- Quy trình đồng ý với banner cookie lặp đi lặp lại trên từng website gây mệt mỏi cho người dùng và thực tế bị xem là một cơ chế thất bại trong việc bảo vệ quyền riêng tư
- Cấu trúc hiện tại buộc mỗi website phải tự triển khai quy trình xin đồng ý riêng, nên tạo ra gánh nặng quá lớn cho các nhà vận hành website nhỏ
- Tác giả đề xuất một giải pháp: quản lý việc đồng ý với cookie tập trung ở bước cài đặt trình duyệt
- Chỉ với một lần thiết lập, người dùng có thể kiểm soát thống nhất phạm vi sử dụng dữ liệu của mình, và trình duyệt sẽ áp dụng điều đó cho mọi website
- Cách tiếp cận này được đưa ra như một giải pháp hợp lý hơn ở ba khía cạnh: cải thiện trải nghiệm người dùng, nâng cao hiệu quả quản lý, và giảm gánh nặng cho nhà phát triển
Thực tế thất bại của banner cookie
- Các luật bảo vệ dữ liệu cá nhân như GDPR và CCPA được tạo ra với ý định tốt, nhưng cách triển khai lại kém hiệu quả
- Vô số website phải tự hiển thị các popup như “Accept All” hoặc “Manage Preferences”
- Phần lớn người dùng vì quá mệt mỏi nên bấm “cho phép tất cả” một cách vô thức
- Cách làm này khiến quyền lựa chọn thực sự của người dùng trở nên vô nghĩa và làm trải nghiệm Internet bất tiện hơn
- Tác giả chỉ ra rằng cốt lõi của vấn đề không phải là ‘bảo vệ cái gì’ mà là ‘quản lý ở đâu’
Vấn đề của cấu trúc hiện tại
- 1) Mệt mỏi vì phải đồng ý (Consent Fatigue): những yêu cầu đồng ý lặp đi lặp lại khiến người dùng trở nên chai lì, và không còn tồn tại cái gọi là ‘đồng ý tự nguyện’ đúng nghĩa
- 2) Bất lợi cho nhà vận hành nhỏ: doanh nghiệp lớn có thể ứng phó bằng đội ngũ pháp lý và CMP (Consent Management Platform), nhưng blogger cá nhân hay doanh nghiệp vừa và nhỏ lại phải gánh chi phí pháp lý và kỹ thuật
- 3) Thiếu quyền kiểm soát: ngay cả khi có lựa chọn ngoài “Accept All”, các thuật ngữ pháp lý phức tạp và cấu trúc menu dài dòng trên thực tế vẫn hạn chế lựa chọn của người dùng
Đề xuất mới: quản lý đồng ý lấy trình duyệt làm trung tâm
- Người dùng chỉ cần chọn mức độ ưu tiên về việc sử dụng dữ liệu một lần khi thiết lập trình duyệt ban đầu
- Essential Only: chỉ cho phép cookie thiết yếu
- Performance & Analytics: cho phép phân tích hiệu năng dựa trên dữ liệu ẩn danh
- Personalized Experience: cho phép nội dung và quảng cáo được cá nhân hóa
- Custom: tự điều chỉnh theo từng hạng mục chi tiết
- Dựa trên lựa chọn của người dùng, trình duyệt sẽ tự động cho phép hoặc chặn cookie theo từng website
- Những cookie có mục đích không rõ ràng sẽ bị trình duyệt tự động chặn
- Trọng tâm của quản lý pháp lý sẽ được chuyển từ hàng triệu website → một vài nhà phát triển trình duyệt lớn, từ đó giúp việc giám sát trở nên thực tế hơn
Những thay đổi có thể kỳ vọng
- Đối với người dùng: chỉ với một lần thiết lập sẽ có trải nghiệm Internet gọn gàng và nhanh hơn, đồng thời giành lại quyền kiểm soát dữ liệu theo đúng nghĩa
- Đối với nhà vận hành website: loại bỏ gánh nặng quản lý banner cookie và CMP, từ đó cải thiện hiệu năng web và tăng hiệu quả phát triển
- Đối với cơ quan quản lý: thay vì phải theo dõi vô số website, chỉ cần giám sát các nhà phát triển trình duyệt trong một cấu trúc đơn giản hơn, giúp nâng cao hiệu quả thực thi pháp luật
Từ một hệ thống phức tạp tới một tiêu chuẩn đơn giản
- Internet hiện nay đang mắc kẹt trong một hệ sinh thái phức tạp nơi mỗi website tự gắn CMP theo cách riêng
- Vô số công cụ, mạng quảng cáo và dịch vụ phân tích tương tác với nhau, gây ra nỗ lực trùng lặp và sự hỗn loạn
- Cách tiếp cận dựa trên trình duyệt sẽ hợp nhất tất cả thành một tiêu chuẩn duy nhất
- Lựa chọn của người dùng → trình duyệt → được áp dụng giống nhau cho mọi website
- Tác giả nhấn mạnh rằng ý tưởng này không phải tạo ra một hệ thống mới, mà đúng hơn là tháo dỡ cấu trúc hiện tại vốn đã bị làm cho phức tạp một cách không cần thiết
2 bình luận
Nếu được xử lý hết ngay trong trình duyệt thì đúng là sẽ tiện hơn nhiều.
