Trong bối cảnh Luật Bảo vệ Dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP siết chặt các yêu cầu về thu thập, sử dụng và chuyển giao dữ liệu cá nhân, doanh nghiệp quảng cáo – truyền thông đang trở thành một trong những nhóm ngành chịu tác động trực tiếp và mạnh mẽ nhất. Từ hoạt động chạy quảng cáo, marketing đa nền tảng đến việc hợp tác với đối tác kỹ thuật, nhà cung cấp hay người lao động, hầu hết đều phát sinh hoạt động xử lý dữ liệu cá nhân. Vì vậy, doanh nghiệp không chỉ cần hợp đồng dịch vụ thông thường mà còn phải xây dựng đầy đủ các điều khoản, thỏa thuận và cơ chế kiểm soát dữ liệu phù hợp với quy định pháp luật để hạn chế rủi ro pháp lý và bảo vệ uy tín thương hiệu.
1. Thoả thuận giữa bên thuê dịch vụ quảng cáo (khách hàng) và công ty quảng cáo
Theo quy định tại khoản 1 Điều 28 Luật Bảo vệ Dữ liệu cá nhân 2025 (“Luật BVDLCN”) thì Công ty kinh doanh dịch vụ quảng cáo (“Công ty quảng cáo”) chỉ được“sử dụng dữ liệu cá nhân của khách hàng được bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao theo thỏa thuận hoặc thu thập qua hoạt động kinh doanh của mình để kinh doanh dịch vụ quảng cáo. Việc thu thập, sử dụng, chuyển giao dữ liệu cá nhân phải bảo đảm quyền của chủ thể dữ liệu cá nhân quy định tại Điều 4 của Luật này”. Đồng thời tại khoản 2 Điều 28 Luật BVDLCN cũng quy định bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chỉ được chuyển dữ liệu cá nhân cho công ty quảng cáo theo quy định pháp luật.
Trong mối quan hệ giữa công ty quảng cáo, bên thuê dịch vụ quảng cáo và người tiếp nhận thông tin quảng cáo, trường hợp bên thuê dịch vụ cung cấp dữ liệu cá nhân của người tiếp nhận cho công ty quảng cáo để phục vụ hoạt động quảng cáo, việc sử dụng các dữ liệu này chỉ được thực hiện trên cơ sở sự đồng ý hợp pháp của chủ thể dữ liệu, phù hợp với quy định tại điểm a khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân 2025.
Đồng thời, nội dung chuyển giao dữ liệu cá nhân phải được quy định rõ ràng trong hợp đồng dịch vụ giữa bên thuê dịch vụ và công ty quảng cáo, bảo đảm đầy đủ các yêu cầu theo điểm a khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP, cụ thể:
- Mục đích chuyển giao dữ liệu cá nhân;
- Đối tượng chủ thể dữ liệu cá nhân và loại dữ liệu cá nhân được chuyển giao phù hợp với mục đích chuyển giao;
- Thời hạn xử lý dữ liệu cá nhân, yêu cầu về xóa, hủy dữ liệu cá nhân sau khi hoàn thành mục đích chuyển giao;
- Cơ sở pháp lý của việc chuyển giao dữ liệu cá nhân;
- Trách nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý dữ liệu cá nhân;
- Trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân;
- Trách nhiệm phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân.
2. Thoả thuận giữa bên cung cấp các dịch vụ khác cho bên quảng cáo (nhà cung cấp) và công ty quảng cáo
Theo quy định tại khoản 6 Điều 18 Luật BVDLCN, công ty quảng cáo không được thuê lại hoặc thỏa thuận để tổ chức, cá nhân khác thay mặt mình thực hiện toàn bộ dịch vụ quảng cáo có sử dụng dữ liệu cá nhân.
Do vậy, trong trường hợp công ty quảng cáo ký kết hợp đồng với các nhà cung cấp dịch vụ để hỗ trợ triển khai hoạt động quảng cáo, nội dung hợp đồng cần quy định rõ rằng các bên này chỉ tham gia thực hiện một phần công việc mang tính hỗ trợ, dưới sự kiểm soát của công ty quảng cáo, và không thay thế vai trò thực hiện toàn bộ dịch vụ quảng cáo có sử dụng dữ liệu cá nhân của chủ thể dữ liệu
3. Thoả thuận giữa công ty quảng cáo và người lao động
Theo quy định tại khoản 2 Điều 25 Luật BVDLCN 2025, công ty quảng cáo có trách nhiệm trong việc quản lý và sử dụng dữ liệu cá nhân của người lao động, bao gồm:
- Tuân thủ quy định của Luật này, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác của pháp luật có liên quan;
- Dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;
- Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác. Mặc dù khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân yêu cầu xóa, hủy dữ liệu khi chấm dứt hợp đồng, nhưng doanh nghiệp cần đặc biệt lưu ý đến các nghĩa vụ lưu trữ hồ sơ theo quy định pháp luật về Thuế, Kế toán và Bảo hiểm xã hội để phục vụ công tác hậu kiểm, thanh tra. Vì vậy, để dung hòa giữa nghĩa vụ bảo vệ dữ liệu và nghĩa vụ tuân thủ pháp luật chuyên ngành, trong các thỏa thuận với người lao động, doanh nghiệp cần quy định rõ: ‘Dữ liệu cá nhân sẽ được lưu trữ và chỉ tiến hành xóa, hủy sau khi doanh nghiệp đã hoàn thành toàn bộ các nghĩa vụ pháp lý và thời hạn lưu trữ bắt buộc liên quan đến thuế, bảo hiểm, lao động theo quy định của pháp luật hiện hành’.”
