Quy định về việc Chatbot AI quét, phân tích dữ liệu công khai để lên kịch bản tư vấn

Hỏi: Công ty A xây dựng và tích hợp Chatbot AI trên trang chủ của công ty để thực hiện hoạt động tư vấn, chăm sóc khách hàng dựa trên các thông tin về dữ liệu cá nhân của khách hàng cung cấp khi nói chuyện với Chatbot AI. Công ty A muốn hỏi các quy định liên quan đến vấn đề này như thế nào?

Bài viết sau đây VDPC sẽ tổng hợp và phân tích chi tiết theo quy định.

I. XÁC ĐỊNH BẢN CHẤT DỮ LIỆU VÀ HÀNH VI XỬ LÝ CỦA CHATBOT AI

Căn cứ pháp lý:

• Điều 2, 9, 23, 31, 37 Luật Bảo vệ dữ liệu cá nhân 2025
• Điều 4 Nghị định 356/2025/NĐ-CP

1. Chủ thể và loại DLCN liên quan

Chủ thể DLCN: Khách hàng nhắn tin, liên hệ tại trang chủ của công ty

Loại DLCN liên quan:

• DLCN cơ bản: độ tuổi, giới tính, tỉnh/thành phố sinh sống…
• DLCN nhạy cảm: dữ liệu sinh trắc học…

2. Hành vi xử lý DLCN

• Quét, thu thập thông tin của khách hàng
• Phân tích, tổng hợp: phân loại phân khúc khách hàng
• Sử dụng: chọn kịch bản tư vấn, chăm sóc khách hàng

3. Mục đích xử lý

• Việc khách hàng chủ động nhắn tin vào trang chủ thể hiện mục đích được tư vấn, trao đổi về dịch vụ họ quan tâm. Điều này không đồng nghĩa với việc cho phép Công ty truy cập và khai thác toàn bộ hồ sơ của họ.
• Theo nguyên tắc “đồng ý theo từng mục đích”, mục đích “phân loại phân khúc và hiển thị kịch bản tư vấn bằng AI” là mục đích hoàn toàn mới, phát sinh sau, nằm ngoài cả hai mục đích ban đầu → do đó không thể suy diễn đã có sự đồng ý.

4. Phương tiện thu thập và xử lý

Phương tiện thu thập: 

• Tự động, không do khách hàng chủ động cung cấp. 
• Chatbot AI được lập trình để tự động truy cập, quét dữ liệu của khách hàng ngay khi họ nhắn tin vào trang chủ thông qua tích hợp kỹ thuật giữa trang chủ và hệ thống AI (do đơn vị cung cấp phần mềm phát triển) và không có bước thông báo hay xin phép nào diễn ra trước khi thu thập.

Phương tiện xử lý:

• Thuật toán AI phân tích các dữ liệu thu được (tuổi, giới tính, địa bàn, hình ảnh) để phân khúc khách hàng theo các tiêu chí có sẵn.
• Hệ thống tự động đối chiếu kết quả phân loại và hiển thị kịch bản tư vấn phù hợp để gửi khách.

5. Vai trò của công ty có Chatbot AI tích hợp tại trang chủ

Công ty là bên quyết định mục đích phối hợp với đơn vị phát triển phần mềm là bên quyết định phương tiện (thuật toán AI tích hợp trang chủ).

→ Công ty là Bên kiểm soát và xử lý DLCN nếu trực tiếp vận hành Chatbot.

→ Công ty là Bên kiểm soát DLCN nếu đơn vị phát triển phần mềm đóng vai trò xử lý.

6. Trách nhiệm của Bên kiểm soát DLCN

• Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• Lựa chọn bên xử lý dữ liệu phù hợp; nêu rõ trách nhiệm, quyền và nghĩa vụ trong hợp đồng, thỏa thuận.
• Trực tiếp thực hiện các biện pháp quản lý, kỹ thuật để bảo vệ dữ liệu và ngăn chặn hoạt động thu thập trái phép. 
• Bảo đảm các quyền của chủ thể dữ liệu cá nhân (như quyền truy cập, chỉnh sửa, xóa…).
• Chịu trách nhiệm bồi thường trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý gây ra.
• Thông báo hành vi vi phạm và phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền.

