Cookie và Luật Bảo vệ dữ liệu cá nhân 91/2025: sự đồng ý cần gì, phạt đến đâu — và Widget.vn hỗ trợ ra sao
Từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực, cùng Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Bộ đôi này thay thế Nghị định 13/2023/NĐ-CP. Nếu website của bạn dùng Google Analytics, Facebook Pixel, TikTok Pixel hay script theo dõi khác, đây là những gì bạn cần biết.
Bài viết mang tính thông tin, không phải tư vấn pháp lý. Hãy đối chiếu với văn bản gốc hoặc luật sư cho trường hợp cụ thể của bạn.
Cookie theo dõi có liên quan gì đến dữ liệu cá nhân?
Script phân tích và quảng cáo thường gắn mã định danh thiết bị, đọc địa chỉ IP và ghi lại hành vi duyệt web — những thông tin có thể gắn với một người cụ thể. Khi đó, việc xử lý cần một căn cứ hợp pháp, và với website thông thường, căn cứ đó thường là sự đồng ý của chủ thể dữ liệu.
Sự đồng ý hợp lệ theo Điều 9, Luật 91/2025
- Tự nguyện và có hiểu biết — người dùng biết loại dữ liệu, mục đích xử lý, bên kiểm soát dữ liệu, và quyền của mình (khoản 2)
- Rõ ràng, cụ thể, có thể kiểm chứng — thể hiện được bằng văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được (khoản 3)
- Riêng cho từng mục đích — và không buộc người dùng chấp nhận thêm mục đích ngoài thỏa thuận (khoản 4 điểm a, b)
- Im lặng không phải là đồng ý — không trả lời không được coi là đồng ý (khoản 4 điểm d)
Điều 4 còn trao cho người dùng quyền yêu cầu rút lại sự đồng ý, và yêu cầu bên xử lý dữ liệu tạo thuận lợi, không gây cản trở khi họ thực hiện quyền này.
Mức phạt tối đa theo Điều 8, Luật 91/2025
| Hành vi | Mức phạt tối đa (tổ chức) | Căn cứ |
|---|---|---|
| Vi phạm khác về bảo vệ dữ liệu cá nhân (gồm xử lý không có căn cứ hợp pháp) | 3 tỷ đồng | Điều 8 khoản 5 |
| Vi phạm quy định chuyển dữ liệu cá nhân ra nước ngoài | 5% doanh thu năm trước liền kề (không thấp hơn mức 3 tỷ) | Điều 8 khoản 4 |
| Mua, bán dữ liệu cá nhân | 10 lần khoản thu có được (không thấp hơn mức 3 tỷ) | Điều 8 khoản 3 |
Cá nhân vi phạm chịu tối đa một nửa mức của tổ chức (khoản 6). Đây là mức trần; mức phạt cụ thể cho từng hành vi do Chính phủ quy định. Tùy tính chất, mức độ, vi phạm còn có thể bị truy cứu trách nhiệm hình sự, và phải bồi thường nếu gây thiệt hại (khoản 1). Cơ quan chuyên trách bảo vệ dữ liệu cá nhân là Bộ Công an.
Những lỗi banner cookie thường gặp
- Chỉ có một nút "Đồng ý tất cả", không cho chọn theo mục đích
- Không cho biết cookie nào, của ai, dùng để làm gì, lưu bao lâu
- Script phân tích và quảng cáo chạy trước khi người dùng trả lời — trong khi im lặng không phải là đồng ý
- Không có cách thay đổi lựa chọn sau khi đã bấm đồng ý
- Không lưu lại được bằng chứng người dùng đã đồng ý gì, khi nào
Widget.vn Cookie Banner hỗ trợ bạn thế nào
Banner cookie của Widget.vn miễn phí và giúp bạn xử lý các điểm trên. Một công cụ không tự làm website "tuân thủ" — bạn vẫn cần chính sách quyền riêng tư đúng với cách mình xử lý dữ liệu — nhưng nó lo phần kỹ thuật:
✅ Đồng ý theo từng mục đích
Toggle riêng cho Thiết yếu, Phân tích, Tiếp thị. Người dùng chọn chính xác loại cookie họ cho phép.
✅ Chặn script trước khi đồng ý
Google Analytics, Facebook Pixel, Hotjar… chỉ chạy sau khi người dùng đồng ý. Hoặc dùng Google Consent Mode v2.
✅ Lưu bản ghi đồng ý
Mỗi lựa chọn được ghi nhận phía máy chủ: thời điểm, danh mục, trình duyệt. Địa chỉ IP được rút gọn sau 30 ngày.
✅ Nút "Cài đặt cookie" luôn sẵn
Sau khi chọn, một nút nhỏ ở góc trang cho phép người dùng đổi ý hoặc rút lại đồng ý bất kỳ lúc nào.
✅ Bảng chi tiết cookie
Hiển thị tên cookie, nhà cung cấp, mục đích, thời hạn lưu trữ — theo từng danh mục.
✅ Nhận diện cookie phổ biến
Nhận diện 80+ cookie phổ biến (GA, Hotjar, Clarity, Facebook, Google Ads, TikTok, Zalo…) và gợi ý danh mục.
Tích hợp trong vài phút
Dán 1 đoạn mã vào website:
<script src="https://cdn.widget.vn/v1/loader.js"
data-widget-id="YOUR_WIDGET_ID"
data-api-base="https://api.widget.vn">
</script>Hoặc dùng MCP để cấu hình qua trợ lý AI (Claude, ChatGPT).
Preset "Việt Nam"
Chọn preset regulationPreset: "vietnam" để cấu hình sẵn:
- Giao diện tiếng Việt đầy đủ
- 3 danh mục: Thiết yếu, Phân tích, Tiếp thị
- Nội dung tham chiếu Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP
- Lưu bản ghi đồng ý tự động
- Tôn trọng tín hiệu GPC (Global Privacy Control)
- Hết hạn đồng ý sau 365 ngày, tự hỏi lại
Ngoài ra còn có preset cho GDPR (EU), PDPA (Thái Lan), PIPL (Trung Quốc) cho doanh nghiệp có khách hàng nước ngoài.
Bắt đầu
Banner cookie và widget đồng ý điều khoản của Widget.vn miễn phí. Bạn có thể thử trên trang demo trước khi gắn vào website.
Nguồn: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 4, 8, 9); Nghị định 356/2025/NĐ-CP. Cập nhật 13/10/2026 — bản trước dẫn chiếu Nghị định 13/2023 đã được thay thế.