Một dòng JavaScript trên website có thể tạo ra rủi ro pháp lý ở cấp doanh thu?

Một dòng JavaScript có thể kích hoạt Google Analytics, Meta Pixel, TikTok Pixel, một tag manager, công cụ phát lại phiên hoặc SDK của nhà cung cấp khác. Từ network request đầu tiên, trình duyệt có thể truyền địa chỉ IP, định danh thiết bị, URL, thông tin phiên và tín hiệu hành vi tới một bên thứ ba.

Điều đó không có nghĩa mọi website dùng các công nghệ này đều vi phạm pháp luật, và càng không có nghĩa doanh nghiệp tự động chịu mức phạt 5% doanh thu. Câu hỏi pháp lý phụ thuộc dữ liệu thực tế, khả năng nhận diện cá nhân, mục đích xử lý dữ liệu cá nhân, cơ sở xử lý, thời điểm tracker chạy, vai trò của các bên, nơi dữ liệu được nhận và các tình tiết mà cơ quan có thẩm quyền xác định.

Nhưng Nghị định 330/2026/NĐ-CP đã thay đổi mức độ cấp bách của câu hỏi. Website không thể được đánh giá chỉ bằng việc có privacy policy hay cookie banner. Doanh nghiệp phải biết trình duyệt thực sự gửi gì, đi đâu, vào thời điểm nào và bằng chứng nào chứng minh quyết định của người dùng được thực thi.

Compliance không bắt đầu từ Privacy Policy. Nó bắt đầu từ network request đầu tiên của trình duyệt.

Một cookie banner có thể xuất hiện đúng lúc nhưng vẫn không kiểm soát được tracker. Những lỗi phổ biến gồm script được tải ngay khi trang mở, tag manager kích hoạt rule trước lựa chọn, SDK tự tạo định danh, hoặc bên thứ ba nhận dữ liệu rồi tiếp tục chia sẻ theo chuỗi nhà cung cấp của họ.

Vì vậy, kiểm thử phải diễn ra ở ít nhất ba trạng thái:

1. Trước khi người dùng tương tác với banner.
2. Sau khi từ chối mọi mục đích không thiết yếu.
3. Sau khi đồng ý có chọn lọc và sau khi rút lại.

Quét quyền riêng tư giúp ghi nhận tracker, cookies, beacons và đích đến quan sát được. Quản trị sự đồng ý nối lựa chọn của người dùng với mục đích, phiên bản thông báo, thời điểm và bằng chứng. Hai lớp này phải được đối chiếu: hồ sơ đồng ý nói một điều nhưng network request làm một điều khác thì khoảng trống vẫn còn.

Nghị định 330 có hiệu lực từ ngày 19 tháng 8 năm 2026 và quy định xử phạt hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Đối với nhóm bảo vệ dữ liệu cá nhân từ Điều 39 đến Điều 71, mức tiền trong từng điều được nêu cho tổ chức; cá nhân chịu một nửa theo quy tắc tại Điều 7.

Điều 43 xử lý các vi phạm về sự đồng ý. Nhóm 30–50 triệu đồng bao gồm những trường hợp như xử lý dữ liệu khi chưa có sự đồng ý trong tình huống pháp luật yêu cầu, thiết lập mặc định đồng ý, không thể chứng minh sự đồng ý, hoặc không tách riêng sự đồng ý theo từng mục đích. Điều 45 đặt nhóm 50–70 triệu đồng cho một số hành vi liên quan việc tiếp tục xử lý sau yêu cầu rút lại hoặc hạn chế, và coi sự im lặng hoặc không phản hồi là đồng ý.

Một số hành vi còn có thể đi kèm biện pháp buộc xóa dữ liệu đã thu thập hoặc xử lý không đúng quy định tới mức không thể khôi phục. Việc xác định điều khoản, mức cụ thể và biện pháp áp dụng vẫn thuộc cơ quan có thẩm quyền dựa trên hồ sơ vụ việc.

