# Theo dõi hành vi trên mạng là dữ liệu nhạy cảm: Pixel, cookie cũng tính

**Trả lời nhanh:** Có. Theo Nghị định 356/2025/NĐ-CP, dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu cá nhân nhạy cảm. Pixel quảng cáo và cookie theo dõi thu đúng loại dữ liệu này. Vì chủ website là người gắn mã, chủ website phải xin đồng ý của khách trước khi mã chạy.

## Niềm tin phổ biến: "luật này chỉ nói về CCCD, số điện thoại"

Đa số chủ shop hiểu thế này: luật dữ liệu cá nhân là để canh việc thu CCCD, họ tên, số điện thoại khách tự điền vào form. Shop không đòi CCCD, form chỉ có tên với số điện thoại, vậy là yên tâm.

Cách hiểu đó đúng một nửa. Form là một chỗ thu dữ liệu. Nhưng website còn một chỗ thu khác mà chủ shop không tự tay nhập, cũng không thấy trên màn hình: các đoạn mã theo dõi.

## Chuyện gì xảy ra khi khách mở trang shop gốm

Lấy shop gốm Hà Linh (tưởng tượng) đang chạy quảng cáo Facebook và TikTok. Chủ shop copy hai đoạn mã [Pixel](https://dulieucanhan.online/thuat-ngu/pixel) từ trình quản lý quảng cáo, dán vào phần `<head>` của trang, để đo xem quảng cáo có ra đơn không.

Một khách mở trang trên điện thoại, xem chiếc bình men lam giá 450.000đ rồi bấm "Thêm vào giỏ". Trong chưa tới một giây, trước khi khách đọc gì:

1. Đoạn mã Meta tự tải file từ máy chủ Facebook và gửi sự kiện "khách đã xem trang".
2. Đoạn mã TikTok làm y hệt với máy chủ TikTok.
3. Khi khách bấm Thêm vào giỏ, trình duyệt của khách gửi tiếp: sự kiện thêm giỏ, trang đang xem, giá trị 450.000 VND và mã nhận diện trình duyệt.

Đi kèm mỗi lần gửi còn có địa chỉ IP, loại máy và trình duyệt. Dữ liệu đi **thẳng từ điện thoại khách tới Meta và TikTok**, không qua máy chủ của shop. Chủ shop không nhận được bản sao nào, nhưng đoạn mã gửi là do chính chủ shop dán vào.

| Dữ liệu Pixel gửi | Ví dụ ở shop gốm |
|---|---|
| Trang đang xem | `https://ten-mien-cua-shop/binh-men-lam` |
| Hành động | Xem trang, thêm giỏ, mua |
| Giá trị đơn | 450.000 VND |
| Mã nhận diện trình duyệt | Lưu trong cookie |
| IP, loại máy, trình duyệt | Đi kèm mỗi lần gửi |

Cookie của Meta Pixel là `_fbp` và `_fbc`, giữ 3 tháng. Cookie của TikTok Pixel là `_ttp`, `_tt_enable_cookie` và `ttcsid`, giữ 13 tháng. Nhờ cookie, lần sau khách quay lại, nền tảng biết vẫn là người đó. Rồi shop chạy quảng cáo nhắm lại đúng người đã xem bình.

## Vì sao đây là "dữ liệu theo dõi hành vi"

[Theo dõi hành vi](https://dulieucanhan.online/thuat-ngu/theo-doi-hanh-vi) trên mạng là ghi lại một người xem gì, bấm gì, quay lại lúc nào để nhận ra và dõi theo họ qua nhiều lần truy cập. Pixel và [cookie](https://dulieucanhan.online/thuat-ngu/cookie) làm đúng việc đó.

