Cookie banner có bắt buộc tại Việt Nam không? Câu trả lời ngắn: Luật PDPD Việt Nam không quy định một mẫu cookie banner cụ thể. Tuy nhiên, Luật có hai quy định trực tiếp liên quan: tổ chức cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến phải cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ cookies (khoản 3 Điều 29 Luật 91/2025); khi sử dụng dữ liệu cá nhân để quảng cáo theo hành vi, có mục tiêu cụ thể hoặc cá nhân hóa, chỉ được thu thập dữ liệu thông qua việc theo dõi trang web, ứng dụng khi có sự đồng ý của chủ thể dữ liệu (điểm a khoản 8 Điều 28). Ngoài ra, các nguyên tắc về thông báo và đồng ý vẫn áp dụng khi website thu thập dữ liệu cá nhân thông qua cookie, local storage, pixel hoặc các công nghệ tracking tương tự. Với hầu hết website có dùng công cụ phân tích hoặc quảng cáo, cookie banner là cách thực tế nhất để đáp ứng các yêu cầu này.
Cookie và dữ liệu cá nhân#
Cookie và các công nghệ tracking có thể thu thập các dữ liệu cá nhân như địa chỉ IP, hành vi duyệt web, vị trí địa lý, thiết bị sử dụng và các tương tác trên website. Khi các dữ liệu này có thể xác định một cá nhân cụ thể, chúng thuộc phạm vi điều chỉnh của Luật PDPD. Đáng chú ý, dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên không gian mạng thuộc danh mục dữ liệu cá nhân nhạy cảm (điểm l khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP), nên khi xin đồng ý phải thông báo cho người dùng rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm (khoản 4 Điều 6).
Cookie banner có bắt buộc không?#
Luật PDPD không bắt buộc một hình thức cookie banner cố định như cách làm phổ biến ở châu Âu. Nhưng nếu website dùng cookie để thu thập dữ liệu cá nhân cho mục đích phân tích, quảng cáo hoặc chia sẻ cho bên thứ ba, ba yêu cầu sau vẫn phải đáp ứng:
- Có sự đồng ý trước khi thu thập, trừ trường hợp pháp luật có quy định khác (khoản 1 Điều 11 Luật 91).
- Sự đồng ý được thể hiện rõ ràng, cụ thể và kiểm chứng được (khoản 3 Điều 9). Nghị định 356 nêu rõ phương thức xin đồng ý "trên trang thông tin điện tử, nền tảng, ứng dụng có thiết lập kỹ thuật xin sự đồng ý" (điểm d khoản 1 Điều 6).
- Người dùng có thể rút lại sự đồng ý (điểm b khoản 1 Điều 4).
Cookie banner, kèm trang cài đặt cookie, là thiết lập kỹ thuật đáp ứng cả ba yêu cầu này.
Phân loại cookie: cookie banner có bắt buộc với mọi loại?#
Pháp luật Việt Nam không có ngoại lệ riêng cho "cookie cần thiết" như quy định ePrivacy của EU, cũng không có căn cứ "lợi ích hợp pháp" như GDPR. Theo cách hiểu của LexData, cookie chia thành bốn nhóm:
- Mã phiên ẩn danh, không gắn với tài khoản, hồ sơ hay dữ liệu nào khác về người truy cập, không xác định hoặc giúp xác định một người cụ thể nên không phải dữ liệu cá nhân (khoản 1 Điều 2 Luật 91/2025) và không cần xin đồng ý.
- Cookie phiên, giỏ hàng, đăng nhập, thanh toán chỉ phục vụ đúng dịch vụ người dùng yêu cầu: căn cứ không cần đồng ý là thực hiện thỏa thuận với người dùng, tức điều khoản sử dụng, điều khoản tài khoản hoặc hợp đồng mua bán (điểm d khoản 1 Điều 19 Luật 91/2025).
- Cookie bảo mật, chống gian lận (phát hiện bot, chống dò mật khẩu, chống gian lận thanh toán): căn cứ là vế sau của điểm a khoản 1 Điều 19, bảo vệ quyền hoặc lợi ích chính đáng của mình, của người khác "một cách cần thiết trước hành vi xâm phạm". Doanh nghiệp có trách nhiệm chứng minh trường hợp này, nên cần ghi lại mỗi cookie dùng để chống rủi ro gì.
- Cookie phân tích, quảng cáo, mạng xã hội phải có sự đồng ý trước khi kích hoạt (khoản 1 Điều 11; riêng quảng cáo theo hành vi là điểm a khoản 8 Điều 28 Luật 91/2025). Các trường hợp tại Điều 19 không áp dụng được cho mục đích này. Vì đây là dữ liệu theo dõi hành vi, thuộc dữ liệu nhạy cảm, yêu cầu đồng ý phải nói rõ điều đó (khoản 4 Điều 6 Nghị định 356).
