Việc hiểu rõ các quy định về cookie và triển khai các giải pháp quản lý sự đồng ý hiệu quả đã trở nên thiết yếu đối với mọi trang web. Hướng dẫn này khám phá sự khác biệt giữa các quy định của Châu Âu và Hoa Kỳ, phân tích cách thức hoạt động của Chế độ Đồng ý của Google và so sánh các giải pháp quản lý sự đồng ý chính.
Việc hiểu rõ các quy định về cookie và triển khai các giải pháp quản lý sự đồng ý hiệu quả đã trở nên thiết yếu đối với mọi trang web. Hướng dẫn này khám phá sự khác biệt giữa các quy định của Châu Âu và Hoa Kỳ, phân tích cách thức hoạt động của Chế độ Đồng ý của Google và so sánh các giải pháp quản lý sự đồng ý chính với các bản cập nhật mới nhất cho năm 2025.
Ở Châu Âu, bảo vệ dữ liệu cá nhân và quyền riêng tư trực tuyến chủ yếu được điều chỉnh bởi hai bộ luật:
Có hiệu lực từ năm 2018, GDPR áp đặt các yêu cầu nghiêm ngặt về việc xử lý dữ liệu cá nhân, thiết lập các nguyên tắc chính:
Để thu thập và xử lý dữ liệu cá nhân (bao gồm các mã định danh trực tuyến như cookie), chúng tôi phải có cơ sở pháp lý hợp lệ, chẳng hạn như sự đồng ý rõ ràng, lợi ích hợp pháp hoặc nghĩa vụ hợp đồng của bạn.
Vi phạm GDPR có thể dẫn đến mức phạt rất cao, lên tới 4% doanh thu toàn cầu của công ty.
Chỉ thị về quyền riêng tư điện tử (2002/58/EC, sửa đổi năm 2009) tập trung cụ thể vào quyền riêng tư trong truyền thông điện tử, bao gồm việc sử dụng cookie và công nghệ theo dõi.
Điều 5(3) của Chỉ thị yêu cầu phải có sự đồng ý trước của người dùng trước khi lưu trữ hoặc truy cập thông tin trên thiết bị của họ, tùy thuộc vào một số trường hợp ngoại lệ (chẳng hạn như cookie hoàn toàn cần thiết).
Trên thực tế, điều này có nghĩa là các trang web châu Âu phải:
Các cơ quan bảo vệ dữ liệu châu Âu đã tích cực xử lý các hành vi vi phạm: ví dụ, CNIL của Pháp đã phạt Google và Amazon từ năm 2020 đến năm 2022 vì đặt cookie theo dõi mà không có sự đồng ý hợp lệ.
Vào tháng 3 năm 2024, Đạo luật Thị trường Kỹ thuật số (DMA) của EU đã có hiệu lực, thắt chặt hơn nữa các yêu cầu về sự đồng ý đối với các nền tảng công nghệ lớn, tác động đáng kể đến việc quản lý cookie và theo dõi. Điều này đã thúc đẩy các công ty như Google cập nhật các giải pháp quản lý sự đồng ý của họ.
Vào tháng 2 năm 2025, Ủy ban Châu Âu đã chính thức rút lại đề xuất về Quy định ePrivacy mới, duy trì hiệu lực của Chỉ thị hiện hành. Điều này có nghĩa là các yêu cầu về sự đồng ý cookie vẫn được cập nhật, vẫn mang tính ràng buộc và phải được thực thi nghiêm ngặt trên toàn Châu Âu.
Tòa án Công lý Châu Âu đã đưa ra phán quyết quan trọng vào tháng 3 năm 2024 liên quan đến vụ kiện TCF của IAB, có ý nghĩa quan trọng đối với việc thực hiện Khung minh bạch và đồng ý mà các công ty vẫn đang tìm hiểu.
Không giống như EU, tại Hoa Kỳ không có luật bảo mật liên bang toàn diện nào tương đương với GDPR. Quy định được ban hành ở cấp tiểu bang và cấp ngành, với những bước phát triển đáng kể trong những năm gần đây.
