu cho bên thứ ba. Với PDPL, doanh nghiệp nên coi các tracker quảng cáo/cá nhân hóa là nhóm cần thông báo minh bạch và thường phải có cơ chế đồng ý trước khi kích hoạt, trừ khi luật cho phép trường hợp khác theo quy định. Khi chưa chắc, nên nhờ luật sư rà soát luồng dữ liệu và tài liệu đồng ý.

Taboola, Outbrain theo dõi hành vi người dùng như thế nào?

Các nền tảng native ads thường ghi nhận lượt hiển thị, nhấp, thời gian đọc, trang đã xem, thiết bị, IP rút gọn hoặc định danh trình duyệt để suy luận sở thích. Với doanh nghiệp Việt Nam, điều này có nghĩa là bạn không chỉ “gắn một widget bài viết liên quan” mà còn phải quản trị một chuỗi xử lý dữ liệu: cookie banner, log consent, danh sách vendor, hợp đồng xử lý dữ liệu, và cơ chế rút lại đồng ý.

Doanh nghiệp cần làm gì để dùng native ads đúng PDPL?

Bạn nên đi theo quy trình sau trước khi bật Taboola, Outbrain hoặc mạng native ads tương tự:

Nếu chỉ gắn widget “bài viết liên quan” thì có cần lo PDPL không?

Có. Nhiều đội ngũ nghĩ widget native ads chỉ là “khối nội dung”, nhưng thực tế nó có thể tải từ domain bên thứ ba, đặt cookie nhận diện và gửi dữ liệu hành vi về hệ thống quảng cáo. Nếu widget đó chỉ hiển thị nội dung tĩnh, rủi ro thấp hơn; nếu nó cá nhân hóa theo hành vi, gần như chắc chắn bạn phải xử lý như một tracker quảng cáo và kiểm soát consent tương ứng.

Checklist kỹ thuật cho lập trình viên và SME

Dưới đây là checklist thực dụng để triển khai:

Hạng mục	Việc cần làm	Lưu ý thực tế
Cookie banner	Tách nhóm “cần thiết” và “quảng cáo/cá nhân hóa”	Không bật script ads trước khi có lựa chọn phù hợp
Tag manager	Dùng rule để chỉ bắn Taboola/Outbrain sau consent	Kiểm tra cả trường hợp refresh, logout, đổi lựa chọn
Consent log	Lưu user ID/anonymous ID, thời điểm, phiên bản banner	Phục vụ kiểm tra tuân thủ và tranh chấp
Privacy notice	Mô tả tracker, mục đích, bên thứ ba, cách rút lại	Viết ngắn nhưng đủ cụ thể
Vendor review	Xác định dữ liệu được gửi đi đâu, giữ bao lâu	Có thể cần DPA/thoả thuận xử lý dữ liệu
DSAR	Chuẩn bị quy trình cho yêu cầu xem, xoá, rút đồng ý	Đồng bộ với CRM, analytics, ad platform

Nếu vi phạm thì bị xử lý thế nào?

Mức phạt cụ thể sẽ do nghị định hướng dẫn của Chính phủ ban hành, nên hiện chưa nên chốt con số. Ngoài xử phạt hành chính theo nghị định hướng dẫn, vi phạm nghiêm trọng còn có thể bị xử lý hình sự theo quy định. Cơ quan thực thi liên quan là Bộ Công an, trong đó có Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05).

Có ví dụ nào dễ áp dụng cho website tin tức hoặc thương mại điện tử không?

Có. Ví dụ một website tin tức đặt Taboola để đề xuất bài viết “Bạn có thể thích”. Nếu banner cookie cho phép “Analytics” nhưng chưa bật “Advertising”, đội kỹ thuật phải bảo đảm script Taboola không chạy cho đến khi người dùng chọn đồng ý. Nếu người dùng từ chối, widget có thể chuyển sang phiên bản không cá nhân hóa hoặc nội dung tĩnh, tùy cấu hình và tài liệu pháp lý của bạn.

Nếu bạn đang rà soát cookie banner hoặc consent log cho Taboola/Outbrain, consent.vn có thể giúp thiết kế luồng đồng ý, lưu bằng chứng và DSAR theo hướng dễ triển khai cho SME.

Nguồn: Luật 91/2025/QH15 (https://thuvienphapluat.vn); Nghị định 13/2023/NĐ-CP (https://thuvienphapluat.vn); Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - A05 (https://bocongan.gov.vn)