Cookie, Google Analytics, Meta Pixel: cần rà soát pháp lý gì?

Website sử dụng cookie, Google Analytics hoặc Meta Pixel cần kiểm tra dữ liệu thực sự được thu thập, mục đích sử dụng và đơn vị nhận dữ liệu. Nếu công cụ được dùng để theo dõi người truy cập nhằm quảng cáo theo hành vi, quảng cáo hướng đến nhóm người cụ thể hoặc cá nhân hóa quảng cáo, khoản 8 Điều 28 Luật Bảo vệ dữ liệu cá nhân năm 2025 yêu cầu có sự đồng ý của chủ thể dữ liệu trước khi thu thập thông qua việc theo dõi.

Đối với công cụ phân tích truy cập, doanh nghiệp cần xem cấu hình và khả năng nhận diện người dùng để xác định nghĩa vụ tương ứng. Những bước dưới đây dành cho đơn vị vận hành website bán hàng, website giới thiệu dịch vụ, landing page, cổng đăng ký và trang thương mại điện tử có tích hợp công cụ theo dõi.

1. Cookie, Google Analytics và Meta Pixel thu thập những thông tin gì?

Cookie là một cách lưu thông tin trên trình duyệt để website nhận biết trạng thái phiên truy cập hoặc phục vụ chức năng khác. Cookie có thể do website tự thiết lập hoặc phát sinh từ các dịch vụ tích hợp. Cookie không phải tên gọi chung của mọi hoạt động theo dõi: website còn có thể gửi dữ liệu qua mã JavaScript, mã nhận diện thiết bị, thông số yêu cầu mạng hoặc các giao diện kết nối giữa máy chủ.

Google Analytics, thường dùng dưới dạng GA4, hỗ trợ đo lượt truy cập, nguồn truy cập, hoạt động trên trang và kết quả chuyển đổi theo cấu hình. Meta Pixel hỗ trợ ghi nhận sự kiện trên website phục vụ đo lường và tối ưu hoạt động quảng cáo trên các nền tảng của Meta. Tên công cụ chỉ cho biết một phần chức năng; cần xem những sự kiện nào đang được gửi và dữ liệu nào được đưa kèm theo mỗi sự kiện.

Ví dụ, khi khách vào trang dịch vụ và bấm nút đăng ký, hệ thống có thể ghi sự kiện nhấp nút. Nếu lập trình viên đồng thời truyền email hoặc số điện thoại từ form vào sự kiện, phạm vi dữ liệu được xử lý sẽ khác với trường hợp chỉ gửi tên sự kiện. Doanh nghiệp cần đối chiếu cách cài đặt thực tế trước khi viết chính sách bảo mật và nội dung xin đồng ý.

2. Khi nào thông tin theo dõi website là dữ liệu cá nhân?

Điều 2 và Điều 3 Luật Bảo vệ dữ liệu cá nhân, cùng danh mục tại Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP, là căn cứ để xác định dữ liệu gắn với hoặc giúp xác định một con người cụ thể. Địa chỉ IP, mã định danh trình duyệt, mã thiết bị, lịch sử thao tác, thông tin tài khoản và dữ liệu từ form cần được đánh giá theo khả năng nhận diện trực tiếp hoặc kết hợp với thông tin khác.

Chẳng hạn, bản thống kê tổng số lượt mở trang theo tháng không chứa thông tin nhận diện từng khách có cách xử lý khác với danh sách gồm mã khách hàng, lịch sử xem sản phẩm và số điện thoại. Việc hệ thống thay tên khách bằng một chuỗi mã chưa đủ để kết luận dữ liệu đã hết khả năng nhận diện. Điều 12 Luật Bảo vệ dữ liệu cá nhân quy định dữ liệu sau khi mã hóa vẫn là dữ liệu cá nhân.

Đối với hoạt động theo dõi hành vi trên mạng, cần lưu ý điểm l khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP về dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên không gian mạng thuộc danh mục dữ liệu cá nhân nhạy cảm khi đáp ứng nội dung quy định. Phòng marketing nên chuyển danh sách trường dữ liệu và mục đích khai thác cho người phụ trách pháp lý, thay vì chỉ cung cấp tên công cụ.