CCPA có hiệu lực từ năm 2020, đã được CPRA (có hiệu lực từ năm 2023) củng cố, đưa CCPA gần hơn với mô hình châu Âu.
CPRA có:
Trong khoảng thời gian từ năm 2023 đến năm 2025, bối cảnh quyền riêng tư tại Hoa Kỳ đã có sự thay đổi nhanh chóng:
Tính đến tháng 1 năm 2025, 20 tiểu bang Hoa Kỳ hiện đã có luật bảo mật dữ liệu toàn diện, với tám luật mới có hiệu lực vào năm 2025. Điều này có nghĩa là khoảng 40% người tiêu dùng Hoa Kỳ hiện có quyền riêng tư kỹ thuật số. Tuy nhiên, sự phân mảnh về quy định đặt ra một thách thức đáng kể cho các doanh nghiệp, những người phải điều hướng các yêu cầu thường tương tự nhưng không giống hệt nhau.
California vẫn dẫn đầu, với CPPA đặc biệt tích cực trong giai đoạn 2024-2025. Cơ quan này đã ban hành một số hình phạt đáng kể, bao gồm khoản tiền phạt 6,75 triệu đô la cho một công ty phần mềm đám mây vào năm 2024. California cũng đã ban hành các quy định mới được đề xuất về an ninh mạng, đánh giá rủi ro và công nghệ ra quyết định tự động (ADMT), với thời gian lấy ý kiến công chúng kéo dài đến tháng 6 năm 2025.
Trong số những phát triển quan trọng nhất về quản lý cookie, California đã mở rộng định nghĩa về "thông tin cá nhân nhạy cảm" để bao gồm "dữ liệu thần kinh" (thông tin được tạo ra bằng cách đo hoạt động của hệ thần kinh) và làm rõ rằng thông tin cá nhân cũng bao gồm các định dạng kỹ thuật số và trừu tượng, chẳng hạn như các định dạng được tạo ra bởi trí tuệ nhân tạo.
Delaware đã thông qua luật bảo mật, không giống như những luật khác, không miễn trừ các tổ chức phi lợi nhuận và tổ chức học thuật khỏi phạm vi bảo vệ của luật này, qua đó mở rộng đáng kể phạm vi bảo vệ.
Không giống như EU, mô hình của Hoa Kỳ vẫn chủ yếu dựa trên quyền từ chối thay vì sự đồng ý trước. Do đó, một trang web Hoa Kỳ phục vụ người dùng EU sẽ được yêu cầu triển khai biểu ngữ tuân thủ GDPR cho những người dùng đó, trong khi đối với người dùng Hoa Kỳ, trang web có thể chỉ hiển thị thông báo và liên kết từ chối mà không cần chặn cookie trước.
Cục Quảng cáo Tương tác (IAB) Châu Âu đã phát triển Khung minh bạch và đồng ý (TCF) như một tiêu chuẩn của ngành để giúp các công ty quản lý sự đồng ý của người dùng theo GDPR và Chỉ thị về quyền riêng tư điện tử, đặc biệt có liên quan trong bối cảnh quảng cáo kỹ thuật số.
TCF đã có một số lần lặp lại:
TCF v2.2 đã giới thiệu những thay đổi quan trọng:
Vào tháng 4 năm 2025, IAB Tech Lab và IAB Europe đã mở thông số kỹ thuật TCF v2.3 để công chúng đóng góp ý kiến, với thời hạn đóng góp ý kiến là đến ngày 19 tháng 5 năm 2025. Bản cập nhật này nhằm mục đích cung cấp thông tin rõ ràng hơn cho các nhà cung cấp trong những trường hợp cụ thể mà không rõ liệu dữ liệu đã được tiết lộ cho người dùng hay chưa, điều này đặc biệt quan trọng khi nhà cung cấp có ý định xử lý dữ liệu cho các Mục đích đặc biệt dựa trên lợi ích hợp pháp.
Lịch trình của TCF v2.3 bao gồm:
Để giúp các trang web và nhà quảng cáo tôn trọng sự lựa chọn đồng ý của người dùng, Google đã giới thiệu Chế độ đồng ý, một giải pháp kỹ thuật điều chỉnh hành vi của thẻ Google dựa trên trạng thái đồng ý của người dùng.
