Ghost CMS cookie consent PDPL: chèn code injection, chặn analytics/embed

Ghost CMS cookie consent PDPL là gì và vì sao cần làm?

Bạn cần làm vì Ghost CMS thường cho phép nhúng script qua Code Injection, dễ vô tình nạp cookie/trackers trước khi người dùng đồng ý. Với Luật Bảo vệ Dữ liệu Cá nhân (Luật 91/2025/QH15, dự kiến hiệu lực 01/01/2026), doanh nghiệp cần kiểm soát đồng ý, thông báo minh bạch và lưu được bằng chứng consent theo quy định.

Ví dụ thực tế: một blog dùng Ghost chèn Google Analytics, Meta Pixel và YouTube embed trong header/footer. Nếu script tải ngay khi mở trang, cookie có thể được đặt trước consent. Cách đúng là tách script theo trạng thái đồng ý, chỉ nạp khi người dùng chọn “Chấp nhận”.

Chèn cookie banner vào Ghost CMS bằng code injection như thế nào?

Bạn có thể chèn banner/logic consent qua Code Injection trong Ghost Admin, thường ở phần Site Header hoặc Site Footer, rồi điều khiển việc nạp script theo lựa chọn của người dùng.

Mẫu logic chặn script trong Ghost

Bạn có thể dùng mẫu đơn giản sau trong Code Injection (Footer) để kiểm soát tải script sau consent:

<script>
  function loadScript(src) {
    var s = document.createElement('script');
    s.src = src;
    s.async = true;
    document.head.appendChild(s);
  }

  function getConsent() {
    try { return JSON.parse(localStorage.getItem('cookie_consent') || '{}'); }
    catch (e) { return {}; }
  }

  function applyConsent() {
    var c = getConsent();
    if (c.analytics) {
      loadScript('https://www.googletagmanager.com/gtag/js?id=GA_MEASUREMENT_ID');
      window.dataLayer = window.dataLayer || [];
      function gtag(){dataLayer.push(arguments);} gtag('js', new Date());
      gtag('config', 'GA_MEASUREMENT_ID', { anonymize_ip: true });
    }
    if (c.marketing) {
      loadScript('https://connect.facebook.net/en_US/fbevents.js');
    }
  }

  document.addEventListener('DOMContentLoaded', applyConsent);
</script>

Lưu ý: đây chỉ là mẫu kỹ thuật. Nếu bạn triển khai thực tế, nên kiểm tra thêm yêu cầu thông báo, mục đích xử lý và cơ chế rút lại đồng ý theo quy định.

Làm sao chặn analytics và embed khi chưa có đồng ý?

Cách an toàn là không để script bên thứ ba tải tự động. Với analytics, bạn chỉ nạp sau khi người dùng chấp thuận nhóm “phân tích”. Với embed như YouTube/Maps, dùng placeholder và chỉ thay bằng iframe thật sau consent.

Bảng so sánh cách chặn thường dùng

Với Ghost, cách làm thực tế thường là: để nội dung gốc trong Markdown, nhưng thay embed bằng khối placeholder và một nút “Cho phép tải nội dung bên thứ ba”. Khi người dùng bấm, JavaScript mới tạo iframe hoặc script tương ứng.

Cần lưu bằng chứng đồng ý trên Ghost như thế nào?

Bạn nên lưu ít nhất: thời điểm đồng ý, phiên bản banner/policy, các nhóm đã chọn, và cách người dùng đồng ý. Nếu có tài khoản, có thể gắn consent với user ID; nếu là khách vãng lai, lưu bằng cookie/localStorage kèm ID kỹ thuật.

Điểm quan trọng cho SME: đừng chỉ “hiện banner”. Theo quy định, bạn cần chứng minh consent đã được ghi nhận và có thể truy xuất khi có yêu cầu nội bộ hoặc kiểm tra. Nếu dùng consent management platform, hãy đảm bảo có log xuất được, không chỉ lưu trên trình duyệt.

Ghost CMS cookie consent PDPL nên triển khai theo thứ tự nào?

Bạn nên làm theo thứ tự: kiểm kê tracker, phân loại cookie, chặn mặc định, triển khai banner, lưu log, rồi test lại trên site thật. Nếu có tích hợp phức tạp như nhiều theme hoặc nhiều môi trường staging/production, hãy chuẩn hóa bằng một snippet dùng chung.

Điểm cần nhớ: khi có sự cố lộ dữ liệu cá nhân, doanh nghiệp phải thông báo vi phạm dữ liệu trong 72 giờ kể từ khi phát hiện. Vi phạm nghiêm trọng có thể bị xử lý hình sự; mức phạt cụ thể sẽ theo nghị định hướng dẫn của Chính phủ.

Nếu bạn cần mẫu banner, policy text hoặc snippet sẵn để dán vào Ghost, consent.vn có thể giúp chuẩn hóa theo luồng cookie consent và lưu bằng chứng đồng ý.

Nguồn: Luật 91/2025/QH15 và Nghị định 13/2023/NĐ-CP: https://thuvienphapluat.vn ; Cơ quan thực thi A05: https://bocongan.gov.vn