Cookie theo dõi hành vi khách hàng: nghĩa vụ thông báo và xin phép

Cơ sở pháp lý điều chỉnh việc dùng cookie theo dõi hành vi

Cookie theo dõi hành vi khách hàng không chỉ là một công cụ kỹ thuật, mà còn là phương tiện thu thập và xử lý dữ liệu có thể gắn với một người dùng xác định hoặc xác định được. Khi cookie phục vụ mục đích phân tích hành vi, cá nhân hóa nội dung, đo lường quảng cáo hoặc tái tiếp thị, website thường xử lý dữ liệu cá nhân theo phạm vi điều chỉnh của pháp luật về bảo vệ dữ liệu.

Cơ sở pháp lý trọng tâm hiện nay là Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và Luật Bảo vệ quyền lợi người tiêu dùng 2023. Theo khoản 1 Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý của chủ thể dữ liệu là điều kiện đối với hoạt động xử lý dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Đồng thời, theo khoản 2 Điều 46 Luật Bảo vệ quyền lợi người tiêu dùng 2023, trường hợp tổ chức, cá nhân kinh doanh ủy quyền hoặc thuê bên thứ ba thực hiện việc thu thập, lưu trữ, sử dụng, chỉnh sửa, cập nhật, hủy bỏ thông tin của người tiêu dùng thì phải được sự đồng ý của người tiêu dùng.

Với website thương mại điện tử hoặc website cung cấp dịch vụ trực tuyến, cookie theo dõi còn gắn với nghĩa vụ bảo đảm an toàn, an ninh thông tin của người tiêu dùng theo khoản 1 Điều 46 Luật Bảo vệ quyền lợi người tiêu dùng 2023. Vì vậy, vấn đề không chỉ là có hiển thị banner cookie hay không, mà là doanh nghiệp có xây dựng được cơ chế thông báo đầy đủ, lấy chấp thuận hợp lệ và quản trị dữ liệu đúng mục đích hay không.

Khi nào cookie phải thông báo và xin phép

Không phải mọi cookie đều có giá trị pháp lý như nhau. Nhóm cookie cần lưu ý nhất là cookie phân tích hành vi, cookie quảng cáo, cookie cá nhân hóa, cookie ghi nhận phiên đăng nhập hoặc cookie dùng để chia sẻ dữ liệu cho bên thứ ba. Các loại cookie này thường phục vụ mục đích vượt ra ngoài chức năng kỹ thuật thiết yếu của website nên phải được đánh giá dưới góc độ thu thập và xử lý dữ liệu cá nhân.

Theo khoản 1 và khoản 3 Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý phải được thể hiện rõ ràng, cụ thể, bằng hành vi có thể chứng minh được; im lặng hoặc không phản hồi không được xem là đồng ý. Theo khoản 4 Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý phải được đưa ra cho cùng một mục đích; nếu có nhiều mục đích thì phải liệt kê để người dùng lựa chọn một hoặc nhiều mục đích tương ứng.

Từ các quy định này, cookie theo dõi hành vi không thể được kích hoạt chỉ dựa vào việc người dùng tiếp tục truy cập trang web sau khi banner xuất hiện. Website phải có cơ chế chấp nhận riêng biệt trước khi bật các cookie không thiết yếu. Với cookie thiết yếu để vận hành dịch vụ mà người dùng đã yêu cầu, cơ chế pháp lý có thể khác, nhưng vẫn cần thông báo minh bạch về loại cookie, chức năng và phạm vi dữ liệu được xử lý.

Yêu cầu đối với thông báo cookie

Thông báo cookie cần rõ ràng, dễ hiểu và đặt ở vị trí người dùng dễ nhận biết ngay khi truy cập lần đầu. Nội dung không nên dùng ngôn ngữ kỹ thuật mơ hồ mà phải nêu cụ thể website thu thập những loại cookie nào, phục vụ mục đích gì, chia sẻ với ai, lưu trong bao lâu và người dùng có quyền gì. Nếu dữ liệu được chuyển cho bên thứ ba như nền tảng quảng cáo, công cụ phân tích hay đối tác tiếp thị, thông tin này phải được nêu ngay trong thông báo hoặc chính sách riêng có liên kết trực tiếp.

