Tháng 8/2022, Sephora bị phạt 1,2 triệu USD theo thỏa thuận dàn xếp với Tổng Chưởng lý bang California (Mỹ). Đây là vụ thực thi Đạo luật Quyền riêng tư của Người tiêu dùng California (CCPA) đầu tiên được công bố. Sephora cho các công ty bên thứ ba cài công cụ theo dõi trên website và ứng dụng để thu thập thông tin như thiết bị, sản phẩm trong giỏ hàng và vị trí của khách. Đổi lại, Sephora nhận dịch vụ phân tích và quảng cáo. Theo CCPA, đây là "bán" thông tin cá nhân, nhưng Sephora không công bố điều đó và không tôn trọng yêu cầu từ chối của người dùng. Website thương mại điện tử tại Việt Nam dùng Facebook Pixel, TikTok Pixel hay Google Ads đang có cấu trúc chia sẻ dữ liệu tương tự. Bài viết tóm tắt vụ việc và đối chiếu với quy định về sự đồng ý, cookie và quảng cáo theo hành vi trong Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
1. Vì sao Sephora bị phạt: ba nhóm vi phạm theo CCPA#
Theo thông cáo của Tổng Chưởng lý California, Sephora bị cáo buộc ba nhóm vi phạm:
- Không công bố việc bán dữ liệu. Chia sẻ dữ liệu duyệt web với bên thứ ba để đổi lấy dịch vụ phân tích và quảng cáo được coi là "bán" theo CCPA. Chính sách quyền riêng tư của Sephora không thông báo điều này cho người tiêu dùng.
- Không tôn trọng tín hiệu từ chối Global Privacy Control (GPC). Người dùng bật GPC trên trình duyệt để yêu cầu website không bán dữ liệu của mình, nhưng website Sephora vẫn tiếp tục chia sẻ.
- Không khắc phục trong thời hạn 30 ngày sau khi được thông báo, theo cơ chế khắc phục mà CCPA áp dụng vào thời điểm đó.
Ngoài tiền phạt, Sephora phải sửa chính sách quyền riêng tư, cung cấp cơ chế từ chối (kể cả qua GPC), điều chỉnh hợp đồng với nhà cung cấp dịch vụ cho phù hợp CCPA và báo cáo định kỳ cho Tổng Chưởng lý.
2. Đối chiếu vụ Sephora bị phạt với Luật 91/2025#
Luật Việt Nam không dùng khái niệm "bán" theo kiểu CCPA, nhưng có các quy định trực tiếp về tracking và quảng cáo:
- Theo dõi để quảng cáo cần sự đồng ý. Khi dùng dữ liệu cá nhân để quảng cáo theo hành vi, có mục tiêu cụ thể hoặc cá nhân hóa, doanh nghiệp chỉ được thu thập qua việc theo dõi website, ứng dụng khi có sự đồng ý của chủ thể (điểm a khoản 8 Điều 28 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15). Vi phạm bị phạt từ 50 đến 70 triệu đồng (điểm c khoản 2 Điều 63 Nghị định 330/2026/NĐ-CP).
- Dữ liệu theo dõi hành vi là dữ liệu nhạy cảm. Danh mục dữ liệu nhạy cảm gồm dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên không gian mạng (điểm l khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP). Khi xin đồng ý, phải thông báo cho người dùng rằng đây là dữ liệu nhạy cảm (khoản 4 Điều 6).
- Phải có cách từ chối, và phải tôn trọng lựa chọn đó. Doanh nghiệp phải cho phép người dùng từ chối chia sẻ dữ liệu cho quảng cáo theo hành vi (điểm b khoản 8 Điều 28 Luật 91/2025). Cố ý chia sẻ hồ sơ người dùng cho bên thứ ba để quảng cáo sau khi người dùng đã từ chối bị phạt từ 30 đến 50 triệu đồng (điểm d khoản 1 Điều 63 Nghị định 330/2026/NĐ-CP). Đây là quy định gần nhất với lỗi bỏ qua GPC của Sephora.
- Chia sẻ cho đối tác quảng cáo phải có căn cứ và thỏa thuận. Chuyển giao dữ liệu cá nhân chỉ được thực hiện trong các trường hợp tại khoản 1 Điều 17 Luật 91/2025, như có sự đồng ý hoặc chuyển cho bên xử lý. Thỏa thuận chuyển giao phải nêu mục đích, loại dữ liệu, thời hạn xử lý và trách nhiệm bảo vệ (khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP). Mua, bán dữ liệu cá nhân bị cấm, trừ trường hợp luật có quy định khác (khoản 6 Điều 7 Luật 91/2025). Nếu việc chia sẻ để đổi lấy dịch vụ không thuộc trường hợp chuyển giao hợp pháp, doanh nghiệp đối mặt rủi ro bị xem xét theo quy định này.
3. Cookie banner và luồng consent: tránh dark patterns#
Thỏa thuận với Sephora không xoay quanh dark patterns. Tuy nhiên, dark patterns thường nằm ngay trong cookie banner và form đăng ký, tức cùng chỗ với vấn đề của Sephora. Dark patterns là thiết kế giao diện khiến người dùng chọn phương án có lợi cho doanh nghiệp mà không thật sự muốn. Pháp luật Việt Nam cấm thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý (khoản 3 Điều 6 Nghị định 356/2025/NĐ-CP). Vi phạm bị phạt từ 30 đến 50 triệu đồng (điểm c khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP).
