Consent Management Và Cookie Banner Đúng GDPR

Consent management là cách thu thập, lưu bằng chứng và tôn trọng sự đồng ý của người dùng. Theo GDPR, consent hợp lệ phải tự nguyện, cụ thể, có đủ thông tin, thể hiện bằng hành động rõ ràng (Điều 4(11)) và rút lại được dễ như khi đồng ý (Điều 7(3)).

Khi nào doanh nghiệp cần xin consent?

Consent chỉ là một trong sáu lawful basis tại Điều 6(1), và không phải lúc nào cũng là lựa chọn đúng. Xử lý dữ liệu để thực hiện hợp đồng với người dùng, như lưu tài khoản và xử lý thanh toán, dựa trên contract, không cần consent. Consent phù hợp khi người dùng thực sự có lựa chọn: email marketing, cá nhân hóa quảng cáo, chia sẻ dữ liệu với bên thứ ba vì mục đích riêng của họ. Nếu dùng consent cho việc mà bạn vẫn sẽ làm khi người dùng từ chối, consent đó không tự nguyện. Cách chọn đúng cơ sở pháp lý có trong GDPR lawful basis, và tổng quan nghĩa vụ có trong trang GDPR compliance.

Với cookie và tracker, nguồn yêu cầu chính là Điều 5(3) Chỉ thị ePrivacy 2002/58/EC, được từng quốc gia EU chuyển hóa vào luật riêng: lưu hoặc đọc thông tin trên thiết bị người dùng cần consent, trừ khi thật sự cần thiết để cung cấp dịch vụ người dùng yêu cầu. Tiêu chuẩn "consent" trong ePrivacy lấy theo GDPR, nên hai quy định đi cùng nhau.

Consent hợp lệ theo GDPR cần những điều kiện gì?

Hướng dẫn 05/2020 của EDPB về consent giải thích chi tiết từng điều kiện, kể cả việc cookie wall và "tiếp tục cuộn trang" không tạo ra consent hợp lệ.

Cookie banner thế nào thì không bị coi là dark pattern?

Báo cáo của Cookie Banner Taskforce thuộc EDPB (tháng 1/2023) tổng hợp quan điểm của các supervisory authority. Đa số cơ quan cho rằng banner có nút "Chấp nhận" mà không có lựa chọn "Từ chối" ở bất kỳ lớp nào là không đạt yêu cầu consent hợp lệ; ô tích sẵn, kể cả ở lớp cài đặt thứ hai, không tạo ra consent hợp lệ; dùng liên kết chữ thay cho nút từ chối và màu sắc khiến nút từ chối gần như không đọc được có thể bị coi là gây hiểu lầm. Việc đánh giá thiết kế vẫn theo từng trường hợp, và mỗi quốc gia có thể có hướng dẫn riêng, như CNIL ở Pháp.

Một banner an toàn thường có: nút "Từ chối tất cả" và "Chấp nhận tất cả" ngang hàng ở lớp đầu, lớp cài đặt theo từng nhóm mục đích với mặc định tắt, liên kết đến chính sách cookie, và một cách mở lại cài đặt ở mọi trang.

Cần lưu bằng chứng consent như thế nào?

Điều 7(1) yêu cầu controller chứng minh được người dùng đã đồng ý. Một bản ghi consent nên có: định danh (có thể là ID ẩn danh gắn với cookie), thời điểm, phiên bản banner và chính sách tại thời điểm đó, lựa chọn theo từng mục đích, và nguồn (trang, ứng dụng). Bản ghi nên lưu phía server thay vì chỉ trong localStorage của trình duyệt, vì người dùng có thể xóa và bạn không thể trình ra khi cần. GDPR không quy định thời hạn lưu bằng chứng consent; thời hạn nên được quyết định theo nguyên tắc giới hạn lưu trữ và ghi vào ROPA cùng hoạt động xử lý tương ứng.

Làm sao chặn script khi người dùng chưa đồng ý?

Banner chỉ là giao diện; điều quan trọng là script không thiết yếu như analytics, pixel quảng cáo hay session replay không được tải trước khi có consent cho đúng mục đích. Các bước kỹ thuật:

1. Liệt kê mọi cookie và script trên site, phân loại theo mục đích, và đánh dấu loại nào thật sự cần thiết.
2. Chặn script không thiết yếu ở tầng code hoặc tag manager, chỉ kích hoạt khi consent tương ứng có hiệu lực.
3. Lắng nghe thay đổi consent: khi người dùng rút lại, ngừng tải script và xóa cookie không còn được phép nếu có thể.
4. Kiểm tra lại định kỳ bằng cách mở site ở trình duyệt sạch, từ chối tất cả, rồi xem tab network có request nào đến bên thứ ba không.

Nếu dùng Google Tag Manager với Consent Mode, hãy kiểm tra kỹ chế độ đang cấu hình: một số chế độ vẫn gửi tín hiệu không cookie trước khi có consent, và việc này có chấp nhận được hay không cần được đánh giá theo hướng dẫn của supervisory authority nơi bạn hoạt động.

pTrackly hỗ trợ phần nào?

pTrackly không có công cụ consent management, không quét cookie và không chặn script trên website của bạn; đó là việc của một consent management platform hoặc code của team. pTrackly hỗ trợ phần quản trị xung quanh: hồ sơ ROPA trong mục Privacy ghi cơ sở pháp lý của từng hoạt động xử lý (kể cả consent), mục Vendors theo dõi DPA với các nhà cung cấp analytics và marketing, và evidence task định kỳ để bạn lưu kết quả kiểm tra banner làm bằng chứng.

Câu hỏi thường gặp

Website chỉ dùng cookie cần thiết có cần banner không?

Không cần xin consent cho cookie thật sự cần thiết để cung cấp dịch vụ người dùng yêu cầu, như giỏ hàng hay phiên đăng nhập. Bạn vẫn phải thông báo về việc xử lý dữ liệu trong chính sách quyền riêng tư theo Điều 13.

Người dùng không bấm gì trên banner thì có được tải analytics không?

Không. Im lặng hoặc không tương tác không phải consent theo Recital 32, nên script analytics không thiết yếu không được tải cho đến khi người dùng chủ động đồng ý.

Consent có cần xin lại định kỳ không?

GDPR không đặt hạn cố định, nhưng consent cần được xin lại khi mục đích, bên nhận dữ liệu hoặc cách xử lý thay đổi đáng kể. Một số supervisory authority khuyến nghị nhắc lại lựa chọn sau một khoảng thời gian, nên kiểm tra hướng dẫn của quốc gia bạn nhắm tới.

Rút lại consent có làm việc xử lý trước đó trở thành bất hợp pháp không?

Không. Theo Điều 7(3), việc rút lại không ảnh hưởng đến tính hợp pháp của xử lý trước đó, nhưng từ lúc rút lại bạn phải dừng xử lý dựa trên consent đó; người dùng cũng có thể yêu cầu xóa theo quyền của người dùng EU theo GDPR.