---
title: "Nhìn khách 360 độ và GDPR: ghép dữ liệu thế nào"
description: "Ghép dữ liệu POS, web, mạng xã hội thành hồ sơ khách thì GDPR hỏi gì? Bảng quyết định theo nguồn, mục đích, căn cứ, rủi ro, kèm ví dụ chuỗi trà bịa."
url: "https://staging.khoi.co.uk/blog/nhin-khach-360-do-gdpr"
lang: vi
author: "Lê Quốc Khôi"
date: 2026-11-03
updated: 2026-11-03
topics: ["Đạo đức & quản trị công ty"]
tags: ["Nhìn khách 360 độ", "GDPR", "Quyền riêng tư dữ liệu", "Đồng ý của khách", "Cá nhân hoá"]
---

# Nhìn khách 360 độ: ghép dữ liệu tới đâu thì GDPR chặn?

## Tóm tắt nhanh

- Ghép dữ liệu là việc GDPR gọi tên: Điều 4(2) liệt kê "alignment or combination" cạnh thu thập và lưu trữ (European Parliament and Council, 2016). Wedel và Kannan (2016) gọi hiệu ứng ghép là "mosaic effect": ghép các bộ dữ liệu có thể làm lộ thông tin về người tiêu dùng mà lẽ ra phải được giữ riêng (Wedel và Kannan, 2016).
- GDPR áp dụng cho nơi bán ngoài EU khi họ chào hàng cho người đang ở EU hoặc theo dõi hành vi của họ tại đó (Điều 3(2)); web truy cập được từ EU thì chưa đủ (Recital 23) (European Parliament and Council, 2016). Bài không bàn luật Việt Nam.
- Đồng ý phải tự nguyện, cụ thể, có thông tin, rõ ràng (Điều 4(11)); khách được phản đối marketing trực tiếp (Điều 21(2)). Trần phạt: 20 triệu euro hoặc 4% doanh thu toàn cầu (Điều 83(5)) (European Parliament and Council, 2016).
- Martin và Murphy (2017) tổng quan: thu thập công khai, kiểm soát thật và niềm tin đi cùng cá nhân hoá hiệu quả hơn; bài không nhắc GDPR (Martin và Murphy, 2017).
- Chuỗi "Trà Sông Mát" là bịa: 5.100 khách ghép được, 1.900 đồng ý nhận email (37%).

Chuỗi của bạn có sáu cửa hàng, một trang đặt hàng online, một fanpage và thẻ tích điểm bằng số điện thoại. Chủ chuỗi muốn một màn hình cho mỗi khách: mua gì ở quầy, xem gì trên web, bấm gì trên mạng xã hội. Trên web đã có hàng trăm khách nhận hàng ở Anh hay Đức. Ghép xong, phần nào của hồ sơ ấy được dùng vào việc gì?

## Cái nhìn 360 độ ghép những gì?

Thư viện định nghĩa [cái nhìn khách hàng 360 độ](https://staging.khoi.co.uk/thuat-ngu#customer-360-view) là bức tranh đầy đủ về một khách, ghép từ web, mua hàng, mạng xã hội, thiết bị. Wedel và Kannan viết rằng các công ty thu dữ liệu từ nhiều nguồn rồi hợp nhất để có hồ sơ khách tốt hơn (Wedel và Kannan, 2016). Khung [Hành trình khách hàng gắn với dữ liệu](https://staging.khoi.co.uk/framework/data-driven-customer-journey) cho biết mỗi chặng để lại tín hiệu nào.

> **Hình:** [Hành trình khách hàng gắn với dữ liệu](https://staging.khoi.co.uk/framework/data-driven-customer-journey) Năm chặng của khách và tín hiệu dữ liệu (theo khung trong thư viện, gốc Lemon và Verhoef, 2016).

Tôi đọc năm cột này theo cách khác: gần như tín hiệu nào cũng kèm mã nhận diện như cookie, tài khoản, số điện thoại. Điều 4(1) nêu "online identifier" và dữ liệu vị trí trong định nghĩa dữ liệu cá nhân; Recital 30 nói dấu vết cùng mã định danh duy nhất có thể dùng để lập hồ sơ và nhận ra một người (European Parliament and Council, 2016).

