Banner cookie và sự đồng ý của người truy cập: luật Việt Nam, EU và cách làm kỹ thuật

Banner cookie thường bị xem là phần trang trí làm sau cùng, nhưng nó quyết định thẻ theo dõi nào chạy trước khi người truy cập chọn. Với website Việt Nam còn thêm 2 câu hỏi: luật trong nước đòi gì, và khách từ EU thì sao.

Bài dựa trên Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (đọc qua bản chép), hướng dẫn của EU về cookie và tài liệu Google Consent Mode, đối chiếu đến ngày 22/10/2026. Bài không phải tư vấn pháp lý.

Bài hỏi: luật Việt Nam có điều khoản riêng về cookie không, EU đòi gì ở banner, Consent Mode v2 làm gì khi khách từ chối, và cách làm, cách kiểm. Click Star làm website và theo dõi dữ liệu nên có lợi ích liên quan.

Điểm chính

• Luật 91/2025/QH15 không nhắc "banner", nhưng Điều 9 đặt quy tắc áp được cho banner: đồng ý phải tự nguyện, rõ ràng, theo từng mục đích, và im lặng không phải đồng ý.
• Chữ "cookies" chỉ xuất hiện ở Điều 29(3) của Luật 91, dành cho mạng xã hội và dịch vụ truyền thông trực tuyến. Click Star chưa thấy hướng dẫn riêng cho website thông thường, nên phần áp dụng là suy luận từ quy tắc chung. Điều 28(8) áp cho mọi tổ chức dùng dữ liệu để quảng cáo theo hành vi.
• Nghị định 356, Điều 6, cấm thiết lập mặc định đồng ý, đòi lưu trữ sự đồng ý và đặt nghĩa vụ chứng minh lên bên kiểm soát dữ liệu.
• Với khách từ EU, EDPB nêu ô tick sẵn không hợp lệ, cuộn trang không phải đồng ý, và "cookie wall" không cho lựa chọn thật.
• Consent Mode v2 có 4 tham số chính. Giá trị mặc định "denied" phải đặt trước mọi thẻ Google, và công cụ này không tự tạo ra sự tuân thủ.
• Kiểm bằng DevTools: ở chế độ cơ bản, trước khi bấm gì, tab Application không có cookie quảng cáo và tab Network không có yêu cầu đến miền theo dõi.

Cookie và công nghệ theo dõi gồm những loại nào

Theo Ý kiến 04/2012 của Nhóm công tác Điều 29 (EU, thông qua 7/6/2012), quy tắc xin đồng ý áp cho mọi thông tin lưu hoặc truy cập trên thiết bị người dùng, không riêng cookie. Click Star chia thực hành thành 3 nhóm: cần thiết, thống kê, quảng cáo (khung tham khảo của Click Star).

Cùng ý kiến liệt kê cookie có thể được miễn nếu thật sự cần: phiên nhập liệu (giỏ hàng), xác thực, bảo mật, cân bằng tải. Cookie quảng cáo bên thứ ba không được miễn. Cookie thống kê của chính website cũng không thuộc diện miễn, dù nhóm công tác đánh giá rủi ro thấp nếu có biện pháp bảo vệ.

Google Consent Mode (cập nhật 30/07/2026) có 7 loại đồng ý (consent types), trong đó 5 loại liên quan lưu trữ, như ad_storage và security_storage.

Luật Việt Nam nói gì về sự đồng ý

Luật 91/2025/QH15 do Quốc hội ban hành ngày 26/06/2025 và có hiệu lực từ 01/01/2026, theo trang Công báo (Điều 38 khoản 1 ghi cùng ngày hiệu lực). Click Star đọc toàn văn qua bản chép trên ketoananpha.vn, nên cần đối chiếu văn bản gốc.

Điều 9: đồng ý chỉ có hiệu lực khi tự nguyện và người dùng biết rõ loại dữ liệu, mục đích, bên kiểm soát, quyền và nghĩa vụ (khoản 2). Đồng ý phải thể hiện rõ ràng, có thể in hoặc sao chép, gồm cả dạng điện tử hoặc định dạng kiểm chứng được (khoản 3).