3. Website dùng công cụ theo dõi có phải xin sự đồng ý không?

Khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân đặt ra nguyên tắc thu thập dữ liệu cá nhân phải có sự đồng ý trước khi thu thập, trừ trường hợp pháp luật có quy định khác. Điều 9 yêu cầu sự đồng ý tự nguyện, rõ ràng, có thể kiểm chứng và gắn với mục đích xử lý cụ thể.

Riêng hoạt động sử dụng dữ liệu cá nhân để quảng cáo theo hành vi, quảng cáo có mục tiêu cụ thể hoặc cá nhân hóa, điểm a khoản 8 Điều 28 quy định rõ việc thu thập dữ liệu qua theo dõi website, cổng thông tin hoặc ứng dụng phải có sự đồng ý. Điểm b cùng khoản yêu cầu có cách để người dùng từ chối chia sẻ dữ liệu, xác định thời gian lưu và xóa, hủy khi không còn cần thiết.

Doanh nghiệp nên phân loại các hoạt động trên website theo mục đích trước khi thiết kế giao diện lựa chọn. Cookie duy trì phiên đăng nhập, công cụ đo hoạt động trên website và công cụ dùng để tiếp thị lại khách đã xem sản phẩm không phục vụ cùng một công việc. Căn cứ xử lý của từng loại phụ thuộc vào dữ liệu được thu thập, tính năng và trường hợp ngoại lệ có thể áp dụng theo Điều 19 Luật Bảo vệ dữ liệu cá nhân.

Không nên sao chép một mẫu banner từ website khác rồi mặc định toàn bộ các công cụ được phép chạy. Cần kiểm tra cả thời điểm mã theo dõi bắt đầu gửi thông tin; thông báo xuất hiện sau khi dữ liệu đã được chuyển đi có thể không đáp ứng yêu cầu đồng ý trước khi thu thập.

4. Bảng kiểm tra công cụ đang chạy trên website

Bảng dưới đây là tài liệu rà soát nội bộ. Các loại dữ liệu nêu trong bảng là khả năng thường gặp, chưa phải kết luận về cấu hình của một website cụ thể.

Đơn vị kỹ thuật cần bổ sung tên thẻ theo dõi, mã tài khoản, nhà cung cấp, máy chủ tiếp nhận theo thông tin đã kiểm chứng và kết quả thử nghiệm vào bảng này. Bộ phận marketing xác nhận mục đích sử dụng; bộ phận pháp lý kiểm tra nội dung thông báo và điều kiện áp dụng.

5. Cách thiết kế phần lựa chọn trên website

Một website có thể công khai chính sách bảo vệ dữ liệu tại trang riêng và dùng thông báo ngắn ở lần truy cập đầu tiên. Đối với những mục đích cần sự đồng ý, cách bố trí cần để người dùng hiểu từng lựa chọn và có thể từ chối. Điều 6 Nghị định 356/2025/NĐ-CP yêu cầu phương thức xin sự đồng ý có thể kiểm chứng người thực hiện, thời điểm và nội dung đã đồng ý; không thiết lập mặc định đồng ý.

Ví dụ nội dung thông báo ngắn:

“Website sử dụng công cụ phân tích truy cập để thống kê hoạt động trên trang và công cụ quảng cáo để đo lường, giới thiệu sản phẩm phù hợp với mối quan tâm của người dùng. Tùy lựa chọn của bạn, các công cụ này có thể thu thập mã nhận diện trình duyệt, thông tin truy cập và sự kiện tương tác. Thông tin về từng mục đích, bên nhận dữ liệu, thời gian lưu và cách thực hiện quyền được trình bày trong chính sách bảo vệ dữ liệu của đơn vị vận hành website. Bạn có thể chấp nhận hoặc từ chối các mục đích tùy chọn và thay đổi lựa chọn tại phần Cài đặt quyền riêng tư.”

Những lựa chọn cần bố trí phù hợp với hệ thống:

• Phân tích truy cập và cải thiện nội dung website.
• Theo dõi phục vụ đo lường quảng cáo, tiếp thị lại và cá nhân hóa quảng cáo.
• Chấp nhận các mục đích tùy chọn; từ chối các mục đích tùy chọn; xem và sửa từng lựa chọn.