## GDPR có áp dụng cho một shop ở Việt Nam không?

Có, khi điều kiện ở Điều 3(2) thoả: nơi xử lý ngoài EU chào hàng hoá, dịch vụ cho người đang ở EU, có thu tiền hay không, hoặc theo dõi hành vi của họ trong EU (European Parliament and Council, 2016). Recital 23 nói web truy cập được từ EU hay ngôn ngữ phổ biến ở nước bạn chưa đủ; dùng ngôn ngữ hoặc đồng tiền của một nước thành viên kèm khả năng đặt hàng, hay nhắc tới khách ở EU, thì có thể cho thấy ý định chào hàng. Theo Recital 24, theo dõi người dùng trên internet, kể cả lập hồ sơ, là theo dõi hành vi (European Parliament and Council, 2016).

Bài không bàn luật Việt Nam hay luật Anh, vì không dùng nguồn nào về chúng, và không nói shop bạn thuộc trường hợp nào.

## Cá nhân hoá được gì, và khách phản ứng ra sao khi thấy mình bị theo dõi?

Martin và Murphy (2017) tổng quan nghiên cứu quyền riêng tư trong marketing: cá nhân hoá cho kết quả hỗn hợp, vì khách được giá trị nhưng phải nhả thêm thông tin (Martin và Murphy, 2017). Bốn điểm cho người làm CRM, đều qua cách bài tổng quan tóm tắt:

- Công khai thắng âm thầm. Aguirre và cộng sự (2015) thấy cá nhân hoá cho nhiều nhấp chuột hơn khi thu dữ liệu công khai, còn thu âm thầm bị lộ thì khách thấy dễ tổn thương hơn. Miyazaki (2008) thấy niềm tin và ý định mua giảm khi việc dùng cookie bị giấu (Martin và Murphy, 2017).
- Kiểm soát có tác dụng, nếu là thật. Tucker (2014) thấy khách phản ứng tốt hơn với quảng cáo cá nhân hoá khi tự chỉnh được cài đặt riêng tư; Wedel và Kannan nói nhấp chuột tăng gấp đôi. Nhưng Brandimarte và cộng sự (2012) thấy cảm giác kiểm soát khiến khách tiết lộ nhiều hơn (Martin và Murphy, 2017; Wedel và Kannan, 2016).
- Quá sát thì khách thấy rợn. Martin và Murphy kể Target từng đoán đúng một thiếu nữ có thai khi cô chưa nói với ai, và nay xếp quảng cáo cá nhân hoá lẫn giữa quảng cáo ít nổi hơn; họ trích Duhigg (2012), nguồn gốc này bài không kiểm (Martin và Murphy, 2017).
- Giới hạn có giá. Sau chỉ thị của EU về quyền riêng tư và truyền thông điện tử, hiệu quả quảng cáo trực tuyến, đo bằng ý định mua khai báo, giảm rõ ở EU, còn ngoài EU không đổi (Goldfarb và Tucker, 2011) (Martin và Murphy, 2017).

Cả hai nguồn không nhắc GDPR, nên chúng chỉ cho thấy phản ứng của khách.

## Ghép hai nguồn dữ liệu thì GDPR hỏi những gì?

Ghép để làm gì? Điều 5(1)(b): thu cho mục đích cụ thể, rõ ràng, chính đáng, không xử lý tiếp theo cách không tương thích. Điều 5(1)(c): dữ liệu "giới hạn ở mức cần thiết". Với mục đích mới không dựa trên đồng ý hay một đạo luật đủ điều kiện, Điều 6(4) bảo xét liên hệ với mục đích gốc, bối cảnh thu thập, tính chất dữ liệu, hậu quả với khách và biện pháp bảo vệ (European Parliament and Council, 2016).

Căn cứ nào? Điều 6(1) có sáu căn cứ, gồm đồng ý, hợp đồng, lợi ích chính đáng. Recital 47 nói marketing trực tiếp "có thể được coi" là lợi ích chính đáng, nhưng phải xét khách có kỳ vọng hợp lý điều đó không (European Parliament and Council, 2016). [Đồng ý](https://staging.khoi.co.uk/thuat-ngu#valid-consent) theo Điều 4(11) phải tự nguyện, cụ thể, có thông tin, rõ ràng; hãng phải chứng minh được (Điều 7(1)); khách rút lại bất cứ lúc nào, dễ như cho (Điều 7(3)). Recital 43 suy đoán đồng ý là không tự nguyện nếu không cho tách từng hoạt động xử lý khi phù hợp (European Parliament and Council, 2016). Một ô "đồng ý tất cả" gom thẻ tích điểm với đối chiếu quảng cáo khó qua phép thử này.

Khách được nói gì, và từ chối ra sao? Điều 13(1)(c) đòi nêu mục đích và căn cứ khi thu, Điều 13(3) đòi báo trước khi dùng cho mục đích khác; dữ liệu lấy từ nguồn khác như mạng xã hội thì Điều 14 đòi nêu cả nguồn. Điều 21(2) và (3) cho khách phản đối marketing trực tiếp bất cứ lúc nào, kể cả lập hồ sơ liên quan; phản đối rồi thì không xử lý cho mục đích đó nữa (European Parliament and Council, 2016).

