Đoạt giải tiếp thị. Và câu hỏi về dữ liệu phía sau chiến dịch.

Tôi thấy một ngân hàng lớn ở Việt Nam tự hào chia sẻ giải thưởng tiếp thị vừa nhận. Khi kiểm tra website công khai của ngân hàng, tôi ghi nhận 48 cookie và beacon theo dõi từ bên thứ ba, cùng các kết nối liên quan tới Google, Meta, TikTok và những hạ tầng bên ngoài khác. Một số kết nối hoạt động trước khi khách truy cập đưa ra lựa chọn về sự đồng ý.

Trong môi trường pháp lý Việt Nam năm 2026, đây là câu hỏi quản trị đáng xem xét. Dữ liệu theo dõi hành vi có thể thuộc nhóm dữ liệu cá nhân nhạy cảm; hoạt động quảng cáo hành vi hoặc quảng cáo có định hướng dựa trên theo dõi website cần được đánh giá về căn cứ xử lý và sự đồng ý; luồng dữ liệu cá nhân xuyên biên giới có yêu cầu bằng chứng riêng. Nghị định 330/2026/NĐ-CP quy định mức phạt theo tỷ lệ doanh thu cho một số hành vi chuyển dữ liệu cá nhân xuyên biên giới nghiêm trọng, khi thỏa đúng điều kiện tại Điều 56. Mức tối đa có thể tới 5% doanh thu năm tài chính liền trước tại thị trường Việt Nam; việc website có tracker không tự động dẫn tới mức phạt này.

Tôi thấy những bức ảnh, lời chúc mừng và sự tự hào của đội tiếp thị, giám đốc tiếp thị, các đại lý và nhà cung cấp tham gia chiến dịch. Thành công ấy có thể hoàn toàn xứng đáng. Nhưng khi mở website và nhìn vào những gì trình duyệt thực sự làm, tôi thấy một câu chuyện khác đang diễn ra bên dưới bề mặt.

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP cùng có hiệu lực từ ngày 1 tháng 1 năm 2026. Khi một hoạt động tiếp thị hoặc xử lý hành vi cần sự đồng ý, công nghệ liên quan phải tôn trọng lựa chọn đó theo đúng thứ tự thực thi của trình duyệt. Nếu tracker hoặc endpoint quảng cáo nhận dữ liệu ngay khi trang tải, quá trình xử lý đã bắt đầu trước khi người dùng bấm nút.

Thông báo quyền riêng tư có thể mô tả mô hình dự kiến; giao diện đồng ý có thể trình bày lựa chọn. Network traffic cho thấy việc triển khai kỹ thuật có thực sự làm theo lựa chọn ấy hay không.

Banner đồng ý là giao diện. Network request là bằng chứng về việc website thực sự đã làm.

Ở tổ chức lớn, khoảng trống có thể xuất hiện giữa các nhóm. Pháp chế duyệt câu chữ; Marketing nhìn hiệu quả chiến dịch; đại lý cấu hình tag; đội phát triển triển khai website; Mua sắm quản lý hợp đồng; bộ phận Quyền riêng tư điều phối đánh giá và quản trị. Mỗi nhóm thấy một phần của môi trường, trong khi trình duyệt của khách truy cập thực thi tổng hợp mọi quyết định đó.

Hạ tầng tiếp thị bên thứ ba thường có tính quốc tế ngay từ thiết kế. Google, Meta, TikTok và những nhà cung cấp tương tự vận hành môi trường công nghệ toàn cầu. Một tích hợp trên website có thể tạo luồng dữ liệu quốc tế dù mô tả nội bộ chỉ gọi đó là phân tích, đo lường chuyển đổi hoặc tối ưu chiến dịch. Đích nhận và luồng chuyển phải được kiểm chứng, không suy đoán chỉ từ tên nhà cung cấp.

Vì thế, hồ sơ quản trị quan trọng ngang giao diện đồng ý. Một tổ chức trưởng thành có thể truy vết công nghệ tiếp thị trọng yếu từ trang web tới mô hình tuân thủ rộng hơn: hoạt động xử lý, nhóm dữ liệu, mục đích, nhà cung cấp, bên nhận, cơ chế đồng ý, đánh giá chuyển dữ liệu, chủ sở hữu chịu trách nhiệm, cấu hình kỹ thuật và bằng chứng cho thấy kiểm soát đã phê duyệt vẫn đang hoạt động.

