Mỗi khi ai đó hỏi tôi "scraping Instagram có hợp pháp không?", câu trả lời thường rơi vào ba nhóm: "hoàn toàn ổn", "chắc chắn là bất hợp pháp" và "còn tùy". Trong ba nhóm đó, câu trả lời thứ ba mới thực sự hữu ích.
Sự mơ hồ này là có thật vì đáp án phụ thuộc vào loại dữ liệu bạn thu thập, nơi bạn và những người trong dữ liệu đang ở, cách bạn truy cập dữ liệu, và mục đích bạn muốn dùng nó để làm gì. Bài viết này sẽ gỡ rối những điểm dễ gây nhầm lẫn đó. Tôi sẽ đi qua các phán quyết quan trọng của tòa, phân biệt giữa vi phạm quy định nền tảng và vi phạm pháp luật, so sánh theo từng khu vực pháp lý, và đưa ra một sơ đồ quyết định thực tế để bạn tự đánh giá tình huống của mình. Đây không phải là tư vấn pháp lý — tôi là người viết về công nghệ, không phải luật sư — nhưng bài này sẽ giúp bạn có một bản đồ rõ hơn về toàn cảnh.
"Scraping Instagram" Thực Ra Nghĩa Là Gì?
Trước hết, cần định nghĩa rõ.
Scraping Instagram là việc dùng phần mềm để tự động thu thập thông tin hiển thị công khai trên website hoặc ứng dụng Instagram — chẳng hạn như tiểu sử trang cá nhân, chú thích bài đăng, bình luận, việc dùng hashtag, số người theo dõi và các chỉ số tương tác.
Cách này không giống với việc dùng API chính thức của Instagram Graph API, vốn có giới hạn riêng, quy tắc phê duyệt riêng và các ràng buộc về trường hợp sử dụng. Scraping không đi qua API chính thức đó; nó lấy dữ liệu trực tiếp từ các trang web hoặc bề mặt hiển thị của ứng dụng.
Các trường hợp sử dụng phổ biến:
- Tạo khách hàng tiềm năng: Tìm khách hàng hoặc influencer tiềm năng dựa trên hồ sơ công khai và mẫu tương tác.
- Theo dõi đối thủ: Xem tần suất đăng bài, tỷ lệ tương tác và chiến lược nội dung của đối thủ.
- Nghiên cứu thị trường: Phân tích xu hướng hashtag, cảm xúc hoặc mô hình địa lý trong các bài đăng công khai.
- Nghiên cứu học thuật: Nghiên cứu diễn ngôn công khai, văn hóa hình ảnh hoặc động lực mạng xã hội cho luận văn hoặc bài nghiên cứu.
Bài viết này tập trung vào câu hỏi pháp lý — không phải hướng dẫn kỹ thuật. Nếu bạn đang cố xác định liệu trường hợp sử dụng cụ thể của mình có khiến bạn bị kiện, bị khóa tài khoản hay bị phạt hay không, hãy đọc tiếp.
Scraping Instagram Có Hợp Pháp Không? Câu Trả Lời Ngắn Gọn
Theo án lệ hiện hành tại Mỹ, việc scrape dữ liệu Instagram công khai nhìn chung không bị xem là tội liên bang — nhưng "không phải tội" và "hoàn toàn ổn" là hai khẳng định rất khác nhau.
Có ba lớp pháp lý riêng biệt cần xét đến, và phần lớn sự nhầm lẫn đến từ việc người ta gom chúng lại với nhau:
- Luật truy cập máy tính (ví dụ: U.S. Computer Fraud and Abuse Act, hay CFAA): Việc truy cập dữ liệu có bị xem là "không được phép" hay không?
- Quy định về quyền riêng tư (ví dụ: GDPR, CCPA): Dữ liệu có chứa thông tin cá nhân không, và bạn có cơ sở pháp lý để xử lý hay không?
- Hợp đồng/Điều khoản dịch vụ: Điều khoản sử dụng của Instagram có cấm hành vi bạn đang làm không, và hậu quả là gì nếu bạn vi phạm?
Mỗi lớp có hậu quả, cơ chế thực thi và mức độ rủi ro khác nhau. Một lần scrape có thể hoàn toàn ổn ở một lớp nhưng lại gây vấn đề nghiêm trọng ở lớp khác.
