Google Analytics và Consent Mode v2: website Việt Nam cần làm gì

GA4 và Google Ads thu gì?

Google Analytics (GA4) và thẻ Google Ads là các đoạn mã chạy trên trình duyệt của khách và gửi dữ liệu thẳng sang Google: trang xem, hành động, nguồn truy cập, mã nhận diện trình duyệt trong cookie, kèm IP và loại thiết bị. Lấy ví dụ trung tâm tiếng Anh Sao Mai (tưởng tượng): trang đăng ký học thử có GA4 để đếm lượt xem và Google Ads để đo quảng cáo. Khách chưa điền gì mà dữ liệu đã sang Google.

Đây là theo dõi hành vi trên mạng. Theo Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026), loại dữ liệu này là dữ liệu cá nhân nhạy cảm, và đồng ý phải rõ ràng, lưu kiểm chứng được, cấm mặc định là đồng ý. Theo cách hiểu thận trọng, nếu mã Google chạy khi chưa có đồng ý hợp lệ thì có thể rơi vào các quy định dưới đây. Theo Nghị định 330/2026/NĐ-CP, Điều 43, coi im lặng là đồng ý bị phạt 50–70 triệu đồng (khoản 2 điểm b). Xử lý dữ liệu khi chưa có đồng ý (trừ trường hợp pháp luật có quy định khác), thiết lập mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý, xin đồng ý không rõ ràng hoặc không kiểm chứng được, không ghi nhận và lưu nhật ký đồng ý bị phạt 30–50 triệu đồng (khoản 1 điểm a, c, d, g). Các mức này áp cho tổ chức, cá nhân bị phạt một nửa (Điều 7 khoản 1). Ngoài tiền phạt, doanh nghiệp có thể bị buộc huỷ, xoá tới mức không thể khôi phục dữ liệu đã thu khi không có đồng ý hợp lệ, mặc định đồng ý hoặc coi im lặng là đồng ý (khoản 4 điểm a). Bảng các mức phạt khác: mức phạt vi phạm dữ liệu cá nhân.

Máy chủ Google đặt ngoài Việt Nam, nên còn câu chuyện chuyển dữ liệu ra nước ngoài theo Luật 91/2025/QH15, Điều 20.

Consent Mode là gì?

Hiểu đơn giản: banner hỏi khách, còn Consent Mode là tín hiệu banner gửi cho các thẻ Google. Theo tài liệu của Google, có bốn loại đồng ý:

"v2" là bản có thêm hai tín hiệu ad_user_data và ad_personalization. Theo hướng dẫn của Google, trước khi khách chọn, banner nên đặt mặc định cả bốn ở trạng thái "từ chối". Khách bấm Đồng ý thì banner chuyển sang "cho phép".

Chế độ cơ bản và nâng cao

Ở mức khái niệm (chi tiết kỹ thuật nên đọc tài liệu Google, vì Google đổi thường xuyên):

• Cơ bản: thẻ Google bị chặn hoàn toàn cho tới khi khách đồng ý. Khách từ chối thì Google không nhận gì. An toàn nhất về pháp lý, nhưng mất dữ liệu nhiều nhất.
• Nâng cao: thẻ Google vẫn tải, và khi khách từ chối thì chỉ gửi tín hiệu rút gọn, không dùng cookie. Google dùng chúng để ước tính phần chuyển đổi bị thiếu. Đo lường đầy đủ hơn, nhưng vẫn có dữ liệu sang Google khi khách từ chối.

Chưa có hướng dẫn chính thức ở Việt Nam về việc chế độ nâng cao có được coi là đã xin đồng ý hay không. Nếu muốn chắc chắn, chọn chế độ cơ bản hoặc hỏi luật sư.

Từ 3/2024 Google bắt ở châu Âu, còn Việt Nam thì sao?

Từ 3/2024, Google bắt website dùng Consent Mode v2 cho người dùng ở châu Âu nếu muốn giữ tính năng đo lường và quảng cáo cá nhân hoá. Đó là luật của châu Âu cộng chính sách của Google.

Với Việt Nam, điểm xuất phát khác: luật đòi đồng ý, không phải Google đòi. Consent Mode không thay cho đồng ý, nó chỉ là cách báo lại cho Google. Vẫn cần banner thật, nút Từ chối ngang hàng nút Đồng ý, và nhật ký đồng ý.

Mất gì, được gì: khách từ chối thì số liệu GA4 và Ads thiếu một phần. Google có mô hình ước tính bù chuyển đổi khi dùng Consent Mode. Đổi lại, shop có bằng chứng khi bị kiểm tra.

Làm thế nào?

1. Dùng banner đặt trạng thái mặc định "từ chối" trước khi khách chọn.
2. Chọn chế độ cơ bản hoặc nâng cao.
3. Chặn các thẻ khác (Pixel Facebook, TikTok) tới khi khách đồng ý.
4. Lưu nhật ký đồng ý.
5. Ghi GA4 và Google Ads vào chính sách bảo vệ dữ liệu.

Bạn cần làm gì

• Kiểm tra website có GA4, Google Ads, Google Tag Manager không.
• Bật banner có Consent Mode, mặc định từ chối.
• Chọn và ghi lại chế độ cơ bản hay nâng cao.
• Cập nhật chính sách bảo vệ dữ liệu.

Dán địa chỉ website vào máy quét miễn phí ở trang chủ để thấy trang đang dùng những dịch vụ Google nào.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 9, 10, 20.
• Nghị định 356/2025/NĐ-CP; Nghị định 330/2026/NĐ-CP, Điều 43 (xem toàn văn trên Công báo).
• Tài liệu Google Tag Platform về consent mode (cho tên các tín hiệu).

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.