Bằng chứng phải chịu được thay đổi số thường ngày. Marketing đổi đại lý; nhà phát triển thêm tag; chiến dịch dùng công cụ chuyển đổi khác; Google Tag Manager được cập nhật; landing page mới đi vào hoạt động. Vị thế tuân thủ không thể phụ thuộc vào việc sáu tháng sau mới lục email và ảnh chụp màn hình để dựng lại lịch sử.

Bằng chứng nên được tạo ngay trong quá trình thay đổi.

Ngân hàng thu hút sự chú ý vì sự tương phản giữa niềm vui công khai và hoạt động kín đáo của trình duyệt. Nhưng mô hình kỹ thuật bên dưới khá phổ biến.

Đầu năm nay, AesirX quét 500 website của các doanh nghiệp lớn tại Việt Nam. Trong số 340 website trả về đủ bằng chứng kỹ thuật để phân tích, 244 website (71,8%) được gắn nhãn rủi ro kỹ thuật cao; 273 (80,3%) tải beacon theo dõi; 203 (59,7%) tải cookie bên thứ ba. Chỉ 63 website trong tập đã phân tích không có cả hai loại tín hiệu tại thời điểm quét; Google Tag Manager xuất hiện ở 221 trong 340 website đã phân tích (65%).

Các con số là quan sát kỹ thuật, không phải kết luận pháp lý hay tỷ lệ doanh nghiệp vi phạm. Chúng cho thấy hạ tầng bên thứ ba đã ăn sâu vào website doanh nghiệp lớn như thế nào. Website thường tự thể hiện là môi trường của một tổ chức, trong khi trình duyệt có thể liên hệ nhiều nhà cung cấp ngoài tổ chức trước khi khách truy cập hiểu các quan hệ đó.

Chính sách quyền riêng tư mô tả điều tổ chức tuyên bố. Trình duyệt cho thấy điều tổ chức thực hiện.

Điều này biến website doanh nghiệp thành bề mặt kiểm tra khá minh bạch. Kiểm toán viên không cần truy cập cơ sở dữ liệu để quan sát lớp hành vi đầu tiên. Cơ quan quản lý không cần đội tiếp thị liệt kê từng pixel trước khi kiểm tra request mà trang thực sự tạo. Một người đánh giá có kỹ năng kỹ thuật có thể quan sát script, endpoint, thời điểm và request bên thứ ba ngay trong trình duyệt.

Những gì từng nằm sâu trong cấu hình tiếp thị ngày càng có thể được kiểm chứng từ bên ngoài.

Điều đáng chú ý nhất ở ví dụ ngân hàng không phải con số 48. Một tổ chức tinh vi có thể đạt thành công tiếp thị công khai, trong khi hạ tầng tạo ra thành công ấy lại được phân chia giữa Marketing, Công nghệ, Pháp chế, Quyền riêng tư, Rủi ro, Mua sắm và nhà cung cấp bên ngoài.

Marketing có thể duyệt chiến dịch mà chưa thấy bản đồ dữ liệu đầy đủ. Pháp chế có thể duyệt câu chữ quyền riêng tư mà chưa xem thứ tự network request. Nhà phát triển có thể triển khai thông số do đại lý cung cấp, còn đại lý dùng công nghệ quảng cáo quen thuộc nhưng không thấy toàn bộ vị thế pháp lý của ngân hàng.

Không ai cần bất cẩn để kết quả tổng hợp vẫn thiếu quản trị.

Trình duyệt không quan tâm bộ phận nào sở hữu vấn đề. Nó thực thi quyết định kết hợp của tất cả các bộ phận.

Vì vậy, kỹ thuật quyền riêng tư và quản trị, rủi ro, tuân thủ (GRC) cần gặp nhau trong cùng mô hình vận hành. Tổ chức cần một góc nhìn có quản trị nối yêu cầu pháp lý, hoạt động xử lý, nhà cung cấp, sự đồng ý, luồng chuyển, kiểm soát kỹ thuật, bằng chứng và người chịu trách nhiệm. Nếu thiếu kết nối đó, mỗi bộ phận có thể sở hữu một phần tuân thủ nhưng không ai sở hữu toàn bộ bằng chứng.