"Lượt Scrape Của Tôi Có Hợp Pháp Không?" — Sơ Đồ Quyết Định Bạn Thực Sự Có Thể Dùng
Tôi đã đọc hàng chục bài viết về chủ đề này. Bài nào cũng liệt kê cùng những yếu tố pháp lý trong các đoạn văn dài dằng dặc — nhưng không bài nào cho bạn cách tự đánh giá tình huống của mình trong vòng chưa đầy một phút. Đây là một cây quyết định:
| Bước | Câu hỏi | Nếu CÓ → | Nếu KHÔNG → |
|---|---|---|---|
| 1 | Dữ liệu có hiển thị công khai mà không cần đăng nhập không? | Sang bước 2 | ⚠️ Rủi ro cao — có thể liên quan đến CFAA / bảo vệ kiểm soát truy cập |
| 2 | Dữ liệu có chứa thông tin cá nhân (tên, ảnh, bio, địa chỉ email) không? | Sang bước 3 (áp dụng GDPR/CCPA) | Rủi ro thấp hơn — sang bước 4 |
| 3 | Bạn có cơ sở pháp lý theo GDPR/CCPA (lợi ích hợp pháp, đồng ý, v.v.) không? | Sang bước 4 | ⛔ Không tiếp tục nếu chưa có tư vấn pháp lý |
| 4 | Việc sử dụng có mang tính thương mại không (bán lại dữ liệu, lead gen, sản phẩm SaaS)? | Rủi ro bị thực thi cao hơn — xem lại mức độ phơi nhiễm với TOS & các án lệ cease-and-desist | Rủi ro thấp hơn — đặc biệt nếu dùng cho cá nhân/học thuật |
| 5 | Bạn có tránh các biện pháp vượt rào kỹ thuật và truy cập tự động quá mức không? | Rủi ro thực tế thấp hơn | Tăng rủi ro pháp lý, rủi ro nền tảng và rủi ro tài khoản |
Đây không phải là “vé miễn trừ” — mà là một khung đánh giá rủi ro. Nếu bạn trả lời "có" ở các bước 1, 3 và 5, đồng thời "không" ở bước 4, bạn đang ở vùng rủi ro thấp hơn. Nếu bạn đã đăng nhập, thu thập dữ liệu cá nhân mà không có cơ sở pháp lý, bán lại dữ liệu đó cho mục đích thương mại và phớt lờ các kiểm soát của nền tảng, bạn đang chất chồng rủi ro lên nhau.
Trong các quy trình công việc cho doanh nghiệp, con đường ít rủi ro hơn thường là tránh thu thập từ Instagram hoàn toàn và dùng các nguồn công khai được phép như website công ty, trang đích của creator, trang thương mại điện tử, danh bạ hoặc bộ dữ liệu có cấp phép. Sơ đồ này áp dụng bất kể công cụ bạn dùng.
Bước 1: Dữ Liệu Có Hiển Thị Công Khai Không?
Hãy thử bằng trình duyệt ẩn danh: mở một cửa sổ riêng tư (không đăng nhập Instagram), truy cập vào trang và quan sát. Nếu bạn vẫn nhìn thấy dữ liệu, thì về mặt truy cập thực tế, nó là công khai. Các vụ án ở Mỹ như hiQ v. LinkedIn đã phân biệt dữ liệu công khai khi chưa đăng nhập với dữ liệu nằm sau lớp kiểm soát truy cập trong phạm vi CFAA — nhưng điều đó không đồng nghĩa với việc bạn được cấp phép vô điều kiện.
Instagram cũng thay đổi những gì có thể xem mà không cần đăng nhập theo thời gian. Hãy kiểm tra chính xác cái gì đang công khai hiện tại trước khi cho rằng mục tiêu của bạn có thể truy cập không cần tài khoản.
Bước 2: Dữ Liệu Có Chứa Thông Tin Cá Nhân Không?
Dữ liệu cá nhân được định nghĩa rất rộng theo GDPR và CCPA: tên người dùng, ảnh đại diện, phần giới thiệu, địa chỉ email, thẻ vị trí, thậm chí cả các thuộc tính suy luận từ hình ảnh hoặc caption. Nếu bạn scrape hồ sơ Instagram, gần như chắc chắn bạn đang thu thập dữ liệu cá nhân.
Việc dữ liệu hiển thị công khai không giúp bạn miễn trừ khỏi luật quyền riêng tư — đây là một trong những hiểu lầm bền bỉ nhất trong lĩnh vực này.
Bước 3: Bạn Có Cơ Sở Pháp Lý Không?
Theo Điều 6 của GDPR, bạn cần có cơ sở pháp lý được ghi nhận trước khi xử lý dữ liệu cá nhân. "Lợi ích hợp pháp" là cơ sở thường được viện dẫn nhất cho scraping, nhưng nó đòi hỏi một phép cân bằng chính thức — lợi ích của bạn so với quyền của chủ thể dữ liệu. Đồng ý của người dùng cũng là một lựa chọn, nhưng gần như không khả thi khi scraping ở quy mô lớn.
Theo CCPA, cư dân California có các quyền liên quan đến thông tin cá nhân của họ, bao gồm quyền biết, quyền xóa và quyền từ chối việc bán/chia sẻ. Nếu bạn là doanh nghiệp đủ điều kiện và đang thu thập dữ liệu của cư dân California, các nghĩa vụ này sẽ áp dụng.
Không có cơ sở pháp lý + có dữ liệu cá nhân = dừng lại và xin tư vấn pháp lý.
Bước 4: Mục Đích Có Mang Tính Thương Mại Không?