Vào tháng 11 năm 2023, Google đã ra mắt Chế độ Đồng ý V2, với việc triển khai bắt buộc trước tháng 3 năm 2024 đối với các trang web sử dụng dịch vụ của Google và thu thập dữ liệu từ người dùng trong Khu vực Kinh tế Châu Âu (EEA). Bản cập nhật này được thiết kế đặc biệt để phù hợp với Đạo luật Thị trường Kỹ thuật số (DMA) của EU.
Chế độ đồng ý V2 giới thiệu hai tham số mới ngoài các tham số ban đầu:
Không giống như ad_storage và analytics_storage, các tham số mới này không ảnh hưởng đến hành vi của các thẻ trên chính trang web mà là các tham số bổ sung được gửi đến các dịch vụ của Google để chỉ ra cách dữ liệu người dùng có thể được sử dụng.
Chế độ đồng ý của Google V2 có hai chế độ triển khai:
Điều quan trọng cần lưu ý là một số chuyên gia về quyền riêng tư đã nêu lên mối lo ngại về việc Chế độ nâng cao tuân thủ các quy định về bảo vệ dữ liệu, vì "ping" có thể đại diện cho dữ liệu cá nhân được xử lý mà không có sự đồng ý.
Nếu không có Chế độ đồng ý của Google, các nền tảng quảng cáo không thể thu thập dữ liệu về người dùng EEA mới, hạn chế đáng kể khả năng thu thập dữ liệu đối tượng, đo lường hiệu quả chiến dịch và triển khai các chiến lược quảng cáo có mục tiêu.
Với Chế độ đồng ý V2, các trang web có thể tiếp tục thu thập dữ liệu phân tích cơ bản ngay cả khi người dùng chưa đồng ý sử dụng cookie, thông qua các kỹ thuật mô hình hóa tiên tiến tôn trọng tùy chọn đồng ý.
.png)
Để tuân thủ tất cả các quy định này, các trang web sử dụng Nền tảng quản lý sự đồng ý (CMP) cung cấp biểu ngữ và giao diện để có được sự đồng ý của người dùng và cơ chế tôn trọng những lựa chọn đó.
IAB đóng vai trò quan trọng trong việc chứng nhận CMP thông qua khuôn khổ TCF. Một CMP được chứng nhận TCF phiên bản 2.2 của IAB phải:
Trong giai đoạn 2023-2024, Google đã đưa ra các yêu cầu chứng nhận cụ thể cho các CMP muốn hỗ trợ Google Ads tại EU và Vương quốc Anh, với yêu cầu chính là cập nhật việc tuân thủ TCF của IAB. Các CMP được Google chứng nhận có thể sử dụng các sản phẩm Google Ads và được đưa vào danh sách chính thức.
Một giải pháp dành riêng cho các trang web được xây dựng bằng Webflow, hỗ trợ đầy đủ cho IAB TCF v2.2 và Google Consent Mode v2.
Thuận lợi:
Nhược điểm:
Lý tưởng cho: Các nhà phát triển hoặc công ty làm việc trên Webflow muốn có toàn quyền kiểm soát và thiết kế tùy chỉnh.
Giải pháp cắm và chạy được cập nhật để hỗ trợ IAB TCF v2.2 và Google Consent Mode v2, hiện có chứng nhận Vàng với tư cách là Đối tác CMP của Google.
Thuận lợi:
Nhược điểm:
Lý tưởng cho: Các trang web nhỏ hoặc chủ sở hữu muốn tuân thủ nhanh chóng.
Iubenda là một công ty Ý cung cấp bộ công cụ tuân thủ đầy đủ, được cập nhật đầy đủ để hỗ trợ IAB TCF v2.2 và Google Consent Mode v2.
Thuận lợi:
Nhược điểm:
Lý tưởng cho: các doanh nghiệp đang tìm kiếm giải pháp chuyên nghiệp và toàn diện với mức bảo trì tối thiểu.
Một trong những giải pháp SaaS CMP phổ biến đầu tiên, hiện là một phần của nền tảng Usercentrics.
