Nhiều website có cookie banner nhưng chỉ là một thanh thông báo bấm “Đã hiểu”, trong khi các thẻ theo dõi vẫn chạy ngay khi trang mở. Về nguyên tắc, cách làm đó không đạt yêu cầu “đồng ý” mà các quy định về quyền riêng tư như GDPR của châu Âu đặt ra. Bài này giúp chủ website xây một banner đúng hướng, dựa trên hướng dẫn của EDPB, cơ quan phối hợp bảo vệ dữ liệu châu Âu.
Ba nhóm cookie cần tách
Trước khi làm banner, hãy kiểm kê cookie và thẻ đang chạy trên website. Thông thường chia thành:
- Cần thiết. Giữ phiên đăng nhập, giỏ hàng, bảo mật, ghi nhớ lựa chọn cookie. Nhóm này thường không cần đồng ý.
- Phân tích. Đo lượng truy cập, hành vi người dùng (ví dụ Google Analytics).
- Quảng cáo. Theo dõi để chạy quảng cáo, remarketing, đo chuyển đổi.
Mỗi cookie nên có tên, nhà cung cấp, mục đích và thời hạn. Công cụ quét cookie và tab Application trong trình duyệt giúp lập bảng này. Mô tả nhóm “cần thiết” phải thật sự đúng; không nên xếp cookie quảng cáo vào đó để khỏi xin đồng ý.
Đồng ý trước khi nạp thẻ
Theo hướng dẫn của EDPB, sự đồng ý hợp lệ cần tự nguyện, cụ thể, được thông tin đầy đủ và rõ ràng. Một số hệ quả thực tế:
- Không nạp trước. Thẻ phân tích và quảng cáo chỉ chạy sau khi người dùng chọn đồng ý cho nhóm tương ứng.
- Không tích sẵn. Ô chọn mặc định phải ở trạng thái tắt.
- Từ chối dễ như chấp nhận. Nút “Từ chối” hoặc “Chỉ cần thiết” nên hiển thị rõ như nút “Chấp nhận”.
- Cho chọn theo nhóm. Có cửa sổ cài đặt chi tiết.
- Rút lại được. Có liên kết nhỏ ở chân trang để mở lại bảng lựa chọn và đổi ý bất cứ lúc nào.
- Không ép buộc. Không chặn người dùng vào nội dung chỉ vì họ từ chối cookie không cần thiết, trừ khi có lý do chính đáng.
Với quảng cáo Google, cơ chế Consent Mode cho phép các thẻ điều chỉnh hành vi theo lựa chọn của người dùng. Tình hình cookie bên thứ ba của Chrome, xem Google giữ cookie bên thứ ba mô tả diễn biến thời điểm đó, còn Consent Mode v2 giải thích cách báo trạng thái đồng ý.
Lưu bản ghi đồng ý
Khi cần chứng minh người dùng đã đồng ý, bạn cần có bằng chứng. Nên lưu:
- Thời điểm chọn, phiên bản văn bản banner và chính sách tại thời điểm đó.
- Lựa chọn theo từng nhóm.
- Mã nhận dạng ẩn danh của trình duyệt hoặc phiên.
- Cách người dùng đã tương tác (chấp nhận, từ chối, tuỳ chỉnh).
Bản ghi chỉ nên chứa dữ liệu thật cần thiết, đặt thời hạn lưu hợp lý. Nhiều plugin và dịch vụ quản lý đồng ý có sẵn tính năng này; hãy kiểm tra dữ liệu lưu ở đâu và ai truy cập được.
Chính sách rõ ràng
Banner chỉ là cửa vào. Trang Chính sách cookie hoặc quyền riêng tư cần nói rõ:
- Cookie nào được dùng, bởi ai, vì mục đích gì, trong bao lâu.
- Dữ liệu có chuyển cho bên thứ ba không.
- Cách thay đổi hoặc rút lại lựa chọn.
- Thông tin liên hệ chịu trách nhiệm xử lý dữ liệu.
Ngôn ngữ nên giản dị, tiếng Việt cho người dùng Việt. Khi thêm công cụ mới (chat, bản đồ, video nhúng) hãy cập nhật cả bảng cookie. Việc rà soát này có thể nằm trong lịch bảo trì WordPress hằng tháng. Về các giao thức bảo mật liên quan, có thể xem bài Chrome 68 đánh dấu HTTP không bảo mật, Chrome 56 và HTTP 그리고 Let’s Encrypt hết beta.
Lưu ý về phạm vi
Hướng dẫn của EDPB dành cho khu vực châu Âu. Website phục vụ khách Việt Nam cần xem thêm quy định trong nước về dữ liệu cá nhân. Bài này không phải tư vấn pháp lý; hãy kiểm tra văn bản chính thức hoặc hỏi chuyên gia pháp lý.
2026년 업데이트: Luật Bảo vệ dữ liệu cá nhân của Việt Nam có hiệu lực từ 1/1/2026, nên cách xin và lưu sự đồng ý càng đáng được rà soát; hãy kiểm tra văn bản và hướng dẫn chính thức. Hướng dẫn xử lý sự cố bảo mật có trong website nhiễm mã độc: 8 bước xử lý, nâng cấp bảo mật WordPress an toàn 그리고 소규모 기업을 위한 호스팅 또는 VPS.
Nếu cần hỗ trợ về 웹사이트 디자인 또는 bảo mật máy chủ và website, có thể liên hệ đội Công nghệ của HVSC.
자주 묻는 질문
Cookie banner có bắt buộc không?
Tuỳ quy định áp dụng với website và đối tượng khách truy cập. Với khách ở châu Âu, hướng dẫn về đồng ý của EDPB rất rõ; với Việt Nam, hãy xem văn bản chính thức.
Cookie cần thiết có cần xin đồng ý không?
Thông thường không, nếu cookie thật sự cần cho chức năng người dùng yêu cầu như giỏ hàng hay đăng nhập.
Bấm “Chấp nhận” là đủ để lưu bằng chứng?
Chưa đủ. Cần ghi lại thời điểm, phiên bản chính sách và lựa chọn theo từng nhóm.
참고 자료
- EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 — https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en
- EDPB — https://www.edpb.europa.eu/
- Google, Consent Mode — https://support.google.com/analytics/answer/9976101
Cần tư vấn website, phần mềm hoặc bảo mật?
Mô tả bài toán, kỹ thuật HVSC trao đổi phạm vi và phương án phù hợp với doanh nghiệp.
자주 묻는 질문
Cookie banner có bắt buộc không?
Tuỳ quy định áp dụng với website và đối tượng khách truy cập. Với khách ở châu Âu, hướng dẫn về đồng ý của EDPB rất rõ; với Việt Nam, hãy xem văn bản chính thức.
Cookie cần thiết có cần xin đồng ý không?
Thông thường không, nếu cookie thật sự cần cho chức năng người dùng yêu cầu như giỏ hàng hay đăng nhập.
Bấm "Chấp nhận" là đủ để lưu bằng chứng?
Chưa đủ. Cần ghi lại thời điểm, phiên bản chính sách và lựa chọn theo từng nhóm.
▶
▶
▶
▶
▶