Với hai nhóm không cần đồng ý, doanh nghiệp vẫn phải có cơ chế giám sát theo khoản 2 Điều 19 (quy trình, biện pháp bảo vệ, kiểm tra định kỳ, kênh tiếp nhận phản ánh) và liệt kê các cookie này, kèm căn cứ, trong thông báo xử lý dữ liệu.
Những lỗi cookie banner có thể bị xử phạt#
Các lỗi dưới đây đều có hành vi vi phạm tương ứng trong Nghị định 330/2026/NĐ-CP. Mức phạt nêu dưới đây áp dụng với tổ chức.
- Ô đồng ý được tích sẵn, hoặc nút "Từ chối" bị làm mờ, giấu vào trang khác. Không được thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý (khoản 3 Điều 6 Nghị định 356). Vi phạm có thể bị phạt 30–50 triệu đồng (điểm c khoản 1 Điều 43 Nghị định 330). Xem thêm case study về dark pattern trong cookie banner.
- Banner ghi "Tiếp tục truy cập nghĩa là bạn đồng ý". Sự im lặng hoặc không phản hồi không được coi là đồng ý (điểm d khoản 4 Điều 9 Luật 91). Tự ý coi im lặng là đồng ý có thể bị phạt 50–70 triệu đồng (điểm b khoản 2 Điều 43 Nghị định 330).
- Một nút "Đồng ý tất cả" cho mọi mục đích, không có lựa chọn riêng. Sự đồng ý phải thể hiện theo từng mục đích (điểm a khoản 4 Điều 9 Luật 91). Vi phạm có thể bị phạt 30–50 triệu đồng (điểm e khoản 1 Điều 43 Nghị định 330).
- Không lưu lại lựa chọn của người dùng. Doanh nghiệp phải lưu trữ sự đồng ý và chịu trách nhiệm chứng minh (khoản 2 Điều 6 Nghị định 356). Không lưu nhật ký sự đồng ý có thể bị phạt 30–50 triệu đồng (điểm g khoản 1 Điều 43 Nghị định 330).
- Pixel quảng cáo chạy trước khi người dùng chọn. Thu thập dữ liệu qua theo dõi website để quảng cáo theo hành vi khi chưa có đồng ý có thể bị phạt 50–70 triệu đồng (điểm c khoản 2 Điều 63 Nghị định 330).
Tình huống minh họa: cookie banner có bắt buộc với website bán lẻ?#
Giả sử một website bán lẻ dùng Google Analytics để đo lưu lượng, Facebook Pixel để chạy quảng cáo lại, và cookie giỏ hàng.
- Cookie giỏ hàng có thể bật mặc định vì cần để website hoạt động, nhưng vẫn nêu trong chính sách bảo mật (xem mẫu chính sách bảo mật, mục cookie).
- Facebook Pixel dùng cho quảng cáo theo hành vi, nên bắt buộc có sự đồng ý trước khi pixel được tải (điểm a khoản 8 Điều 28 Luật 91). Website cũng phải cho người dùng cách từ chối chia sẻ dữ liệu (điểm b khoản 8 Điều 28).
- Google Analytics nên đặt sau lựa chọn "Phân tích" trên banner, không bật mặc định.
- Cả hai công cụ đều gửi dữ liệu ra nước ngoài. Website còn phải lập hồ sơ chuyển dữ liệu xuyên biên giới, không chỉ làm cookie banner.
Vậy với website này, cookie banner có bắt buộc không? Không có điều luật nào gọi tên "cookie banner". Nhưng nếu không có một cơ chế tương đương, website không thể chứng minh đã có sự đồng ý trước khi pixel chạy.
Checklist triển khai cookie banner#
- Mở website ở chế độ ẩn danh. Xem tab Application (hoặc Storage) trong DevTools và tab Network để liệt kê cookie, script, pixel, tag, SDK của bên thứ ba.
- Phân loại cookie theo mục đích: cần thiết, phân tích, quảng cáo, mạng xã hội.
- Cập nhật Privacy Notice: loại dữ liệu, mục đích, bên nhận, việc chuyển dữ liệu ra nước ngoài, và thông báo dữ liệu theo dõi hành vi là dữ liệu nhạy cảm.
- Thiết kế banner với nút "Chấp nhận", "Từ chối" ngang nhau, và một trang tùy chỉnh theo từng mục đích.
- Chặn các tag không cần thiết cho đến khi có đồng ý, ví dụ qua cơ chế consent trong trình quản lý thẻ.
- Lưu nhật ký: mã người dùng hoặc mã thiết bị, thời điểm, phiên bản banner, lựa chọn đồng ý hay từ chối.
- Đặt liên kết "Cài đặt cookie" ở chân trang để người dùng rút lại đồng ý bất cứ lúc nào.
- Quét lại mỗi khi thêm công cụ marketing mới, và định kỳ rà soát tuân thủ bảo vệ dữ liệu.