Thuận lợi:
Nhược điểm:
Lý tưởng cho: Các trang web vừa và doanh nghiệp muốn tự động hóa việc quản lý cookie.
Một CMP mới nổi cung cấp giải pháp hoàn chỉnh để tích hợp với Google Consent Mode V2 và IAB TCF v2.2.
Thuận lợi:
Nhược điểm:
Lý tưởng cho: Các doanh nghiệp đang tìm kiếm giải pháp tập trung vào việc tích hợp với Google Consent Mode V2.
Đối với các tổ chức đa quốc gia lớn, có các CMP doanh nghiệp như OneTrust, TrustArc, Didomi, Usercentrics, Osano, v.v.
Thuận lợi:
Nhược điểm:
Lý tưởng cho: Các doanh nghiệp lớn có sự hiện diện trên toàn cầu và yêu cầu quản lý sự đồng ý phức tạp.
Việc tuân thủ các quy định về cookie và quyền riêng tư đòi hỏi phải hiểu biết về mặt pháp lý đối với các quy định khác nhau cũng như triển khai các giải pháp kỹ thuật phù hợp.
Ở Châu Âu, chế độ đồng ý trước nghiêm ngặt được áp dụng, trong khi ở Hoa Kỳ, quyền từ chối tham gia với các yêu cầu về tính minh bạch được ưu tiên, mặc dù luật của tiểu bang đang dần chuyển sang các tiêu chuẩn nghiêm ngặt hơn, tiến gần hơn đến mô hình Châu Âu.
Các công cụ như Google Consent Mode v2 và IAB TCF v2.2/v2.3 giúp thu hẹp khoảng cách giữa tiếp thị và quyền riêng tư, cho phép các trang web sử dụng dịch vụ phân tích và quảng cáo trong khi vẫn tuân thủ luật cookie.
Việc lựa chọn nền tảng quản lý sự đồng ý phụ thuộc vào các yếu tố như quy mô trang web, nguồn lực kỹ thuật sẵn có, ngân sách và nhu cầu tuân thủ đa quốc gia. Điều quan trọng là đảm bảo người dùng thực sự kiểm soát dữ liệu của họ và cho phép trang web hoạt động minh bạch và tuân thủ luật pháp hiện hành.
Các công ty hoạt động ở cả Châu Âu và Hoa Kỳ sẽ cần phải tiếp tục điều hướng bối cảnh pháp lý phức tạp và luôn thay đổi, đồng thời điều chỉnh các giải pháp quản lý sự đồng ý của mình cho phù hợp với các khu vực pháp lý khác nhau.
Tại Châu Âu (GDPR và Chỉ thị về Quyền riêng tư điện tử), mô hình lựa chọn tham gia được áp dụng: cần có sự đồng ý rõ ràng của người dùng trước khi sử dụng cookie không cần thiết. Tại Hoa Kỳ (CCPA/CPRA và các luật tiểu bang khác), mô hình lựa chọn không tham gia được áp dụng: cookie có thể được sử dụng cho đến khi người dùng phản đối rõ ràng, và các công ty phải cung cấp một phương thức rõ ràng để lựa chọn không tham gia bán/chia sẻ dữ liệu.
Chỉ những cookie "hoàn toàn cần thiết" (hoặc "kỹ thuật") mới được phép sử dụng mà không cần sự đồng ý tại Châu Âu. Những cookie này bao gồm các cookie thiết yếu cho hoạt động của trang web, chẳng hạn như cookie dùng để xác thực, lưu trữ sản phẩm trong giỏ hàng thương mại điện tử hoặc bảo mật trang web.
Chế độ Đồng ý của Google V2 là một giao diện truyền đạt các lựa chọn đồng ý của người dùng đến Google. Giao diện này giới thiệu bốn tham số đồng ý (ad_storage, analytics_storage, ad_user_data, ad_personalization) để điều chỉnh hành vi của các thẻ Google. Điều này rất quan trọng vì nó cho phép các trang web cân bằng giữa việc đo lường hiệu suất tiếp thị với việc tuân thủ quyền riêng tư, và đã trở thành bắt buộc vào tháng 3 năm 2024 đối với các trang web sử dụng dịch vụ của Google tại Châu Âu.