Giải thưởng tiếp thị ghi nhận một loại thành tích: chiến dịch tạo giá trị đủ để được công nhận từ bên ngoài. Với tiếp thị số trong ngành chịu điều tiết, cần có thước đo thứ hai: tổ chức có chứng minh được hạ tầng dữ liệu phía sau chiến dịch được quản trị chuyên nghiệp như chính chiến dịch hay không?

Mỗi luồng trọng yếu tới bên thứ ba cần được biết đến. Mỗi mục đích cần có chủ sở hữu. Khi pháp luật yêu cầu, sự đồng ý phải kiểm soát được quá trình xử lý ở mức kỹ thuật. Hoạt động chuyển dữ liệu xuyên biên giới cần được đánh giá. Thay đổi cần được quản trị. Bằng chứng cần còn người chịu trách nhiệm sau khi chiến dịch kết thúc.

Điều đó không làm giảm đổi mới tiếp thị; nó bảo vệ đổi mới. Một chiến dịch vừa đo được kết quả thương mại vừa chứng minh được cách vận hành về mặt pháp lý mạnh hơn chiến dịch chỉ tối ưu chuyển đổi.

Đây là vấn đề chúng tôi xây dựng AesirX ComplianceOne để hỗ trợ giải quyết. ComplianceOne cung cấp lớp quản trị bao quanh các hệ thống tổ chức đang vận hành. Nền tảng kết nối yêu cầu pháp lý với hoạt động xử lý, mục đích đồng ý, luồng dữ liệu, nhà cung cấp, đánh giá, người chịu trách nhiệm, khắc phục, bằng chứng, phê duyệt, sự cố và lịch sử kiểm toán.

Kết hợp với sự đồng ý của bên thứ nhất và kiểm soát kỹ thuật quyền riêng tư, tổ chức có thể tạo chuỗi liên tục từ yêu cầu pháp lý tới triển khai kỹ thuật. Marketing tiếp tục đo hiệu quả; đại lý tiếp tục xây dựng chiến dịch; đội số tiếp tục đổi mới; Pháp chế, Quyền riêng tư, Rủi ro và ban điều hành nhìn rõ hơn hạ tầng dữ liệu mà các hoạt động đó tạo ra. Các năng lực này hỗ trợ quyết định của con người; chúng không tự kết luận một luồng xử lý là hợp pháp.

Mục tiêu rất rõ: biết điều gì đang diễn ra, kiểm soát điều được phép diễn ra và giữ bằng chứng về điều thực sự đã diễn ra.

Lần tới khi một ngân hàng, công ty bảo hiểm, nhà bán lẻ hoặc nền tảng số ở Việt Nam đoạt giải tiếp thị, tôi hy vọng chiến dịch xứng đáng với sự chúc mừng. Tôi vẫn muốn biết thêm một kết quả: điều gì đã xảy ra trong trình duyệt?

Chiếc cúp ở lại văn phòng. Dữ liệu thì đi nơi khác. Môi trường pháp lý Việt Nam ngày càng đòi hỏi tổ chức biết rõ nơi dữ liệu đi đến.

Ronni K. Gothard Christiansen

Kỹ sư kỹ thuật quyền riêng tư và CEO, AesirX.io

Bài viết trình bày quan sát kỹ thuật và rủi ro pháp lý từ góc nhìn của đơn vị cung cấp công nghệ kỹ thuật quyền riêng tư và tuân thủ. Ngân hàng được cố ý không nêu tên. Các quan sát không phải kết luận vi phạm của cơ quan hành chính hoặc tòa án. Việc định tính pháp lý, phạm vi áp dụng, phân loại dữ liệu và mức phạt thực tế phụ thuộc hoạt động xử lý, nhóm dữ liệu, chủ thể dữ liệu bị ảnh hưởng, bên nhận, cơ chế chuyển dữ liệu và kết luận của cơ quan có thẩm quyền.

Tổ chức cần tư vấn pháp lý có chuyên môn trước khi thực hiện hồ sơ với cơ quan quản lý, đánh giá chuyển dữ liệu xuyên biên giới, quyết định phân loại dữ liệu hoặc kết luận về rủi ro xử phạt. AesirX ComplianceOne và Forseti AI hỗ trợ ánh xạ pháp lý, quy trình tuân thủ vận hành, quản lý bằng chứng và chuẩn bị kiểm toán; không thay thế tư vấn pháp lý hoặc việc rà soát, phê duyệt của người có trách nhiệm.