Matomo self-hosted theo PDPL: riêng tư nhưng cần cấu hình đúng

Matomo self-hosted có “an toàn PDPL” không?

Ngắn gọn: Matomo tự nó không làm bạn “tuân thủ”; nó chỉ giảm rủi ro so với dùng các nền tảng gửi dữ liệu ra bên ngoài. Theo quy định, hầu hết trường hợp theo dõi hành vi người dùng tạo ra dữ liệu cá nhân (ví dụ IP, ID khách truy cập, định danh thiết bị) và cần cơ sở pháp lý, thường là sự đồng ý trước.

Thực tế Việt Nam: một sàn thương mại điện tử ở TP.HCM dùng Matomo self-hosted để đo chuyển đổi. Họ chỉ kích hoạt cookie/ID sau khi người dùng đồng ý, ẩn một phần IP, và không gắn dữ liệu analytics với tài khoản CRM trừ khi được đồng ý riêng.

matomo self-hosted analytics pdpl: cần cấu hình và tài liệu gì?

Bạn cần hai mảng: cấu hình kỹ thuật trong Matomo và tài liệu pháp lý/nội bộ chứng minh tuân thủ. Cấu hình nên ưu tiên ẩn danh, tối thiểu dữ liệu; tài liệu cần mô tả mục đích, loại dữ liệu, thời hạn, quyền của người dùng, và bên xử lý liên quan.

Cần xin đồng ý (consent) khi nào với Matomo?

Theo quy định, khi bạn đặt cookie/ID theo dõi hoặc có thể nhận diện hành vi lặp lại của một cá nhân, bạn nên xin đồng ý trước. Một số trường hợp đo lường tối thiểu, đã khử định danh và không thể gắn với cá nhân cụ thể có thể giảm yêu cầu, nhưng thực tế nên vẫn hiện banner cookie và log bằng chứng đồng ý.

Ví dụ: blog tin tức chỉ cần thống kê lượt xem tổng hợp cấp giờ/ngày, ẩn IP mạnh, không đặt cookie — có thể xem xét không xin đồng ý cho phần này; tuy nhiên nếu bật event tracking chi tiết, tạo ID phiên, hay ghép với dữ liệu thành viên, cần đồng ý riêng.

CTA nhẹ: consent.vn cung cấp banner cookie, lưu bằng chứng đồng ý theo thời gian, và kênh DSAR, giúp SME giảm rủi ro khi dùng Matomo.

Lưu trữ và chuyển dữ liệu: đặt server ở đâu, hợp đồng gì?

Lý tưởng: tự host Matomo tại Việt Nam để tránh phát sinh nghĩa vụ chuyển dữ liệu ra nước ngoài. Nếu dùng máy chủ hoặc dịch vụ ngoài lãnh thổ, việc chuyển dữ liệu cá nhân có thể phát sinh nghĩa vụ đánh giá tác động/chấp thuận theo quy định; nên tham vấn luật sư. Dù self-host, bạn vẫn cần: hợp đồng xử lý dữ liệu với nhà cung cấp hạ tầng; danh mục bên nhận (CDN, email alert); và chính sách bảo mật nội bộ.

Xử lý sự cố và quyền của người dùng: phải làm gì?

Bạn phải có quy trình phản ứng sự cố: cô lập, đánh giá rủi ro, và thông báo vi phạm dữ liệu trong 72 giờ kể từ khi phát hiện cho A05 và người bị ảnh hưởng theo quy định. Về quyền người dùng (DSAR), chuẩn bị: cung cấp bản sao dữ liệu, giải thích mục đích xử lý, yêu cầu xóa/hạn chế; kiểm chứng danh tính trước khi thực hiện để tránh tiết lộ nhầm.

Ví dụ vận hành DSAR với Matomo:

• Người dùng gửi yêu cầu qua biểu mẫu DSAR (email xác thực).
• Bạn đối chiếu khóa liên kết nội bộ (ví dụ mapping email -> userID -> campaign/visitor mapping nếu có) để trích xuất hoặc xóa; nếu không thể xác định, giải thích minh bạch phạm vi dữ liệu chỉ ở mức ẩn danh/tổng hợp.

Nguồn: Luật 91/2025/QH15 (PDPL) thuvienphapluat.vn; Nghị định 13/2023/NĐ-CP thuvienphapluat.vn; A05 bocongan.gov.vn