Về mặt pháp lý, thông báo phải tương thích với nguyên tắc xử lý đúng mục đích, giới hạn phạm vi và minh bạch trong thu thập dữ liệu. Theo khoản 2 Điều 11 Nghị định 13/2023/NĐ-CP, đồng ý của chủ thể dữ liệu phải phù hợp với mục đích xử lý; theo khoản 5 Điều 11, sự đồng ý phải được thể hiện dưới dạng có thể in hoặc sao chép, kể cả ở dạng điện tử hoặc dạng có thể kiểm chứng. Do đó, banner cookie chỉ là bước đầu; phần nội dung chi tiết mới là căn cứ để chứng minh tính hợp lệ của cơ chế xin phép.

Đối với website kinh doanh hàng hóa, dịch vụ, việc thông báo còn nên đồng bộ với chính sách bảo vệ thông tin người tiêu dùng. Theo Điều 16 Luật Bảo vệ quyền lợi người tiêu dùng 2023, tổ chức, cá nhân kinh doanh phải thông báo rõ về việc thu thập, sử dụng thông tin của người tiêu dùng; thông báo phải nêu mục đích, phạm vi, thời gian lưu giữ và chủ thể có thể tiếp cận thông tin. Cách tiếp cận này phù hợp trực tiếp với hoạt động dùng cookie theo dõi hành vi.

Xin phép người dùng thế nào để được xem là hợp lệ

Cơ chế xin phép hợp lệ cần tách bạch giữa cookie thiết yếu và cookie không thiết yếu. Người dùng phải có lựa chọn thực chất: chấp nhận tất cả, từ chối tất cả cookie không thiết yếu, hoặc tùy chọn theo từng nhóm mục đích như phân tích, quảng cáo, cá nhân hóa. Nếu website chỉ cho một nút “đồng ý” mà không có nút từ chối tương đương đối với cookie theo dõi, tính tự nguyện của sự đồng ý bị đặt vấn đề.

Theo khoản 3 Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý phải thể hiện rõ ràng bằng hành vi khẳng định, như tích chọn ô chấp thuận hoặc thao tác kỹ thuật tương đương. Theo khoản 6 Điều 11 Nghị định 13/2023/NĐ-CP, im lặng hoặc không phản hồi không phải là đồng ý. Vì vậy, cookie tracking chỉ được kích hoạt sau khi người dùng thực hiện hành vi chấp thuận rõ ràng, không được cài đặt mặc định rồi chờ người dùng tự tìm cách tắt.

Trường hợp website dùng nhiều công cụ đo lường và quảng cáo khác nhau, cần xin phép theo từng mục đích xử lý dữ liệu, không gộp chung thành một chấp thuận mơ hồ. Điều này đặc biệt quan trọng khi dữ liệu được chuyển cho bên thứ ba, vì khoản 2 Điều 46 Luật Bảo vệ quyền lợi người tiêu dùng 2023 yêu cầu có sự đồng ý của người tiêu dùng đối với việc ủy quyền hoặc thuê bên thứ ba xử lý thông tin. Chấp thuận cần được lưu vết để chứng minh thời điểm, nội dung đã được thông báo và lựa chọn mà người dùng đã đưa ra.

Thiết kế quy trình tuân thủ cho website

Một quy trình tối thiểu nên gồm bốn lớp: nhận diện loại cookie, phân loại theo mục đích, thông báo trước khi kích hoạt và lưu bằng chứng đồng ý. Trước khi cài công cụ phân tích hay quảng cáo, cần rà soát xem cookie đó có tạo ra dữ liệu cá nhân, có chia sẻ với bên thứ ba hay không, và có thật sự cần thiết cho dịch vụ hay không. Cách phân loại này là cơ sở để quyết định cookie nào được bật ngay và cookie nào phải chờ chấp thuận.

