Cookie banner là gì, website Việt Nam có bắt buộc không?

Vì sao luật không nhắc banner mà vẫn liên quan?

Luật 91/2025/QH15 nói về dữ liệu cá nhân và sự đồng ý của chủ thể dữ liệu (Điều 9). Nó không viết riêng cho công nghệ nào. Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026 và báo chí) làm rõ hai điểm quan trọng với website:

1. Dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu cá nhân nhạy cảm.
2. Đồng ý phải rõ ràng, lưu trữ và kiểm chứng được thời điểm và nội dung. Cấm mặc định là đồng ý, và cấm chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý.

Khi trang mở, Meta Pixel hay TikTok Pixel chạy ngay trên trình duyệt của khách và gửi thẳng tới máy chủ của họ: trang đang xem, hành động (xem trang, thêm giỏ, mua), mã nhận diện trình duyệt, địa chỉ IP, loại máy. Đó là theo dõi hành vi. Muốn làm việc này đúng luật thì phải có cách hỏi khách trước. Vì luật không chỉ ra hình thức, banner là công cụ thực tế để hỏi, lưu và chứng minh.

Ví dụ: shop gốm Hà Linh (shop tưởng tượng) gắn Meta Pixel trên website của mình để chạy quảng cáo chốt đơn. Khách ở Hà Nội mở trang, Pixel gửi dữ liệu cho Meta ngay lập tức. Nếu website không hỏi gì, shop không có đồng ý nào để chứng minh.

Một cái banner "chỉ để cho có" không đủ

Nhiều website hiện banner "Chúng tôi sử dụng cookie. Tiếp tục là bạn đồng ý" nhưng mã theo dõi đã chạy từ trước đó. Cách này có hai vấn đề:

• Mã theo dõi chạy trước khi khách trả lời, tức là dữ liệu đã bị gửi đi mà chưa có đồng ý.
• Coi việc tiếp tục xem trang là đồng ý. Xem bài về tiếp tục sử dụng không phải là đồng ý.

Banner đúng thì trông thế nào

Theo chuẩn thực hành, một banner đạt phải có ba thứ:

Thêm vào đó nên có: khách đổi ý bất cứ lúc nào (rút lại đồng ý), liên kết tới chính sách, và nói rõ từng loại mục đích (đo lường, quảng cáo).

Với Google, từ 3/2024 website phải dùng Consent Mode v2 cho người dùng ở châu Âu nếu muốn giữ đo lường và quảng cáo cá nhân hoá. Yêu cầu này của Google áp cho người dùng châu Âu, không phải luật Việt Nam. Xem bài về Google Analytics và Consent Mode.

Giới hạn của banner

• Banner chỉ quản được những gì trình duyệt tải. Nếu shop gửi dữ liệu từ máy chủ (ví dụ Meta Conversions API), banner phía trình duyệt không chặn được, và máy quét từ ngoài cũng không thấy. Việc này vẫn cần có đồng ý.
• Banner không thay cho chính sách bảo vệ dữ liệu. Hai thứ đi cùng nhau.
• Chặn Pixel khi khách từ chối thì dữ liệu quảng cáo của bạn có thể ít đi. Đây là cái giá của việc xin đồng ý, và nhiều nền tảng đã quen với tình trạng thiếu dữ liệu từ khi iPhone cho người dùng tắt theo dõi (2021).

Còn cookie chỉ để website chạy thì sao?

Cookie giữ đăng nhập, giữ giỏ hàng là phần website cần để hoạt động. Luật Việt Nam hiện chưa có hướng dẫn chi tiết phân loại cookie. Cách thận trọng: ghi rõ trong chính sách bạn dùng những cookie nào để làm gì, và chỉ đưa vào banner những loại cần hỏi (đo lường, quảng cáo, mạng xã hội).

Bạn cần làm gì

• Quét website để xem có Pixel hay cookie theo dõi nào đang chạy ngay khi mở trang.
• Nếu có, cài banner có chặn thật: Pixel chỉ chạy sau khi khách đồng ý.
• Kiểm tra nút Từ chối có ngang hàng nút Đồng ý không.
• Bảo đảm có nhật ký đồng ý và cách để khách đổi ý.
• Cập nhật chính sách bảo vệ dữ liệu: nói rõ cookie nào, dùng làm gì, chia sẻ với ai.

Dán địa chỉ website vào máy quét miễn phí để xem mã theo dõi nào đang chạy trước khi khách đồng ý, rồi tạo chính sách cho website.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 9 (sự đồng ý), Điều 10 (rút lại đồng ý).
• Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026): đồng ý rõ ràng, lưu trữ và kiểm chứng được; cấm mặc định là đồng ý; dữ liệu theo dõi hành vi là dữ liệu nhạy cảm.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.