Ý kiến trên Hacker News
Tôi muốn nói rằng cốt lõi của vấn đề không phải là bản thân luật, mà là việc các website không muốn từ bỏ theo dõi nên cố tình “tuân thủ một cách phá hoại” để làm phiền luật
Nhấn mạnh rằng việc phải loay hoay 5 phút với menu “đồng ý hợp pháp” không phải là phương án thay thế mong muốn, mà tùy chọn “từ chối tất cả” mới là ý định ban đầu
Gần đây tòa án đang tích cực thực thi việc này, nên nút “từ chối tất cả” đang dần biến mất
Xét cho cùng, kết quả tốt nhất là website tuân thủ header Do-Not-Track, và có một môi trường web không theo dõi cũng không hiện banner
Liên kết liên quan
Tôi cho rằng vấn đề là do luật được viết sai 100%, nên mới cho phép kiểu tuân thủ ác ý này
Nếu muốn có kết quả tốt thì ngay từ đầu luật phải được viết sao cho không thể bị lạm dụng
Website thì có thể đoán trước là sẽ tối đa hóa lợi nhuận, nên ý là hãy viết luật tốt hơn
Tôi nghĩ luật, hướng dẫn và chủ đích đều đã rõ ràng
Trên thực tế, nút thắt lớn nhất còn lại là cấu trúc trong đó một số ít “ông lớn” kiểm soát trình duyệt
Apple hay Google cũng không có ý định chuyển việc theo dõi sang mô hình opt-in
Tôi cho rằng tình hình chỉ có thể cải thiện nếu giảm ảnh hưởng của các tay chơi lớn trong hệ sinh thái trình duyệt và mở rộng thêm các chính sách như DMA để ngăn phản ứng chống lại quyền lực độc quyền
Tôi cũng nghĩ văn hóa kiện tụng kiểu Mỹ và khác biệt văn hóa của châu Âu góp phần vào vấn đề này
Nếu chỉ tải một Google Font thôi mà không làm lộ dữ liệu cho hàng trăm “đối tác”, thì phần lớn popup xin đồng ý đã không cần tồn tại
Phản biện: việc cứ phải hỏi đồng ý cookie ở từng website cũng là cực hình
Bản thân việc tuân thủ pháp lý đang phá hỏng trải nghiệm người dùng và khiến việc dùng internet mệt mỏi hơn
Cuối cùng có vẻ như những người làm luật gần với phía doanh nghiệp hơn là trải nghiệm thực tế hay quyền riêng tư của người dùng
Cấu trúc theo dõi mặc định là không thể chấp nhận được
Tôi nghĩ phải bắt buộc về mặt pháp lý đối với yêu cầu Do-Not-Track, và phạt theo tỷ lệ phần trăm doanh thu toàn cầu
Tôi cho rằng trách nhiệm lớn hơn nằm ở các nhà cung cấp quảng cáo chứ không phải quản trị viên từng website riêng lẻ
Cấu trúc hiện tại là các công ty quảng cáo bắt buộc phải dùng trình quản lý đồng ý theo dõi quảng cáo nếu muốn phân phối quảng cáo
Tôi từng định tự làm form đồng ý, nhưng TCF quá phức tạp, còn các giải pháp không phải banner đồng ý do công ty quảng cáo cung cấp thì hầu như không được hỗ trợ
Rốt cuộc, trong thực tế doanh thu quảng cáo mới trả tiền máy chủ, nên một người vận hành website vì sở thích rất khó gánh nổi hệ thống phức tạp như vậy
Sẽ tốt hơn nếu có một tùy chọn đơn giản tôn trọng quyền riêng tư người dùng hơn, và tôi nghĩ cấu trúc điều khiển gọn nhẹ nhắm vào trình duyệt là lý tưởng
Tôi nghĩ kiểu thu thập dữ liệu này nên bị cấm hoàn toàn
Tôi nghi ngờ có ai thật sự sẽ nhấn đồng ý với câu “Bạn có cho phép chia sẻ dữ liệu của mình với 500 website đối tác không?”