Khoản 4 đặt 4 nguyên tắc: đồng ý theo từng mục đích; không bắt buộc đồng ý mục đích khác; có hiệu lực đến khi người dùng thay đổi hoặc luật quy định; im lặng hoặc không phản hồi không phải đồng ý. Điều 11 khoản 1 đòi đồng ý trước khi thu thập, trừ khi luật quy định khác.

Điều 10 cho phép rút lại đồng ý. Yêu cầu rút thể hiện bằng văn bản, gồm dạng điện tử, và không ảnh hưởng xử lý trước đó.

Về cookie, Điều 29 khoản 3 đòi nhà cung cấp mạng xã hội và dịch vụ truyền thông trực tuyến cung cấp lựa chọn từ chối thu thập và chia sẻ cookies.

Điều 28 khoản 8 áp cho tổ chức, cá nhân dùng dữ liệu để quảng cáo theo hành vi, có mục tiêu cụ thể hoặc cá nhân hóa, không chỉ doanh nghiệp quảng cáo: chỉ thu thập dữ liệu qua theo dõi website, ứng dụng khi có đồng ý, và có cách từ chối chia sẻ.

Theo Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực 01/01/2026, đọc qua bản chép trên luatvietnam.vn), Điều 6 đòi phương thức đồng ý phải kiểm chứng được, gồm cả trang web có thiết lập kỹ thuật xin đồng ý.

Điều 6 còn đòi lưu trữ sự đồng ý, bên kiểm soát chứng minh khi có tranh chấp, và cấm thiết lập mặc định đồng ý hoặc chỉ dẫn gây nhầm giữa đồng ý và không đồng ý.

Điều 5 khoản 2 đòi phản hồi yêu cầu rút đồng ý trong 2 ngày làm việc và thực hiện trong 15 ngày (20 ngày nếu phải yêu cầu bên xử lý hoặc bên thứ ba ngừng xử lý), gia hạn 1 lần tối đa 15 ngày kèm thông báo lý do.

Điều 4 khoản 1 điểm l của Nghị định xếp vào dữ liệu nhạy cảm loại dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng (đọc qua bản chép, diễn đạt lại); chưa có hướng dẫn cho biết cookie của website thông thường có thuộc nhóm này hay không.

Trong bản chép đã đọc, Click Star không thấy chữ "cookie" trong Nghị định, và Điều 3, Điều 4 không liệt kê riêng địa chỉ IP hay mã định danh trực tuyến.

Luật 91 Điều 8 khoản 5 đặt trần phạt 3 tỷ đồng với tổ chức cho vi phạm thông thường. Mức phạt từng hành vi nằm ở Nghị định 330/2026/NĐ-CP; xem mục Điều chưa biết.

Người truy cập từ EU: GDPR và ePrivacy

Theo Điều 3 khoản 2 GDPR (đọc qua gdpr-info.eu), quy định áp cho bên ngoài EU khi xử lý dữ liệu của người ở EU liên quan đến chào bán hàng hóa, dịch vụ cho họ hoặc theo dõi hành vi tại EU. Website Việt có thuộc diện này hay không là câu hỏi thực tế cần luật sư.

Điều 4 khoản 11 định nghĩa đồng ý là biểu hiện tự nguyện, cụ thể, được thông tin và rõ ràng, bằng tuyên bố hoặc hành động khẳng định. Recital 32 viết rằng im lặng, ô tick sẵn hay không hành động không phải đồng ý. Điều 7 khoản 3 đòi rút đồng ý dễ như cho.

Hướng dẫn 05/2020 của EDPB (4/5/2020) nêu: cho vào website chỉ sau khi bấm "chấp nhận cookie" thì đồng ý không tự nguyện (đoạn 39 đến 41); ô tick sẵn không hợp lệ và chỉ tiếp tục dùng dịch vụ không phải đồng ý (đoạn 79); cuộn trang không bao giờ đủ làm hành động khẳng định (đoạn 86).

