Server-side tracking (sGTM) theo PDPL có cần đồng ý không?

Server-side tracking sGTM PDPL có cần đồng ý không?

Có, trong nhiều trường hợp vẫn cần đồng ý hoặc ít nhất phải có cơ sở xử lý dữ liệu phù hợp theo quy định. Việc chuyển tracking từ trình duyệt sang máy chủ chỉ thay đổi kiến trúc kỹ thuật, không làm mất bản chất là đang thu thập, phân tích hoặc chia sẻ dữ liệu cá nhân.

Ví dụ thực tế: một website thương mại điện tử dùng sGTM để gửi event mua hàng sang GA4, Meta CAPI và CRM. Nếu dữ liệu có thể gắn với người dùng cụ thể, thiết bị, cookie, IP, email băm hoặc mã định danh quảng cáo, doanh nghiệp vẫn đang xử lý dữ liệu cá nhân. Khi đó, bạn phải xem mục đích nào cần consent, mục đích nào có thể dựa trên cơ sở khác theo quy định, và phải thông báo minh bạch cho người dùng.

Chuyển sang máy chủ có né được đồng ý không?

Không. Server-side tracking không phải “lách luật”, mà là một cách triển khai khác. PDPL nhìn vào mục đích và bản chất xử lý dữ liệu, không chỉ nhìn vào việc data đi qua browser hay server.

Điểm cần lưu ý:

• Nếu bạn vẫn set cookie, tạo fingerprint, hoặc dùng dữ liệu để đo lường hành vi cá nhân hóa quảng cáo, nghĩa vụ về thông báo và đồng ý vẫn phát sinh theo quy định.
• Nếu server container làm “trung gian” nhận event rồi chuyển tiếp sang nhiều nền tảng, doanh nghiệp cần kiểm soát luồng dữ liệu, bên nhận dữ liệu, thời hạn lưu và căn cứ xử lý.
• Nếu gắn với remarketing, profiling hoặc chia sẻ cho đối tác quảng cáo, đây là khu vực rủi ro cao hơn, nên kiểm tra kỹ basis pháp lý và tài liệu thông báo.

Nói ngắn gọn: đổi từ client-side sang server-side không xóa được nghĩa vụ PDPL.

Server-side tracking làm phát sinh những nghĩa vụ nào?

Doanh nghiệp thường sẽ phải xử lý ít nhất 5 việc sau:

Doanh nghiệp SME nên triển khai sGTM thế nào để giảm rủi ro PDPL?

Hãy coi server-side tracking là một dự án tuân thủ, không chỉ là dự án kỹ thuật. Với SME, cách làm thực tế là giảm dữ liệu, giảm bên nhận, và giảm mục đích mơ hồ.

Gợi ý triển khai:

• Chỉ gửi các event cần thiết cho mục tiêu kinh doanh cụ thể.
• Tránh “bật hết tag” rồi mới đi xin phép sau.
• Phân tách rõ: analytics nội bộ, đo lường quảng cáo, chống gian lận, CRM.
• Nếu dùng bên thứ ba, kiểm tra vai trò của họ trong chuỗi xử lý dữ liệu và hợp đồng/chính sách liên quan theo quy định.
• Lưu log consent theo từng phiên bản banner/cookie policy để chứng minh đã xin đúng thời điểm.

Ví dụ: một SaaS Việt Nam dùng sGTM để gửi page_view, sign_up, trial_start sang GA4. Nếu chỉ phục vụ thống kê sản phẩm nội bộ, vẫn cần thông báo rõ và đánh giá cơ sở xử lý. Nếu thêm Meta CAPI để tối ưu quảng cáo chuyển đổi, phần đó thường cần cơ chế đồng ý minh bạch hơn vì mục đích quảng cáo và chia sẻ dữ liệu cho nền tảng khác.

sGTM khác gì cookie banner trong PDPL?

sGTM là hạ tầng kỹ thuật; cookie banner là cơ chế thu nhận và ghi nhận lựa chọn của người dùng. Một bên không thay thế bên kia.

Nếu đã triển khai sGTM rồi thì nên làm gì ngay?

Bắt đầu bằng việc kiểm kê. Đừng chỉ nhìn vào container, hãy nhìn vào toàn bộ dữ liệu đi vào và đi ra.

• Lập danh sách tag, event, endpoint, đối tác nhận dữ liệu.
• Vẽ sơ đồ luồng dữ liệu từ website/app đến server container rồi sang bên thứ ba.
• Đánh dấu dữ liệu nào là dữ liệu cá nhân, dữ liệu nhạy cảm, dữ liệu suy luận.
• Kiểm tra banner consent hiện có có ghi nhận đúng lựa chọn và lưu được bằng chứng hay không.
• Nếu chưa chắc cần consent cho từng use case, nên xin tư vấn luật sư để phân loại đúng theo quy định.

Nếu bạn đang dùng consent banner, hãy đảm bảo nó lưu được bằng chứng đồng ý và đồng bộ với DSAR để không bị lệch giữa kỹ thuật và pháp lý.

Theo Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15, dự kiến hiệu lực 01/01/2026, doanh nghiệp nên rà lại toàn bộ tracker trước khi mở rộng sGTM. Nếu cần, consent.vn có thể hỗ trợ bạn thiết kế banner cookie, lưu bằng chứng đồng ý và luồng DSAR phù hợp.

Nguồn: Luật 91/2025/QH15; Nghị định 13/2023/NĐ-CP; Bộ Công an – Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05): https://thuvienphapluat.vn ; https://bocongan.gov.vn