Về kỹ thuật, website cần cơ chế ghi nhận trạng thái lựa chọn của người dùng, cho phép rút lại đồng ý dễ dàng và cập nhật lại thông báo khi thay đổi nhà cung cấp dịch vụ hoặc mục đích xử lý. Về pháp lý, doanh nghiệp nên đồng bộ banner cookie với chính sách quyền riêng tư, điều khoản sử dụng và chính sách bảo vệ thông tin người tiêu dùng. Sự thống nhất giữa các tài liệu này giúp tránh tình trạng thông báo một kiểu, vận hành một kiểu.

Trong mô hình kinh doanh có sử dụng nền tảng quảng cáo, công cụ phân tích lưu trữ dữ liệu ngoài hệ thống của website, trách nhiệm tuân thủ không dừng ở việc đưa banner. Doanh nghiệp vẫn phải bảo đảm việc thu thập, sử dụng và chuyển giao dữ liệu phù hợp với mục đích đã thông báo, đồng thời bảo đảm an toàn, an ninh thông tin theo khoản 1 Điều 46 Luật Bảo vệ quyền lợi người tiêu dùng 2023. Đây là yêu cầu nền tảng đối với mọi hệ thống theo dõi hành vi khách hàng.

Rủi ro pháp lý khi bỏ qua thông báo hoặc xin phép

Nếu website thu thập cookie theo dõi mà không thông báo đầy đủ hoặc không xin phép hợp lệ, rủi ro không chỉ dừng ở tranh chấp với người dùng mà còn kéo theo nguy cơ bị coi là xử lý dữ liệu trái nguyên tắc. Khi đó, doanh nghiệp có thể bị yêu cầu dừng xử lý, xóa dữ liệu, điều chỉnh quy trình và chịu trách nhiệm theo các quy định xử phạt hành chính có liên quan về bảo vệ dữ liệu và bảo vệ quyền lợi người tiêu dùng.

Đặc biệt, việc phụ thuộc vào cookie bên thứ ba, pixel quảng cáo và công cụ tái tiếp thị làm tăng rủi ro chuyển dữ liệu ngoài phạm vi kiểm soát trực tiếp của website. Nếu không kiểm soát được mục đích, thời hạn lưu giữ và luồng dữ liệu đến bên thứ ba, doanh nghiệp rất khó chứng minh tính hợp pháp của hoạt động xử lý. Vì vậy, quản trị cookie phải được coi là một phần của hệ thống tuân thủ dữ liệu, không phải chỉ là vấn đề giao diện người dùng.

Kết luận

Website dùng cookie để theo dõi hành vi khách hàng phải ưu tiên hai nghĩa vụ cốt lõi: thông báo minh bạch và xin phép hợp lệ trước khi kích hoạt cookie không thiết yếu. Căn cứ hiện hành cho thấy sự đồng ý phải rõ ràng, cụ thể, có thể chứng minh được và phải gắn với từng mục đích xử lý dữ liệu theo khoản 1, khoản 3, khoản 4, khoản 5 và khoản 6 Điều 11 Nghị định 13/2023/NĐ-CP.

Trong lĩnh vực tiêu dùng số, nghĩa vụ này còn được củng cố bởi khoản 1 và khoản 2 Điều 46 Luật Bảo vệ quyền lợi người tiêu dùng 2023 về bảo đảm an toàn, an ninh thông tin và về sự đồng ý khi ủy quyền hoặc thuê bên thứ ba xử lý thông tin người tiêu dùng. Cách làm phù hợp là thiết kế banner cookie đa lựa chọn, chính sách minh bạch, lưu bằng chứng đồng ý và cơ chế rút lại chấp thuận dễ thực hiện.

Tài liệu tham khảo

• Nghị định số 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân.
• Luật số 19/2023/QH15 - Luật Bảo vệ quyền lợi người tiêu dùng.
• Cổng thông tin văn bản quy phạm pháp luật Chính phủ, bản hợp nhất và dữ liệu tra cứu văn bản hiện hành.
• Cơ sở dữ liệu văn bản pháp luật của Bộ, ngành liên quan đến bảo vệ dữ liệu và bảo vệ người tiêu dùng.