Cookie theo dõi người dùng chạy âm thầm trên rất nhiều website, kể cả những trang nhỏ do người mới dựng bằng WordPress. Có lần một khách hàng hỏi chúng tôi: “Web em chỉ vài trăm lượt xem một tháng, cũng phải lo chuyện cookie sao?”
Câu trả lời ngắn gọn là luật không phân biệt web to hay nhỏ. Chỉ cần trang có gắn công cụ đo lường, quảng cáo, hay khung chat tự động, xem như trang đó đang thu thập dữ liệu qua cookie rồi.
Web Dùng Cookie Theo Dõi Người Dùng Mà Quên Mất Bước Thông Báo
Nói dễ hiểu, cookie là một đoạn dữ liệu nhỏ mà trình duyệt lưu lại mỗi khi bạn ghé một trang web. Nhờ nó, web nhớ được bạn từng xem sản phẩm nào, nhớ luôn bạn đăng nhập chưa hay đến từ nguồn quảng cáo nào. Bản thân cookie không xấu, nó giúp web chạy mượt và giỏ hàng không mất khi bạn tải lại trang.
Vấn đề nằm ở chỗ khác: nhiều chủ web cài Google Analytics, Facebook Pixel, hoặc chat tự động rồi để mặc định chạy ngay khi khách vừa vào trang, không banner, không một dòng thông báo nào. Người dùng bị ghi nhận hành vi mà không hề biết. Đây chính là chỗ vướng quy định bảo vệ dữ liệu cá nhân đang áp dụng tại Việt Nam.
Rủi ro thật khi im lặng thu thập dữ liệu
Chúng tôi từng rà một trang bán hàng nhỏ. Chủ web chỉ thuê người dựng web xong rồi bỏ đó ba năm, không hề biết trang mình đang gắn tới bốn công cụ theo dõi khác nhau, cộng dồn từ mấy lần đổi đơn vị marketing. Không ai gỡ cái cũ, cũng không ai thông báo cho khách. Rủi ro không nằm ở việc bị phạt ngay lập tức, mà nằm ở chỗ nếu có khiếu nại, chủ web không chứng minh được mình đã làm đúng quy trình.
Chuyện này cũng giống việc lắp camera giám sát trong văn phòng: pháp luật yêu cầu phải thông báo rõ trước khi ghi hình, không được âm thầm theo dõi nhân viên hay khách ra vào. Chúng tôi có phân tích kỹ hơn ở bài quy định pháp lý khi lắp camera giám sát trong doanh nghiệp. Nguyên tắc thông báo trước khi thu thập dữ liệu áp dụng tương tự cho cả hai trường hợp.
Mẹo chúng tôi hay áp dụng là chỉ cần một dòng banner đơn giản, kèm nút Đồng ý và nút Từ chối đặt ngang hàng nhau, không cần văn bản dài dòng gì cả. Miễn người dùng nhìn vào là hiểu ngay mình đang được hỏi ý kiến, trước khi trang bắt đầu thu thập dữ liệu.
Người Dùng Cần Được Biết Gì Trước Khi Web Bắt Đầu Ghi Nhận Dữ Liệu
Có ba việc chúng tôi luôn khuyên khách làm đủ, không thiếu cái nào. Thứ nhất, nói rõ mục đích thu thập, ví dụ để phân tích lượng truy cập, để cá nhân hoá quảng cáo, hay để ghi nhớ đăng nhập. Mỗi mục đích nên viết thành một câu ngắn, không gộp chung một cách mập mờ.
Thứ hai, liệt kê loại dữ liệu được ghi nhận, không cần liệt kê kỹ thuật rối rắm mà chỉ cần nói đúng bản chất: địa chỉ IP, loại trình duyệt, trang đã xem, thời gian ở lại. Người đọc phổ thông không cần biết mã hoá dữ liệu ra sao, họ chỉ cần biết web đang nắm thông tin gì của mình.
Thứ ba, đây là phần hay bị bỏ sót nhất: phải cho người dùng quyền chọn đồng ý hoặc từ chối, và quyền đó phải có trước khi cookie bắt đầu chạy. Nhiều web làm ngược lại: cookie chạy trước, banner hiện sau, bấm nút gì cũng chỉ để tắt thông báo cho khuất mắt. Cách làm đó không đạt yêu cầu tuân thủ, vì bản chất dữ liệu đã bị lấy trước khi có sự đồng ý.
Sai lầm phổ biến chúng tôi hay gặp khi rà web cho khách
- Banner cookie chỉ có nút “Đồng ý”, không có lựa chọn từ chối rõ ràng.
- Chính sách cookie copy nguyên văn từ web khác, không khớp với công cụ đang thật sự cài trên trang.
- Không ai kiểm tra lại sau khi đổi đơn vị quảng cáo, khiến công cụ theo dõi cũ vẫn âm thầm chạy.
