Hãy loại bỏ banner cookie

• Ủy ban châu Âu đề xuất vào mùa thu năm 2025 một phương án cho phép trình duyệt tự động truyền thiết lập ưu tiên quyền riêng tư đã chọn một lần tới các website và ứng dụng, nhằm loại bỏ các banner cookie lặp đi lặp lại
• Theo luật bảo vệ dữ liệu cá nhân của EU, việc theo dõi trực tuyến về nguyên tắc là bị cấm, nhưng banner cookie lại thúc đẩy người dùng từ bỏ quyền của mình và kéo tỷ lệ đồng ý lên tới 90%
• Trên thực tế, chỉ khoảng 3% người dùng thực sự muốn bị theo dõi trực tuyến, cho thấy có khoảng cách lớn giữa sự đồng ý thu được qua banner và ưu tiên thực sự của người dùng
• Sau hoạt động vận động hành lang của Google và ngành theo dõi, một số quốc gia thành viên EU đang ngăn chặn đề xuất này, và các hiệp hội ngành cũng đang yêu cầu Nghị viện châu Âu bác bỏ đề xuất
• Do lập trường của các quốc gia thành viên và Nghị viện châu Âu vẫn chưa được chốt, việc công dân trực tiếp gửi ý kiến tới nghị sĩ Nghị viện châu Âu hoặc đại diện chính phủ nước mình có thể ảnh hưởng tới hướng đi của đề xuất

---

Cách trình duyệt tự động truyền ưu tiên quyền riêng tư

• Nếu người dùng chọn một lần trong trình duyệt việc cho phép, từ chối hoặc hạn chế theo dõi, tín hiệu tự động sẽ truyền ưu tiên đó tới website hoặc ứng dụng
• Trình duyệt vốn đã tự động gửi tới website các thông tin như ngôn ngữ ưu tiên, nên về mặt kỹ thuật đây không phải khái niệm mới hay phức tạp; tại một số bang của Mỹ, tín hiệu ưu tiên quyền riêng tư còn được pháp luật hỗ trợ
• Banner cookie được tạo ra để lấy sự đồng ý cần thiết cho việc theo dõi trực tuyến, và đôi khi được thiết kế theo cách gây hiểu lầm cho người dùng hoặc khiến việc từ chối đồng ý trở nên phiền phức

Vận động hành lang quanh cải cách pháp luật và lời kêu gọi hành động

• Ngành theo dõi phản đối đề xuất này vì nếu việc truyền ưu tiên quyền riêng tư trở nên hiệu quả, tỷ lệ đồng ý bị theo dõi có thể giảm
  • Một số quốc gia thành viên EU đang chặn đề xuất của Ủy ban châu Âu
  • Các hiệp hội ngành cũng đang vận động hành lang để Nghị viện châu Âu bác bỏ đề xuất
• Đề xuất về tín hiệu quyền riêng tư là một phần của cuộc cải cách pháp luật EU mang tên Digital Omnibus
  • Phía chiến dịch ủng hộ tín hiệu quyền riêng tư, nhưng không ủng hộ phần lớn các điều khoản khác trong gói cải cách vì chúng có thể làm suy yếu quyền của công dân
• Tại Take Action, bạn có thể gửi sự bất mãn về banner cookie tới các đại diện liên quan ở Nghị viện châu Âu hoặc chính phủ nước mình
• Các tổ chức xã hội dân sự trên khắp châu Âu đang dẫn dắt chiến dịch, và các tổ chức khác cũng có thể xem cách tham gia

[GN⁺]

