Lời hứa “không cần banner”

Các công cụ phân tích chú trọng quyền riêng tư thường tự quảng bá là không dùng cookie, và một số còn đi xa hơn, gợi ý rằng bạn không cần banner đồng ý nữa. Với một nhà xuất bản có ngăn xếp gọn nhẹ, đó là ý tưởng hấp dẫn. Thực tế thì tinh tế hơn. Có cần sự đồng ý hay không phụ thuộc vào việc công cụ thực sự làm gì trên thiết bị, xử lý những dữ liệu nào, người dùng của bạn ở đâu, và những gì khác đang chạy trên các trang của bạn.

Bài viết này giải thích những câu hỏi cần đặt ra trước khi bạn gỡ phân tích khỏi thiết lập đồng ý. Đây là hướng dẫn chung, không phải tư vấn pháp lý.

Cookie không phải là yếu tố kích hoạt duy nhất

Ở EU, quy tắc đồng ý đối với thiết bị đến từ Điều 5(3) của Chỉ thị ePrivacy. Nó bao gồm việc lưu trữ thông tin trên, hoặc truy cập thông tin từ, thiết bị của người dùng — không chỉ cookie. Bộ nhớ cục bộ, bộ nhớ phiên, pixel khiến thông tin bị đọc, và các kỹ thuật suy ra mã định danh từ đặc điểm thiết bị đều có thể thuộc phạm vi này. Ủy ban Bảo vệ Dữ liệu châu Âu đã nêu cách hiểu rộng này trong Hướng dẫn 2/2023 về phạm vi kỹ thuật của Điều 5(3).

Vì vậy, “chúng tôi không đặt cookie” là điểm bắt đầu của phân tích, không phải điểm kết thúc. Bạn cần biết công cụ có lưu trữ hay đọc bất cứ thứ gì trên thiết bị hay không.

Bốn câu hỏi cần đặt ra với bất kỳ công cụ phân tích nào

1. Nó có lưu trữ hay đọc gì trên thiết bị không?

Hãy kiểm tra các bảng lưu trữ của trình duyệt sau khi tải trang: cookie, bộ nhớ cục bộ, bộ nhớ phiên, IndexedDB. Kiểm tra tập lệnh xem có mã thu thập đặc điểm thiết bị để tạo mã định danh hay không. Nếu có thứ gì được lưu hoặc đọc cho mục đích phân tích, quy tắc ePrivacy được áp dụng trừ khi có ngoại lệ.

2. Nó có xử lý dữ liệu cá nhân không?

Ngay cả khi không lưu trữ trên thiết bị, phân tích thường xử lý địa chỉ IP, user agent và URL trang. Theo GDPR, những thứ này có thể là dữ liệu cá nhân. Điều đó đòi hỏi một cơ sở pháp lý — có thể là lợi ích hợp pháp chứ không phải sự đồng ý — cùng với sự minh bạch trong thông báo quyền riêng tư, tối thiểu hóa dữ liệu và thời hạn lưu giữ phù hợp. “Không banner” không bao giờ có nghĩa là “không có nghĩa vụ”.

3. Có ngoại lệ nào áp dụng ở các quốc gia của người dùng bạn không?

Một số cơ quan quản lý thừa nhận rằng việc đo lường khán giả có giới hạn có thể được miễn sự đồng ý nếu đáp ứng các điều kiện nghiêm ngặt. CNIL của Pháp đã công bố các điều kiện để miễn trừ các công cụ theo dõi đo lường khán giả và duy trì một chương trình xác định những công cụ có thể được cấu hình để đáp ứng chúng. Các điều kiện thường gồm việc sử dụng hoàn toàn trong phạm vi bên thứ nhất, chỉ thống kê tổng hợp, không theo dõi giữa các trang và thời hạn lưu giữ giới hạn. Đạo luật Dữ liệu (Sử dụng và Truy cập) 2025 của Vương quốc Anh đã đưa ra các ngoại lệ mới đối với yêu cầu đồng ý của PECR, bao gồm cho một số mục đích thống kê nhất định, với các điều kiện như thông tin rõ ràng và cách để phản đối. Không phải quốc gia nào cũng có cùng quan điểm, vì vậy hãy kiểm tra lập trường ở từng thị trường bạn phục vụ và những quy định nào đang có hiệu lực.

