Facebook Pixel có vi phạm Luật bảo vệ dữ liệu cá nhân không?

Ai thu dữ liệu của khách?

Nhiều chủ shop nghĩ: "Tôi có thu gì của khách đâu, Facebook thu." Thực tế đi như sau.

Lấy ví dụ shop gốm Hà Linh (shop tưởng tượng). Khách mở trang bình men lam giá 450.000đ trên điện thoại. Đoạn mã Pixel trong trang tự tải file fbevents.js từ máy chủ Facebook rồi gửi ngay sự kiện "khách đã xem trang". Khách bấm "Thêm vào giỏ", Pixel gửi tiếp.

Dữ liệu đi thẳng từ điện thoại khách sang Meta, không qua máy chủ của shop. Mỗi lần gửi gồm:

Meta dùng những thứ này để ghép với tài khoản Facebook của khách khi có thể, rồi cho shop chạy quảng cáo nhắm lại đúng người đã xem bình. Đây là theo dõi hành vi trên mạng. Theo Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026), loại dữ liệu này là dữ liệu cá nhân nhạy cảm.

Vì sao chủ shop chịu trách nhiệm?

Chủ shop đứng ở cả hai đầu: quyết định gắn mã, và là người được lợi từ báo cáo quảng cáo. Luật gọi vai này là bên kiểm soát dữ liệu. Không dán mã thì Meta không lấy được gì từ khách trên trang đó.

Có hai điểm tựa cho cách hiểu này:

• Điều khoản của Meta. Điều khoản Meta Business Tools yêu cầu bên dùng công cụ tự có thông báo và xin đồng ý ở nơi luật đòi hỏi. Bị kiểm tra, shop không đổ cho Facebook được.
• Án Fashion ID của châu Âu. Năm 2019, Toà án Công lý EU xử rằng website gắn nút Like của Facebook là đồng kiểm soát việc thu và gửi dữ liệu sang Facebook. Đây là án của EU, không ràng buộc ở Việt Nam, nhưng cho thấy cách nghĩ chung: gắn mã của bên khác lên trang mình thì phải chịu phần của mình. Giống quán cà phê lắp camera của một công ty khác, hình gửi thẳng về công ty đó. Quán lắp thì quán phải báo khách.

Ngoài ra, Luật 91/2025/QH15, Điều 20 nói về chuyển dữ liệu ra nước ngoài, trong đó có trường hợp dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Meta đặt máy chủ ngoài Việt Nam, nên bạn nên đọc thêm bài dùng Facebook, Google có phải chuyển dữ liệu ra nước ngoài không. Chi tiết áp dụng cho từng doanh nghiệp nhỏ chưa có hướng dẫn rõ, nên cần hỏi luật sư.

Luật đòi gì?

• Đồng ý phải rõ ràng, lưu trữ và kiểm chứng được thời điểm lẫn nội dung (Nghị định 356/2025/NĐ-CP, theo bản tin EY).
• Cấm mặc định là đồng ý. Theo Nghị định 330/2026/NĐ-CP, Điều 43, coi im lặng là đồng ý bị phạt 50–70 triệu đồng (khoản 2 điểm b). Xử lý dữ liệu khi chưa có đồng ý (trừ trường hợp pháp luật có quy định khác), thiết lập mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý, xin đồng ý không rõ ràng hoặc không kiểm chứng được, không ghi nhận và lưu nhật ký đồng ý bị phạt 30–50 triệu đồng (khoản 1 điểm a, c, d, g). Các mức này áp cho tổ chức, cá nhân bị phạt một nửa (Điều 7 khoản 1). Ngoài tiền phạt, doanh nghiệp có thể bị buộc huỷ, xoá tới mức không thể khôi phục dữ liệu đã thu khi không có đồng ý hợp lệ, mặc định đồng ý hoặc coi im lặng là đồng ý (khoản 4 điểm a). Bảng các mức phạt khác: mức phạt vi phạm dữ liệu cá nhân.
• Về chuyển dữ liệu ra nước ngoài và các mức phạt nặng hơn, xem bài dùng Facebook, Google có phải chuyển dữ liệu ra nước ngoài không. Mức 1–5% doanh thu không áp dụng cho mọi website gắn Pixel; chỉ áp dụng trong các trường hợp luật nêu rõ, và việc Pixel có được coi là chuyển dữ liệu ra nước ngoài của chính website hay không vẫn là cách hiểu thận trọng.
• Luật 91/2025/QH15, Điều 9 nói về sự đồng ý, Điều 10 về quyền rút lại đồng ý.
• Điều 28 có quy định riêng cho quảng cáo theo hành vi: cần đồng ý khi theo dõi website, kèm cách từ chối. Điều này viết cho bên kinh doanh dịch vụ quảng cáo, nên áp cho shop tự chạy quảng cáo thì cần thận trọng và chờ hướng dẫn.

Dòng chữ "tiếp tục dùng website là đồng ý" không giải quyết được việc này. Xem bài tiếp tục sử dụng là đồng ý có hợp lệ không.

Xin đồng ý thì mất gì, được gì?

Mất: khách bấm Từ chối thì Pixel không chạy, không đếm người đó. Số đơn quảng cáo báo về ít đi, tệp khách để nhắm lại nhỏ hơn. Bao nhiêu người từ chối thì tuỳ ngành và cách hiện banner. Ở Việt Nam chưa có số liệu.

Được:

• Khách đồng ý vẫn được đo đầy đủ như cũ.
• Các nền tảng quảng cáo đã quen với thiếu dữ liệu từ khi iPhone cho người dùng tắt theo dõi (2021). Google còn có mô hình ước tính bù chuyển đổi khi dùng Consent Mode, xem bài Google Analytics và Consent Mode v2.
• Có bằng chứng đồng ý khi bị kiểm tra hay khi khách khiếu nại.

Làm thế nào cho đúng?

Banner đúng chuẩn làm ba việc: chặn mã theo dõi tới khi khách đồng ý (đổi thẻ script sang type="text/plain"), để nút Từ chối ngang hàng nút Đồng ý, và lưu nhật ký đồng ý. Xem thêm cookie banner là gì, có bắt buộc không.

Nếu shop còn gửi dữ liệu từ máy chủ (ví dụ Meta Conversions API), việc này vẫn cần đồng ý, và công cụ quét từ ngoài không thấy được.

Bạn cần làm gì

• Xem website bạn có gắn Pixel không: dùng cách tự kiểm tra.
• Chặn Pixel cho tới khi khách bấm Đồng ý.
• Để nút Từ chối ngang hàng nút Đồng ý, không tick sẵn.
• Lưu lại nhật ký đồng ý.
• Ghi vào chính sách bảo vệ dữ liệu là bạn dùng Pixel để đo quảng cáo và dữ liệu sang Meta.

Muốn biết nhanh website mình đang gửi gì cho ai, dán địa chỉ vào máy quét miễn phí ở trang chủ.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 9, 10, 20, 28.
• Nghị định 356/2025/NĐ-CP (đồng ý rõ ràng, cấm mặc định đồng ý, theo dõi hành vi là dữ liệu nhạy cảm).
• Nghị định 330/2026/NĐ-CP, Điều 43 (phạt 30–50 triệu đồng và 50–70 triệu đồng với các hành vi về sự đồng ý; buộc xoá dữ liệu): toàn văn trên Công báo.
• Meta Business Tools Terms; phán quyết CJEU C-40/17 Fashion ID (2019).

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.