Báo cáo của Cookie Banner Taskforce (EDPB, thông qua 17/1/2023) ghi: đa số cơ quan coi thiếu nút từ chối ở lớp đầu là vi phạm, một số ít không đồng ý; nên có cách rút đồng ý dễ tiếp cận. Báo cáo nói đây chỉ là mức tối thiểu, không thay thế phán quyết từng cơ quan.

CNIL (Pháp, bản hợp nhất 16/1/2026) khuyến nghị nút từ chối cùng màn hình, cùng định dạng với nút chấp nhận. CNIL coi lưu lựa chọn khoảng 6 tháng là thực hành tốt. Điều 83 khoản 5 GDPR cho phép phạt tới 20 triệu EUR hoặc 4% doanh thu toàn cầu, tùy mức nào cao hơn.

Việc đặt cookie còn thuộc Điều 5 khoản 3 Chỉ thị ePrivacy 2002/58/EC, chế tài do luật từng nước quy định.

Việt Nam và EU: điểm giống và khác

Điểm giống là 3 ý: im lặng không phải đồng ý, không mặc định đồng ý, và rút đồng ý phải làm được. Điểm khác là mức chi tiết: EU có hướng dẫn riêng về cookie và nút từ chối, văn bản Việt Nam đã đọc thì chưa có cho website thông thường.

Google Consent Mode v2: thứ tự mã và hành vi khi từ chối

Theo hướng dẫn của Google (cập nhật 13/10/2026), Consent Mode được nâng cấp lên v2 từ tháng 11/2023 với thêm 2 tham số: ad_user_data và ad_personalization, bên cạnh ad_storage và analytics_storage. Lệnh mặc định phải chạy trên mọi trang, trước mọi lệnh gửi dữ liệu đo lường.

Chế độ cơ bản chặn thẻ Google đến khi người dùng tương tác với banner, nên không gửi gì về Google nếu họ từ chối. Chế độ nâng cao tải thẻ ngay, mặc định "denied", gửi ping không cookie và dùng mô hình bù dữ liệu thiếu (Google, cập nhật 30/07/2026).

Khi analytics_storage bị từ chối, thẻ không đọc hay ghi cookie phân tích. Khi ad_storage bị từ chối, thẻ không ghi cookie quảng cáo mới. Chính Google viết rằng Consent Mode không lưu lựa chọn của người dùng, nên website phải tự lưu và gọi lệnh cập nhật trên mỗi trang sau đó.

Cách làm kỹ thuật: chặn trước, lưu bằng chứng, cho thu hồi

Nguyên tắc: thẻ cần đồng ý chỉ chạy sau khi có lựa chọn. Với Google, đặt lệnh mặc định "denied" trước thẻ; với thẻ khác (pixel quảng cáo, chat, bản đồ), tải qua trình quản lý thẻ và kích hoạt theo trạng thái đồng ý.

Bằng chứng đồng ý: Nghị định 356 Điều 6 đòi lưu trữ, CNIL gợi ý chụp màn hình có dấu thời gian cho từng phiên bản banner. Khung tham khảo của Click Star: lưu thời điểm, phiên bản banner, lựa chọn theo mục đích và mã ẩn danh, không lưu thừa dữ liệu nhận diện.

Thu hồi: đặt liên kết hoặc biểu tượng "Quản lý cookie" luôn truy cập được. Sau khi rút, gọi lệnh cập nhật và ngừng đọc, ghi cookie đã dùng.

Kiểm bằng DevTools

Theo tài liệu Chrome DevTools (cập nhật 05/12/2023), Application > Storage > Cookies liệt kê tên, miền, thời hạn và cờ bảo mật của cookie từng nguồn, và có nút xóa tất cả.

Quy trình khung của Click Star: xóa cookie, tải lại, chưa bấm gì, ghi cookie và yêu cầu mạng. Lặp lại sau khi từ chối, sau khi đồng ý, và sau khi rút đồng ý. Với Google, tham số gcs và gcd trong yêu cầu mạng cho biết trạng thái đồng ý, và Tag Assistant cho xem giá trị mặc định.

