GDPR yêu cầu gì từ banner cookie

GDPR và Chỉ thị ePrivacy thiết lập năm quy tắc không thể thương lượng cho sự đồng ý cookie:

• Tự nguyện: Từ chối cookie phải dễ dàng như chấp nhận.
• Cụ thể: Sự đồng ý phải được yêu cầu riêng cho từng mục đích.
• Có hiểu biết: Người dùng phải biết họ đang đồng ý điều gì trước khi đồng ý.
• Rõ ràng: Ô đã được đánh dấu sẵn và tiếp tục duyệt web không được tính.
• Có thể rút lại: Người dùng phải có thể rút lại sự đồng ý bất cứ lúc nào.

Ví dụ 1: Banner "Chỉ chấp nhận" (Không tuân thủ)

Hình dạng

Thanh nhỏ với "Chúng tôi sử dụng cookie để cải thiện trải nghiệm của bạn" và một nút "OK". Không có tùy chọn từ chối, không có cài đặt.

Tại sao thất bại

Không có lựa chọn thực sự, không có thông tin về cookie, không có cách từ chối. CNIL đã phạt Google 150 triệu EUR và Facebook 60 triệu EUR vào năm 2022 vì đúng mẫu này.

Phán quyết: Bất hợp pháp theo GDPR.

Ví dụ 2: Chấp nhận tất cả + liên kết nhỏ "Quản lý tùy chọn" (Không tuân thủ)

Hình dạng

Nút "Chấp nhận tất cả" nổi bật với liên kết xám nhỏ "Quản lý tùy chọn". Không có nút "Từ chối tất cả".

Tại sao thất bại

Thứ bậc trực quan đẩy người dùng về phía chấp nhận. Từ chối cần hai lần nhấp trong khi chấp nhận cần một. Nhiều DPA đã phán quyết đây không phải sự đồng ý tự nguyện.

Phán quyết: Không tuân thủ. Từ chối phải dễ tiếp cận như Chấp nhận.

Ví dụ 3: Nút Chấp nhận và Từ chối bằng nhau (Tuân thủ)

Hình dạng

Hai nút cùng kích thước: "Chấp nhận tất cả" và "Từ chối tất cả". Bên dưới là liên kết "Quản lý tùy chọn". Giải thích ngắn về mục đích cookie.

Tại sao hoạt động

Lựa chọn tự do thực sự, cả hai tùy chọn nổi bật như nhau, mỗi tùy chọn một lần nhấp. Đây là mẫu CNIL khuyến nghị rõ ràng.

Phán quyết: Tuân thủ. Tiêu chuẩn cơ bản mà mọi trang web nên đáp ứng.

Ví dụ 4: Tường cookie (Không tuân thủ)

Hình dạng

Lớp phủ toàn màn hình chặn tất cả nội dung. Tùy chọn duy nhất là "Chấp nhận cookie".

Tại sao thất bại

Điều 7(4) GDPR — sự đồng ý không tự do nếu quyền truy cập dịch vụ có điều kiện. DPA Hà Lan kết luận tường cookie nói chung không được phép.

Phán quyết: Không tuân thủ ở hầu hết các khu vực tài phán EU.

Ví dụ 5: Ô đánh dấu sẵn (Không tuân thủ)

Hình dạng

Banner chi tiết hiển thị các danh mục cookie với hộp kiểm — nhưng tất cả đã được đánh dấu sẵn.

Tại sao thất bại

Phán quyết Planet49 của CJEU (2019) đã giải quyết dứt điểm: ô đánh dấu sẵn không phải sự đồng ý hợp lệ. Sự đồng ý yêu cầu hành động khẳng định rõ ràng.

Phán quyết: Bất hợp pháp rõ ràng theo án lệ CJEU.

Ví dụ 6: Cách tiếp cận phân lớp (Tuân thủ — Thực hành tốt nhất)

Hình dạng

Lớp đầu: banner gọn với nút Chấp nhận tất cả, Từ chối tất cả và Tùy chỉnh. Lớp thứ hai: trung tâm tùy chọn chi tiết với công tắc từng danh mục và danh sách nhà cung cấp. Lớp thứ ba: chính sách cookie đầy đủ.

