Yandex Metrica theo PDPL: analytics, session replay và đồng ý

Yandex Metrica PDPL là gì?

Yandex Metrica theo PDPL là bài toán tuân thủ khi doanh nghiệp tại Việt Nam dùng công cụ đo lường hành vi người dùng có kèm session replay, ghi nhận click/scroll, hoặc truyền dữ liệu sang hạ tầng bên ngoài Việt Nam. Vấn đề không nằm ở “tên công cụ”, mà ở việc nó xử lý dữ liệu cá nhân nào, dùng cho mục đích gì, và có chuyển dữ liệu ra nước ngoài hay không.

Thực tế, nhiều website thương mại điện tử, landing page, app web dùng Metrica để xem hành vi rời trang, funnel, nguồn traffic. Nhưng nếu tracker ghi nhận IP, cookie ID, sự kiện định danh, hoặc nội dung người dùng nhập vào form trước khi gửi, doanh nghiệp phải xem đây là một hoạt động xử lý dữ liệu cá nhân theo quy định.

Dùng Yandex Metrica có làm phát sinh nghĩa vụ đồng ý không?

Có thể có, đặc biệt khi tracker không chỉ phục vụ “phân tích vận hành nội bộ” mà còn thu thập định danh trực tuyến, ghi lại phiên truy cập, hoặc dùng dữ liệu cho mục đích ngoài kỳ vọng của người dùng.

Với cookie/SDK/tracker như Yandex Metrica, doanh nghiệp nên tách rõ:

• Cookie cần thiết để vận hành website
• Cookie phân tích/analytics
• Session replay và hành vi chi tiết
• Chia sẻ dữ liệu cho bên thứ ba

Nếu tracker không thực sự cần thiết, nên xin đồng ý trước khi kích hoạt. Đồng ý phải được thể hiện rõ, có khả năng chứng minh, và người dùng có thể từ chối hoặc rút lại theo quy định.

Máy chủ Nga của Yandex Metrica có rủi ro chuyển dữ liệu không?

Có. Khi dữ liệu được gửi tới hạ tầng ngoài Việt Nam, doanh nghiệp cần xem đây là tình huống chuyển dữ liệu ra nước ngoài theo quy định PDPL và phải đánh giá tác động, quản lý cơ sở pháp lý, cũng như chuẩn bị tài liệu nội bộ phù hợp.

Điểm cần lưu ý là không phải mọi luồng dữ liệu sang máy chủ nước ngoài đều giống nhau về rủi ro. Với Yandex Metrica, rủi ro thường nằm ở:

• Dữ liệu định danh trực tuyến như cookie ID, IP, device data
• Session replay có thể ghi lại nội dung người dùng nhập
• Dữ liệu sự kiện gắn với tài khoản hoặc form
• Khả năng kết hợp dữ liệu để nhận diện cá nhân

Doanh nghiệp không nên mặc định rằng “chỉ là số liệu thống kê”. Nếu dữ liệu có thể nhận diện hoặc liên kết với một người cụ thể, hãy xử lý như dữ liệu cá nhân.

Cần làm gì trước khi triển khai Yandex Metrica?

Trước khi gắn tracker lên site, hãy đi theo quy trình này:

Doanh nghiệp SME nên xử lý thế nào để giảm rủi ro?

Với SME, cách làm thực tế nhất là “ít dữ liệu nhất có thể”:

• Tắt session replay nếu không thật sự cần
• Ẩn hoặc mask trường form nhạy cảm
• Không thu thập nội dung ô nhập liệu
• Chỉ bật tracker sau consent nếu không thuộc nhóm cần thiết
• Chỉ giữ dữ liệu trong thời gian tối thiểu cần thiết
• Kiểm tra hợp đồng, tài liệu kỹ thuật và quyền kiểm soát dữ liệu của nhà cung cấp

Nếu bạn đang dùng nhiều tracker cùng lúc, hãy lập một bảng kiểm để biết tracker nào phục vụ analytics, tracker nào phục vụ quảng cáo, tracker nào có chuyển dữ liệu ra nước ngoài. Điều này giúp giải trình nhanh hơn khi cơ quan có thẩm quyền kiểm tra.

Khi nào nên hỏi luật sư hoặc rà soát pháp lý sâu hơn?

Nên hỏi luật sư nếu bạn:

• Dùng session replay trên form đăng ký, thanh toán, hoặc khu vực tài khoản
• Kết hợp Metrica với CRM, CDP, hoặc hệ thống quảng cáo
• Chuyển dữ liệu từ website/app sang máy chủ ngoài Việt Nam
• Thu thập dữ liệu người dùng số lượng lớn hoặc dữ liệu nhạy cảm
• Chưa có banner consent, privacy notice, hoặc nhật ký bằng chứng đồng ý

Mức phạt cụ thể sẽ theo nghị định hướng dẫn của Chính phủ ban hành; vi phạm nghiêm trọng có thể bị xử lý hình sự. Vì vậy, đừng coi tracker là “chỉ là kỹ thuật” nếu nó ảnh hưởng đến dữ liệu cá nhân.

Nếu bạn đang rà soát banner cookie, lưu bằng chứng đồng ý hoặc quy trình DSAR, consent.vn có thể giúp bạn chuẩn hóa luồng này trước khi triển khai tracker.

Nguồn: Luật 91/2025/QH15: https://thuvienphapluat.vn; Nghị định 13/2023/NĐ-CP: https://thuvienphapluat.vn; A05: https://bocongan.gov.vn