Theo Nghị định 356/2025/NĐ-CP (theo bản tin EY tháng 3/2026), dữ liệu theo dõi hành vi trên không gian mạng là [dữ liệu cá nhân nhạy cảm](https://dulieucanhan.online/thuat-ngu/du-lieu-nhay-cam). Nghĩa là Pixel không phải một chi tiết kỹ thuật cho bộ phận marketing tự quyết. Nó là nơi thu dữ liệu nhạy cảm của khách. Các loại dữ liệu nhạy cảm khác có ở bài [dữ liệu cá nhân nhạy cảm gồm những gì](https://dulieucanhan.online/bai-viet/du-lieu-ca-nhan-nhay-cam-gom-nhung-gi).

Chúng tôi chưa thấy hướng dẫn chi tiết nào nói riêng về từng loại Pixel hay mức độ phải xin đồng ý khác nhau ra sao. Cách đọc ở bài này là cách đọc thận trọng, và đang chờ luật sư duyệt.

## Chủ shop có phải chịu không

Có, vì ba lý do:

- **Chủ shop quyết định.** Gắn Pixel hay không, để làm gì, đều do chủ shop chọn. Luật gọi bên đó là [bên kiểm soát dữ liệu](https://dulieucanhan.online/thuat-ngu/ben-kiem-soat). Không dán mã thì Meta không lấy được gì từ khách trên trang này.
- **Nền tảng đẩy trách nhiệm sang chủ shop.** Điều khoản Meta Business Tools yêu cầu bên dùng công cụ tự có thông báo và xin đồng ý ở nơi luật đòi hỏi.
- **Châu Âu đã xử như vậy.** Năm 2019, trong vụ Fashion ID, Toà án Công lý Liên minh châu Âu (CJEU) xác định website gắn nút Like của Facebook là đồng kiểm soát việc thu và gửi dữ liệu sang Facebook.

Hình dung: quán cà phê lắp camera của một công ty khác, hình quay gửi thẳng về công ty đó. Camera không phải của quán, hình cũng không nằm ở quán, nhưng quán lắp thì quán phải báo cho khách.

## Làm đúng thì trông thế nào

Cùng một khách, ba trường hợp:

| Trường hợp | Điều xảy ra | Đánh giá |
|---|---|---|
| Chưa có banner | Pixel gửi ngay khi khách mở trang | Dữ liệu sang Meta và TikTok trước khi khách được hỏi |
| Có banner, khách bấm Từ chối | Pixel bị giữ lại, không gửi gì. Shop lưu nhật ký "từ chối" | Làm đúng |
| Có banner, khách bấm Đồng ý | Pixel chạy sau khi đồng ý. Shop lưu nhật ký "đồng ý" | Làm đúng |

Banner đúng chuẩn chặn mã theo dõi tới khi khách đồng ý (kỹ thuật là đổi thẻ script sang `type="text/plain"` để trình duyệt không chạy), có nút Từ chối ngang hàng nút Đồng ý, và lưu [nhật ký đồng ý](https://dulieucanhan.online/thuat-ngu/nhat-ky-dong-y) làm bằng chứng. Theo Nghị định 356/2025/NĐ-CP, đồng ý phải lưu được thời điểm và nội dung, và cấm mặc định là đồng ý.

Mất gì? Ai bấm Từ chối thì Pixel không đếm người đó, nên số đơn quảng cáo báo về ít hơn và tệp khách để nhắm lại nhỏ hơn. Bao nhiêu người từ chối thì chưa có số liệu ở Việt Nam. Người bấm Đồng ý vẫn được đo như cũ. Các nền tảng cũng đã quen với việc thiếu dữ liệu từ khi iPhone cho người dùng tắt theo dõi (2021), và Google có mô hình ước tính bù chuyển đổi khi website dùng Consent Mode.

## Hai chỗ dễ nhầm

- **Gửi từ máy chủ vẫn phải có đồng ý.** Nếu shop dùng cách gửi từ máy chủ (ví dụ Meta Conversions API), máy quét bên ngoài sẽ không thấy. Nhưng đó vẫn là xử lý dữ liệu theo dõi hành vi, vẫn cần đồng ý.
- **Không chỉ Facebook.** TikTok Pixel, Google Analytics, các mã đo lường khác đều cần được rà.