## Thử với một chuỗi trà bịa: nguồn nào, mục đích nào, căn cứ nào?

**Ví dụ giả định.** Chuỗi "Trà Sông Mát", sáu cửa hàng ở Cần Thơ, mọi số liệu do tôi bịa. POS có 42.000 thành viên tích điểm bằng số điện thoại, web có 9.500 tài khoản, ghép bằng số điện thoại được 5.100 người. 640 khách web nhận hàng ở EU hoặc Anh, và web hiện giá bằng euro. Bảng là cách đọc của tôi, không phải tư vấn pháp lý.

| Nguồn | Mục đích gốc | Căn cứ hoặc đồng ý cần | Rủi ro khi ghép |
|:--|:--|:--|:--|
| Hoá đơn POS, số điện thoại | Tích điểm | Hợp đồng cho tích điểm (Điều 6(1)(b)); quảng cáo là mục đích riêng | Đưa lịch sử mua sang quảng cáo mạng xã hội là mục đích mới (Điều 6(4)) |
| Tài khoản web | Giao đơn | Hợp đồng; email quảng cáo cần đồng ý hoặc lợi ích chính đáng (quy tắc riêng cho email nằm ngoài bài) | Ghép với POS thêm hành vi ngoại tuyến khách không ngờ tới |
| Cookie, pixel | Đo lường, nhắm lại | Mã trực tuyến là dữ liệu cá nhân (Điều 4(1)); quy tắc cookie nằm ngoài bài | Thu âm thầm làm giảm niềm tin (Martin và Murphy, 2017) |
| Fanpage: bình luận, tên người theo dõi | Chăm sóc cộng đồng | Không lấy từ khách: Điều 14 đòi nêu nguồn, mục đích | Kéo tên tài khoản vào CRM biến trò chuyện công khai thành hồ sơ |
| Ghi chú nhân viên ("dị ứng hải sản"); nhóm suy ra "ngủ kém" | Phục vụ | Dữ liệu sức khoẻ: Điều 9(1); cần đồng ý rõ ràng hoặc căn cứ khác (Điều 9(2)) | Suy từ mua trà thảo mộc có thành dữ liệu sức khoẻ không: câu hỏi cho luật sư |

Điều 4(15) định nghĩa dữ liệu sức khoẻ gồm cả dữ liệu cho thấy tình trạng sức khoẻ (European Parliament and Council, 2016); theo tôi ghi chú dị ứng thuộc loại đó.

Trong 5.100 người ghép được, 1.900 đồng ý nhận email, tức 37%. Giả sử ưu đãi cá nhân hoá nâng tỷ lệ dùng phiếu từ 4% lên 6% (cũng bịa): thêm 38 phiếu trên 1.900 người, thêm 102 nếu gửi cả 5.100. Trong kịch bản này, chỉ dùng tập có đồng ý là bỏ lỡ 64 phiếu. Con số bịa không đo niềm tin: Martin và Murphy cho thấy minh bạch và kiểm soát đi cùng kết quả tốt hơn, nhưng không cho số nào để cắm vào (Martin và Murphy, 2017).

## Nên ghép tới đâu thì dừng?

Hợp nếu mỗi khoá nối có mục đích viết ra; khách đã được báo; và cờ chặn marketing đi tới mọi kênh, vì Điều 21(3) cấm xử lý dữ liệu của người phản đối cho marketing trực tiếp. Không hợp nếu mục tiêu là gom hết phòng khi cần (Điều 5(1)(c) đi ngược hướng đó), hoặc nhóm suy luận chạm vào sức khoẻ khi chưa có đồng ý rõ ràng.

Wedel và Kannan khuyên tách thông tin nhạy cảm sang hệ thống riêng, hạn chế người trong công ty được xem, và có kế hoạch ứng phó rò rỉ (Wedel và Kannan, 2016). Martin và Murphy ghi rằng nỗ lực bảo vệ riêng tư thiếu tính xác thực sẽ dễ bị khách nhận ra (Martin và Murphy, 2017). Xem thêm bài [cá nhân hoá hay tuỳ biến](https://staging.khoi.co.uk/blog/ca-nhan-hoa-hay-tuy-bien).

