TikTok Pixel và luật dữ liệu cá nhân: shop cần làm gì

TikTok Pixel gửi những gì?

Lấy lại ví dụ shop gốm Hà Linh (shop tưởng tượng). Khách mở trang bình men lam giá 450.000đ rồi bấm "Thêm vào giỏ". Đoạn mã TikTok trong trang làm y hệt đoạn mã Facebook, nhưng gửi tới máy chủ TikTok:

• trang khách đang xem;
• hành động: xem trang, thêm giỏ, mua hàng;
• giá trị đơn;
• mã nhận diện trình duyệt, lưu trong cookie;
• cùng với đó là địa chỉ IP, loại máy, trình duyệt.

Máy chủ của shop không nhận được những dữ liệu này. Chúng đi thẳng từ điện thoại khách sang TikTok.

Cookie của TikTok Pixel là _ttp, _tt_enable_cookie và ttcsid, giữ 13 tháng. So với Meta (cookie _fbp giữ 3 tháng), cookie TikTok sống lâu hơn nhiều.

Luật nhìn việc này thế nào?

Theo Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026), dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu cá nhân nhạy cảm. Cũng theo nghị định này:

• đồng ý phải rõ ràng, lưu trữ và kiểm chứng được thời điểm và nội dung;
• cấm mặc định là đồng ý.

Theo cách hiểu thận trọng, nếu Pixel chạy khi chưa có đồng ý hợp lệ thì có thể rơi vào các quy định dưới đây. Theo Nghị định 330/2026/NĐ-CP, Điều 43, coi im lặng là đồng ý bị phạt 50–70 triệu đồng (khoản 2 điểm b). Xử lý dữ liệu khi chưa có đồng ý (trừ trường hợp pháp luật có quy định khác), thiết lập mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý, xin đồng ý không rõ ràng hoặc không kiểm chứng được, không ghi nhận và lưu nhật ký đồng ý bị phạt 30–50 triệu đồng (khoản 1 điểm a, c, d, g). Các mức này áp cho tổ chức, cá nhân bị phạt một nửa (Điều 7 khoản 1). Ngoài tiền phạt, doanh nghiệp có thể bị buộc huỷ, xoá tới mức không thể khôi phục dữ liệu đã thu khi không có đồng ý hợp lệ, mặc định đồng ý hoặc coi im lặng là đồng ý (khoản 4 điểm a). Bảng các mức phạt khác: mức phạt vi phạm dữ liệu cá nhân.

Luật 91/2025/QH15, Điều 28 còn quy định quảng cáo theo hành vi hoặc cá nhân hoá phải có đồng ý khi theo dõi website, kèm cách từ chối chia sẻ dữ liệu. Điều này viết cho bên kinh doanh dịch vụ quảng cáo, nên với shop tự chạy quảng cáo, hiện chưa có hướng dẫn chi tiết. Cách an toàn là xin đồng ý như đã nói.

TikTok đặt máy chủ ngoài Việt Nam. Luật 91/2025/QH15, Điều 20 nói về chuyển dữ liệu ra nước ngoài, gồm cả việc dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Xem thêm bài về chuyển dữ liệu ra nước ngoài.

Ba trường hợp, cùng một khách

Xin đồng ý thì mất gì?

Khách từ chối thì TikTok không đo được người đó. Số đơn báo về ít hơn, tệp khách để nhắm lại nhỏ hơn. Bao nhiêu khách từ chối thì tuỳ ngành và cách hiện banner, ở Việt Nam chưa có số liệu. Khách đồng ý vẫn được đo như cũ. Các nền tảng quảng cáo đã quen với thiếu dữ liệu từ khi iPhone cho người dùng tắt theo dõi (2021).

Đổi lại, shop có bằng chứng khi bị kiểm tra hoặc khi khách khiếu nại, và giảm rủi ro bị xử phạt.

Làm thế nào?

1. Chặn mã TikTok cho tới khi khách đồng ý: đổi thẻ script sang type="text/plain" rồi chỉ chạy lại sau khi khách bấm Đồng ý.
2. Nút Từ chối ngang hàng nút Đồng ý.
3. Lưu nhật ký đồng ý (thời điểm, lựa chọn, phiên bản banner).
4. Ghi trong chính sách bảo vệ dữ liệu là bạn dùng TikTok Pixel, để làm gì, dữ liệu sang TikTok.

Nếu bạn gửi sự kiện từ máy chủ sang TikTok, việc này vẫn cần đồng ý, và công cụ quét từ ngoài không thấy được.

Bạn cần làm gì

• Kiểm tra website có gắn TikTok Pixel không (hướng dẫn tự kiểm tra).
• Chặn Pixel cho tới khi khách đồng ý.
• Lưu nhật ký đồng ý và từ chối.
• Cập nhật chính sách bảo vệ dữ liệu.

Dán địa chỉ website vào máy quét miễn phí ở trang chủ để thấy ngay trang đang gọi những dịch vụ nào.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 9, 10, 20, 28.
• Nghị định 356/2025/NĐ-CP.
• Nghị định 330/2026/NĐ-CP, Điều 43 (phạt 30–50 triệu đồng và 50–70 triệu đồng với các hành vi về sự đồng ý; buộc xoá dữ liệu): toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.