## Bạn cần làm gì

- Nhập địa chỉ website vào máy quét để xem mã nào đang chạy khi khách vừa mở trang.
- Hỏi người từng cài quảng cáo: còn mã Pixel nào khác mà bạn không biết?
- Gắn banner đồng ý, chặn mã tới khi khách đồng ý, nút Từ chối ngang nút Đồng ý.
- Lưu nhật ký đồng ý.
- Ghi vào chính sách bảo vệ dữ liệu rằng bạn dùng Pixel và gửi dữ liệu cho ai.

Chạy [máy quét miễn phí ở trang chủ](https://dulieucanhan.online/) để xem website bạn đang gửi dữ liệu cho bên nào.

**Về mức phạt.** Theo Nghị định 330/2026/NĐ-CP, Điều 43, coi im lặng là đồng ý bị phạt 50–70 triệu đồng (khoản 2 điểm b). Xử lý dữ liệu khi chưa có đồng ý (trừ trường hợp pháp luật có quy định khác), thiết lập mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý, xin đồng ý không rõ ràng hoặc không kiểm chứng được, không ghi nhận và lưu nhật ký đồng ý bị phạt 30–50 triệu đồng (khoản 1 điểm a, c, d, g). Các mức này áp cho tổ chức, cá nhân bị phạt một nửa (Điều 7 khoản 1). Ngoài tiền phạt, doanh nghiệp có thể bị buộc huỷ, xoá tới mức không thể khôi phục dữ liệu đã thu khi không có đồng ý hợp lệ, mặc định đồng ý hoặc coi im lặng là đồng ý (khoản 4 điểm a). Nếu dữ liệu theo dõi hành vi được coi là dữ liệu nhạy cảm (theo cách hiểu thận trọng), không thông báo cho khách biết dữ liệu nhạy cảm của họ đang được xử lý cũng bị phạt 30–50 triệu đồng (khoản 1 điểm h). Tiếp theo đọc [Facebook Pixel có vi phạm Luật bảo vệ dữ liệu cá nhân không?](https://dulieucanhan.online/bai-viet/facebook-pixel-luat-du-lieu-ca-nhan), [Cookie banner là gì, có bắt buộc không?](https://dulieucanhan.online/bai-viet/cookie-banner-la-gi-co-bat-buoc-khong), [bài tóm tắt luật](https://dulieucanhan.online/bai-viet/luat-bao-ve-du-lieu-ca-nhan-2025-tom-tat) và [bảng mức phạt](https://dulieucanhan.online/bai-viet/muc-phat-vi-pham-du-lieu-ca-nhan).

## Căn cứ pháp lý

- Nghị định 356/2025/NĐ-CP: dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu cá nhân nhạy cảm; đồng ý phải lưu được và kiểm chứng được; cấm mặc định là đồng ý (theo bản tin EY tháng 3/2026 và luatvietnam.vn).
- Luật 91/2025/QH15: Điều 9, Điều 10 (đồng ý, rút lại đồng ý).
- Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026), Điều 43: coi im lặng là đồng ý bị phạt 50–70 triệu đồng (khoản 2 điểm b); mặc định đồng ý, xin đồng ý không rõ ràng, không lưu nhật ký đồng ý bị phạt 30–50 triệu đồng (khoản 1 điểm c, d, g); không thông báo cho khách biết dữ liệu nhạy cảm đang được xử lý bị phạt 30–50 triệu đồng (khoản 1 điểm h); có thể bị buộc xoá dữ liệu đã thu khi không có đồng ý hợp lệ (khoản 4 điểm a). Mức phạt áp cho tổ chức, cá nhân bị phạt một nửa. Điểm h chỉ áp dụng nếu dữ liệu theo dõi hành vi được coi là dữ liệu nhạy cảm, theo cách hiểu thận trọng của bài này. [toàn văn trên Công báo](https://congbao.chinhphu.vn/van-ban/nghi-dinh-so-330-2026-nd-cp-470339.htm).
- Điều khoản Meta Business Tools; Fashion ID (CJEU, 2019).

*Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.*