Việc sử dụng thương mại — bán lại bộ dữ liệu, xây sản phẩm lead generation, nạp dữ liệu cho một công cụ SaaS — là thứ Meta chú ý thực thi mạnh nhất. Các dự án cá nhân và nghiên cứu học thuật có rủi ro thực tế thấp hơn, dù không phải là không có rủi ro.
Bước 5: Bạn Có Tôn Trọng Rate Limit Và Các Hàng Rào Của Nền Tảng Không?
Đừng vượt qua CAPTCHA, tường đăng nhập, cơ chế chống bot hay giới hạn tài khoản. Ngay cả khi dữ liệu trông có vẻ công khai, truy cập tự động quá mức sẽ làm tăng rủi ro bị nền tảng xử lý, rủi ro hợp đồng, rủi ro về quyền riêng tư và rủi ro vận hành.
Dữ Liệu Công Khai vs. Dữ Liệu Riêng Tư: Ranh Giới Quan Trọng Nhất
Mọi thứ đều xoay quanh một điểm phân biệt: dữ liệu công khai và dữ liệu riêng tư.
| Thường Rủi Ro Thấp Hơn Khi Scrape | Không Nên Scrape |
|---|---|
| Bio hồ sơ công khai, tên hiển thị | Bài đăng/story của tài khoản riêng tư |
| Chú thích bài đăng và bình luận công khai | Tin nhắn trực tiếp (DM) |
| Việc sử dụng hashtag công khai | Nội dung nằm sau tường đăng nhập |
| Số liệu tương tác công khai (like, số bình luận) | Dữ liệu từ tài khoản giả/mua |
| Ảnh đại diện công khai (kèm lưu ý về luật riêng tư) | Danh sách người theo dõi ở quy mô lớn (vùng xám) |
Vùng xám thì rất nhiều. Danh sách follower/following, dữ liệu vị trí được gắn thẻ, và tài khoản của trẻ em đều nằm trong vùng pháp lý mơ hồ. Ngay cả khi về mặt kỹ thuật vẫn nhìn thấy được, việc scrape ở quy mô lớn có thể gây ra lo ngại về quyền riêng tư hoặc dẫn tới thực thi từ nền tảng. Khi không chắc, tốt nhất là đừng thu thập.
Lập luận về luật truy cập máy tính ở Mỹ ở đây xuất phát từ các vụ như hiQ v. LinkedIn, nhưng cần giữ đúng phạm vi: đó là câu chuyện về quyền truy cập theo CFAA, chứ không phải kết luận rằng mọi hồ sơ mạng xã hội công khai đều có thể được thu thập và tái sử dụng tự do. Các quy định về quyền riêng tư như GDPR hoạt động trên một khung pháp lý khác.
Vi Phạm Điều Khoản Sử Dụng vs. Trách Nhiệm Hình Sự: Hiểu Lầm Lớn Nhất Về Scraping Instagram
Tôi nói thẳng luôn:
Vi phạm Điều khoản Dịch vụ của Instagram không phải là tội phạm.
Điều khoản sử dụng của Instagram nêu rằng người dùng không được tạo tài khoản hoặc truy cập/thu thập thông tin theo cách không được phép, bao gồm cả việc thu thập tự động nếu không có sự cho phép rõ ràng của Instagram. Điều khoản thu thập dữ liệu tự động của Meta cũng yêu cầu có sự cho phép bằng văn bản rõ ràng.
Đây là các quy tắc hợp đồng — thỏa thuận giữa bạn và Instagram. Vi phạm chúng có thể dẫn đến khóa tài khoản và, trong trường hợp cực đoan, bị kiện dân sự. Chúng không phải là luật hình sự.
Đây là thứ bậc pháp lý, giản lược như sau:
| Lớp Pháp Lý | Bản Chất | Hậu Quả Khi Vi Phạm |
|---|---|---|
| Luật Hợp Đồng (TOS) | Thỏa thuận giữa bạn và Instagram | Khóa tài khoản, kiện dân sự vì vi phạm hợp đồng |
| Luật Thành Văn (CFAA) | Luật liên bang về truy cập máy tính | Có thể bị trách nhiệm hình sự — nhưng đã bị thu hẹp đáng kể sau Van Buren v. US (2021) |
| Luật Quy Định (GDPR/CCPA) | Quy định về quyền riêng tư | Phạt tới 4% doanh thu toàn cầu (GDPR); nhiều chế tài khác nhau theo CCPA |
Đó là điểm khác biệt cốt lõi: một quy tắc của nền tảng có thể tạo ra rủi ro về tài khoản và trách nhiệm dân sự theo hợp đồng mà không tự động biến thành tội phạm máy tính.