4. Dữ liệu có được chia sẻ với ai khác không?

Nếu công cụ gửi dữ liệu cho một nhà cung cấp dùng nó cho mục đích riêng, hoặc kết hợp nó giữa các khách hàng, các ngoại lệ nhìn chung không còn áp dụng. Hãy đọc điều khoản xử lý, không chỉ trang tiếp thị.

Những gì thường vẫn cần sự đồng ý

• Thẻ quảng cáo. Nhà xuất bản sống nhờ quảng cáo cần sự đồng ý cho quảng cáo cá nhân hóa và cho việc lưu trữ trên thiết bị bởi các nhà cung cấp quảng cáo, bất kể công cụ phân tích của họ làm gì.
• Công cụ có mã định danh xuyên phiên. Mã khách truy cập bền vững, dù thuộc bên thứ nhất, thường khiến công cụ nằm ngoài hầu hết các ngoại lệ.
• Phát lại phiên và bản đồ nhiệt. Chúng ghi lại hành vi chi tiết và hiếm khi được coi là đo lường được miễn trừ.
• Nội dung nhúng và tiện ích mạng xã hội. Chúng đặt cookie và mã định danh riêng.
• Pixel chuyển đổi và tiếp thị lại. Chúng tồn tại để liên kết hành vi với quảng cáo.

Với hầu hết các trang sống nhờ quảng cáo, banner vẫn cần thiết cho ngăn xếp quảng cáo dù thế nào. Câu hỏi thực sự là phân tích nên là một trong các danh mục bị kiểm soát, hay có thể chạy độc lập theo một ngoại lệ hẹp.

Một cách thực tế để quyết định

1. Liệt kê mọi tập lệnh phân tích và những gì nó lưu, đọc và gửi.
2. Xác định các quốc gia nơi phần lớn người dùng của bạn sinh sống.
3. Với mỗi công cụ, kiểm tra xem cấu hình của nó có đáp ứng một ngoại lệ được công nhận ở các quốc gia đó hay không.
4. Cấu hình công cụ theo phiên bản nghiêm ngặt nhất mà bạn cần: cắt bớt IP, không có mã bền vững, thời hạn lưu giữ ngắn, không chia sẻ dữ liệu.
5. Ghi lại lập luận và dù thế nào cũng giữ công cụ phân tích trong danh sách của chính sách cookie và thông báo quyền riêng tư.
6. Kiểm tra lại khi nhà cung cấp thay đổi sản phẩm hoặc thị trường của bạn thay đổi.

Chạy phân tích được miễn trừ song song với CMP

Nếu bạn quyết định một công cụ đủ điều kiện, hãy liệt kê nó là thực sự cần thiết hoặc được miễn trừ trong CMP để nó được công bố nhưng không bị kiểm soát, và đảm bảo cấu hình của nó nằm trong phạm vi ngoại lệ. Nhiều nhà xuất bản cũng giữ một thiết lập phân tích phụ thuộc vào sự đồng ý để đo lường phong phú hơn và dùng Google Consent Mode v2 hoặc các tín hiệu tương tự để điều chỉnh nó dựa trên lựa chọn của người dùng. FlexyConsent hỗ trợ Google Consent Mode v2 cùng với IAB TCF 2.4 và IAB GPP v1.1.

Những điểm chính

• “Không cookie” không tự động có nghĩa là “không cần sự đồng ý”; Điều 5(3) bao gồm mọi việc lưu trữ hoặc truy cập trên thiết bị.
• Phân tích không lưu trữ trên thiết bị vẫn có thể xử lý dữ liệu cá nhân và cần cơ sở pháp lý cùng sự minh bạch.
• Các ngoại lệ cho việc đo lường khán giả tồn tại ở một số quốc gia nhưng đi kèm điều kiện nghiêm ngặt.
• Thẻ quảng cáo, phát lại phiên và tiếp thị lại vẫn cần sự đồng ý.
• Ghi lại lý do một công cụ được coi là được miễn trừ và kiểm tra lại thường xuyên.