Bài viết · 17 tháng 6, 2026
Web tiếng Việt chỉ khách VN có cần cookie consent không?
Web chỉ phục vụ khách Việt Nam vẫn có thể phải xin cookie consent nếu dùng tracking không thiết yếu theo quy định PDPL.
Trả lời nhanh
Web tiếng Việt chỉ khách VN có cần cookie consent không?
Có, nếu website của bạn dùng cookie hoặc tracker không thiết yếu. Việc web chỉ nhắm khách Việt Nam không làm mất nghĩa vụ tuân thủ bảo vệ dữ liệu cá nhân; trọng tâm là mục đích xử lý dữ liệu, loại công cụ dùng, và việc người dùng có được thông báo, lựa chọn hay không.
Ví dụ thực tế: một website bán hàng ở Việt Nam chỉ viết tiếng Việt, chỉ giao hàng nội địa, nhưng cài Google Analytics, Meta Pixel, TikTok Pixel và banner quảng cáo. Trường hợp này vẫn phát sinh nghĩa vụ theo quy định về thu thập, thông báo, ghi nhận và quản lý đồng ý; khi cần, bạn phải chứng minh được người dùng đã chấp thuận đúng cách.
Khi nào cookie không cần xin consent?
Cookie phục vụ chức năng thiết yếu thường không cần xin consent riêng, vì nếu thiếu nó website khó hoạt động đúng. Ví dụ: giữ phiên đăng nhập, nhớ giỏ hàng, bảo mật chống gian lận, cân bằng tải, lưu lựa chọn ngôn ngữ hoặc trạng thái cookie tối thiểu.
Tuy nhiên, “không cần consent” không có nghĩa là “không cần làm gì”. Bạn vẫn nên:
- Thông báo rõ cookie nào đang dùng và mục đích của từng nhóm.
- Phân biệt cookie thiết yếu và không thiết yếu.
- Không trộn cookie vận hành với cookie quảng cáo/đo lường.
- Cung cấp cách người dùng thay đổi lựa chọn sau này.
Cookie nào thường làm phát sinh nghĩa vụ xin đồng ý?
Các nhóm cookie/tracker dưới đây thường làm phát sinh nghĩa vụ xin đồng ý theo quy định, nhất là khi chúng theo dõi hành vi người dùng trên web:
- Analytics/đo lường hành vi: ví dụ công cụ phân tích truy cập, heatmap, session replay.
- Quảng cáo và remarketing: pixel, retargeting, conversion tracking.
- Cá nhân hóa nội dung/đề xuất không thiết yếu.
- Chia sẻ dữ liệu cho bên thứ ba phục vụ marketing.
Điểm cần lưu ý cho SME và đội dev: nhiều site nghĩ “mình không lưu số điện thoại hay CCCD thì không phải dữ liệu cá nhân”. Thực tế, cookie ID, định danh thiết bị, IP, hành vi click, lịch sử truy cập… vẫn có thể là dữ liệu cá nhân hoặc dữ liệu liên quan đến cá nhân theo cách xử lý cụ thể.
| Loại cookie/tracker | Mục đích | Có thường cần consent không? | Ghi chú thực hành | |
|---|---|---|---|---|
| Session / đăng nhập | Giữ phiên, bảo mật | Thường không | Nên mô tả trong chính sách cookie | |
| Giỏ hàng / ngôn ngữ | Tiện ích cốt lõi | Thường không | Chỉ dùng đúng mục đích | |
| Analytics | Đo lường truy cập | Thường có | Nên bật sau khi người dùng đồng ý | |
| Quảng cáo / remarketing | Tiếp thị lại | Thường có | Cần nút từ chối ngang hàng | |
| Session replay / heatmap | Theo dõi hành vi | Thường có | Rủi ro cao hơn về minh bạch |
Làm sao triển khai cookie consent cho web chỉ phục vụ người Việt?
Phân loại cookie/tracker:
liệt kê toàn bộ script, SDK, pixel, tag manager và chia thành thiết yếu và không thiết yếu.
Chặn trước khi có đồng ý:
với các công cụ không thiết yếu, không được load mặc định; chỉ kích hoạt sau khi người dùng chấp thuận.
Hiển thị thông báo rõ ràng:
nêu mục đích, loại cookie, bên thứ ba nhận dữ liệu, và cách thay đổi lựa chọn.
Lưu bằng chứng đồng ý:
ghi nhận thời điểm, phiên bản banner, lựa chọn của người dùng, và cách họ đã chấp thuận.
Cho phép từ chối dễ như chấp thuận:
nút “Từ chối” phải dễ thấy, không ẩn sâu hay gây khó hiểu.
Rà soát lại khi thêm công cụ mới:
cứ thêm pixel, chat widget, A/B testing hoặc bản đồ nhúng là phải kiểm tra lại nghĩa vụ.
Nếu không xin consent thì có rủi ro gì?
Rủi ro không chỉ là phạt theo nghị định hướng dẫn khi có vi phạm. Quan trọng hơn là bạn có thể mất tính hợp lệ của dữ liệu marketing, không chứng minh được nguồn đồng ý, và gặp khó khi xử lý yêu cầu rút lại đồng ý hoặc yêu cầu xóa dữ liệu.
Với các vi phạm nghiêm trọng, ngoài xử lý hành chính theo nghị định hướng dẫn, còn có thể bị xử lý hình sự theo quy định. Cơ quan thực thi hiện nay là Bộ Công an, cụ thể A05. Nếu hệ thống của bạn dùng nhiều bên thứ ba, nên rà lại luồng dữ liệu trước khi chốt banner.
Checklist tối thiểu cho SME Việt Nam
Nếu website của bạn chỉ phục vụ khách Việt Nam, hãy kiểm tra 5 việc này:
- Có banner cookie trước khi load tracker không thiết yếu không?
- Có nút từ chối ngang hàng với chấp thuận không?
- Có chính sách cookie viết bằng tiếng Việt dễ hiểu không?
- Có chặn Google Analytics/Meta Pixel trước consent không?
- Có log bằng chứng đồng ý để đối chiếu khi bị kiểm tra hoặc khi người dùng hỏi không?
Nếu bạn dùng consent banner, hãy đảm bảo nó lưu được bằng chứng đồng ý và hỗ trợ thay đổi lựa chọn; đây là chỗ consent.vn thường được các team vận hành website dùng để giảm rủi ro triển khai sai.
- Có nếu web dùng cookie/tracker không thiết yếu như analytics, quảng cáo, remarketing hoặc session replay. Chỉ cookie vận hành cơ bản mới thường không cần consent riêng.
- Thường có, vì đây là công cụ đo lường hành vi truy cập. Cách an toàn là chặn trước và chỉ bật sau khi người dùng đồng ý theo quy định.
- Bạn có thể gặp rủi ro về tuân thủ, khó chứng minh nguồn đồng ý, và dữ liệu marketing có thể bị tranh chấp khi kiểm tra nội bộ hoặc làm việc với cơ quan thực thi.
- Nên có chính sách cookie hoặc phần riêng trong chính sách quyền riêng tư, nêu rõ loại cookie, mục đích, bên thứ ba và cách người dùng đổi lựa chọn.
Nguồn: Luật 91/2025/QH15: https://thuvienphapluat.vn ; Nghị định 13/2023/NĐ-CP: https://thuvienphapluat.vn ; Cơ quan thực thi A05: https://bocongan.gov.vn
Bắt đầu ngay — không cần tài khoản.
Sẵn sàng tuân thủ PDPL?