Tôi cho rằng cần cấm việc các công ty gọi hành vi chuyển dữ liệu cho bên spam là “chia sẻ với đối tác”
Từ “đối tác” mang sắc thái tin cậy và bình đẳng, trong khi thực tế hoàn toàn không phải vậy
Nếu là bán dữ liệu thì luật nên buộc phải ghi rõ đúng như thế, và cũng cần cách thông báo cụ thể về nguy cơ rò rỉ sang spam
Tôi nghĩ họ nên hỏi kiểu: “Bạn có đồng ý cho phép bán dữ liệu của mình cho bất kỳ công ty nào không? Bạn có đồng ý với nguy cơ sau này dữ liệu bị dùng cho spam hoặc tội phạm không? Có/Không”
Tôi nghe nói quảng cáo nhắm mục tiêu mang lại doanh thu gấp 3 lần quảng cáo thường
Cá nhân tôi thấy nếu dữ liệu của mình bị theo dõi mà lượng quảng cáo giảm còn 1/3 thì ngược lại còn tốt
Tôi có thể chỉ thấy các quảng cáo thú vị như bàn phím, quần áo nam, và tránh bị nhồi những thứ vô ích
Vấn đề quảng cáo và giám sát lúc nào cũng theo cùng một logic
Không ai muốn nhận quảng cáo, nhưng các nhóm vận động hành lang mạnh mẽ phản đối việc xóa bỏ quảng cáo bằng cách nêu ra thiệt hại kinh tế và GDP suy giảm
Giám sát cũng vậy, với lập luận “tăng cường an ninh” rất dễ thuyết phục giới chính trị
Tôi nghĩ chỉ cần dựa vào ngữ cảnh như website hay chủ đề là đã đủ để hiển thị quảng cáo liên quan rồi
Ví dụ website hackerspace thì hiện quảng cáo Raspberry Pi, còn website nhạc rock thì hiện quảng cáo đĩa vinyl hoặc tab guitar là được
Có một lý do rất đơn giản khiến nhiều người dùng đồng ý: họ muốn truy cập nội dung dựa trên mô hình quảng cáo-giám sát
Vấn đề xác minh độ tuổi cũng tương tự
Header DNT từng được đề xuất, nhưng nó quá đơn giản và cũng không được triển khai thực tế Tài liệu liên quan
Ngành công nghiệp duy trì cấu trúc phức tạp như vậy để tối đa hóa tỷ lệ người dùng đồng ý
Cách tiếp cận tập trung vào trình duyệt có lẽ là giải pháp vừa kỹ thuật vừa thân thiện với người dùng nhất, nhưng ngành quảng cáo và thu thập dữ liệu lại chỉ có động cơ cản trở kiểm soát dựa trên trình duyệt ngay từ gốc
Rốt cuộc, khi họ đã nắm phần lớn web, giải pháp dựa trên trình duyệt rất khó thành hiện thực
Thực tế tính năng DNT từng có trong trình duyệt, nhưng các website đã phớt lờ nó
Theo trợ giúp của Chrome, bạn có thể gửi yêu cầu DNT, nhưng phần lớn website vẫn thu thập dữ liệu với lý do “tăng cường bảo mật”, “cung cấp nội dung, dịch vụ và quảng cáo”, hoặc “báo cáo thống kê”
Gần như mọi dịch vụ web, bao gồm cả Google, đều không phản hồi yêu cầu DNT, và trên thực tế thứ duy nhất dùng được từ phía trình duyệt là xóa toàn bộ cookie khi đóng trình duyệt
Tài liệu liên quan
Xác minh độ tuổi và đồng ý quyền riêng tư hoạt động tốt nhất khi được xử lý từ phía trình duyệt
Giống như trường hợp P3P, kiểm soát dựa trên trình duyệt/OS có thể giáng đòn mạnh vào cấu trúc theo dõi thực tế của ngành, nên tôi nghĩ các công ty lớn cố tình phớt lờ hoặc cản trở vì sợ các giải pháp như vậy phát triển
Kết quả là các quản trị viên website riêng lẻ cứ phải lặp lại việc gánh những quy định quá phức tạp
Có một ý khá thú vị là nếu chỉ cần xử lý đúng header DNT thì bản thân màn hình xin đồng ý đã không còn cần thiết
Chỉ cần không dùng những tính năng cần phải xin đồng ý là được
