Không làm cookie banner thì bị gì theo PDPL?

Không làm cookie banner thì bị gì?

Không làm cookie banner có thể khiến doanh nghiệp khó chứng minh người dùng đã được thông báo và đã đồng ý trước khi cookie/tracker hoạt động, đặc biệt với cookie quảng cáo, đo lường, remarketing hoặc thu thập hành vi. Hệ quả thường gặp là mất bằng chứng đồng ý, khó xử lý DSAR, rủi ro bị khiếu nại và bị xem xét theo quy định của PDPL.

Với website thương mại điện tử, landing page chạy ads, SaaS có analytics, hay app/web có SDK theo dõi, cookie banner không chỉ là “một popup”. Nó là một phần của cơ chế quản trị đồng ý và bằng chứng tuân thủ.

Cookie banner làm phát sinh nghĩa vụ gì theo PDPL?

Cookie banner thường kéo theo các nghĩa vụ thực tế sau:

• Thông báo rõ loại cookie/tracker đang dùng: cần, phân tích, quảng cáo, cá nhân hóa.
• Nêu mục đích xử lý dữ liệu: đo lường truy cập, tối ưu trải nghiệm, remarketing, chống gian lận.
• Cho phép người dùng chọn: chấp nhận, từ chối, hoặc cấu hình theo nhóm cookie.
• Không bật cookie không cần thiết trước khi có cơ sở pháp lý phù hợp.
• Lưu bằng chứng đồng ý: thời gian, phiên bản banner, lựa chọn của người dùng, IP/device ID nếu dùng để chứng minh.
• Có cách rút lại đồng ý hoặc thay đổi tùy chọn.

Điểm mấu chốt: theo quy định, doanh nghiệp phải chứng minh được mình đã xử lý dữ liệu đúng cơ sở pháp lý. Nếu không có banner hoặc không có log consent, khi bị hỏi rất khó trả lời “ai đồng ý, đồng ý cái gì, lúc nào”.

Rủi ro thực tế nếu bỏ qua cookie banner

Hậu quả thường không đến ngay lập tức, nhưng rất dễ “vỡ trận” khi có sự cố.

Ví dụ thực tế: một shop online chạy Meta Pixel, Google Analytics và chatbot trên trang chủ. Nếu không có banner và không lưu log đồng ý, đội marketing vẫn có số liệu, nhưng khi người dùng hỏi “bạn lấy dữ liệu gì của tôi?” thì doanh nghiệp không có hồ sơ để trả lời rõ ràng. Trong tình huống tranh chấp, đây là điểm yếu rất lớn.

Có bị phạt không nếu không làm cookie banner?

Có thể bị xử lý theo nghị định hướng dẫn, nhưng mức phạt cụ thể chưa cố định con số tại thời điểm này. Quan trọng hơn, vi phạm nghiêm trọng có thể bị xử lý hình sự theo quy định pháp luật hiện hành. Với PDPL, cơ quan thực thi là Bộ Công an — Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05).

Thực tế, rủi ro của doanh nghiệp thường không chỉ là “bị phạt tiền”. Các hệ quả khác còn nặng hơn:

• bị yêu cầu dừng một số hoạt động thu thập/đo lường;
• phải khắc phục, xóa, hoặc chỉnh lại cơ chế tracking;
• mất niềm tin của khách hàng và đối tác;
• khó qua audit bảo mật, compliance, hoặc due diligence khi gọi vốn/M&A.

Nếu bạn dùng cookie cho quảng cáo hoặc profiling, nên coi đây là hạng mục compliance bắt buộc, không phải việc “làm sau cũng được”.

Khi nào cookie banner là gần như bắt buộc về mặt thực tế?

Về thực hành tuân thủ, bạn nên có banner nếu website/app có một trong các hoạt động sau:

• đo lường hành vi người dùng bằng analytics;
• cài pixel quảng cáo/remarketing;
• cá nhân hóa nội dung hoặc quảng cáo;
• chia sẻ dữ liệu cho bên thứ ba;
• theo dõi đăng nhập, phiên truy cập, thiết bị, hoặc hành vi click.

Nếu chỉ có cookie kỹ thuật thật sự cần thiết để website vận hành cơ bản, doanh nghiệp vẫn nên thông báo rõ ràng. Nhưng với mọi cookie không cần thiết, cách an toàn là không kích hoạt trước khi có lựa chọn phù hợp.

Doanh nghiệp SME nên làm gì ngay?

Nếu bạn là SME, hãy làm gọn nhưng đúng:

• rà soát toàn bộ cookie/script trên website;
• xóa những tag không dùng đến;
• cập nhật privacy notice và cookie notice;
• triển khai banner có lưu log đồng ý;
• kiểm tra vendor bên thứ ba có chia sẻ dữ liệu hay không;
• chuẩn bị quy trình xử lý yêu cầu truy cập/xóa dữ liệu.

Nếu đang dùng nhiều tool marketing, bạn nên ưu tiên một cơ chế quản lý đồng ý có thể chứng minh được lịch sử lựa chọn. Consent.vn có thể hỗ trợ phần banner cookie, lưu bằng chứng đồng ý và luồng DSAR để đội dev/marketing dễ vận hành hơn.

Nguồn: Luật 91/2025/QH15: https://thuvienphapluat.vn ; Nghị định 13/2023/NĐ-CP: https://thuvienphapluat.vn ; Cơ quan thực thi A05: https://bocongan.gov.vn