Hầu hết website hiện nay đều dùng cookie — những tập tin nhỏ lưu trên trình duyệt người dùng. Nhưng không phải cookie nào cũng giống nhau, và pháp luật Việt Nam đối xử khác nhau với từng loại: cookie quảng cáo và cookie kỹ thuật.
1. Hai loại cookie khác nhau thế nào?
- Cookie kỹ thuật phục vụ hoạt động cơ bản của website: duy trì đăng nhập, ghi nhớ giỏ hàng, bảo đảm an ninh, cân bằng tải. Không có chúng, nhiều chức năng của website không thể chạy.
- Cookie quảng cáo theo dõi hành vi người dùng — trang đã xem, nội dung đã bấm, lịch sử tìm kiếm — để hiển thị quảng cáo nhắm mục tiêu, đo lường hiệu quả chiến dịch hoặc chia sẻ dữ liệu với bên thứ ba.
Điểm phân biệt cốt lõi về mặt pháp lý: cookie quảng cáo thu thập dữ liệu cá nhân (thói quen, sở thích, hành vi duyệt web), còn cookie kỹ thuật thuần túy có thể không xử lý dữ liệu cá nhân nào.
2. Cookie quảng cáo: bắt buộc xin đồng ý
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (có hiệu lực từ 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP) đặt ra chuẩn đồng ý nghiêm ngặt tại Điều 9: sự đồng ý phải tự nguyện, được đưa ra theo từng mục đích cụ thể, không bị ép buộc dưới bất kỳ hình thức nào — và sự im lặng hoặc không phản hồi không được coi là đồng ý.
Áp vào thực tế website, điều này có nghĩa:
- Banner cookie không được tích sẵn đồng ý quảng cáo; người dùng phải chủ động chọn từng mục đích (quảng cáo, đo lường, chia sẻ bên thứ ba);
- Không được chặn truy cập website chỉ vì người dùng từ chối cookie quảng cáo (đó là hình thức ép buộc);
- Người dùng phải được rút lại sự đồng ý dễ dàng như khi họ đã đồng ý.
3. Cookie kỹ thuật: không bắt buộc nếu không xử lý dữ liệu cá nhân
Với cookie thuần túy phục vụ kỹ thuật và không thu thập dữ liệu cá nhân, website không bắt buộc phải xin đồng ý trước. Tuy nhiên, ranh giới không phải lúc nào cũng rõ: một cookie gắn mác kỹ thuật nhưng mang mã định danh theo dõi người dùng qua các phiên thực chất đã trở thành cookie theo dõi và phải tuân thủ chuẩn đồng ý của Điều 9.
4. Lưu ý quan trọng: pháp luật Việt Nam không định nghĩa riêng “cookie”
Pháp luật Việt Nam hiện không có điều khoản riêng định nghĩa “cookie”. Bài viết này phân loại theo logic “có hay không thu thập dữ liệu cá nhân”: có thu thập thì áp dụng Luật Bảo vệ dữ liệu cá nhân; không thu thập thì không phát sinh nghĩa vụ xin đồng ý. Doanh nghiệp nên rà soát từng cookie đang chạy trên website theo logic này thay vì tin vào tên gọi do nhà cung cấp đặt.
5. Khung pháp lý cần theo dõi
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — hiệu lực 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP: chuẩn đồng ý (Điều 9), quyền của chủ thể dữ liệu, nghĩa vụ của bên kiểm soát và xử lý dữ liệu.
- Luật An ninh mạng 116/2025/QH15 — hiệu lực 01/7/2026: nghĩa vụ bảo đảm an ninh mạng, bảo vệ dữ liệu trên không gian mạng.
Website chưa có cơ chế xin đồng ý theo từng mục đích nên rà soát và nâng cấp ngay trước khi Luật 91/2025/QH15 có hiệu lực, tránh rủi ro pháp lý khi cơ quan quản lý tăng cường kiểm tra.
Câu hỏi thường gặp
Website chỉ dùng cookie đăng nhập, giỏ hàng có phải xin đồng ý không?
Nếu các cookie này không xử lý dữ liệu cá nhân thì không bắt buộc. Nhưng nếu cookie gắn định danh theo dõi thì phải xin đồng ý.
Để nút “Đồng ý tất cả” nổi bật, nút “Từ chối” chìm có được không?
Không nên. Thiết kế ép buộc, đánh lừa người dùng đồng ý vi phạm nguyên tắc tự nguyện, không ép buộc tại Điều 9 Luật 91/2025/QH15.
Im lặng khi hiện banner cookie có được coi là đồng ý không?
Không. Luật quy định rõ sự im lặng hoặc không phản hồi không được coi là đồng ý.
Căn cứ pháp lý: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (Điều 9; hiệu lực 01/01/2026; thay thế Nghị định 13/2023/NĐ-CP); Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/7/2026).
Website của doanh nghiệp bạn đã có cơ chế xin đồng ý cookie đúng chuẩn Điều 9 Luật 91/2025/QH15? Liên hệ qua trang Liên hệ của FLAT Law Firm để được rà soát tuân thủ.
Thông tin tham khảo, không phải tư vấn pháp lý.
Nội dung pháp lý của bài viết do AI Legal Council của FLAT soát xét và trình chủ sở hữu phê duyệt; đây không phải ý kiến của luật sư người thật và không thay thế tư vấn pháp lý cho từng trường hợp cụ thể.
