Bài viết · 17 tháng 6, 2026
Chỉ dùng Google Analytics có cần cookie banner không?
Dùng Google Analytics vẫn thường cần cookie banner vì đây là cookie không thiết yếu và có thể phát sinh nghĩa vụ theo PDPL.
Trả lời nhanh
Chỉ dùng Google Analytics có cần cookie banner không?
Có, trong đa số trường hợp bạn vẫn nên có cookie banner. Lý do là Google Analytics thường dùng cookie để đo lường, theo dõi phiên truy cập, nguồn traffic và hành vi người dùng. Đây không phải cookie “thiết yếu” để website vận hành cơ bản như giỏ hàng, đăng nhập hay bảo mật phiên.
Nếu bạn đang nhắm tuân thủ Luật Bảo vệ Dữ liệu Cá nhân (Luật 91/2025/QH15, dự kiến hiệu lực 01/01/2026), cách an toàn là coi GA là một hoạt động xử lý dữ liệu cần được thông báo và quản lý chấp thuận theo quy định. Với PDPL, doanh nghiệp không nên mặc định rằng “đã có chính sách bảo mật là đủ”.
Vì sao Google Analytics làm phát sinh nghĩa vụ cookie banner?
Google Analytics có thể thu thập định danh trực tuyến, dữ liệu thiết bị, đường dẫn truy cập, sự kiện nhấp chuột và các chỉ dấu hành vi khác. Dù bạn không lưu tên hay số điện thoại, dữ liệu này vẫn có thể liên quan đến một người dùng cụ thể hoặc một thiết bị cụ thể.
Điểm quan trọng là: cookie banner không chỉ là “thông báo cho đẹp”, mà là nơi bạn:
- Thông báo loại cookie đang dùng
- Nêu mục đích đo lường/phân tích
- Cho người dùng chọn chấp thuận hoặc từ chối cookie không thiết yếu
- Ghi nhận và lưu chứng cứ đồng ý nếu có
Với GA, bạn nên chuẩn bị thêm phần mô tả việc chia sẻ dữ liệu với bên thứ ba là Google, tùy cấu hình triển khai và chính sách nội bộ.
Khi nào có thể không cần banner?
Nếu website chỉ dùng cookie thiết yếu để vận hành cơ bản, ví dụ:
- Giữ trạng thái đăng nhập
- Bảo mật phiên
- Ghi nhớ ngôn ngữ hoặc lựa chọn kỹ thuật cần thiết
thì có thể không cần banner theo nghĩa “xin chấp thuận cho mọi cookie”. Nhưng với Google Analytics, tình huống này thường không áp dụng vì GA không phải cookie thiết yếu.
Nói ngắn gọn: chỉ dùng Google Analytics có cần cookie banner không — câu trả lời thực tế là có, nếu bạn muốn tuân thủ tốt và giảm rủi ro pháp lý.
Doanh nghiệp nên làm gì khi chỉ dùng GA?
Rà soát GA đang thu thập gì:
Kiểm tra cookie, event, IP masking, thời gian lưu dữ liệu và các tích hợp phụ trợ như Google Ads hay Tag Manager.
Phân loại cookie:
Tách cookie thiết yếu và cookie phân tích. GA thường nằm ở nhóm phân tích/không thiết yếu.
Triển khai banner theo nguyên tắc đồng ý rõ ràng:
Người dùng nên có nút “Chấp nhận” và “Từ chối”, không mặc định bật hết.
Chặn GA trước khi có chấp thuận nếu cần:
Về mặt kỹ thuật, đừng để GA chạy trước khi người dùng đồng ý, nếu cấu hình của bạn phụ thuộc vào consent.
Lưu bằng chứng đồng ý:
Ghi log thời gian, lựa chọn, phiên bản banner và ID consent để có thể chứng minh khi bị kiểm tra.
Cập nhật chính sách riêng tư:
Nêu rõ mục đích đo lường, nhà cung cấp, cách rút lại đồng ý và cách liên hệ.
Chuẩn bị quy trình xử lý yêu cầu của người dùng:
Nếu user hỏi xóa dữ liệu, phản đối đo lường, hoặc muốn xem dữ liệu, bạn cần có người phụ trách.
Nếu không có cookie banner thì rủi ro là gì?
Rủi ro chính không chỉ là “thiếu một popup”. Vấn đề là bạn có thể không chứng minh được rằng người dùng đã được thông báo và đồng ý đúng cách đối với cookie không thiết yếu.
Theo Luật 91/2025/QH15, vi phạm có thể bị xử lý theo nghị định hướng dẫn của Chính phủ; trường hợp nghiêm trọng có thể bị xử lý hình sự. Cơ quan thực thi là Bộ Công an, cụ thể Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). Nếu xảy ra sự cố dữ liệu, nghĩa vụ thông báo thường phải thực hiện trong 72 giờ kể từ khi phát hiện.
Với SME, lỗi phổ biến là:
- Bật GA ngay khi tải trang
- Không có nút từ chối
- Không lưu log consent
- Không cập nhật chính sách cookie khi đổi cấu hình tag
Mẫu nội dung cookie banner cho website chỉ dùng Google Analytics
Bạn có thể dùng mẫu ngắn sau và chỉnh theo thực tế:
Thông báo cookie Chúng tôi sử dụng cookie để vận hành website và phân tích lưu lượng truy cập. Cookie phân tích, bao gồm Google Analytics, giúp chúng tôi hiểu cách bạn sử dụng website để cải thiện trải nghiệm. Bạn có thể chấp nhận hoặc từ chối cookie không thiết yếu.
Nút:
- Chấp nhận
- Từ chối
- Cài đặt cookie
Mô tả trong chính sách cookie: Website này sử dụng Google Analytics để đo lường lưu lượng truy cập và cải thiện nội dung. Cookie phân tích chỉ được kích hoạt theo cài đặt/chấp thuận của bạn, nếu áp dụng theo cấu hình hiện tại. Bạn có thể thay đổi lựa chọn bất kỳ lúc nào tại mục Cài đặt cookie.
FAQ
- Thường là có, vì GA4 vẫn có thể dùng cookie hoặc cơ chế tương tự để đo lường và phân tích hành vi truy cập. Bạn nên có banner và cơ chế quản lý chấp thuận theo quy định.
- Vẫn nên đánh giá lại. Dù không lưu tên, dữ liệu phân tích website có thể là dữ liệu cá nhân hoặc dữ liệu liên quan đến cá nhân theo cách hiểu pháp lý rộng hơn, nên không nên mặc định là miễn nghĩa vụ.
- Nên có cả hai. Với cookie không thiết yếu như GA, cơ chế từ chối rõ ràng giúp doanh nghiệp minh bạch hơn và giảm rủi ro tranh chấp tuân thủ.
- Không. GA là công cụ đo lường, còn chính sách cookie là tài liệu giải thích bạn thu thập gì, vì sao thu thập, ai nhận dữ liệu và người dùng kiểm soát ra sao.
Nếu bạn đang triển khai banner, lưu bằng chứng đồng ý hoặc quy trình DSAR, consent.vn có thể giúp bạn chuẩn hóa nhanh hơn cho website SME.
Nguồn: Luật 91/2025/QH15; Nghị định 13/2023/NĐ-CP — thuvienphapluat.vn, A05 — bocongan.gov.vn
Bắt đầu ngay — không cần tài khoản.
Sẵn sàng tuân thủ PDPL?