Điểm tinh tế nằm ở chỗ Meta v. Bright Data (tháng 1/2024) đã nghiêng về phía Bright Data trong lập luận vi phạm hợp đồng của Meta đối với việc scrape dữ liệu công khai của Facebook và Instagram khi chưa đăng nhập. Tuy nhiên phán quyết đó rất hẹp: truy cập khi chưa đăng nhập, dữ liệu công khai, một bộ hồ sơ sự kiện cụ thể và chỉ tại một tòa án quận ở Mỹ. Nó không hợp thức hóa việc scrape qua tường đăng nhập, thu thập bằng tài khoản giả, dữ liệu riêng tư, vi phạm luật riêng tư, hay mọi hình thức tái sử dụng dữ liệu Instagram cho mục đích thương mại.
Thực Tế Nếu Scrape Instagram Thì Sẽ Ra Sao: Ma Trận Rủi Ro
Người ta liên tục hỏi "Instagram có kiện tôi không?" và "Tài khoản của tôi có bị khóa không?". Dưới đây là bức tranh thực tế:
| Hậu Quả | Điều Gì Xảy Ra | Mức Độ Nghiêm Trọng | Xác Suất |
|---|---|---|---|
| Khóa/tạm ngưng tài khoản | Xảy ra ngay, thường không có quyền kháng cáo | Ảnh hưởng thấp-vừa | CAO nếu scrape quá mạnh |
| Thư yêu cầu chấm dứt (cease & desist) | Thông báo pháp lý từ luật sư của Meta | Ảnh hưởng vừa (tốn chi phí pháp lý để phản hồi) | TRUNG BÌNH với mục đích thương mại |
| Kiện dân sự (vi phạm TOS) | Yêu cầu bồi thường, lệnh cấm | Ảnh hưởng cao | THẤP (thường dành cho hoạt động khối lượng lớn/thương mại) |
| Bị truy tố theo CFAA | Cáo buộc hình sự | Ảnh hưởng rất cao | RẤT THẤP (đã bị thu hẹp đáng kể sau Van Buren) |
| Phạt GDPR | Tới 4% doanh thu toàn cầu | Ảnh hưởng rất cao | THẤP-TRUNG BÌNH khi scrape dữ liệu cá nhân ở EU |
Hai hậu quả có khả năng xảy ra nhất là bị hạn chế tài khoản và nhận thư cease-and-desist. Cách kiểm soát tốt nhất không phải là mẹo kỹ thuật; mà là kỷ luật về phạm vi: tránh thu thập khi đã đăng nhập hoặc bị chặn, giảm thiểu dữ liệu cá nhân, ghi nhận mục đích và cơ sở pháp lý, và dùng các kênh chính thức hoặc có sự đồng ý khi có thể.
Meta cho biết trên trang tiến độ về quyền riêng tư rằng họ chặn hàng tỷ hành động scraping trái phép bị nghi ngờ mỗi ngày trên Facebook, Instagram và WhatsApp. Đây là tuyên bố của Meta và tôi không thể tự xác minh con số đó, nhưng nó cho thấy họ coi việc thực thi này nghiêm túc đến mức nào.
Theo Từng Quốc Gia: Scraping Instagram Ở Đâu Là Hợp Pháp?
Tính hợp pháp phụ thuộc vào khu vực pháp lý, và không có hai quốc gia nào xử lý hoàn toàn giống nhau. Đây là bảng so sánh mà theo tôi biết thì chưa ai trình bày theo dạng dễ đọc như thế này:
| Khu Vực Pháp Lý | Luật Chính | Scraping Dữ Liệu Công Khai | Scraping Dữ Liệu Cá Nhân | Rủi Ro Chỉ Từ TOS | Vụ Án/Phán Quyết Đáng Chú Ý |
|---|---|---|---|---|---|
| Mỹ | CFAA, các biến thể CFAA cấp bang | Rủi ro CFAA thấp hơn đối với dữ liệu công khai khi chưa đăng nhập trong một số trường hợp, nhưng phụ thuộc vào sự kiện cụ thể | CCPA/CPRA có thể áp dụng cho doanh nghiệp đủ điều kiện và cư dân California | Vẫn có thể phát sinh rủi ro hợp đồng/tài khoản/dân sự | hiQ v. LinkedIn (2022), Van Buren v. US (2021), Meta v. Bright Data (2024) |
| EU | GDPR, Database Directive | Rủi ro quyền riêng tư thấp hơn khi không liên quan đến dữ liệu cá nhân; các quyền khác vẫn có thể phát sinh | Cần có cơ sở pháp lý theo Điều 6 | Vẫn có thể phát sinh rủi ro hợp đồng và thực thi từ nền tảng | Các biện pháp thực thi GDPR; rủi ro dữ liệu thuộc nhóm nhạy cảm trong ảnh/bio |
| Anh | UK GDPR, DPA 2018 | Tương tự EU | Cần có cơ sở pháp lý; hướng dẫn của ICO cập nhật tháng 4/2026 | Vẫn có thể phát sinh rủi ro hợp đồng và thực thi từ nền tảng | Các tài liệu hướng dẫn của ICO |
