3 kiểu thiết kế consent đang bị xử phạt nhiều nhất và dấu hiệu nhận biết trên website của bạn

Từ cuối 2025 đến nay, hoạt động thực thi Luật Bảo vệ Dữ liệu Cá nhân tại Việt Nam đã bắt đầu đi vào thực chất — một số doanh nghiệp công nghệ lớn đã nhận quyết định xử phạt hành chính liên quan đến cách thu thập và sử dụng dữ liệu người dùng.

Điểm chung đáng chú ý trong các vụ việc này không nằm ở việc doanh nghiệp “không có điều khoản” hay “không có chính sách bảo mật”. Hầu hết đều có — đôi khi rất dài và rất chi tiết. Vấn đề nằm ở chỗ khác: tính hợp lệ của consent — tức là cơ chế xin và ghi nhận sự đồng ý của người dùng trước khi thu thập hoặc sử dụng dữ liệu của họ.

Nói cách khác, không phải là thiếu giấy tờ — mà là cơ chế xin và ghi nhận sự đồng ý của người dùng không đáp ứng đúng những gì luật yêu cầu.

Có 3 mô thức thiết kế đang xuất hiện lặp đi lặp lại trong các trường hợp bị xử lý. Cả ba đều rất phổ biến — và đều trông bình thường nếu bạn chưa biết mình cần tìm gì.

Mô thức 1: “Đồng ý hoặc không sử dụng được”

Biểu hiện thực tế trên website: Người dùng truy cập lần đầu và gặp một trong các tình huống sau:

• Một popup hoặc overlay — lớp phủ che toàn bộ nội dung trang — chỉ có thể đóng bằng cách bấm “Đồng ý”
• Một thông báo yêu cầu chấp nhận điều khoản mới trong vòng X ngày, nếu không tài khoản sẽ bị hạn chế
• Form đăng ký có điều khoản sử dụng và chính sách bảo mật được gộp chung, không thể tách ra — đồng ý điều khoản dịch vụ đồng nghĩa với đồng ý toàn bộ mục đích xử lý dữ liệu

Vì sao cơ quan quản lý xử lý kiểu thiết kế này?

Luật 91/2025/QH15 quy định sự đồng ý phải tự nguyện. Khi người dùng chỉ có hai lựa chọn là đồng ý toàn bộ hoặc không được dùng dịch vụ, tính tự nguyện không còn — đặc biệt với những dịch vụ mà người dùng có ít sự lựa chọn thay thế.

Ngoài ra, luật nghiêm cấm việc gộp consent cho mục đích xử lý dữ liệu vào cùng điều kiện bắt buộc phải đồng ý để sử dụng dịch vụ, trừ những dữ liệu thực sự tối thiểu và cần thiết để vận hành dịch vụ đó.

Dấu hiệu nhận biết trên website của bạn:

• Người dùng có thể từ chối chia sẻ dữ liệu cho mục đích marketing mà vẫn dùng được dịch vụ cốt lõi không?
• Nếu người dùng không bấm “Đồng ý” thì điều gì xảy ra — họ vẫn xem được nội dung, hay bị chặn lại?

Mô thức 2: Không có cơ chế lựa chọn theo từng mục đích — đặc biệt với dữ liệu dùng cho quảng cáo

Biểu hiện thực tế trên website:

• Một checkbox duy nhất: “Tôi đồng ý với chính sách bảo mật” — bao gồm tất cả mọi thứ từ giao hàng đến retargeting quảng cáo (tức là quảng cáo được nhắm lại đúng người đã từng ghé thăm website của bạn)
• Người dùng không có cách nào đồng ý cho mục đích A (nhận email xác nhận đơn hàng) mà từ chối mục đích B (chia sẻ hành vi lướt web với nền tảng quảng cáo bên thứ ba)
• Dữ liệu người dùng được dùng cho nhiều mục đích khác nhau — phân tích, cá nhân hóa, quảng cáo, chia sẻ đối tác — nhưng tất cả được bao phủ bởi một “sự đồng ý” ban đầu

Vì sao cơ quan quản lý xử lý kiểu thiết kế này?

Đây là điểm mà nhiều doanh nghiệp dùng dữ liệu cho hoạt động marketing cần chú ý đặc biệt: việc sử dụng dữ liệu người dùng cho mục đích quảng cáo và chia sẻ với bên thứ ba đòi hỏi sự đồng ý riêng, không thể được bao phủ bởi điều khoản chung.

Cơ quan quản lý nhìn vào thiết kế này và đặt câu hỏi: người dùng có thực sự biết dữ liệu của họ đang được dùng để làm gì không? Họ có được lựa chọn không?

Nếu câu trả lời là không — đó là vấn đề về tính minh bạch và tính cụ thể của consent, hai trong số bốn tiêu chí bắt buộc theo luật.

Dấu hiệu nhận biết trên website của bạn:

• Nếu một người dùng muốn nhận email đơn hàng nhưng không muốn dữ liệu hành vi của họ được dùng để chạy quảng cáo retargeting — nhắm lại đúng họ trên Facebook, Google sau khi rời khỏi site — họ có thể làm được điều đó không?
• Trong chính sách bảo mật, danh sách các bên thứ ba nhận dữ liệu người dùng có được liệt kê rõ không — và người dùng có được thông báo và cho phép lựa chọn trước khi điều đó xảy ra không?

