Dùng Google Analytics có hợp pháp tại Việt Nam không?

Dùng Google Analytics có hợp pháp tại Việt Nam không? Có. Pháp luật Việt Nam không cấm Google Analytics. Tuy nhiên, công cụ này đặt cookie trên trình duyệt, ghi nhận hành vi người dùng và gửi dữ liệu về máy chủ của Google ở nước ngoài. Vì vậy, website phải đáp ứng ba nhóm yêu cầu của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP: thông báo, xin đồng ý và thủ tục chuyển dữ liệu ra nước ngoài.

Google Analytics có hợp pháp hay bị cấm tại Việt Nam?#

Không có quy định nào cấm một công cụ phân tích cụ thể. Câu hỏi đúng là việc dùng công cụ đó có đáp ứng nghĩa vụ xử lý dữ liệu cá nhân hay không. Với Google Analytics, có hai điểm pháp lý chính:

• Dữ liệu do Google Analytics thu thập là dữ liệu cá nhân khi giúp xác định một người cụ thể (khoản 1 Điều 2 Luật 91). Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên không gian mạng còn có thể thuộc danh mục dữ liệu nhạy cảm (điểm l khoản 1 Điều 4 Nghị định 356).
• Dữ liệu được xử lý trên nền tảng của Google ở ngoài Việt Nam. Đây là một trường hợp chuyển dữ liệu cá nhân xuyên biên giới (điểm c khoản 1 Điều 20 Luật 91).

Google Analytics thu thập dữ liệu gì#

Google Analytics 4 (GA4) nhận diện trình duyệt qua cookie _ga, trong đó có một mã định danh ngẫu nhiên. Mỗi lượt truy cập gửi về Google địa chỉ trang, nguồn truy cập, loại thiết bị, trình duyệt, vị trí gần đúng (suy ra từ địa chỉ IP) và các sự kiện như nhấp, cuộn, mua hàng. Theo Google, GA4 không ghi lại và không lưu địa chỉ IP.

Dữ liệu trở nên dễ xác định một người cụ thể hơn khi website bật các tính năng sau:

• User-ID: gửi mã khách hàng của website sang Google Analytics để nối các phiên đăng nhập.
• Google Signals: liên kết dữ liệu với tài khoản Google của người dùng đã đăng nhập, phục vụ báo cáo đa thiết bị và nhân khẩu học.
• Liên kết Google Ads: dùng dữ liệu truy cập để tạo tệp đối tượng quảng cáo lại (remarketing).

Điều kiện để Google Analytics có hợp pháp#

1. Thông báo trong chính sách bảo mật (privacy notice). Nêu rõ website dùng Google Analytics, loại dữ liệu thu thập, mục đích, bên nhận là Google, dữ liệu được chuyển ra nước ngoài và cách từ chối. Sự đồng ý chỉ có hiệu lực khi người dùng biết rõ loại dữ liệu, mục đích và bên kiểm soát (khoản 2 Điều 9 Luật 91).
2. Xin đồng ý trước khi kích hoạt cookie phân tích, quảng cáo. Luật 91 yêu cầu có sự đồng ý trước khi thu thập, trừ trường hợp pháp luật có quy định khác (khoản 1 Điều 11). Các trường hợp không cần đồng ý tại Điều 19 khó áp dụng cho mục đích phân tích, quảng cáo. Người dùng im lặng hoặc tiếp tục lướt trang không được coi là đã đồng ý (điểm d khoản 4 Điều 9). Nếu dùng dữ liệu cho quảng cáo theo hành vi, việc thu thập qua theo dõi website chỉ được thực hiện khi có sự đồng ý (điểm a khoản 8 Điều 28). Cách triển khai: xem cookie banner có bắt buộc không.
3. Lưu bằng chứng đồng ý. Doanh nghiệp phải lưu trữ sự đồng ý và chịu trách nhiệm chứng minh khi có tranh chấp (khoản 2 Điều 6 Nghị định 356). Không lưu nhật ký sự đồng ý có thể bị phạt 30–50 triệu đồng (điểm g khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP).
4. Xác lập thỏa thuận với Google. Chấp nhận điều khoản xử lý dữ liệu của Google trong phần quản trị tài khoản. Sau đó đối chiếu với các nội dung bắt buộc của thỏa thuận chuyển giao tại khoản 1 Điều 7 Nghị định 356. Bản sao thỏa thuận này là một phần của hồ sơ chuyển dữ liệu xuyên biên giới (điểm b khoản 2 Điều 18).
5. Lập hồ sơ chuyển dữ liệu ra nước ngoài. Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (báo cáo theo Mẫu số 09) và gửi Cục A05 trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (khoản 2 Điều 20 Luật 91; Điều 18 Nghị định 356). Hồ sơ này lập 01 lần cho suốt thời gian hoạt động và được cập nhật khi có thay đổi (khoản 3 Điều 20 Luật 91). Vì vậy, nếu website còn dùng các công cụ nước ngoài khác (pixel quảng cáo, CRM, chat), hồ sơ nên mô tả đủ các luồng này. LexData hỗ trợ lập hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu ra nước ngoài.