7. Trách nhiệm của Bên xử lý DLCN

• Chỉ được tiếp nhận và xử lý dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng.
• Xử lý dữ liệu theo đúng phạm vi, mục đích trong thỏa thuận, hợp đồng đã ký kết.
• Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân và ngăn chặn thu thập trái phép.
• Chịu trách nhiệm bồi thường trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý dữ liệu gây ra.
• Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền phục vụ điều tra, xử lý vi phạm.

II. CÁC BƯỚC PHÁP LÝ CẦN THỰC HIỆN ĐỂ CHATBOT THỰC HIỆN TÍNH NĂNG

Căn cứ pháp lý: Điều 3, 9, 10, 19, 21, 30, 37 Luật Bảo vệ dữ liệu cá nhân 2025

1. Cơ chế đồng ý

• Trước khi Chatbot quét dữ liệu trang cá nhân, Công ty cần thiết lập có bước thông báo rõ ràng và xin xác nhận đồng ý của khách hàng để đáp ứng theo quy định pháp luật.
  Ví dụ: tin nhắn tự động đầu tiên nêu rõ mục đích, phạm vi dữ liệu sẽ truy xuất từ trang cá nhân, và nút “Đồng ý/Không đồng ý”). 
• Nếu khách hàng không phản hồi/từ chối, tức là khách không thể hiện sự đồng ý, vì thế Chatbot không được thực hiện bước quét dữ liệu.

2. Giới hạn phạm vi dữ liệu và mục đích

Chỉ thu thập các dữ liệu thực sự cần thiết cho mục đích phân loại đã thông báo cho khách, không mở rộng quét thêm các thông tin khác trên trang cá nhân ngoài phạm vi đã thông báo.

3. Đánh giá tác động xử lý dữ liệu cá nhân

Do đây là hoạt động xử lý dữ liệu cá nhân bằng AI, tự động, ảnh hưởng đến cách phân loại/đối xử với khách hàng, Công ty (với vai trò Bên kiểm soát/Bên kiểm soát và xử lý) nên lập và lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.

Công ty phải lập, lưu trữ Hồ sơ và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý. 

Hồ sơ đánh giá tác động xử lý DLCN bao gồm:

1. Báo cáo đánh giá tác động xử lý DLCN theo Mẫu số 10;
2. Bản sao hợp đồng hoặc thỏa thuận về việc xử lý DLCN, thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân trong hoạt động xử lý DLCN;
3. Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ DLCN của bên kiểm soát DLCN, bên kiểm soát và xử lý DLCN, bên xử lý DLCN.

4. Phân loại rủi ro và bảo mật hệ thống AI

• Công ty nên thực hiện phân loại mức độ rủi ro của hệ thống AI và áp dụng biện pháp bảo vệ tương ứng.
• Tích hợp xác thực, phân quyền truy cập vào dữ liệu do Chatbot thu thập.

5. Thỏa thuận với đơn vị phát triển phần mềm

Ký kết thỏa thuận/hợp đồng xử lý DLCN với đơn vị phát triển phần mềm, nêu rõ trách nhiệm, phạm vi, biện pháp bảo mật nếu đơn vị phát triển phần mềm đóng vai trò Bên xử lý dữ liệu cá nhân.

6. Cơ chế bảo đảm quyền của khách hàng

• Công ty phải cung cấp cho khách hàng biết được Chatbot đang thu thập dữ liệu từ trang cá nhân, quyền từ chối, quyền rút lại đồng ý bất kỳ lúc nào.
• Công ty không được sử dụng việc từ chối này để hạn chế chất lượng tư vấn/dịch vụ đối với khách hàng.

Kết luận

Việc tích hợp Chatbot AI vào hoạt động tư vấn và chăm sóc khách hàng mang lại nhiều ưu thế vượt trội về hiệu suất, song cũng đi kèm với nghĩa vụ pháp lý khắt khe về bảo vệ dữ liệu cá nhân. Do vậy, doanh nghiệp cần nắm rõ quy định để phòng ngừa tối đa rủi ro vi phạm pháp luật.

Trên đây là Quy định về việc Chatbot AI quét, phân tích dữ liệu công khai để lên kịch bản tư vấn.  Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: