Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, không cho từ chối cookies bị xử lý thế nào?

29/07/2026
9 lượt xem
0 bình luận

Khoản 3 Điều 29 yêu cầu cung cấp lựa chọn cho phép từ chối, không phải chỉ thông báo. Thanh thông báo chỉ có nút "Đã hiểu" không đáp ứng yêu cầu này.

Gần như website nào cũng có thanh thông báo về cookies. Điểm khác biệt nằm ở chỗ thanh đó có cho người dùng lựa chọn thật hay chỉ để thông báo.

Quy định

Khoản 3 Điều 29 Luật 91/2025/QH15 quy định tổ chức, cá nhân cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến có trách nhiệm cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ tệp dữ liệu, gọi là cookies.

Khoản 4 Điều 29 bổ sung: cung cấp lựa chọn "không theo dõi", hoặc chỉ được theo dõi hoạt động sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến khi có sự đồng ý của người sử dụng.

Từ ngữ quan trọng

Quy định dùng "cung cấp lựa chọn cho phép người dùng từ chối", không phải "thông báo về việc sử dụng cookies". Một thanh chỉ có nút "Đã hiểu" hoặc "Đóng" không tạo ra lựa chọn nào.

Với quảng cáo cá nhân hóa còn có Điều 28

Điểm a khoản 8 Điều 28 Luật 91/2025/QH15 quy định tổ chức, cá nhân khi sử dụng dữ liệu cá nhân để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo chỉ được thu thập dữ liệu cá nhân thông qua việc theo dõi trang thông tin điện tử, cổng thông tin điện tử, ứng dụng khi có sự đồng ý của chủ thể dữ liệu cá nhân.

Điểm b khoản 8 Điều 28 yêu cầu thiết lập phương thức cho phép chủ thể dữ liệu từ chối chia sẻ dữ liệu; xác định thời gian lưu trữ; xóa, hủy dữ liệu khi không còn cần thiết.

Hệ quả kỹ thuật

Ghép hai quy định: các mã theo dõi phục vụ quảng cáo chỉ được nạp sau khi người dùng đồng ý. Cách triển khai phổ biến — nạp toàn bộ mã ngay khi trang tải xong rồi mới hiện thanh thông báo — không đáp ứng yêu cầu.

Không được thiết kế gây hiểu lầm

Điều 6 Nghị định 356/2025/NĐ-CP quy định bên kiểm soát và bên kiểm soát và xử lý không được thiết lập phương thức mặc định đồng ý, và không được tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý. Các thiết lập mặc định sẵn có phải bảo đảm nguyên tắc bảo vệ dữ liệu cá nhân và tôn trọng quyền của chủ thể dữ liệu.

Quy định này nhắm vào các thiết kế quen thuộc: nút đồng ý to và nổi bật trong khi lựa chọn từ chối ẩn sau một liên kết nhỏ, hoặc cách diễn đạt phủ định lồng nhau khiến người dùng không rõ tích vào ô là đồng ý hay từ chối.

Chế tài

Khoản 1 Điều 8 Luật 91/2025/QH15 quy định tổ chức, cá nhân vi phạm thì tùy theo tính chất, mức độ, hậu quả có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường. Khoản 5 Điều 8 quy định mức phạt tiền tối đa với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng; khoản 6 nêu cá nhân chịu tối đa bằng một phần hai mức của tổ chức.

Một thanh thông báo đạt yêu cầu trông thế nào

Có ít nhất hai lựa chọn rõ ràng và ngang hàng về mức độ nổi bật: chấp nhận và từ chối;
Phân loại cookies thành nhóm bắt buộc để trang hoạt động và nhóm phục vụ đo lường, quảng cáo; chỉ nhóm đầu được nạp trước khi có lựa chọn;
Nêu rõ dữ liệu nào được thu, dùng vào việc gì, lưu trong bao lâu;
Cho phép thay đổi lựa chọn về sau, không chỉ hỏi một lần rồi thôi;
Lưu nhật ký từng lựa chọn kèm thời điểm — Điều 6 Nghị định 356/2025/NĐ-CP đặt trách nhiệm chứng minh sự đồng ý lên bên kiểm soát dữ liệu cá nhân.

Điểm cuối là phần dễ bị bỏ qua nhất nhưng lại là thứ duy nhất chứng minh được doanh nghiệp đã làm đúng khi có khiếu nại.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 29
Luật 91/2025/QH15 Điều 28
Luật 91/2025/QH15 Điều 8

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.