## Đào sâu: các nguồn được dùng ra sao?

Martin và Murphy (2017) được dùng ở bản thảo PDF xuất bản trực tuyến, đăng trên trang bên thứ ba, không có số trang in, nên bài không ghi số trang. Phần về châu Âu nói về các chỉ thị cũ của EU, không nói GDPR.

Wedel và Kannan (2016) được dùng qua phần tóm tắt, năm slide giảng dạy của hai tác giả trên trang Hiệp hội Marketing Mỹ, và bản thảo ngày 13/5/2016 do người khác tải lại lên SlideShare (mục 1, 2, đầu mục 3, 4.1.1, 4.2, 4.3), chưa phải bản in cuối. Cụm "360" không xuất hiện trong đó. Lemon và Verhoef (2016), gốc của khung, không được dùng; bảng tín hiệu theo chặng là của thư viện.

GDPR (Quy định (EU) 2016/679, áp dụng từ 25/5/2018): bài dựa vào Điều 3, 4, 5, 6, 7, 9, 13, 14, 21, 83 và Recital 23, 24, 30, 43, 47, trên bản chép lại không chính thức gdpr-info.eu vì EUR-Lex chặn truy cập tự động. Bài không xét luật bảo vệ dữ liệu của Anh, chỉ thị 2002/58/EC về cookie và email marketing, hướng dẫn của EDPB, án lệ hay pháp luật Việt Nam, và không theo dõi sửa đổi hay hướng dẫn mới sau văn bản này.

## Câu hỏi thường gặp

### Mã hoá hoặc giả danh tên khách trong CRM thì có thoát khỏi GDPR không?

Theo cách đọc của tôi thì không. Điều 4(5) định nghĩa giả danh hoá là xử lý sao cho dữ liệu không còn gán được cho một người nếu thiếu thông tin bổ sung, mà thông tin đó phải được giữ riêng và có biện pháp bảo vệ (European Parliament and Council, 2016). Điều 6(4)(e) liệt kê mã hoá hay giả danh hoá như một biện pháp bảo vệ khi cân nhắc mục đích mới, tức là nó giảm rủi ro chứ không đưa dữ liệu ra ngoài quy định (European Parliament and Council, 2016).

### Mức phạt GDPR tối đa là bao nhiêu, và có đáng sợ với một shop nhỏ ở Việt Nam không?

Điều 83(5) đặt trần 20 triệu euro hoặc 4% doanh thu toàn cầu năm trước, lấy mức cao hơn, cho vi phạm các nguyên tắc ở Điều 5, 6, 7, 9 và quyền của người dùng ở Điều 12 đến 22 (European Parliament and Council, 2016). Đó là trần, không phải mức thường gặp: Điều 83(2) bảo cơ quan giám sát cân theo tính chất, mức độ nghiêm trọng, số người bị ảnh hưởng và nhiều yếu tố khác (European Parliament and Council, 2016). Bài không xét quyết định xử phạt nào với một shop nhỏ ngoài EU, nên không nói được mức thực tế.

### Khách bấm phản đối quảng cáo thì tôi phải xoá hết hồ sơ của họ?

Điều 21(2) và (3) nói dữ liệu của người đó không được xử lý nữa cho marketing trực tiếp, gồm cả lập hồ sơ liên quan đến marketing (European Parliament and Council, 2016). Văn bản không nói phải xoá mọi thứ; đơn hàng đã giao vẫn cần cho kế toán hay bảo hành. Theo tôi, thứ cần dựng là một cờ chặn marketing mà mọi kênh đều đọc. Quyền xoá ở Điều 17 nằm ngoài phạm vi bài.

### Bài này có nói gì về luật Việt Nam hay luật Anh về dữ liệu cá nhân không?

Không. Bài không dùng nguồn nào về quy định của Việt Nam hay của Anh, nên không khẳng định gì về chúng. Hãy hỏi luật sư về quy định áp dụng cho doanh nghiệp bạn.

## Tài liệu tham khảo

- European Parliament and Council (2016) *Regulation (EU) 2016/679 (General Data Protection Regulation)*. Official Journal of the European Union. Available at: https://eur-lex.europa.eu/eli/reg/2016/679/oj.
- Martin, K.D. and Murphy, P.E. (2017) ‘The role of data privacy in marketing’, *Journal of the Academy of Marketing Science*, 45(2), pp. 135–155. https://doi.org/10.1007/s11747-016-0495-4
- Wedel, M. and Kannan, P.K. (2016) ‘Marketing analytics for data-rich environments’, *Journal of Marketing*, 80(6), pp. 97–121. https://doi.org/10.1509/jm.15.0413

---

Bản HTML chuẩn: https://staging.khoi.co.uk/blog/nhin-khach-360-do-gdpr