Doanh nghiệp phải thay phần mô tả trên bằng danh sách công cụ, dữ liệu và mục đích thực tế. Nếu có trường hợp xử lý dựa trên căn cứ pháp luật khác, cần giải thích đúng căn cứ đó trong chính sách và triển khai cơ chế phù hợp. Ví dụ trên là nội dung tham khảo để biên tập, không phải mẫu thông báo bắt buộc cho mọi website.

6. Google Consent Mode có thay thế việc xin đồng ý không?

Google Consent Mode là cơ chế kỹ thuật giúp thẻ Google điều chỉnh hoạt động theo trạng thái đồng ý. Theo tài liệu của Google dành cho nhà phát triển, người vận hành cần đặt trạng thái mặc định và cập nhật khi người dùng lựa chọn. Các nhóm cài đặt có thể bao gồm lưu trữ phục vụ phân tích, lưu trữ quảng cáo, việc sử dụng dữ liệu cho quảng cáo và cá nhân hóa quảng cáo.

Đây là công cụ triển khai lựa chọn trên website. Doanh nghiệp vẫn phải xác định cách lấy sự đồng ý đáp ứng luật Việt Nam, nội dung đã thông báo và dữ liệu thực sự được gửi. Cần thử nghiệm cả trường hợp người dùng từ chối: kiểm tra các thẻ nào tải, yêu cầu mạng nào được gửi, dữ liệu nào còn xuất hiện và việc thay đổi lựa chọn có được ghi nhận hay không.

Đặc biệt, một số cấu hình của công cụ đo lường có thể hoạt động khác nhau khi người dùng từ chối lưu cookie. Vì vậy, kỹ thuật viên cần đánh giá luồng dữ liệu thực tế, thay vì căn cứ riêng vào thông báo “đã bật Consent Mode” để kết luận website đã tuân thủ pháp luật.

7. Dữ liệu được gửi đến nhà cung cấp nước ngoài cần kiểm tra gì?

Khi website dùng Google Analytics, Meta Pixel hoặc một công cụ nước ngoài khác, doanh nghiệp nên xác định đơn vị cung cấp, bộ phận có quyền truy cập, nơi dữ liệu được xử lý và các đối tác tiếp nhận tiếp theo. Căn cứ tên thương hiệu hoặc vị trí trụ sở không đủ để xác định toàn bộ luồng dữ liệu.

Nếu có hoạt động chuyển dữ liệu cá nhân xuyên biên giới, cần đối chiếu Điều 20 Luật Bảo vệ dữ liệu cá nhân và Điều 17 Nghị định 356/2025/NĐ-CP, đồng thời xem xét điều kiện ngoại lệ liên quan đến hồ sơ đánh giá tác động. Doanh nghiệp cần đánh giá theo dòng dữ liệu và mục đích sử dụng thực tế. Phần này khác với việc lấy sự đồng ý theo dõi quảng cáo nêu tại Điều 28.

Trong hợp đồng với đơn vị lập trình, agency hoặc nhà cung cấp phần mềm, nên quy định rõ ai được thêm thẻ theo dõi, ai phê duyệt việc truyền thông tin từ form, ai có quyền quản trị tài khoản và cách thu hồi quyền khi chấm dứt hợp đồng.

8. Kiểm tra lại website sau khi sửa

Việc kiểm tra cần thực hiện trên trang thực tế, không dừng ở việc đọc chính sách.

1. Lập danh sách: ghi các thẻ trong mã nguồn, trình quản lý thẻ, mã chèn trực tiếp từ nền tảng và các tiện ích nhúng.
2. Thử khi chưa chọn: mở trình duyệt mới hoặc chế độ riêng tư, kiểm tra những yêu cầu dữ liệu đã phát sinh trước khi khách quyết định.
3. Thử khi từ chối: xác nhận những chức năng tùy chọn không được kích hoạt ngoài phạm vi căn cứ xử lý đã xác lập.
4. Thử khi chấp nhận: ghi lại nhóm công cụ được kích hoạt, nội dung lựa chọn và bằng chứng có thể kiểm chứng theo Điều 6 Nghị định 356/2025/NĐ-CP.
5. Thử khi thay đổi lựa chọn: bảo đảm người dùng có thể quay lại phần cài đặt, từ chối mục đích từng đồng ý và được xử lý yêu cầu theo pháp luật.
6. Kiểm tra sau mỗi lần cập nhật website: việc thêm plugin, tích hợp chatbot hoặc cài mới chiến dịch có thể làm phát sinh hoạt động thu thập mới.