Một điểm chúng tôi hay nhắc khách là không phải cookie nào cũng cần xin phép như nhau. Cookie kỹ thuật, kiểu giữ phiên đăng nhập hay giỏ hàng, được xem là cần thiết để web hoạt động, nên loại này không bắt buộc xin đồng ý riêng. Nhưng cookie phân tích hành vi và cookie quảng cáo thì khác, chúng phục vụ mục đích thương mại, không phải để chạy web. Vì vậy phải tách riêng và cho khách quyền từ chối mà web vẫn dùng bình thường được.
Chuyện tuân thủ dữ liệu không dừng lại ở cookie trên web. Phòng kế toán dùng phần mềm AI xử lý chứng từ cũng gặp bài toán tương tự. Dữ liệu được thu thập, lưu trữ và dùng đến đâu mới là hợp lý? Chúng tôi có bài phân tích riêng ở góc nhìn pháp lý về dữ liệu và chứng từ khi doanh nghiệp dùng AI. Nguyên tắc minh bạch mục đích thu thập cũng chạy xuyên suốt ở đó.
Cách Chúng Tôi Thường Hướng Dẫn Khách Xây Chính Sách Cookie Đứng Vững
Soạn chính sách cookie không khó, cái khó là viết sao cho người đọc bình thường hiểu được, chứ không phải một mớ thuật ngữ luật khiến ai đọc cũng lướt qua. Chúng tôi thường gợi ý chia thành bốn phần nhỏ: cookie là gì (kèm một ví dụ đời thường), web dùng cookie để làm gì, loại nào bắt buộc và loại nào tuỳ chọn, cuối cùng là cách người dùng tự tắt hoặc rút lại sự đồng ý bất cứ lúc nào.
Một khoảng giá tham khảo cho việc thuê soạn thảo và dựng banner cookie đúng chuẩn dao động vài triệu đồng, tuỳ độ phức tạp của web và số công cụ đang chạy. Nghe có vẻ nhỏ so với chi phí vận hành cả năm, nhưng đó lại là khoản đầu tư giúp chủ web tránh rắc rối lớn hơn nhiều về sau.
Mẹo giữ chính sách luôn khớp với thực tế đang chạy
Chính sách không phải viết một lần rồi để yên mãi. Mỗi lần đổi công cụ đo lường, mở thêm kênh bán hàng, hay chỉ thêm một plugin quảng cáo mới, chính sách cũng cần được cập nhật lại. Chúng tôi từng thấy một web giữ nguyên chính sách cũ suốt hai năm, trong khi đội marketing đã đổi tới ba nền tảng quảng cáo khác nhau, khiến nội dung công bố và thực tế đang chạy lệch nhau hoàn toàn. Đó là lỗ hổng dễ bị bắt lỗi nhất, khi có ai đó kiểm tra kỹ.
Mẹo nhỏ chúng tôi hay dùng là đặt lịch rà web mỗi quý một lần, xem có công cụ theo dõi mới nào vừa được cài mà chưa cập nhật vào chính sách không. Việc này chỉ mất mười lăm phút nhưng giúp tránh được tình trạng công bố một đằng, vận hành một nẻo.
Bạn đang làm mới giao diện web, hay chuẩn bị mở rộng sang bán hàng trực tuyến? Đây là lúc hợp lý để xử lý luôn banner đồng ý cookie ngay từ khâu dựng web, thay vì chắp vá sau này. Một đơn vị thiết kế website bán hàng có kinh nghiệm thường tích hợp sẵn banner cookie chuẩn ngay trong lúc dựng site, đỡ mất công sửa đi sửa lại khi web đã lên rồi.
Điều Nên Làm Ngay Nếu Web Của Bạn Chưa Có Thông Báo Cookie
Nếu đọc đến đây, bạn có thể tự hỏi: web mình đã có thông báo cookie chưa? Cách kiểm tra nhanh nhất là mở trang bằng trình duyệt ẩn danh. Nếu không thấy banner nào bật lên trong vài giây đầu, gần như chắc chắn web đang thiếu bước này. Đừng đợi đến khi có ai nhắc mới bắt tay vào sửa. Phần việc này thường chỉ mất một buổi làm việc, nếu chuẩn bị đúng nội dung cần công bố.
Việc đầu tiên nên làm là liệt kê hết công cụ đang chạy trên web, kể cả những cái cũ tưởng đã bỏ nhưng vẫn còn gắn thẻ theo dõi. Sau đó viết chính sách theo đúng thực tế đang có, không sao chép từ nơi khác. Chúng tôi cũng công khai đầy đủ chính sách bảo mật của website để bạn tham khảo cách trình bày, sao cho vừa đủ chi tiết, vừa dễ đọc với người không rành luật. Làm đúng ngay từ đầu bao giờ cũng nhẹ nhàng hơn việc phải chữa cháy khi sự cố đã xảy ra.
