Từ 01/01/2026, khi Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15 có hiệu lực, câu hỏi “cookie consent có bắt buộc không” là một trong những thắc mắc phổ biến nhất của chủ website Việt Nam — đặc biệt vì luật không có 1 điều khoản riêng nào ghi rõ chữ “cookie”.
📌 Trả lời nhanh: Có, cookie consent gián tiếp bắt buộc. Luật 91/2025/QH15 không nhắc từ “cookie” cụ thể, nhưng cookie phân tích/marketing (Google Analytics, Facebook Pixel…) đều dùng để thu thập dữ liệu có thể định danh người dùng — thuộc phạm vi “xử lý dữ liệu cá nhân” cần có sự đồng ý theo luật. Cookie thiết yếu (giữ session, giỏ hàng) không cần xin phép nhưng vẫn nên công khai trong chính sách bảo mật.
Vì sao luật không nói “cookie” nhưng vẫn áp dụng cho cookie?
Luật 91/2025/QH15 định nghĩa dữ liệu cá nhân theo bản chất (dữ liệu giúp xác định một con người cụ thể), không theo công nghệ cụ thể. Cookie phân tích/marketing thường gắn với một ID định danh duy nhất theo dõi hành vi người dùng qua nhiều lượt truy cập — về bản chất kỹ thuật, đây là một hình thức xử lý dữ liệu cá nhân, nên vẫn nằm trong phạm vi điều chỉnh dù luật không liệt kê tên “cookie” cụ thể.
Đây là cách tiếp cận phổ biến ở nhiều luật bảo vệ dữ liệu trên thế giới (bao gồm GDPR) — luật quy định theo bản chất hành vi xử lý dữ liệu, không cố định theo 1 công nghệ nhất định để tránh lạc hậu khi công nghệ thay đổi.
Cookie nào cần consent, cookie nào không?
| Loại cookie | Ví dụ cụ thể | Cần consent? | Vì sao |
|---|---|---|---|
| Thiết yếu | Session đăng nhập, giỏ hàng, bảo mật CSRF token | Không | Cần thiết để website hoạt động, không dùng để theo dõi/định danh cho mục đích khác |
| Chức năng | Ghi nhớ ngôn ngữ, ghi nhớ theme sáng/tối | Thường không, tùy mức độ | Nếu không gắn với định danh cá nhân cụ thể thì rủi ro thấp |
| Phân tích | Google Analytics, Hotjar, Microsoft Clarity | Có | Theo dõi hành vi gắn với 1 ID định danh duy nhất qua nhiều session |
| Marketing/Quảng cáo | Facebook Pixel, Google Ads remarketing, TikTok Pixel | Có | Thu thập dữ liệu để nhắm mục tiêu quảng cáo cá nhân hóa |
Nếu không đặt cookie consent, hậu quả là gì?
Việc chạy cookie phân tích/marketing mà không có sự đồng ý thuộc nhóm “xử lý dữ liệu cá nhân trái quy định của pháp luật” — một trong 7 hành vi bị nghiêm cấm theo Điều 7 Luật 91/2025/QH15, có thể bị xử phạt hành chính tối đa 3 tỷ đồng theo Điều 8. Ngoài rủi ro pháp lý, đây cũng là rủi ro uy tín — người dùng ngày càng quan tâm đến việc dữ liệu của họ được sử dụng ra sao.
Website nhỏ, ít traffic có cần lo không?
Có. Luật không có ngưỡng miễn trừ theo quy mô traffic hoặc doanh thu đối với nghĩa vụ có cơ chế đồng ý hợp lệ. Một website cá nhân/blog nhỏ vẫn phải tuân thủ nếu có cài Google Analytics hoặc bất kỳ công cụ theo dõi nào — dù rủi ro thực tế bị kiểm tra thấp hơn doanh nghiệp lớn, nghĩa vụ pháp lý là như nhau.
Câu hỏi thường gặp
Website chỉ có Google Analytics, không có quảng cáo, có cần cookie consent không? Có. Google Analytics là cookie phân tích, luôn cần sự đồng ý trước khi hoạt động, bất kể website có chạy quảng cáo hay không.
Đã có banner “Website sử dụng cookie, tiếp tục sử dụng là đồng ý” thì có đủ chưa? Chưa. Đây là hình thức “đồng ý ngầm định” (implied consent) — không được coi là hợp lệ theo Nghị định 356/2025, vì luật yêu cầu không được thiết lập mặc định đồng ý hoặc gây nhầm lẫn. Cần có hành động chủ động (bấm nút) từ người dùng.
Cookie consent chỉ áp dụng cho cookie hay cả localStorage, tracking pixel khác? Về nguyên tắc bản chất, bất kỳ công nghệ nào (cookie, localStorage, tracking pixel, fingerprinting…) dùng để thu thập dữ liệu có thể định danh người dùng đều thuộc phạm vi cần có sự đồng ý, không riêng cookie truyền thống.
Có ngoại lệ nào cho website tin tức/nội dung không thu thập thông tin cá nhân trực tiếp không? Nếu website hoàn toàn không cài đặt bất kỳ cookie phân tích/marketing nào và không có form thu thập thông tin, phạm vi nghĩa vụ tuân thủ sẽ hẹp hơn nhiều. Tuy nhiên hầu hết website tin tức hiện nay đều có Google Analytics và quảng cáo, nên trong thực tế vẫn cần cookie consent.
Làm sao để cài cookie consent đúng chuẩn nhanh nhất? Xem hướng dẫn kỹ thuật đầy đủ tại Cookie Consent Banner: 5 bước cài đặt, có code mẫu cho WordPress, HTML/JS và React.
Nguồn tham khảo
- Luật Bảo vệ Dữ liệu Cá nhân, số 91/2025/QH15, Điều 2 (định nghĩa), Điều 7 (hành vi bị nghiêm cấm), Điều 8 (mức phạt)
- Nghị định số 356/2025/NĐ-CP, Chương II (cơ chế đồng ý)