Đồng thời, theo khoản 3 Điều Luật BVDLCN, việc xử lý dữ liệu cá nhân của người lao động được thu thập bằng biện pháp công nghệ, kỹ thuật trong quản lý người lao động cũng phải đáp ứng các yêu cầu sau:
- Chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó;
- Không được xử lý, sử dụng dữ liệu cá nhân thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.
Trong công tác quản lý nhân sự, việc áp dụng các biện pháp giám sát bằng công nghệ như hệ thống Camera (CCTV) hoặc các phần mềm quản trị năng suất lao động không chỉ dừng lại ở việc ký kết thỏa thuận đồng ý. Theo quy định pháp luật, doanh nghiệp phải đảm bảo người lao động ‘biết rõ’ về hoạt động này. Do đó, doanh nghiệp cần ban hành và niêm yết công khai Thông báo xử lý dữ liệu cá nhân tại các vị trí làm việc hoặc gửi thông báo trực tiếp qua hệ thống quản trị nội bộ. Thông báo này phải làm rõ phạm vi giám sát, mục đích sử dụng dữ liệu và các biện pháp bảo mật tương ứng để đảm bảo tính minh bạch và quyền lợi của chủ thể dữ liệu.
Để bảo đảm tuân thủ Luật BVDLCN trong việc xử lý dữ liệu cá nhân của người lao động, công ty quảng cáo cần xây dựng thỏa thuận về BVDLCN và yêu cầu người lao động ký kết trước hoặc đồng thời với thời điểm ký kết hợp đồng lao động. Thỏa thuận này có thể được lập thành văn bản riêng hoặc tích hợp trong hợp đồng lao động, trong đó cần thể hiện rõ sự đồng ý của người lao động đối với việc thu thập, xử lý dữ liệu cá nhân, bao gồm cả việc áp dụng các biện pháp công nghệ, kỹ thuật như ghi hình, chấm công, và giám sát việc sử dụng thiết bị làm việc.
Thời gian viết bài: 08/05/2026
Bài viết ghi nhận thông tin chung có giá trị tham khảo, trường hợp bạn mong muốn nhận ý kiến pháp lý liên quan đến các vấn đề mà bạn đang vướng mắc, bạn vui lòng liên hệ với Luật sư của chúng tôi theo email info@cdlaf.vn
Vì sao chọn dịch vụ CDLAF
- Chúng tôi cung cấp đến bạn giải pháp pháp lý hiệu quả và toàn diện, giúp bạn tiết kiệm ngân sách, duy trì sự tuân thủ trong doanh nghiệp;
- Chúng tôi tiếp tục duy trì việc theo dõi vấn đề pháp lý của bạn ngay cả khi dịch vụ đã hoàn thành và cập nhật đến bạn khi có bất kỳ sự thay đổi nào từ hệ thống pháp luật Việt Nam;
- Hệ thống biểu mẫu về doanh nghiệp, đầu tư được xây dựng và cập nhật liên tục sẽ cung cấp khi khách hàng yêu cầu, rút ngắn thời gian thực hiện thủ tục;
- Doanh nghiệp cập nhật kịp thời các chính sách và phương thức làm việc tại các cơ quan nhà nước có thẩm quyền;
- Đội ngũ Luật sư của CDLAF nhiều năm kinh nghiệm hoạt động tại lĩnh vực Lao động, Doanh nghiệp, Đầu tư cùng với các cố vấn nhân sự, tài chính;
- Quy trình bảo mật thông tin nghiêm ngặt trong suốt quá trình thực hiện dịch vụ và ngay cả khi dịch vụ được hoàn thành sau đó;
Bạn có thể tham thảo thêm:
- Trách Nhiệm Của Doanh Nghiệp Khi Sử Dụng Lao Động Nước Ngoài
- Doanh Nghiệp Có Bắt Buộc Có Nhân Sự Bảo Vệ Dữ Liệu Cá Nhân?
- Dự Thảo Xử Phạt Vi phạm Về Dữ Liệu Cá Nhân Đã Quy Định Các Hành Vi Và Mức Phạt Như Thế Nào? (Phần 2)
- Dự Thảo Xử Phạt Vi phạm Về Dữ Liệu Cá Nhân Đã Quy Định Các Hành Vi Và Mức Phạt Như Thế Nào? (Phần 1)
- Hướng Dẫn Xây Dựng Chính Sách Bảo Vệ Dữ Liệu Cá Nhân Theo Luật Mới (Phần 1)