Đánh giá của Click Star. Banner nên được coi là cổng của toàn bộ ngăn xếp thẻ, không phải phần giao diện. Nếu thẻ chạy trước, banner hiện sau thì dù chữ trên banner đúng, vẫn không có đồng ý trước khi thu thập.

Danh sách dưới đây doanh nghiệp tự làm được, không cần thuê ngoài.

Lộ trình 7 ngày (khung tham khảo của Click Star)

• Ngày 1: liệt kê mọi cookie và thẻ đang chạy bằng DevTools và trình quản lý thẻ.
• Ngày 2: phân loại theo mục đích và quyết định nhóm nào cần đồng ý.
• Ngày 3: thiết kế banner có 2 nút ngang hàng, chọn theo mục đích, không tick sẵn.
• Ngày 4: chặn thẻ trước đồng ý và đặt Consent Mode mặc định "denied" trước thẻ Google.
• Ngày 5: lưu bằng chứng đồng ý và làm liên kết quản lý, rút đồng ý.
• Ngày 6: kiểm lại bằng DevTools ở 4 trạng thái: chưa chọn, từ chối, đồng ý, rút lại.
• Ngày 7: cập nhật chính sách quyền riêng tư, ghi ngày rà soát tiếp theo, nhờ luật sư xem.

Những sai lầm thường gặp

1. Banner hiện nhưng GA, Pixel đã tải trước khi người dùng chọn.
2. Nút chấp nhận nổi bật, còn từ chối là liên kết nhỏ hoặc nằm sau nhiều bước.
3. Tick sẵn, hoặc coi cuộn trang, tiếp tục duyệt là đồng ý.
4. Không lưu bằng chứng, hoặc lưu thiếu phiên bản banner và thời điểm.
5. Rút đồng ý khó hơn cho đồng ý, hoặc rút xong thẻ vẫn chạy.
6. Nhớ lựa chọn sai thời hạn: hỏi lại mỗi trang, hoặc không bao giờ làm mới. EDPB nói GDPR không đặt thời hạn cụ thể, CNIL gợi ý khoảng 6 tháng, còn Luật 91 Điều 9(4)(c) cho đồng ý có hiệu lực đến khi người dùng thay đổi.

Điều chưa biết

• Luật 91 và Nghị định 356 có điều khoản riêng về cookie cho website thông thường hay không: Click Star chưa thấy. Chữ "cookies" chỉ ở Điều 29(3) Luật 91, dành cho mạng xã hội và dịch vụ truyền thông trực tuyến.
• Mã cookie và địa chỉ IP có là dữ liệu cá nhân theo Luật 91 hay không: chưa thấy hướng dẫn riêng đọc được.
• Cookie cần thiết có thuộc trường hợp không cần đồng ý ở Điều 19 hay không: chưa thấy.
• Nghị định 330/2026/NĐ-CP (19/8/2026), đọc qua bản dịch tiếng Anh trên english.luatvietnam.vn và tóm tắt của hãng luật Việt An, chưa đối chiếu Công báo. Điều 43 phạt 30 đến 50 triệu đồng với thiết lập mặc định đồng ý, 50 đến 70 triệu đồng với tự coi im lặng là đồng ý.
• Điều 65 Nghị định 330 phạt 50 đến 70 triệu đồng, nhưng chỉ với tổ chức cung cấp mạng xã hội, dịch vụ truyền thông trực tuyến, nền tảng nội dung số không cho từ chối cookies; điều này không nhắm vào website thông thường.
• Điều 63 Nghị định 330, theo một bản dịch tiếng Anh, chưa đối chiếu bản tiếng Việt: phạt 50 đến 70 triệu đồng với thu thập dữ liệu qua theo dõi website, ứng dụng để quảng cáo theo hành vi khi chưa có đồng ý.
• Chưa có số đo về website Việt Nam bị xử lý vì cookie hay tỷ lệ khách đồng ý.
• Đề xuất Digital Omnibus (Ủy ban châu Âu, 19/11/2025) có thể đổi quy tắc cookie EU; theo trang tin PPC Land (13/9/2026), vẫn chưa thông qua. Click Star chưa đọc văn bản gốc trên EUR-Lex.