Các dạng thường gặp:
- Ô tích sẵn "Tôi đồng ý nhận quảng cáo" hoặc "đồng ý chia sẻ dữ liệu với đối tác". Riêng mặc định đồng ý cung cấp dữ liệu cho mạng lưới quảng cáo liên kết bị phạt từ 30 đến 50 triệu đồng (điểm c khoản 1 Điều 63 Nghị định 330/2026/NĐ-CP).
- Nút "Chấp nhận tất cả" nổi bật, còn nút "Từ chối" bị làm mờ hoặc giấu trong nhiều lớp menu.
- Câu chữ gây áp lực khi từ chối, ví dụ "Không, tôi không muốn nhận ưu đãi".
- Bắt buộc đồng ý chia sẻ dữ liệu cho quảng cáo mới cho mua hàng. Sự đồng ý không được kèm điều kiện bắt buộc phải đồng ý với mục đích khác (điểm b khoản 4 Điều 9 Luật 91/2025; điểm b khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP).
Một cookie banner hợp lý cần:
- Chia cookie thành nhóm: cần thiết (giỏ hàng, phiên đăng nhập), phân tích (GA4, Hotjar), quảng cáo (Facebook Pixel, TikTok Pixel).
- Không tải pixel quảng cáo trước khi người dùng chọn đồng ý. Với quảng cáo theo hành vi, đây là yêu cầu của điểm a khoản 8 Điều 28 Luật 91/2025. Cách chặn pixel khi dùng server-side tracking với Meta CAPI và Google GTM có những điểm riêng cần lưu ý.
- Nút "Từ chối tất cả" dễ thấy như nút "Chấp nhận tất cả". Luật không quy định kích thước nút, nhưng đây là cách đơn giản nhất để tránh "chỉ dẫn gây hiểu lầm".
- Có đường dẫn cố định (thường ở footer) để người dùng mở lại cài đặt và rút lại sự đồng ý bất cứ lúc nào.
- Lưu nhật ký lựa chọn của người dùng. Doanh nghiệp phải lưu trữ sự đồng ý và chịu trách nhiệm chứng minh khi có tranh chấp (khoản 2 Điều 6 Nghị định 356/2025/NĐ-CP).
Bài cookie banner có bắt buộc không phân tích thêm khi nào cookie phân tích cần đồng ý.
4. Nội dung nên có trong Privacy Notice của website thương mại điện tử#
Pháp luật không quy định mẫu Privacy Notice. Tuy nhiên, loại dữ liệu, mục đích xử lý, bên kiểm soát và quyền, nghĩa vụ của chủ thể là những thông tin khách hàng phải được biết rõ để sự đồng ý có hiệu lực (khoản 2 Điều 9 Luật 91/2025). Vụ Sephora cho thấy phần dễ sai nhất là mô tả việc chia sẻ với bên thứ ba. Một bản thông báo xử lý dữ liệu cá nhân (Privacy Notice) cho website bán hàng nên có:
- Tên doanh nghiệp, địa chỉ và đầu mối liên hệ về bảo vệ dữ liệu.
- Loại dữ liệu thu thập: họ tên, số điện thoại, địa chỉ nhận hàng, lịch sử đơn hàng, thông tin thanh toán, địa chỉ IP, cookie và dữ liệu theo dõi hành vi.
- Mục đích xử lý, tách rõ mục đích giao hàng (thực hiện hợp đồng) và mục đích quảng cáo theo hành vi (cần sự đồng ý).
- Danh sách hoặc nhóm bên nhận dữ liệu: đơn vị vận chuyển, cổng thanh toán, nền tảng quảng cáo. Ghi đúng tên các công cụ tracking đang chạy trên website.
- Thời gian lưu trữ từng nhóm dữ liệu, gồm cả thời hạn lưu chứng từ theo pháp luật kế toán, thuế.
- Cách thực hiện quyền xem, chỉnh sửa, xóa dữ liệu và rút lại sự đồng ý.
- Biện pháp bảo vệ dữ liệu.
- Việc lưu trữ hoặc chuyển dữ liệu ra nước ngoài, nếu có.
Checklist tracking và consent rút ra từ vụ Sephora bị phạt#
[ ] 1. Đã có danh sách mọi pixel, SDK và script của bên thứ ba đang chạy trên website, ứng dụng, và mục đích của từng công cụ chưa?
[ ] 2. Với từng bên thứ ba, đã xác định họ là bên xử lý cho doanh nghiệp hay tự dùng dữ liệu cho mục đích của họ, và đã có thỏa thuận chuyển giao tương ứng chưa?
[ ] 3. Pixel quảng cáo có bị chặn cho đến khi người dùng đồng ý không? Đã kiểm tra bằng công cụ dành cho nhà phát triển của trình duyệt chưa?
[ ] 4. Khi người dùng bấm "Từ chối", dữ liệu có thật sự ngừng chia sẻ ở mọi kênh, kể cả server-side, không?
[ ] 5. Privacy Notice có liệt kê đúng các công cụ tracking và bên nhận dữ liệu đang hoạt động không?
[ ] 6. Form đăng ký và cookie banner có còn ô tích sẵn hoặc nút từ chối bị làm mờ không?
[ ] 7. Nhật ký đồng ý có ghi được ai đồng ý, lúc nào, với nội dung gì không?
Câu 4 là lỗi trực tiếp khiến Sephora bị phạt: người dùng đã từ chối nhưng dữ liệu vẫn được chia sẻ. Đây cũng là điểm khó phát hiện nhất nếu chỉ nhìn giao diện banner. Nếu cần rà soát toàn bộ luồng tracking và consent, xem dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân của LexData.