| Canada | PIPEDA, luật cấp tỉnh | Rủi ro thấp hơn khi không có thông tin cá nhân | Có thể áp dụng nghĩa vụ đồng ý và các nghĩa vụ về quyền riêng tư khác | Vẫn có thể phát sinh rủi ro hợp đồng và thực thi từ nền tảng | Ít án lệ cụ thể về scraping |
| Brazil | LGPD | Rủi ro thấp hơn khi không có dữ liệu cá nhân | Cần có cơ sở pháp lý | Vẫn có thể phát sinh rủi ro hợp đồng và thực thi từ nền tảng | Đang hình thành thực thi; chưa có vụ scraping lớn đáng chú ý |
| Australia | Privacy Act 1988 | Rủi ro thấp hơn khi không có thông tin cá nhân | Có thể áp dụng Australian Privacy Principles (APPs) | Vẫn có thể phát sinh rủi ro hợp đồng và thực thi từ nền tảng | Ít án lệ cụ thể về scraping |
Một mô hình rất rõ ràng xuất hiện xuyên suốt cả sáu khu vực pháp lý. Ở mọi nơi, việc scrape dữ liệu công khai không mang tính cá nhân là kịch bản ít rủi ro nhất. Ngay khi dữ liệu cá nhân xuất hiện, luật riêng tư sẽ can thiệp — và "dữ liệu đó đã hiển thị công khai" không phải là một biện hộ theo GDPR, UK GDPR hay LGPD. Đó chỉ là một yếu tố cân nhắc, không phải là cơ sở pháp lý tự thân.
Với độc giả đang nghĩ đến vấn đề nơi lưu trữ dữ liệu và thu thập xuyên biên giới: nơi dữ liệu được thu thập, xử lý và lưu giữ đều có thể quan trọng. Nếu bạn dùng bất kỳ công cụ hay nhà cung cấp bên thứ ba nào cho các nguồn công khai được phép, hãy xem xét khu vực vận hành, thời gian lưu giữ và kiểm soát quyền riêng tư trước khi thu thập dữ liệu cá nhân.
Các Mốc Pháp Lý Quan Trọng Trong Rủi Ro Scraping Instagram
Một vài mốc pháp lý và chính sách nền tảng giải thích vì sao câu trả lời vẫn còn nhiều sắc thái:
- 2017: hiQ v. LinkedIn — Tòa án quận ban hành lệnh cấm sơ bộ, ngăn LinkedIn chặn việc hiQ scrape hồ sơ công khai. Đây là phán quyết lớn đầu tiên ở Mỹ có lợi cho scraping dữ liệu công khai.
- 2018: GDPR có hiệu lực tại EU, thiết lập khung bảo vệ dữ liệu cá nhân toàn diện nhất thế giới.
- 2020: CCPA có hiệu lực tại California. Meta nộp đơn trong vụ Meta v. BrandTotal, nhắm vào việc scrape dữ liệu Facebook.
- 2021: Van Buren v. United States — Tòa án Tối cao Mỹ thu hẹp cách hiểu về điều khoản "vượt quá quyền truy cập được phép" của CFAA. Đây là một cột mốc rất lớn đối với luật scraping.
- 2022: hiQ v. LinkedIn — Tòa phúc thẩm Khu vực 9 ra phán quyết cuối cùng, khẳng định scraping dữ liệu công khai không vi phạm CFAA.
- 2024: Meta v. Bright Data — Tòa Khu vực Bắc California kết luận rằng Điều khoản của Facebook/Instagram không ngăn Bright Data scrape dữ liệu công khai khi chưa đăng nhập. Phán quyết hẹp nhưng đáng chú ý.
- Từ 2024 trở đi: Meta tiếp tục thực thi chống scraping công khai. Trang tiến độ về quyền riêng tư của họ nói Meta chặn hàng tỷ hành động scraping trái phép bị nghi ngờ mỗi ngày trên Facebook, Instagram và WhatsApp. Hãy xem đó là tuyên bố thực thi của riêng Meta, không phải một chuẩn mực đã được kiểm chứng độc lập.
Van Buren v. US Đã Thay Đổi Cách Tính Rủi Ro Với Dữ Liệu Công Khai Như Thế Nào
Trước Van Buren, từng có lập luận khá nghiêm túc rằng việc scrape bất kỳ website nào trái với ý muốn của chủ sở hữu có thể là tội liên bang theo CFAA. Cách diễn đạt của luật về việc "vượt quá quyền truy cập được phép" đủ rộng để một số công tố viên và nguyên đơn cố kéo cả vi phạm TOS vào phạm vi đó.
Tòa án Tối cao đã chặn hướng đó. Trong Van Buren, Tòa áp dụng khung "cổng mở vs. cổng đóng": CFAA chỉ áp dụng khi ai đó vượt qua một rào cản truy cập công nghệ (như tường đăng nhập hoặc mật khẩu), chứ không phải khi họ chỉ truy cập thông tin vốn sẵn có công khai nhưng chủ website không muốn họ dùng.
