Server-side tracking gửi sự kiện chuyển đổi từ máy chủ của doanh nghiệp tới nền tảng quảng cáo (server-to-server) thay vì từ trình duyệt của người dùng. Các giải pháp phổ biến là Meta Conversions API (CAPI), Google Tag Manager (GTM) Server Container và TikTok Events API. Khi cookie bên thứ ba bị hạn chế và trình duyệt chặn theo dõi (Apple ITP, Firefox ETP), cách này giúp số liệu đo lường quảng cáo chính xác hơn. Về pháp lý, server-side tracking không làm giảm nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: dữ liệu băm vẫn là dữ liệu cá nhân, việc gửi dữ liệu để quảng cáo theo hành vi vẫn cần sự đồng ý, và gửi sang máy chủ ở nước ngoài là chuyển dữ liệu xuyên biên giới.
1. Bản chất kỹ thuật của Meta CAPI: dữ liệu băm vẫn là dữ liệu cá nhân#
Khi người dùng hoàn tất đơn hàng, Server GTM thu thông tin khách hàng (email, số điện thoại, họ tên, địa chỉ IP, user-agent), băm một chiều bằng SHA-256 và gửi chuỗi băm sang máy chủ của Meta để đối chiếu với tài khoản Facebook, Instagram của người dùng.
Nhiều lập trình viên cho rằng chuỗi băm (ví dụ 'a665a45920422f9d417e4867efdc4fb8...') không đọc được nên không còn là dữ liệu cá nhân. Cách hiểu này không đúng. Khoản 1 Điều 2 Luật 91/2025/QH15 định nghĩa dữ liệu cá nhân là dữ liệu xác định hoặc giúp xác định một con người cụ thể; chỉ dữ liệu đã khử nhận dạng mới không còn là dữ liệu cá nhân. Chuỗi băm email mà Meta đối chiếu được với một tài khoản cụ thể vẫn giúp xác định người đó, nên vẫn là dữ liệu cá nhân.
Khi dữ liệu này dùng để quảng cáo theo hành vi, nhắm mục tiêu hoặc cá nhân hóa quảng cáo, doanh nghiệp chỉ được thu thập qua việc theo dõi website, ứng dụng khi có sự đồng ý của người dùng (điểm a khoản 8 Điều 28 Luật). Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên không gian mạng còn thuộc danh mục dữ liệu cá nhân nhạy cảm (điểm l khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP), nên khi xin đồng ý phải thông báo cho người dùng đây là dữ liệu nhạy cảm (khoản 4 Điều 6 Nghị định 356).
2. Server-side tracking và chuyển dữ liệu xuyên biên giới: nghĩa vụ nộp hồ sơ cho Cục A05#
Máy chủ tiếp nhận API của Meta, Google, TikTok thường đặt ở nước ngoài. Gửi dữ liệu cá nhân đã băm qua CAPI tới các máy chủ này là chuyển dữ liệu cá nhân xuyên biên giới (khoản 1 Điều 20 Luật 91/2025/QH15). Theo Điều 20 Luật và Điều 18 Nghị định 356/2025/NĐ-CP, doanh nghiệp phải:
- Có sự đồng ý của người dùng cho việc thu thập dữ liệu qua theo dõi website để quảng cáo (điểm a khoản 8 Điều 28 Luật), và cho người dùng biết rõ bên nhận là Meta, Google hay TikTok (khoản 2 Điều 9 Luật).
- Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Mẫu số 09 và nộp cho Cục A05 (Bộ Công an) kèm Mẫu số 01a/01b trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu, trừ trường hợp được miễn tại khoản 6 Điều 20 Luật.
3. So sánh các mô hình triển khai Server GTM: Google Cloud Run và máy chủ tại Việt Nam#
Doanh nghiệp có thể chọn 3 mô hình hạ tầng để triển khai Server GTM:
- Mô hình 1, Google Cloud Run (Mỹ, Singapore): cấu hình nhanh từ GTM, nhưng máy chủ đặt ở nước ngoài nên toàn bộ dữ liệu web được chuyển ra nước ngoài ngay từ đầu; phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới và nộp trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (khoản 2 Điều 20 Luật).
- Mô hình 2, container do bên thứ ba quản lý (ví dụ Stape.io): nhà cung cấp là bên xử lý dữ liệu, nên cần ký thỏa thuận xử lý dữ liệu trước khi chuyển dữ liệu (điểm a khoản 2 Điều 37 Luật). Nếu máy chủ của nhà cung cấp ở nước ngoài, đây cũng là chuyển dữ liệu xuyên biên giới (điểm c khoản 1 Điều 20 Luật).
- Mô hình 3, container tự quản trên cloud tại Việt Nam (VNPT, Viettel, FPT IDC): doanh nghiệp kiểm soát được dữ liệu tại Việt Nam, lọc bỏ thông tin không cần thiết và kiểm tra trạng thái đồng ý trước khi gửi phần băm sang API quốc tế. Mô hình này không loại bỏ nghĩa vụ lập hồ sơ: phần dữ liệu gửi sang Meta, Google vẫn là chuyển dữ liệu xuyên biên giới, nhưng phạm vi dữ liệu chuyển đi hẹp và dễ mô tả trong hồ sơ hơn.
