Kiến thức cơ bản về đồng ý cookie cho website nhỏ

Banner cookie không phải phần được yêu thích nhất khi vận hành một website, nhưng nó là một phần công việc nếu bạn có khách truy cập từ các khu vực có quy định về sự đồng ý. Bài viết này là một định hướng thực tế, không phải tư vấn pháp lý. Quy định khác nhau tùy quốc gia và tùy website của bạn làm gì, vì vậy hãy xem đây là cách để hiểu thuật ngữ và thực hiện một đợt rà soát hợp lý, rồi xác nhận chi tiết với một chuyên gia tư vấn có chuyên môn.

Ý tưởng cơ bản

Phần câu hỏi thường gặp dành cho doanh nghiệp nhỏ của European Data Protection Board giải thích rằng việc lưu một cookie trên thiết bị của khách truy cập, hoặc đọc một cookie đã có sẵn ở đó, nhìn chung đòi hỏi mọi người được thông tin đầy đủ về mục đích và đã đồng ý. Ngoại lệ là các cookie cần thiết về mặt kỹ thuật, không cần sự đồng ý đó. Tại Vương quốc Anh, Information Commissioner’s Office (ICO) công bố hướng dẫn riêng về các công nghệ lưu trữ và truy cập, bao gồm cookie và các công cụ tương tự.

Sự đồng ý hợp lệ trông thế nào

Hướng dẫn của ICO, ghi ngày tháng 8 năm 2026, liệt kê một số đặc điểm của một yêu cầu hợp lệ. Nói đơn giản:

Hỏi trước khi đặt các cookie không thiết yếu. Im lặng, cuộn trang hay chỉ tiếp tục duyệt web không phải là sự đồng ý.
Cụ thể. Đưa ra các lựa chọn riêng cho các mục đích riêng, thay vì gộp thành một khối.
Công khai về bên thứ ba. Mọi người nên tìm hiểu được họ là ai, dù chi tiết nằm ở lớp thông tin thứ hai.
Tách sự đồng ý khỏi điều khoản và điều kiện của bạn.
Đảm bảo banner hoạt động. Nếu khách từ chối, các cookie không được phép vẫn tải.

Chi tiết thiết kế quan trọng

Từ chối cũng nổi bật như chấp nhận. ICO nói rằng nút reject-all nên nổi bật ngang với accept-all, cả trên di động lẫn máy tính. Banner chỉ có nút chấp nhận và một liên kết thêm tùy chọn được mô tả là thực hành kém.
Không tích sẵn. Các công tắc cho mục không thiết yếu nên bắt đầu ở trạng thái tắt.
Dễ rút lại. Đổi ý nên dễ như khi đồng ý, và các công cụ cùng dữ liệu liên quan phải dừng lại khi sự đồng ý bị rút.
Đừng làm phiền. Sau khi bị từ chối, hãy chờ một khoảng thời gian hợp lý trước khi hỏi lại. Hướng dẫn nhắc đến khoảng sáu tháng như một thước đo chung.
Hỏi lại khi có thay đổi, ví dụ khi bạn thêm một công cụ quảng cáo mới.

Thế nào là thiết yếu

Các miễn trừ phụ thuộc vào mục đích. Một công nghệ dùng thuần túy cho việc khách đã yêu cầu, như ghi nhớ các món trong giỏ hàng, có thể là thực sự cần thiết. ICO cũng cảnh báo rằng các miễn trừ về thống kê và giao diện chỉ áp dụng khi đó là mục đích duy nhất. Nếu cùng cookie đó còn hỗ trợ quảng cáo thì cần có sự đồng ý. Dùng các công cụ riêng cho các mục đích riêng giúp dễ suy xét hơn.

Thiết lập trên cửa hàng Shopify

Các trang trợ giúp của Shopify mô tả khu vực customer privacy trong phần cài đặt, với các tùy chọn cho chính sách quyền riêng tư, banner cookie và trang từ chối chia sẻ dữ liệu (opt-out). Những điểm cần lưu ý:

Cần có chính sách quyền riêng tư đã xuất bản trước khi bạn thêm banner.
Các thiết lập tự động được bật mặc định cho cửa hàng mới. Theo mặc định, banner hiển thị cho khách truy cập tại Vương quốc Anh và Khu vực Kinh tế Châu Âu nếu bạn có các thị trường đang hoạt động ở đó, và bạn có thể bật ở nơi khác.
Banner của Shopify bao phủ các công cụ của chính Shopify. Cookie hoặc pixel của bên thứ ba có thể cần một banner riêng hoặc cách xử lý tùy chỉnh.
Nếu bạn dùng ứng dụng quyền riêng tư của bên thứ ba, hãy gỡ banner của Shopify trước và dùng cùng các khu vực ở cả hai, vì khu vực không khớp có thể để việc theo dõi bắt đầu trước khi có sự đồng ý.
Ở nơi cần có sự đồng ý, việc từ chối làm giảm thu thập dữ liệu, có thể làm giảm số phiên và tỷ lệ chuyển đổi trong analytics của bạn.
Shopify nêu rằng các thiết lập tự động của họ không thay thế cho tư vấn pháp lý.

Trên các nền tảng khác, hãy tìm các tính năng đồng ý tích hợp trong theme của bạn hoặc một plugin quản lý đồng ý cookie uy tín, và đọc cách nó xử lý tag manager cùng các script của bên thứ ba.

Lưu hồ sơ và thông báo quyền riêng tư

ICO nói rằng bạn nên có khả năng chứng minh ai đó đã đồng ý, và nền tảng quản lý sự đồng ý (consent management platform) là cách phổ biến để làm điều đó. Ngoài ra, EDPB lưu ý rằng khi thu thập dữ liệu cá nhân, bạn phải giải thích điều gì xảy ra với dữ liệu đó bằng ngôn ngữ rõ ràng, giản dị, và các yêu cầu truy cập phải được trả lời trong vòng một tháng và miễn phí. Hãy đảm bảo trang quyền riêng tư của bạn thực sự khớp với các công cụ bạn dùng.

Rà soát cookie hằng năm

Liệt kê mọi script trên website: analytics, quảng cáo, chat, bản đồ, video, widget đánh giá và nút mạng xã hội.
Bên cạnh mỗi mục, ghi mục đích và việc nó có cần sự đồng ý hay không.
Mở website trong cửa sổ ẩn danh, từ chối mọi thứ và kiểm tra bằng công cụ dành cho nhà phát triển của trình duyệt hoặc một trình quét cookie rằng không có gì không thiết yếu được tải.
Thử đổi lựa chọn của bạn sau đó.
Kiểm tra chính sách quyền riêng tư có nêu đúng các công cụ bạn thực sự dùng.
Lặp lại mỗi khi bạn thêm một ứng dụng.

Khi nào nên gọi lập trình viên

Hãy nhờ lập trình viên nếu các script theo dõi chạy trước khi có sự đồng ý, nếu một theme tùy chỉnh tải trực tiếp mã của bên thứ ba, hoặc nếu bạn cần analytics tuân theo lựa chọn của khách truy cập. Hãy hỏi luật sư, không phải lập trình viên, về những gì doanh nghiệp của bạn phải làm. Trang dịch vụ của chúng tôi mô tả các công việc kỹ thuật chúng tôi có thể hỗ trợ, và một theme gọn gàng dễ đưa vào khớp với các công cụ đồng ý cookie hơn nhiều.