Với scraping, tác động thực tế là rất lớn. Nếu dữ liệu nằm sau tường đăng nhập hoặc cơ chế kiểm soát truy cập khác, rủi ro CFAA có thể tăng nhanh. Nếu dữ liệu nằm trên một trang công khai mà bất kỳ ai cũng có thể mở bằng trình duyệt ẩn danh, lập luận theo CFAA thường yếu hơn, dù rủi ro về quyền riêng tư, hợp đồng, sở hữu trí tuệ và thực thi của nền tảng vẫn có thể tồn tại.
Phần lớn bài viết của đối thủ thường trích hiQ nhưng giải thích quá ít về Van Buren. Hai phán quyết này bổ trợ cho nhau, và Van Buren có lẽ còn quan trọng hơn vì đó là án lệ của Tòa án Tối cao với hiệu lực toàn quốc, chứ không chỉ là phán quyết của một tòa khu vực.
Cách Meta Thực Thi Quy Định
Meta không đứng yên. Dựa trên các tuyên bố công khai của chính Meta, bộ công cụ thực thi của họ bao gồm:
- Giới hạn tốc độ và giới hạn dữ liệu để giảm việc thu thập tự động.
- Phát hiện mẫu hành vi để nhận diện hoạt động thu thập bất thường.
- Hạn chế hoặc vô hiệu hóa tài khoản khi Meta cho rằng tự động hóa đã vi phạm điều khoản.
- Thư cease-and-desist, kiện tụng và yêu cầu gỡ bỏ đối với các hoạt động scraping khối lượng lớn hoặc mang tính thương mại.
Ngay cả khi bạn chỉ quan tâm đến rủi ro pháp lý, việc nền tảng thực thi vẫn rất quan trọng. Lập trường công khai của Meta rất rõ: việc thu thập tự động từ nền tảng của họ mà không có phép là vi phạm quy định, và họ đầu tư mạnh để ngăn chặn điều đó.
Scraping Instagram Cho Nghiên Cứu Học Thuật: Sinh Viên Và Nhà Nghiên Cứu Cần Biết Gì
Sinh viên cao học và nhà nghiên cứu học thuật nằm trong một nhóm rủi ro khác — thường thấp hơn so với việc bán lại dữ liệu thương mại, nhưng không phải là không có rủi ro.
Rủi ro thấp hơn so với scraping thương mại, đúng. Tự động được miễn trừ, không.
Phân Tích Fair Use Đối Với Dữ Liệu Instagram
Ở Mỹ, học thuyết fair use (17 U.S.C. § 107) xem xét bốn yếu tố:
- Mục đích và tính chất của việc sử dụng: Việc sử dụng phi thương mại, phục vụ giáo dục và có tính biến đổi sẽ có lợi hơn cho fair use. Nghiên cứu học thuật thường ở vị thế tốt ở yếu tố này.
- Bản chất của tác phẩm có bản quyền: Dữ liệu mang tính thực tế (số follower, ngày đăng) ít được bảo hộ hơn nội dung sáng tạo (ảnh, caption). Việc scrape nội dung sáng tạo rủi ro hơn.
- Lượng dữ liệu sử dụng: Scrape toàn bộ một hồ sơ công khai khác với chỉ vài điểm dữ liệu. Hãy tối giản những gì bạn thu thập.
- Tác động đến thị trường: Nếu nghiên cứu của bạn không cạnh tranh với sản phẩm thương mại của Instagram, yếu tố này sẽ có lợi cho bạn.
Nghiên cứu học thuật thường nghiêng về phía có lợi trong phân tích này, nhưng không có gì đảm bảo — đặc biệt nếu bạn scrape lượng lớn nội dung sáng tạo (hình ảnh, video, caption đầy đủ).
Lưu Ý IRB
Nếu nghiên cứu của bạn liên quan đến dữ liệu có thể nhận diện con người — mà hồ sơ Instagram thì mặc định là có thể nhận diện — thì Hội đồng Đánh giá Thể chế của trường (IRB) có thể cần xem xét và phê duyệt kế hoạch thu thập dữ liệu của bạn. Điều này đúng ngay cả khi dữ liệu hiển thị công khai. Hãy kiểm tra với IRB trước khi bắt đầu scrape.
Các Chương Trình Nghiên Cứu Dành Riêng Cho Nền Tảng
Meta cung cấp Content Library và API cho các nhà nghiên cứu được phê duyệt, cho phép truy cập nội dung công khai từ Facebook, Instagram và Threads. Hồ sơ đăng ký được xem xét độc lập. Nếu bạn đủ điều kiện, đây là một con đường chính thức ít rủi ro hơn cho nghiên cứu học thuật về Instagram.
(Lưu ý: công cụ CrowdTangle của Meta, vốn rất phổ biến với giới nghiên cứu, đã bị ngừng dần ở mức lớn. Content Library/API là phiên bản kế nhiệm.)