4. Kiến trúc server-side tracking qua Server GTM proxy đặt tại Việt Nam#
Để kiểm soát dữ liệu trước khi gửi cho bên thứ ba, doanh nghiệp có thể đặt Server GTM Container trên máy chủ tại Việt Nam, đóng vai trò lớp trung gian:
- Lọc dữ liệu (PII redaction): tự động loại bỏ thông tin không cần cho đo lường (địa chỉ cụ thể, số căn cước, dữ liệu giỏ hàng liên quan đến thuốc, y tế) trước khi payload rời máy chủ.
- Kết nối nền tảng quản lý đồng ý (CMP): nhận tín hiệu đồng ý từ cookie banner trên website. Nếu người dùng chọn "Từ chối tracking marketing", Server GTM bỏ toàn bộ sự kiện CAPI, không gửi payload sang Meta.
- Rút gọn IP: cắt octet cuối của địa chỉ IP trước khi truyền.
4.1. Thiết lập bộ lọc PII trong Server GTM#
Trong Server Container của Google Tag Manager, đội kỹ thuật có thể dùng Transform Variables hoặc Custom JavaScript Client để làm sạch dữ liệu trước khi gửi:
- Chuẩn hóa trước khi băm: chuyển email về chữ thường, bỏ khoảng trắng thừa, chuẩn hóa tiền tố quốc gia của số điện thoại trước khi băm SHA-256.
- Lọc tham số URL: loại bỏ query parameter chứa thông tin tài khoản ngân hàng, mã đơn thuốc hoặc thông tin định danh (dùng biểu thức chính quy).
- Tắt Automatic Advanced Matching khi chưa có đồng ý: chỉ gửi các trường dữ liệu người dùng (user_data) khi biến
consent_statetrả vềgrantedtừ cookie banner.
4.2. Thông tin cần chuẩn bị cho hồ sơ chuyển dữ liệu xuyên biên giới#
Khi lập hồ sơ nộp Cục A05 cho hoạt động server-side tracking sang Meta, Google, doanh nghiệp cần mô tả được:
- Danh mục dữ liệu gửi đi, ví dụ: chuỗi băm SHA-256 của email, số điện thoại; địa chỉ IP rút gọn; user-agent; giá trị đơn hàng; mã tiền tệ.
- Quốc gia tiếp nhận theo thông tin của nhà cung cấp nền tảng.
- Biện pháp bảo vệ kỹ thuật và hợp đồng: mã hóa đường truyền (TLS), máy chủ trung gian tại Việt Nam kiểm soát luồng dữ liệu gửi đi, thỏa thuận xử lý dữ liệu với nhà cung cấp nền tảng.
5. Cập nhật thỏa thuận xử lý dữ liệu (DPA) với Meta và Google#
Trong Business Manager (Meta) và Google Ads, doanh nghiệp cần chấp nhận và lưu lại các phụ lục xử lý dữ liệu (Data Processing Addendum) của nền tảng. Bản sao hợp đồng, thỏa thuận này là thành phần bắt buộc của hồ sơ DPIA và hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (điểm b khoản 2 Điều 18, điểm b khoản 2 Điều 19 Nghị định 356/2025/NĐ-CP), dùng để chứng minh nền tảng cam kết chỉ dùng dữ liệu cho mục đích đo lường chiến dịch và áp dụng biện pháp bảo mật.
6. Câu hỏi thường gặp về server-side tracking#
Q1: Nếu chỉ gửi giá trị đơn hàng và ID sản phẩm, không gửi email, số điện thoại thì có cần lập hồ sơ nộp Cục A05 không?
A1: Nếu payload không chứa thông tin nào xác định hoặc giúp xác định một người cụ thể (kể cả IP hay cookie ID), đó không phải dữ liệu cá nhân và không thuộc phạm vi Luật 91/2025. Đổi lại, hiệu quả tối ưu quảng cáo của Meta CAPI sẽ giảm.
Q2: Dùng Google Consent Mode v2 có đủ để tuân thủ Luật PDPD không?
A2: Consent Mode v2 là công cụ kỹ thuật để truyền trạng thái đồng ý tới Google, không thay thế nghĩa vụ pháp lý. Doanh nghiệp vẫn cần thông báo xử lý dữ liệu rõ ràng và lưu lại lịch sử đồng ý, vì bên kiểm soát phải lưu sự đồng ý và chứng minh được khi có tranh chấp (khoản 2 Điều 6 Nghị định 356); không lưu nhật ký về sự đồng ý bị phạt từ 30 đến 50 triệu đồng đối với tổ chức (điểm g khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP).
7. Kiểm kê sự kiện server-side tracking đang gửi đi#
Liệt kê các sự kiện đang gửi qua CAPI, GTM Server, TikTok Events API và các trường dữ liệu trong từng sự kiện; tắt các trường không cần thiết và gắn điều kiện gửi với trạng thái đồng ý. Nếu doanh nghiệp đã chuyển dữ liệu sang máy chủ nước ngoài mà chưa lập hồ sơ, cần tính lại mốc 60 ngày kể từ ngày đầu tiên chuyển và lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới. Với hệ thống martech nhiều nhà cung cấp, có thể rà soát tuân thủ bảo vệ dữ liệu cá nhân cho toàn bộ luồng dữ liệu quảng cáo, gồm cả hợp đồng với vendor.