Mô thức 3: Giao diện gây nhầm lẫn giữa “đồng ý” và “không đồng ý”

Biểu hiện thực tế trên website: Đây là mô thức tinh tế nhất và cũng khó phát hiện nhất từ góc độ thiết kế, vì nó không phải về việc thiếu nút “Từ chối” — mà về cách các lựa chọn được trình bày:

• Nút “Đồng ý” màu xanh nổi bật, nút “Tùy chỉnh” màu xám nhạt và nhỏ hơn
• Link “Từ chối” được đặt dưới dạng hyperlink — chữ có gạch chân như một đường link thông thường — thay vì nút bấm rõ ràng, khiến nhiều người không nhận ra đó là một lựa chọn
• Trong trang tùy chỉnh, tất cả các nhóm cookie đều đang bật sẵn — người dùng phải chủ động tắt từng cái thay vì chủ động bật
• Ngôn ngữ trên nút mơ hồ: “Tôi hiểu” hoặc “Tiếp tục” được dùng thay cho “Đồng ý” — gây nhầm lẫn về ý nghĩa của hành động

Vì sao cơ quan quản lý xử lý kiểu thiết kế này?

Luật quy định rõ: không được tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu. Thiết kế có chủ đích làm cho “đồng ý” dễ hơn “từ chối” về mặt thị giác hoặc thao tác — dù không vi phạm tường minh về mặt kỹ thuật — vẫn bị xem là vi phạm nguyên tắc tự nguyện và minh bạch.

Đây cũng là điểm GDPR tại châu Âu đã xử lý nhiều trường hợp lớn: các nền tảng bị phạt không phải vì không có nút từ chối, mà vì nút từ chối được thiết kế để người dùng ít bấm hơn.

Dấu hiệu nhận biết trên website của bạn:

• Nhờ một người không quen với website của bạn thử từ chối tất cả cookie — họ mất bao nhiêu bước và bao nhiêu giây?
• Trong trang tùy chỉnh cookie, các nhóm không thiết yếu có đang ở trạng thái tắt mặc định không?
• Ngôn ngữ trên các nút có nói rõ ràng người dùng đang đồng ý hay từ chối điều gì không?

Điểm chung của cả 3 mô thức

Nhìn lại, cả ba đều có một đặc điểm chung: chúng đẩy trách nhiệm và rủi ro sang phía người dùng thay vì đặt người dùng vào vị trí trung tâm của quá trình ra quyết định.

Đây chính là điểm mà luật PDPL — cũng như GDPR tại châu Âu và CCPA tại Mỹ — đang dần siết lại. Tiêu chuẩn không phải là “doanh nghiệp có xin phép không”, mà là “người dùng có thực sự đưa ra lựa chọn có hiểu biết và tự nguyện không”.

Nếu website của bạn đang có một trong 3 mô thức này — bắt đầu từ đâu?

Tin thực tế là cả 3 mô thức trên đều có thể điều chỉnh được — và không nhất thiết phải làm lại toàn bộ hệ thống cùng một lúc.

Bước thực tế đầu tiên là kiểm kê: mô thức nào đang hiện diện trên website của bạn, ở điểm chạm nào, ảnh hưởng đến tệp dữ liệu nào. Từ đó ưu tiên xử lý theo mức độ rủi ro — những điểm thu thập dữ liệu nhạy cảm hoặc dữ liệu dùng cho quảng cáo thường là nơi cần xử lý trước.

Về cơ chế kỹ thuật để đảm bảo consent được thu đúng cách, lưu trữ có bằng chứng, và đồng bộ với các hệ thống downstream — đó là bài toán mà một Consent Management Platform được thiết kế để giải quyết.

Câu hỏi thường gặp

Doanh nghiệp vừa và nhỏ có thực sự nằm trong tầm nhìn của cơ quan quản lý không? Luật 91/2025/QH15 không có ngưỡng miễn trừ theo quy mô doanh nghiệp. Tuy nhiên, trên thực tế, các vụ xử lý đầu tiên thường nhắm vào các nền tảng lớn với lượng dữ liệu người dùng lớn. Với doanh nghiệp nhỏ hơn, rủi ro đến từ hai hướng khác: khiếu nại của người dùng cá nhân và kiểm tra trong chuỗi cung ứng khi đối tác lớn yêu cầu bằng chứng compliance.

Nếu người dùng tự nguyện điền thông tin, có cần cơ chế consent riêng không? Có. Việc người dùng chủ động điền form không thay thế cho sự đồng ý với mục đích xử lý. Người dùng điền địa chỉ để giao hàng không có nghĩa là họ đồng ý để địa chỉ đó được dùng cho phân tích thị trường hoặc chia sẻ với đối tác logistics. Mỗi mục đích vẫn cần được xin phép riêng.

Chính sách bảo mật dài và chi tiết có đủ để thay thế cho cơ chế consent không? Không. Chính sách bảo mật là tài liệu thông tin mô tả những gì doanh nghiệp làm với dữ liệu. Consent là hành động xác nhận của người dùng rằng họ đồng ý với điều đó. Hai thứ này cần tồn tại song song và độc lập với nhau.

Cập nhật: Tháng 7/2026. Bài viết phân tích các mô thức vi phạm phổ biến theo thông tin công khai từ cơ quan quản lý, không nêu tên doanh nghiệp cụ thể. Tham chiếu pháp lý: Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Không phải tư vấn pháp lý.

Để bắt đầu khám phá giải pháp phù hợp với nhu cầu doanh nghiệp, hãy để lại thông tin ở cuối trang để kết nối với các chuyên gia FPT.