Việc lựa chọn tùy thuộc vào một số yếu tố: quy mô và lưu lượng truy cập trang web, ngân sách khả dụng, chuyên môn kỹ thuật nội bộ, nền tảng xây dựng trang web (ví dụ: Webflow, WordPress) và các yêu cầu tuân thủ cụ thể. Điều quan trọng nữa là phải kiểm tra xem CMP có được chứng nhận TCF phiên bản 2.2 của IAB và hỗ trợ Chế độ Đồng ý của Google phiên bản 2 hay không, đặc biệt nếu bạn sử dụng dịch vụ quảng cáo của Google.
Ở châu Âu, về mặt kỹ thuật là được. Ngay cả khi trang web chỉ sử dụng cookie thiết yếu, vẫn cần phải thông báo cho người dùng về loại cookie nào đang được sử dụng. Tuy nhiên, trong trường hợp này, không yêu cầu sự đồng ý, vì vậy biểu ngữ có thể được đơn giản hóa thành thông báo cung cấp thông tin mà không cần tương tác.
Tại châu Âu, hành vi vi phạm GDPR có thể bị phạt tới 4% doanh thu toàn cầu hàng năm hoặc 20 triệu euro, tùy theo mức nào cao hơn. Tại California, hành vi vi phạm CCPA/CPRA có thể bị phạt dân sự lên tới 2.500 đô la cho hành vi vô ý và 7.500 đô la cho hành vi cố ý, ngoài ra còn có thể bị kiện ra tòa. Các cơ quan quản lý đã tích cực hơn trong việc thực thi, với một số khoản tiền phạt đáng kể được ban hành trong những năm gần đây.
Không, Chế độ Đồng ý của Google V2 không thay thế biểu ngữ cookie, nhưng hoạt động song song với nó. Vẫn cần có một hệ thống thu thập sự đồng ý của người dùng (CMP), sau đó hệ thống này sẽ truyền đạt các tùy chọn đến Chế độ Đồng ý của Google để điều chỉnh hành vi của các thẻ.
Giải pháp tốt nhất là triển khai một hệ thống nhận diện vị trí địa lý của người dùng và hiển thị giao diện phù hợp: biểu ngữ chọn tham gia cho người dùng châu Âu và thông báo với tùy chọn chọn không tham gia cho người dùng Hoa Kỳ. Các CMP tiên tiến nhất đều cung cấp tính năng nhắm mục tiêu theo vị trí địa lý này.
Khung Minh bạch và Đồng ý (TCF) của IAB là một tiêu chuẩn ngành giúp các công ty quản lý sự đồng ý của người dùng theo quy định của GDPR và Chỉ thị về Quyền riêng tư điện tử, đặc biệt là trong bối cảnh quảng cáo kỹ thuật số. Tiêu chuẩn này cung cấp một cơ chế chuẩn hóa để thu thập, lưu trữ và chia sẻ các tùy chọn đồng ý của người dùng giữa các nhà xuất bản, nhà quảng cáo và nhà cung cấp công nghệ quảng cáo. Phiên bản mới nhất, TCF v2.2, được thiết kế để cải thiện tính minh bạch và trách nhiệm giải trình, đồng thời được phát triển theo hướng dẫn của các cơ quan bảo vệ dữ liệu.
TCF v2.3, hiện đang được tham vấn công khai cho đến tháng 5 năm 2025, nhằm mục đích cung cấp sự rõ ràng hơn cho các nhà cung cấp trong những trường hợp cụ thể mà dữ liệu chưa được tiết lộ cho người dùng. Sự khác biệt này đặc biệt quan trọng khi nhà cung cấp có ý định xử lý dữ liệu cho các Mục đích Đặc biệt dựa trên lợi ích hợp pháp. Các thông số kỹ thuật dự kiến sẽ được hoàn thiện vào cuối tháng 5 năm 2025, với thời hạn triển khai là ngày 1 tháng 2 năm 2026.
.svg)
.svg)
.svg)