Vì vậy, “chúng tôi có banner” không trả lời được câu hỏi trọng tâm. Tài liệu chứng minh cần cho thấy tracker không thiết yếu thực sự bị chặn trước lựa chọn; lựa chọn được tách theo mục đích; người dùng có thể rút lại; yêu cầu rút lại được lan truyền; và tổ chức có thể tái hiện trạng thái kỹ thuật tại thời điểm liên quan.

Ngay cả khi giao diện thu được một lựa chọn có vẻ hợp lệ, doanh nghiệp vẫn cần kiểm tra mục đích, tính cần thiết, phân loại dữ liệu cá nhân, vai trò của bên nhận, hợp đồng, bảo mật và các giới hạn khác. Luật Dữ liệu và Nghị định 165/2025/NĐ-CP tạo thêm lớp quản trị đối với dữ liệu quan trọng, dữ liệu cốt lõi và hoạt động dữ liệu thuộc phạm vi áp dụng của chúng. Luật An ninh mạng 116/2025/QH15 bổ sung các yêu cầu an ninh mạng và nghĩa vụ theo vai trò hoặc hệ thống.

Điều này đặc biệt đáng chú ý với ngân hàng, viễn thông, bảo hiểm, nền tảng số và doanh nghiệp có lượng người dùng lớn. Một luồng analytics tưởng như phục vụ Marketing có thể đồng thời chạm tới dữ liệu khách hàng, nhà cung cấp đám mây, bên xử lý phụ, hạ tầng ở nhiều quốc gia và yêu cầu chuyên ngành.

Consent không tự động giải quyết mọi rủi ro chuyển dữ liệu cá nhân xuyên biên giới. Nó phải nằm trong một quyết định quản trị rộng hơn và có bằng chứng.

1. Quét website và ứng dụng trong nhiều trạng thái đồng ý. Ghi lại request, cookie, beacon, payload quan sát được, thời điểm và đích nhận.
2. Phân loại dữ liệu cá nhân và mục đích. Xác định dữ liệu cá nhân, dữ liệu có khả năng nhạy cảm, dữ liệu quan trọng hoặc cốt lõi và dữ liệu thuộc quy định chuyên ngành.
3. Chặn trước đồng ý. Tracker không thiết yếu chỉ được tải khi quyết định và cơ sở xử lý phù hợp đã được xác nhận; kiểm thử cả từ chối và rút lại.
4. Lập bản đồ third parties và cross-border flows. Nối công nghệ với pháp nhân, hợp đồng, quốc gia xử lý, bên xử lý phụ, bảo mật và chia sẻ tiếp.
5. Giảm bề mặt rủi ro khi phù hợp. Xem xét lựa chọn first-party hoặc tự lưu trữ tại Việt Nam đối với analytics và tag management nếu mô hình rủi ro, yêu cầu dữ liệu hoặc quy định chuyên ngành đòi hỏi.
6. Giữ bằng chứng liên tục. Theo dõi thay đổi website, phiên bản banner, consent logs, phê duyệt tag, kết quả quét và bằng chứng khắc phục trong một chuỗi có thể kiểm tra.

AesirX hỗ trợ lớp kỹ thuật bằng hoạt động quét, kiểm soát consent-before-tracking, lập bản đồ luồng dữ liệu và các lựa chọn first-party. ComplianceOne giữ phần vận hành: trách nhiệm, đánh giá, bên thứ ba, bằng chứng, giám sát và lịch sử khắc phục. Nền tảng không tự kết luận doanh nghiệp vi phạm và không tự tính mức phạt phải nộp.

Số liệu kỹ thuật trong bài được lấy từ nghiên cứu AesirX về 500 website doanh nghiệp tại Việt Nam, công bố ngày 27 tháng 5 năm 2026. Phần cập nhật pháp lý dựa trên Nghị định 330/2026/NĐ-CP đã ban hành, Nghị định 356/2025/NĐ-CP và các trang khung pháp lý liên quan. Nội dung chỉ nhằm cung cấp thông tin, không phải tư vấn pháp lý hoặc kết luận vi phạm đối với bất kỳ website hay doanh nghiệp cụ thể nào.