Tôi nghĩ trình duyệt giờ nên được chuyển thành hàng hóa công
Trong tình trạng hiện nay không còn lợi ích nào từ sở hữu tư nhân, nên coi nó là tài sản công sẽ hợp lý hơn
Với lập luận rằng “trình duyệt nên đóng vai trò thực thi quyền riêng tư, và người dùng chỉ cần chọn một lần trong trình duyệt thì mọi website về sau sẽ tự động tuân theo tùy chọn đó”
Có người nhắc lại rằng trình duyệt rốt cuộc vẫn là phần mềm do người dùng cài đặt, và đặt câu hỏi liệu chính phủ can thiệp như vậy có thật sự thỏa đáng không
Theo logic này sẽ cần thêm quy định buộc website phải công khai metadata cho từng mục đích cookie, và rốt cuộc lại là thêm quy định cho quản trị viên website
Họ cũng nhắc rằng đã có sẵn các tính năng trình duyệt như chế độ ẩn danh,
multi-account containersLiên kết liên quan
Hỏi ngược lại rằng vì sao chính phủ lại không nên can thiệp
Đặt câu hỏi liệu có khác biệt thực chất nào giữa việc điều tiết mã nguồn website và điều tiết mã nguồn trình duyệt hay không
Tôi cho rằng có một xung đột lợi ích rất rõ ràng khi nhà cung cấp trình duyệt phổ biến nhất đồng thời cũng là công ty quảng cáo
Tôi không nghĩ trình duyệt nên là thứ giải quyết vấn đề này
Banner cookie nổi tiếng như một vấn đề xin đồng ý cookie theo dõi, nhưng thực ra đó là cấu trúc yêu cầu đồng ý trong mọi trường hợp có bên thứ ba tham gia vào thứ không thực sự cần thiết về mặt kỹ thuật như quảng cáo
Trình duyệt không thể phân biệt bên thứ ba nào là thực sự cần thiết về mặt kỹ thuật, nên cuối cùng vẫn là việc mà từng website phải tự khai báo
Vấn đề còn phức tạp hơn vì trách nhiệm của nhà cung cấp website và bên thứ ba bị trộn lẫn
Tôi nghĩ chỉ cần buộc website tuân thủ header DNT về mặt pháp lý thì vấn đề sẽ được giải quyết ngay
Vấn đề đơn giản thì cần giải pháp đơn giản
Trình duyệt web về bản chất không có cách nào biết được từng thành phần của website được đưa vào với mục đích gì, chẳng hạn là cần thiết về mặt kỹ thuật hay dùng để theo dõi
Đây là thông tin chỉ có người vận hành website mới biết
Luật cookie cũng không chỉ áp dụng cho cookie mà còn cho toàn bộ các phương thức theo dõi nhận dạng cá nhân khác như pixel gif, fingerprint bằng JS
Nếu pháp luật bắt buộc cookie phải được gắn thẻ “third-party” và “strictly necessary”, thì khi gắn sai vẫn có thể bị xử phạt như vi phạm GDPR hiện nay
Trình duyệt có thể nhìn các thẻ này và cho phép người dùng đặt chính sách cho từng website là cho phép hay từ chối theo dõi
Cũng có thể thêm chỉ báo trạng thái ở thanh URL giống như ổ khóa HTTP/HTTPS để đổi trạng thái đồng ý theo từng website
Ngay cả quản trị viên của website nhỏ cũng nên hiểu rõ cookie mà mạng quảng cáo/công cụ phân tích họ dùng đang hoạt động ra sao và gắn thẻ chính xác
Khi popup đồng ý cookie hoạt động quá phiền phức, tôi dùng chiến lược là đóng tab rồi bỏ qua luôn
Tôi nhận ra thông báo đồng ý cookie gần như tỉ lệ thuận với chất lượng nội dung thấp, nên làm vậy còn tiết kiệm thời gian
Thậm chí website bác sĩ cũng hiện banner cookie
Hỏi liệu bạn có định bỏ luôn cả những nơi đó không
Tôi nghĩ Global Privacy Control (GPC) đã bắt đầu giải quyết vấn đề này, và trên Firefox nó đã được áp dụng như một phương án thay thế cho Do Not Track