Kết quả nên được lưu thành một báo cáo ngắn: ngày kiểm tra, URL, phiên bản công cụ, các yêu cầu mạng đã quan sát, lỗi phát hiện, người chịu trách nhiệm sửa và thời điểm kiểm tra lại. Đây là tài liệu quản lý do doanh nghiệp tự thiết lập, không phải một loại hồ sơ bắt buộc có tên riêng theo Luật Bảo vệ dữ liệu cá nhân.

9. Một số câu hỏi thường gặp

Website chỉ dùng Google Analytics để đếm lượt truy cập có cần xin đồng ý?

Cần xác định dữ liệu GA4 đang thu, mức nhận diện người dùng và căn cứ xử lý theo Điều 9, 11, 19 Luật Bảo vệ dữ liệu cá nhân. Nếu dùng dữ liệu theo dõi để quảng cáo theo hành vi hoặc cá nhân hóa quảng cáo, áp dụng yêu cầu tại khoản 8 Điều 28. Không nên đánh giá chỉ bằng tên chức năng “thống kê”.

Đã có trang chính sách bảo mật thì có phải đặt phần lựa chọn không?

Trang chính sách dùng để công khai thông tin. Với hoạt động cần sự đồng ý, doanh nghiệp phải có phương thức thể hiện và lưu bằng chứng đáp ứng Điều 9 Luật Bảo vệ dữ liệu cá nhân, Điều 6 Nghị định 356/2025/NĐ-CP. Cách đặt nút và nhóm lựa chọn phải phù hợp tính năng của website.

Meta Pixel chỉ gửi mã khách hàng đã băm thì có phải dữ liệu cá nhân không?

Cần xem khả năng nhận diện người dùng từ mã đó hoặc khi kết hợp với dữ liệu khác, đồng thời đọc luồng gửi và mục đích. Một chuỗi mã được tạo bằng thuật toán không mặc nhiên là thông tin đã được khử nhận dạng theo quy định pháp luật.

Agency cài Pixel thì bên nào chịu trách nhiệm?

Phải xác định ai quyết định mục đích, loại dữ liệu và cách xử lý; ai thao tác theo chỉ dẫn; ai nhận dữ liệu để dùng cho mục đích riêng. Hợp đồng dịch vụ cần phân công việc phê duyệt, quản trị tài khoản, cung cấp thông tin, xử lý yêu cầu và sự cố. Doanh nghiệp cũng cần kiểm tra hoạt động thực tế thay vì chỉ căn cứ tên vai trò trong hợp đồng.

10. Justix hỗ trợ rà soát dữ liệu khách hàng trên website

Justix thực hiện rà soát biểu mẫu thu thập, chính sách bảo vệ dữ liệu, nội dung xin đồng ý và điều khoản với đơn vị cung cấp dịch vụ marketing. Đối với Google Analytics, Meta Pixel và các tiện ích khác, Justix phối hợp với bộ phận kỹ thuật của doanh nghiệp để xác định dữ liệu và mục đích cần được thể hiện trong tài liệu pháp lý.

Khách hàng cần chuẩn bị địa chỉ website, danh sách công cụ đang cài, ảnh chụp form và thông báo hiện tại, tài khoản hoặc báo cáo cấu hình do bộ phận kỹ thuật cung cấp, cùng hợp đồng với agency nếu có. Phạm vi soạn thảo, rà soát pháp lý được xác định riêng với công việc kiểm thử hoặc sửa mã nguồn. Tham khảo dịch vụ bảo vệ dữ liệu khách hàng, website và marketing của Justix.

Doanh nghiệp có thể đọc thêm bài Chính sách bảo mật website cần có những nội dung gì? và Thu thập thông tin qua form quảng cáo có phải xin đồng ý không? để đối chiếu với các điểm thu thập khác trên cùng website.