Giảm Thiểu Dữ Liệu Cho Nhà Nghiên Cứu
Hướng dẫn thực tế:
- Chỉ thu thập những điểm dữ liệu bạn thực sự cần cho câu hỏi nghiên cứu. Đừng scrape cả hồ sơ "phòng khi cần".
- Ẩn danh bộ dữ liệu càng sớm càng tốt — bỏ tên người dùng, làm mờ ảnh đại diện, tổng hợp thay vì báo cáo ở cấp độ cá nhân.
- Thiết lập chính sách lưu giữ dữ liệu: bạn sẽ giữ dữ liệu bao lâu, và khi nào sẽ xóa?
- Ghi lại phương pháp luận và cơ sở pháp lý của bạn (để tuân thủ GDPR nếu áp dụng).
Với nghiên cứu ngoài phạm vi thu thập riêng cho Instagram, hãy áp dụng nguyên tắc tối thiểu hóa dữ liệu: chỉ thu thập các trường cần cho mục đích đã nêu, tránh lưu text thô không cần thiết, và ghi nhận chính sách lưu trữ cùng kiểm soát truy cập.
Danh Sách Kiểm Tra Rủi Ro Thấp Trước Khi Thu Thập Dữ Liệu Instagram
Sau khi đã nắm được bức tranh pháp lý, đây là danh sách kiểm tra thực tế để giảm rủi ro:
- Chỉ scrape dữ liệu hiển thị công khai. Dùng bài kiểm tra bằng trình duyệt ẩn danh. Nếu bạn không xem được khi chưa đăng nhập, đừng scrape.
- Không bao giờ vượt qua tường đăng nhập hoặc dùng tài khoản giả. Đây là lúc rủi ro CFAA, hợp đồng và thực thi từ nền tảng tăng vọt.
- Xem các kiểm soát kỹ thuật và tài khoản như biển dừng. CAPTCHA, tường đăng nhập, hạn chế tài khoản và hệ thống chống bot là những cảnh báo đỏ rõ ràng.
- Giảm thiểu việc thu thập dữ liệu cá nhân. Chỉ thu thập những gì bạn thật sự cần. Nếu không cần username thì đừng lấy.
- Có chính sách lưu giữ và xóa dữ liệu. Biết rõ bạn sẽ giữ dữ liệu bao lâu và khi nào sẽ xóa.
- Ghi nhận cơ sở pháp lý nếu bạn thu thập dữ liệu cá nhân (đặc biệt theo GDPR). "Lợi ích hợp pháp" cần một bản cân bằng bằng văn bản, không chỉ là ý định chung chung.
- Dùng nguồn chính thức, được cấp phép, có sự đồng ý hoặc nguồn ngoài Instagram khi phù hợp. Cách thu thập ít rủi ro nhất đôi khi là không cần thu thập trên Instagram.
Một Lưu Ý Về Công Cụ Và Giải Pháp Thay Thế
Thunderbit được thiết kế cho các quy trình web công khai được phép ngoài các sản phẩm của Meta. Công cụ này không cung cấp chức năng thu thập dữ liệu Facebook, Instagram, Threads, Messenger, WhatsApp hoặc Meta Ad Library, cũng như không hỗ trợ kết nối tài khoản hay cơ chế vượt rào.
Với nhiều câu hỏi kinh doanh, website doanh nghiệp công khai, danh bạ, trang thương mại điện tử, bộ dữ liệu có cấp phép và các nguồn không thuộc Meta có thể cung cấp thông tin bạn cần với điều khoản và nghĩa vụ quyền riêng tư rõ ràng hơn. Hãy chọn một nguồn cho phép rõ ràng mục đích sử dụng mà bạn định triển khai, rồi tối thiểu hóa lượng thông tin bạn lưu giữ.
Điểm Chính Cần Nhớ
- Scraping dữ liệu Instagram công khai không tự động là bất hợp pháp theo án lệ hiện hành ở Mỹ, nhưng "không bất hợp pháp" và "không có rủi ro" là hai chuyện rất khác nhau.
- Ba lớp pháp lý cần chú ý: luật truy cập máy tính (CFAA), quy định quyền riêng tư (GDPR/CCPA), và hợp đồng/Điều khoản sử dụng. Đừng trộn chúng với nhau.
- Vi phạm TOS không phải là tội phạm. Nó có thể dẫn đến khóa tài khoản và kiện dân sự, nhưng không tự động thành truy tố hình sự (sau Van Buren).
- Luật riêng tư vẫn áp dụng với dữ liệu công khai. Nếu bạn thu thập thông tin cá nhân, bạn cần cơ sở pháp lý — đặc biệt dưới GDPR và CCPA.
- Khu vực pháp lý rất quan trọng. Bức tranh pháp lý khác biệt đáng kể giữa Mỹ, EU, Anh, Canada, Brazil và Australia.