Cấu hình GA4 nên kiểm tra#

Việc Google Analytics có hợp pháp hay không còn phụ thuộc vào cấu hình. Các thiết lập dưới đây nằm trong phần quản trị GA4 hoặc trong mã cài đặt. Mục tiêu là chỉ thu thập dữ liệu cần cho mục đích đã thông báo (khoản 2 Điều 3 Luật 91).

• Chế độ đồng ý (Consent Mode). Đặt mặc định analytics_storage và ad_storage là denied. Chỉ chuyển sang granted khi người dùng chấp nhận trên cookie banner.
• Thời gian lưu dữ liệu. GA4 cho chọn 2 tháng hoặc 14 tháng với dữ liệu cấp sự kiện. Chọn mức ngắn nhất đủ cho nhu cầu báo cáo, và ghi đúng con số này vào privacy notice.
• Google Signals và liên kết Google Ads. Tắt nếu không chạy quảng cáo lại. Nếu bật, mục đích xử lý đã là quảng cáo theo hành vi, không chỉ đo lường.
• Dữ liệu vị trí và thiết bị chi tiết. Có thể tắt thu thập chi tiết theo khu vực nếu không cần.
• Thông tin định danh trong URL và sự kiện. Kiểm tra URL có chứa email, số điện thoại (ví dụ trang cảm ơn sau khi điền form) không. Chính sách của Google Analytics cũng không cho phép gửi loại dữ liệu này.

Sai lầm thường gặp#

• Tải mã Google Analytics ngay khi mở trang, trước khi người dùng chọn. Cookie đã được đặt và dữ liệu đã gửi đi trước khi có sự đồng ý, trái khoản 1 Điều 11 Luật 91.
• Banner ghi "Tiếp tục truy cập nghĩa là bạn đồng ý". Luật coi im lặng hoặc không phản hồi không phải là đồng ý. Tự ý coi sự im lặng là đồng ý có thể bị phạt 50–70 triệu đồng (điểm b khoản 2 Điều 43 Nghị định 330).
• Chỉ xử lý cookie mà quên thủ tục chuyển dữ liệu ra nước ngoài. Không lập hoặc không nộp hồ sơ trong 60 ngày có thể bị phạt 30–50 triệu đồng (điểm a, điểm b khoản 1 Điều 56 Nghị định 330).
• Bật remarketing nhưng privacy notice chỉ ghi "phân tích lưu lượng". Mục đích thực tế rộng hơn mục đích đã thông báo. Thu thập dữ liệu qua theo dõi website để quảng cáo theo hành vi mà không có đồng ý có thể bị phạt 50–70 triệu đồng (điểm c khoản 2 Điều 63 Nghị định 330).

Để biết Google Analytics có hợp pháp trên website của mình hay không, bước đầu tiên là liệt kê toàn bộ thẻ (tag) và cookie đang chạy, rồi đối chiếu với privacy notice. Các nghĩa vụ khi dùng những dịch vụ nước ngoài khác được phân tích trong bài dùng CRM nước ngoài có vi phạm không và cẩm nang chuyển dữ liệu ra nước ngoài là gì.