Giờ chỉ còn việc biến việc tuân thủ nó của website thành nghĩa vụ pháp lý
Liên kết về GPC
Hướng dẫn chính thức của Firefox
DNT thực ra cũng đã có hiệu lực pháp lý trong EU, và tôi không thấy có khác biệt nền tảng nào khi đổi tên thành GPC
Một số luật bang ở Mỹ được viết theo hướng nếu trình duyệt gửi tín hiệu theo mặc định thì sẽ không được coi là “tín hiệu hợp pháp”, nên nếu nghĩa vụ pháp lý được tăng cường thì GPC cũng có thể bị vô hiệu hóa theo cách này
Chỉ ra rằng luật đang được viết theo hướng có lợi cho tracker
Đồng ý rằng Firefox đang chủ động triển khai GPC về mặt kỹ thuật trước cả khi có nghĩa vụ pháp lý
Tôi nghĩ nếu doanh nghiệp đơn giản là từ bỏ theo dõi thì sẽ không cần những cửa sổ xin đồng ý kiểu này nữa
Trước tiên EU nên là bên đi đầu thực hiện việc đó
Ngay cả website chính thức của Ủy ban châu Âu cũng có banner cookie, nên EU hoặc phải loại bỏ tracker khỏi website của mình, hoặc phải thừa nhận rằng bản thân luật đang quá khó để thực thi trong thực tế
Còn rất nhiều việc phải làm
Tham khảo website Ủy ban châu Âu
Nhưng doanh nghiệp vốn dĩ luôn vận hành theo lợi nhuận
Trái với kỳ vọng của người dùng, trong chuyện theo dõi cũng không có ngoại lệ: lợi nhuận luôn được ưu tiên
Trên thực tế doanh nghiệp sẽ không tự nguyện dừng lại, và nếu “cookie” bị cấm thì họ sẽ đổi sang các hình thức theo dõi khác như fingerprint trình duyệt để tiếp tục bám theo
Tôi nghĩ việc đơn giản hóa toàn bộ là coi mọi kiểu theo dõi này là bất hợp pháp có thể là biện pháp gốc rễ hơn
Vì gần như không có người dùng nào thật sự tự nguyện đồng ý cả
Vấn đề của việc lập pháp là định nghĩa “theo dõi” khá mơ hồ, nên từ góc nhìn của người vận hành website, nhiều khi họ buộc phải gắn màn hình xin đồng ý chỉ để tránh vi phạm luật
California đã thông qua luật bắt buộc trình duyệt phải có cài đặt opt-out từ năm 2027, và hiện California, Connecticut, Colorado... đều quy định phải tôn trọng yêu cầu opt-out thông qua trình duyệt/tiện ích mở rộng
New Jersey cũng tương tự
Luật của California
Thông báo chính thức của Connecticut & Colorado
FAQ về quyền riêng tư dữ liệu của New Jersey
Tôi nghi ngờ liệu các luật như thế này có thật sự tạo ra hiệu quả như mục tiêu ban đầu hay không
Nếu không, tôi muốn hỏi vì sao chúng vẫn tồn tại, và vì sao mọi đạo luật không tự động hết hiệu lực nếu không liên tục chứng minh được tính chính đáng của mình
Tôi cũng từng thắc mắc tương tự, và cá nhân cảm thấy các luật này chỉ khiến cuộc sống và việc dùng internet của tôi bất tiện hơn một chút chứ không thấy hiệu quả tích cực thực chất nào lớn
Hỏi rằng tiêu chí của “đạt được mục tiêu” là gì
“Khi từ chối cookie thì website có thực sự dừng theo dõi không?” → Có nơi có, có nơi không
Dù vậy, tôi vẫn cho rằng mục đích của luật còn nguyên giá trị
Nếu hỏi GDPR có hiệu quả thực chất hay không, thì tôi có thể trả lời là có
Những nơi hoàn toàn phớt lờ nó chỉ là các công ty không đáng tin, còn các công ty tuân thủ một cách ác ý thì cũng đang dần bị đánh giá xấu đi và thay đổi
Tôi tin thời kỳ không bảo vệ dữ liệu người dùng đã kết thúc