Xử phạt vi phạm quy định cookie: doanh nghiệp thực sự đối mặt với rủi ro gì

Vi phạm nghĩa vụ xin sự đồng ý cookie không phải là một rủi ro lý thuyết — cơ quan bảo vệ dữ liệu tại nhiều quốc gia EU đã nhiều lần áp dụng các mức phạt đáng kể trong những năm qua. Khung pháp lý cho việc này xuất phát từ Điều 83(5) GDPR: đối với các vi phạm nghiêm trọng, mức phạt có thể lên đến 20 triệu euro hoặc 4% doanh thu toàn cầu hằng năm, tùy theo con số nào cao hơn — dù nguyên nhân trực tiếp, như đã trình bày ở các bài viết trước, về mặt hình thức bắt nguồn từ Chỉ thị ePrivacy hay luật chuyển hóa của nó ở từng quốc gia.

Một trong những ví dụ nổi tiếng nhất đến từ cơ quan bảo vệ dữ liệu Pháp, CNIL: vào tháng 12 năm 2020, cơ quan này đã phạt Google tổng cộng 100 triệu euro và phạt Amazon 35 triệu euro, vì cả hai công ty đã đặt cookie quảng cáo trước khi người dùng đưa ra sự đồng ý. Đến tháng 1 năm 2022, một khoản phạt khác đối với Google trị giá 150 triệu euro tiếp tục được đưa ra, cùng với một khoản phạt 60 triệu euro đối với Facebook (nay là Meta) — lần này là vì việc từ chối cookie trên các trang web tương ứng được thiết kế phức tạp hơn hẳn so với việc đồng ý: ai muốn đồng ý chỉ cần một cú nhấp chuột, còn ai muốn từ chối lại phải đi qua nhiều lớp menu. CNIL coi đây là vi phạm yêu cầu về một sự đồng ý tự do, có thể từ chối dễ dàng như khi đưa ra.

Các cơ quan bảo vệ dữ liệu khác cũng đã hành động, dù thường với mức phạt thấp hơn đối với các doanh nghiệp nhỏ và vừa: thiếu phân loại cookie, script của bên thứ ba được tải trước khi có bất kỳ tương tác nào với banner, hoặc nút "Từ chối" đơn giản là không tồn tại, buộc người truy cập phải đồng ý vì không có lựa chọn thực sự nào khác. Đặc biệt điểm cuối cùng này — một banner không có tùy chọn từ chối ngang hàng — là một trong những lỗi bị phát hiện phổ biến nhất khi thanh tra, vì nó trực tiếp đi ngược lại yêu cầu về một quyết định tự do đã được khẳng định trong phán quyết Planet49.

Những gì cơ quan bảo vệ dữ liệu thực sự muốn xác minh khi thanh tra có thể được rút ra từ các vụ việc này và các hướng dẫn đã công bố của cơ quan giám sát: các cookie không cần thiết có được đặt SAU khi có sự đồng ý chủ động hay không, chứ không phải trước đó? Có tồn tại một lựa chọn từ chối thực sự, được thiết kế ngang hàng hay không? Các danh mục và mục đích có được mô tả đủ cụ thể hay không? Và — thường là điểm mấu chốt trong một vụ tranh chấp cụ thể — liệu đơn vị vận hành trang web có còn khả năng chứng minh sau này rằng một sự đồng ý cụ thể đã thực sự được đưa ra vào một thời điểm cụ thể hay không?

Chính điểm cuối cùng này thường bị đánh giá thấp trong thực tế. Một banner hoàn hảo về mặt kỹ thuật cũng ít có giá trị nếu khi xảy ra tranh chấp — chẳng hạn sau một khiếu nại hoặc một cuộc kiểm tra ngẫu nhiên — không còn bằng chứng nào cho thấy sự đồng ý đã được đưa ra, và đưa ra chính xác như thế nào. Nghĩa vụ giải trình theo Điều 5(2) GDPR thuộc về đơn vị vận hành trang web, không phải người truy cập: khi có nghi vấn, chính đơn vị vận hành phải chứng minh, chứ không phải người dùng phải phản bác.

Đối với phần lớn các trang web nhỏ và vừa, các khoản phạt ở quy mô như trong những vụ việc nêu trên là khó xảy ra — trong thực tế, các cơ quan giám sát tập trung vào những trường hợp có phạm vi ảnh hưởng lớn, vi phạm lặp lại, hoặc các khiếu nại có mục tiêu cụ thể. Tuy nhiên, điều đó không làm thay đổi nguyên tắc nền tảng: một sự đồng ý được thông tin đầy đủ, chủ động và được ghi lại đầy đủ không phải là một thủ tục hình thức, mà là nền tảng duy nhất để một banner cookie thực sự hoàn thành được mục đích của nó.