# Cookie banner là gì, website Việt Nam có bắt buộc không?

## Trả lời nhanh

Cookie banner là thanh hoặc cửa sổ hiện lên khi khách mở website, hỏi khách có cho phép cookie theo dõi không. Theo những gì chúng tôi đối chiếu được, luật Việt Nam không dùng chữ "cookie banner" và chưa có điều nào ghi "website phải có banner". Nhưng nếu website có [Pixel](https://dulieucanhan.online/thuat-ngu/pixel) hoặc [cookie](https://dulieucanhan.online/thuat-ngu/cookie) theo dõi hành vi, bạn đang xử lý dữ liệu nhạy cảm, và trên thực tế cần một cách xin đồng ý đúng luật. Banner là cách làm phổ biến nhất.

## Vì sao luật không nhắc banner mà vẫn liên quan?

Luật 91/2025/QH15 nói về dữ liệu cá nhân và sự đồng ý của chủ thể dữ liệu (Điều 9). Nó không viết riêng cho công nghệ nào. Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026 và báo chí) làm rõ hai điểm quan trọng với website:

1. Dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu cá nhân nhạy cảm.
2. Đồng ý phải rõ ràng, lưu trữ và kiểm chứng được thời điểm và nội dung. Cấm mặc định là đồng ý, và cấm chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý.

Khi trang mở, Meta Pixel hay TikTok Pixel chạy ngay trên trình duyệt của khách và gửi thẳng tới máy chủ của họ: trang đang xem, hành động (xem trang, thêm giỏ, mua), mã nhận diện trình duyệt, địa chỉ IP, loại máy. Đó là theo dõi hành vi. Muốn làm việc này đúng luật thì phải có cách hỏi khách trước. Vì luật không chỉ ra hình thức, banner là công cụ thực tế để hỏi, lưu và chứng minh.

Ví dụ: shop gốm Hà Linh (shop tưởng tượng) gắn Meta Pixel trên website của mình để chạy quảng cáo chốt đơn. Khách ở Hà Nội mở trang, Pixel gửi dữ liệu cho Meta ngay lập tức. Nếu website không hỏi gì, shop không có đồng ý nào để chứng minh.

## Một cái banner "chỉ để cho có" không đủ

Nhiều website hiện banner "Chúng tôi sử dụng cookie. Tiếp tục là bạn đồng ý" nhưng mã theo dõi đã chạy từ trước đó. Cách này có hai vấn đề:

- Mã theo dõi chạy trước khi khách trả lời, tức là dữ liệu đã bị gửi đi mà chưa có đồng ý.
- Coi việc tiếp tục xem trang là đồng ý. Xem bài về [tiếp tục sử dụng không phải là đồng ý](https://dulieucanhan.online/bai-viet/tiep-tuc-su-dung-la-dong-y).

## Banner đúng thì trông thế nào

Theo chuẩn thực hành, một banner đạt phải có ba thứ:

| Yêu cầu | Ý nghĩa |
|---|---|
| Chặn thật | Mã theo dõi không chạy tới khi khách bấm đồng ý. Kỹ thuật thường dùng là đổi thẻ script sang `type="text/plain"`, tới khi đồng ý mới bật lại. Đây là [chặn tự động](https://dulieucanhan.online/thuat-ngu/chan-tu-dong) |
| Nút Từ chối ngang hàng | Nút Từ chối to, rõ, dễ bấm như nút Đồng ý. Không giấu sau nhiều lần bấm, không tô nhạt |
| Lưu nhật ký | [Nhật ký đồng ý](https://dulieucanhan.online/thuat-ngu/nhat-ky-dong-y) ghi thời điểm và nội dung lựa chọn của từng khách, để kiểm chứng sau này |

Thêm vào đó nên có: khách đổi ý bất cứ lúc nào ([rút lại đồng ý](https://dulieucanhan.online/thuat-ngu/rut-lai-dong-y)), liên kết tới chính sách, và nói rõ từng loại mục đích (đo lường, quảng cáo).

Với Google, từ 3/2024 website phải dùng Consent Mode v2 cho người dùng ở châu Âu nếu muốn giữ đo lường và quảng cáo cá nhân hoá. Yêu cầu này của Google áp cho người dùng châu Âu, không phải luật Việt Nam. Xem bài về [Google Analytics và Consent Mode](https://dulieucanhan.online/bai-viet/google-analytics-consent-mode-viet-nam).

## Giới hạn của banner

- Banner chỉ quản được những gì trình duyệt tải. Nếu shop gửi dữ liệu từ máy chủ (ví dụ Meta Conversions API), banner phía trình duyệt không chặn được, và máy quét từ ngoài cũng không thấy. Việc này vẫn cần có đồng ý.
- Banner không thay cho chính sách bảo vệ dữ liệu. Hai thứ đi cùng nhau.
- Chặn Pixel khi khách từ chối thì dữ liệu quảng cáo của bạn có thể ít đi. Đây là cái giá của việc xin đồng ý, và nhiều nền tảng đã quen với tình trạng thiếu dữ liệu từ khi iPhone cho người dùng tắt theo dõi (2021).

## Còn cookie chỉ để website chạy thì sao?

Cookie giữ đăng nhập, giữ giỏ hàng là phần website cần để hoạt động. Luật Việt Nam hiện chưa có hướng dẫn chi tiết phân loại cookie. Cách thận trọng: ghi rõ trong chính sách bạn dùng những cookie nào để làm gì, và chỉ đưa vào banner những loại cần hỏi (đo lường, quảng cáo, mạng xã hội).

## Bạn cần làm gì

- Quét website để xem có Pixel hay cookie theo dõi nào đang chạy ngay khi mở trang.
- Nếu có, cài banner có chặn thật: Pixel chỉ chạy sau khi khách đồng ý.
- Kiểm tra nút Từ chối có ngang hàng nút Đồng ý không.
- Bảo đảm có nhật ký đồng ý và cách để khách đổi ý.
- Cập nhật chính sách bảo vệ dữ liệu: nói rõ cookie nào, dùng làm gì, chia sẻ với ai.

Dán địa chỉ website vào [máy quét miễn phí](https://dulieucanhan.online/) để xem mã theo dõi nào đang chạy trước khi khách đồng ý, rồi [tạo chính sách](https://dulieucanhan.online/tao-chinh-sach) cho website.

## Căn cứ pháp lý

- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 9 (sự đồng ý), Điều 10 (rút lại đồng ý).
- Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026): đồng ý rõ ràng, lưu trữ và kiểm chứng được; cấm mặc định là đồng ý; dữ liệu theo dõi hành vi là dữ liệu nhạy cảm.

*Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.*