GDPR có yêu cầu sự đồng ý cho cookie không?

Phân tích các yêu cầu của GDPR’s cho thấy cần có sự đồng ý rõ ràng trước khi đặt hầu hết các cookie trên thiết bị của người dùng. Nhiều nguồn có thẩm quyền xác nhận rằng cookie, như được định nghĩa tại Điều 4(1) của GDPR là “mã nhận dạng trực tuyến,” được coi là dữ liệu cá nhân khi chúng có thể xác định một người dùng, dù là trực tiếp hay gián tiếp (Nghị viện Châu Âu, 2016).

Những phát hiện chính:

• Sự đồng ý phải được cung cấp đầy đủ thông tin, cụ thể, tự nguyện và rõ ràng (GDPR Art. 7).
• Hướng dẫn của Article 29 Working Party và sau đó là European Data Protection Board làm rõ rằng sự đồng ý ngụ ý (ví dụ: tiếp tục duyệt web mà không có hành động rõ ràng) là không đủ.
• Các cookie cần thiết tuyệt đối (ví dụ: những cookie cần thiết cho chức năng của trang web hoặc giỏ hàng) được miễn yêu cầu đồng ý (WP29 Opinion 04/2012).
• Đối với tất cả các cookie không thiết yếu—chẳng hạn như theo dõi, phân tích hoặc quảng cáo—sự đồng ý chủ động trước là bắt buộc.

"Sự đồng ý phải được thu thập trước khi bất kỳ cookie nào được đặt hoặc truy cập trên thiết bị của người dùng, ngoại trừ những cookie cần thiết tuyệt đối để cung cấp dịch vụ do người dùng yêu cầu rõ ràng" (European Court of Justice, Planet49 case, 2019).

Các nghiên cứu thực nghiệm về banner cookie và sự tuân thủ trên các trang web của EU cho thấy việc triển khai các cơ chế đồng ý đã được phổ biến rộng rãi. Tuy nhiên, các mẫu hình mờ ám và thiết kế gây hiểu lầm vẫn dẫn đến các hành vi không tuân thủ (Utz et al., 2019). Các nền tảng quản lý sự đồng ý (CMPs) hiệu quả phải cung cấp:

• Các tùy chọn rõ ràng để chấp nhận hoặc từ chối cookie
• Sự nổi bật như nhau cho cả hai lựa chọn
• Kiểm soát chi tiết đối với các danh mục cookie khác nhau

Việc không tuân thủ các yêu cầu về sự đồng ý của GDPR’s đã dẫn đến một số hành động thực thi và các khoản phạt gây chú ý từ các cơ quan bảo vệ dữ liệu.

Tóm lại, GDPR yêu cầu sự đồng ý trước, khẳng định của người dùng đối với tất cả các cookie ngoại trừ những cookie cần thiết tuyệt đối cho hoạt động của trang web, với ngày càng nhiều hướng dẫn quy định và tiền lệ pháp lý củng cố nghĩa vụ này trên khắp EU và Vương quốc Anh.