- Sơ đồ quyết định là người bạn đồng hành. Đi qua nó cho mọi dự án thu thập dữ liệu: truy cập công khai → dữ liệu cá nhân → cơ sở pháp lý → trường hợp sử dụng → kiểm soát của nền tảng.
- Nhà nghiên cứu học thuật có rủi ro thấp hơn nhưng không phải bằng không. Hãy dùng Content Library/API của Meta nếu đủ điều kiện, tối thiểu hóa dữ liệu, ẩn danh sớm và kiểm tra với IRB.
- Cân nhắc nguồn dữ liệu thay thế. Với nhiều nhu cầu kinh doanh, website công khai, danh bạ và trang của creator có thể cung cấp dữ liệu bạn cần mà không mang rủi ro riêng của nền tảng Instagram. Hãy chọn nguồn cho phép rõ mục đích sử dụng.
- Hãy hỏi luật sư khi dùng cho mục đích thương mại lớn và có rủi ro cao. Bài viết này là bản đồ, không phải ý kiến pháp lý.
Câu Hỏi Thường Gặp Về Việc Scraping Instagram Hợp Pháp
Instagram có thể kiện tôi vì scrape dữ liệu công khai không?
Meta có thể gửi thư cease-and-desist hoặc khởi kiện dân sự vì vi phạm Điều khoản Dịch vụ. Tuy nhiên, tòa án Mỹ — bao gồm cả trong vụ Meta v. Bright Data (2024) — đã phán rằng Điều khoản của Instagram không ngăn việc scrape dữ liệu công khai khi chưa đăng nhập trong một số bối cảnh cụ thể, và Van Buren v. US (2021) đã thu hẹp đáng kể trách nhiệm theo CFAA đối với việc truy cập thông tin công khai. Khả năng bị kiện là thấp đối với việc dùng quy mô nhỏ, không mang tính thương mại, nhưng không phải là bằng không — đặc biệt nếu là hoạt động thương mại.
Scraping Instagram có hợp pháp ở châu Âu không?
Việc scrape dữ liệu công khai, không mang tính cá nhân thường là kịch bản rủi ro quyền riêng tư thấp hơn, nhưng dữ liệu Instagram thường chứa dữ liệu cá nhân. Nếu có dữ liệu cá nhân, bạn cần cơ sở pháp lý theo Điều 6 của GDPR — chẳng hạn như lợi ích hợp pháp kèm bản cân bằng được ghi nhận. Mức phạt khi không tuân thủ có thể lên tới 4% doanh thu toàn cầu hàng năm. Hướng dẫn của ICO (cập nhật tháng 4/2026) yêu cầu tổ chức xác định và ghi lại cơ sở pháp lý trước khi xử lý.
Tài khoản Instagram của tôi có bị khóa vì scraping không?
Hạn chế tài khoản là một trong những hậu quả dễ xảy ra nhất nếu scrape quá mạnh. Chính sách hạn chế tài khoản của Instagram mô tả việc scrape trái phép là tự động hóa dùng để thu thập thông tin vi phạm Điều khoản của họ. Tránh scrape bằng tài khoản cá nhân sẽ giảm nguy cơ bị khóa, nhưng không khiến việc thu thập từ Instagram trở nên an toàn về mặt pháp lý hay hợp đồng.
Scraping Instagram cho nghiên cứu học thuật có hợp pháp không?
Nhìn chung rủi ro thấp hơn so với bán lại thương mại, đặc biệt với nghiên cứu phi thương mại trên dữ liệu công khai, nhưng không tự động được miễn trừ. Fair use hoặc fair dealing có thể liên quan, nhưng nhà nghiên cứu vẫn nên kiểm tra yêu cầu IRB khi xử lý dữ liệu có thể nhận diện con người, áp dụng tối thiểu hóa dữ liệu và cân nhắc dùng Content Library và API của Meta nếu đủ điều kiện.
Khác nhau giữa scraping Instagram và dùng API Instagram là gì?
Instagram Graph API chính thức cung cấp quyền truy cập có cấu trúc cho các trường hợp sử dụng tài khoản doanh nghiệp và creator đã được phê duyệt, nhưng có giới hạn, yêu cầu xét duyệt và ràng buộc chính sách. Scraping thì thu thập dữ liệu nhìn thấy trên website theo cách không đi qua API chính thức đó. Cả hai hướng đều có khía cạnh pháp lý: việc dùng API được điều chỉnh bởi điều khoản dành cho nhà phát triển của Meta, trong khi việc scrape dữ liệu công khai khi chưa đăng nhập đã được xử lý thuận lợi trong một số án lệ hẹp tại Mỹ nhưng vẫn có thể phát sinh vấn đề về điều khoản, quyền riêng tư, sở hữu trí tuệ và thực thi từ nền tảng. Với hầu hết nhu cầu kinh doanh, API chính thức, dữ liệu có sự đồng ý, dữ liệu có cấp phép hoặc các nguồn công khai ngoài Instagram là những con đường ít rủi ro hơn.
Tìm hiểu thêm
