Google Fonts, reCAPTCHA lộ IP theo PDPL: cần lưu ý gì?

Google Fonts, reCAPTCHA lộ IP PDPL là gì?

Nếu bạn đang hỏi “google fonts recaptcha lộ ip pdpl” thì câu trả lời ngắn gọn là: việc nhúng tài nguyên từ Google thường khiến trình duyệt người dùng kết nối thẳng đến máy chủ Google, qua đó có thể để lộ IP và một số dữ liệu truy cập kỹ thuật. Với PDPL, doanh nghiệp cần coi đây là một luồng dữ liệu cá nhân có thể phát sinh nghĩa vụ tuân thủ, không nên xem là “chỉ là file font” hay “chỉ là captcha”.

Trong thực tế, rủi ro không nằm ở tên công cụ mà ở cơ chế hoạt động: trình duyệt tải font, script hoặc challenge từ hạ tầng bên thứ ba. Khi đó, dữ liệu có thể đi ra ngoài hệ thống của bạn và thậm chí ra ngoài Việt Nam. Nếu dữ liệu cá nhân được chuyển ra nước ngoài, doanh nghiệp cần xem xét quy định về chuyển dữ liệu xuyên biên giới theo PDPL và các hướng dẫn liên quan.

Google Fonts và reCAPTCHA có làm phát sinh chuyển dữ liệu xuyên biên giới không?

Có thể, theo cách triển khai cụ thể. Nếu website của bạn gọi font từ fonts.googleapis.com, fonts.gstatic.com hoặc nhúng reCAPTCHA từ Google, trình duyệt người dùng sẽ kết nối tới máy chủ của Google. Khi đó, IP của người dùng, thời điểm truy cập, đường dẫn trang và metadata trình duyệt có thể được gửi ra ngoài.

Điểm cần nhớ là: không phải mọi trường hợp đều giống nhau, nhưng về mặt tuân thủ, bạn nên mặc định rằng có rủi ro chuyển dữ liệu xuyên biên giới và có thể cần:

• Thông tin rõ cho người dùng về mục đích xử lý dữ liệu;
• Căn cứ pháp lý phù hợp theo quy định;
• Đánh giá nhà cung cấp và luồng dữ liệu;
• Biện pháp bảo vệ, lưu hồ sơ và chứng cứ tuân thủ.

Với reCAPTCHA, ngoài IP, còn có thể có dữ liệu hành vi để phân biệt người thật và bot. Đây là lý do bạn không nên chỉ đặt badge/cookie banner rồi coi như xong. Cần nhìn toàn bộ luồng dữ liệu từ browser đến bên cung cấp dịch vụ.

Doanh nghiệp SME nên xử lý thế nào để giảm rủi ro?

Cách thực tế nhất là giảm số luồng dữ liệu đi tới bên thứ ba, nhất là ở trang công khai, form đăng ký và trang thanh toán. Với SME, mục tiêu không phải “xóa sạch mọi tracker” mà là biết chính xác cái gì đang chạy, cái gì rời khỏi hệ thống và có chấp nhận được hay không.

Cách self-host Google Fonts để giảm việc lộ IP là gì?

Self-host nghĩa là bạn tải font về máy chủ/CDN của chính mình và phục vụ font từ domain của bạn thay vì gọi trực tiếp từ Google. Cách này thường giúp tránh việc trình duyệt người dùng phải kết nối đến máy chủ Google chỉ để lấy font, từ đó giảm một luồng dữ liệu ra bên ngoài.

Ví dụ triển khai thực tế:

• Tải file .woff2 của font cần dùng về server hoặc object storage/CDN của doanh nghiệp;
• Cập nhật @font-face trỏ tới URL nội bộ, ví dụ https://cdn.tencongty.vn/fonts/...;
• Loại bỏ mọi tham chiếu fonts.googleapis.com và fonts.gstatic.com trong HTML/CSS;
• Kiểm tra lại bằng DevTools để নিশ্চিত định không còn request tới Google Fonts.

Lưu ý: self-host không tự động giải quyết toàn bộ PDPL. Nếu website vẫn dùng reCAPTCHA hoặc script khác từ bên ngoài, dữ liệu vẫn có thể đi ra ngoài. Self-host chỉ là một biện pháp giảm rủi ro rõ ràng cho phần font.

Có nên self-host reCAPTCHA không?

Với reCAPTCHA, câu trả lời thực tế là “không đơn giản như font”. reCAPTCHA là một dịch vụ chống bot và thường phụ thuộc vào hạ tầng của nhà cung cấp. Do đó, thay vì nghĩ đến self-host theo nghĩa sao chép file về máy chủ riêng, doanh nghiệp nên cân nhắc:

• Có cần dùng reCAPTCHA không;
• Có thể thay bằng rate limit, honeypot field, email verification, WAF hay challenge nhẹ hơn không;
• Nếu vẫn dùng, phải thông báo rõ cho người dùng và đánh giá luồng dữ liệu theo quy định.

Nếu bạn đang xây form lead, login, hoặc checkout cho SME ở Việt Nam, phương án thực dụng là giảm phụ thuộc vào tracker/captcha ngoài cần thiết, rồi ghi nhận lý do kinh doanh và lý do kỹ thuật.

Vi phạm PDPL trong trường hợp này bị xử lý thế nào?

Mức phạt cụ thể sẽ do nghị định hướng dẫn của Chính phủ ban hành, chưa cố định con số ở thời điểm hiện tại. Cơ quan thực thi là Bộ Công an, cụ thể A05. Với vi phạm nghiêm trọng, doanh nghiệp còn có thể bị xem xét xử lý hình sự theo quy định.

Điểm quan trọng là doanh nghiệp không nên đợi đến khi bị kiểm tra mới “gỡ script”. Hãy chuẩn hóa kiểm kê tracker, cơ chế xin consent, và hồ sơ xử lý dữ liệu ngay từ vòng dev/deploy.

Nếu bạn đang rà soát cookie banner, lưu bằng chứng consent hoặc DSAR cho website có tracker, consent.vn có thể giúp bạn chuẩn hóa quy trình và hồ sơ kỹ thuật.

Nguồn: Luật 91/2025/QH15; Nghị định 13/2023/NĐ-CP; A05 — thuvienphapluat.vn, bocongan.gov.vn