Tại sao hoạt động

Cân bằng thông tin với khả năng sử dụng. Lớp đầu cung cấp lựa chọn, lớp hai chi tiết, lớp ba minh bạch hoàn toàn. EDPB khuyến nghị rõ ràng.

Phán quyết: Thực hành tốt nhất. Tiêu chuẩn vàng cho tuân thủ.

Ví dụ 7: Nhãn nút gây hiểu nhầm (Không tuân thủ)

Hình dạng

"Tôi đồng ý" so với "Tôi không đồng ý từ chối cookie không thiết yếu". Hoặc: "Chấp nhận cài đặt được đề xuất" so với "Sử dụng phiên bản giới hạn".

Tại sao thất bại

Đoạn mở đầu 42 GDPR yêu cầu ngôn ngữ rõ ràng, đơn giản. Phủ định kép, hệ quả ngụ ý và nhãn thao túng không tuân thủ.

Phán quyết: Không tuân thủ. Sử dụng nhãn rõ ràng, trung lập.

Ví dụ 8: Banner tuân thủ được làm đúng cách

Hình dạng

Thanh dưới sạch sẽ: tiêu đề rõ ràng, giải thích ngắn, ba nút cùng kiểu (Chấp nhận tất cả, Từ chối tất cả, Quản lý tùy chọn) và liên kết đến chính sách cookie. Quản lý tùy chọn mở trung tâm tùy chọn với công tắc riêng, danh sách nhà cung cấp và nút Lưu.

Tại sao hoạt động

Đáp ứng mọi yêu cầu: lựa chọn tự do, nút đối xứng, thông tin phân lớp, ngôn ngữ đơn giản, không có ô đánh dấu sẵn, rút lại dễ dàng qua biểu tượng cài đặt cookie.

Phán quyết: Tuân thủ hoàn toàn.

Mức phạt thực tế cho banner xấu

• Google (Pháp, 2022): 150 triệu EUR — tùy chọn từ chối khó tìm hơn chấp nhận.
• Facebook (Pháp, 2022): 60 triệu EUR — cùng vấn đề bất đối xứng.
• Microsoft (Pháp, 2022): 60 triệu EUR — cookie quảng cáo được đặt mà không có sự đồng ý hợp lệ.
• TikTok (Pháp, 2023): 5 triệu EUR — từ chối cookie cần nhiều bước hơn chấp nhận.

Danh sách kiểm tra tuân thủ

• Có nút "Từ chối tất cả" nhìn thấy được ở lớp đầu không?
• Chấp nhận và Từ chối có nổi bật như nhau không?
• Tất cả hộp kiểm đều không được đánh dấu mặc định?
• Banner có hiển thị trước khi cookie không thiết yếu được đặt không?
• Người dùng có thể truy cập điều khiển danh mục chi tiết không?
• Sự đồng ý có được ghi lại với dấu thời gian không?
• Người dùng có thể thay đổi sự đồng ý bất cứ lúc nào không?
• Banner có bằng ngôn ngữ của người dùng không?
• Nhấp Từ chối có thực sự ngăn cookie không thiết yếu không?

FlexyConsent xử lý điều này như thế nào ngay lập tức

FlexyConsent là CMP được Google chứng nhận với hỗ trợ IAB TCF 2.3. Đáp ứng mọi yêu cầu tuân thủ:

• Nút Chấp nhận và Từ chối bằng nhau ở lớp đầu
• Cách tiếp cận phân lớp tích hợp (lớp đầu cho lựa chọn, lớp hai cho điều khiển chi tiết)
• Không có ô đánh dấu sẵn — tất cả danh mục tùy chọn không được đánh dấu mặc định
• Google Consent Mode V2 tích hợp ngay lập tức
• 43 ngôn ngữ với phát hiện tự động
• Nhắm mục tiêu địa lý cho banner theo vùng
• Ghi nhật ký đồng ý và bằng chứng cho kiểm toán
• Gói từ 0 EUR/tháng

Thiết lập banner tuân thủ trong chưa đầy năm phút tại panel.flexyconsent.com.