Ý kiến trên Hacker News

• Để loại bỏ banner cookie, chỉ cần quy định rằng việc chỉ bấm checkbox hay nút bấm là không đủ để cấu thành sự đồng ý có hiểu biết đầy đủ. Thực tế là gần như chẳng ai đọc nội dung, họ chỉ muốn dẹp nó đi; ở một số nơi cũng đã có tiền lệ hạn chế việc thực thi các điều khoản kiểu shrink-wrap hay hợp đồng đơn giản, chỉ cho phép thực thi những điều khoản có thể được kỳ vọng một cách hợp lý
  Bang Victoria của Úc bắt buộc dùng hợp đồng tiêu chuẩn khi thuê nhà, và việc mua bán nhà ở dường như trên thực tế cũng dùng hợp đồng tiêu chuẩn. Tuy vậy, gần như không thể thuyết phục những người sống nhờ việc người khác không hiểu nội dung này

  • Mỗi lần thấy người khác không thèm đọc nội dung banner cookie mà bấm ngay “đồng ý” là lại thấy ngạc nhiên. Tôi làm trong ngành IT nên nhạy cảm hơn với việc thu thập dữ liệu, lập hồ sơ và các vấn đề quyền riêng tư, nhưng trong nhiều trường hợp chỉ cần bấm nút từ chối là banner biến mất
    Cookie lẽ ra ngay từ đầu chỉ nên được quản lý bằng cài đặt trình duyệt, đó mới là cách hợp lý duy nhất
  • Quyền kiểm soát cookie lẽ ra luôn phải nằm ở trình duyệt. Luật đáng ra nên buộc trình duyệt có mặc định hợp lý, và không cho phép lách các cài đặt mà trình duyệt đã khai báo bằng các cách như lấy dấu vân tay thiết bị
    Ngay cả khi cho phép yêu cầu nâng quyền bằng popup hay biểu tượng trên thanh công cụ thì nó cũng phải luôn hiện ở cùng một chỗ và không che nội dung trang
  • Nếu người ký trên hợp đồng hay giấy từ bỏ quyền thực sự không đọc nó, thì không nên công nhận hiệu lực cưỡng chế pháp lý. Một cấu trúc mà bên kia có thể áp bất kỳ nghĩa vụ nào chỉ vì trông chờ người còn lại sẽ không đọc là quá dễ bị lạm dụng
  • Đây giống như đang cố giải quyết vấn đề do quy định tạo ra bằng nhiều quy định hơn. Những lần trước có thể không lường trước tác dụng phụ, nhưng lần này thì lại mỉa mai nghĩ rằng chắc chắn sẽ không có hậu quả ngoài dự kiến nào cả
  • Nếu cho phép né tính ràng buộc của hợp đồng chỉ vì “tôi không đọc”, thì hệ thống đó không thể vận hành được. Mọi bên vừa hưởng lợi từ hợp đồng vừa vi phạm điều khoản đều có thể dùng nó làm cách biện hộ không thể bác bỏ
    Sự công bằng cho người tiêu dùng cũng quan trọng, nhưng phải cân bằng cẩn thận để không xóa luôn động lực tạo ra giá trị trong quá trình đó

• Nếu chỉ bằng cài đặt thiết bị đã có thể truyền đi các tùy chọn quyền riêng tư có hiệu lực pháp lý, thì cha mẹ cũng có thể đánh dấu rằng thiết bị đó do trẻ em sử dụng để loại bỏ những thứ như Online Safety Act

  • Đừng để bị lừa bởi luận điệu “chúng tôi chỉ đơn thuần bất tài” mà chính phủ hay lặp lại khi hành động với ác ý. Trình duyệt vốn đã có chức năng xóa cookie, còn banner thì chỉ đẩy các đối thủ nhỏ ra ngoài và tập trung quyền lực vào những doanh nghiệp độc quyền nhóm có thể trực tiếp lấy dữ liệu từ hệ điều hành
    Nếu còn bắt buộc cả chức năng đổi IP theo yêu cầu với ISP thì đã có thể đạt được mức bảo vệ quyền riêng tư kiểu Tor hạng nhẹ. Nếu không vì mục tiêu xung đột là giám sát toàn diện thì việc chính phủ triển khai bảo vệ quyền riêng tư mạnh mẽ vốn không hề khó
  • Rất có thể phụ huynh không biết cách cài hoặc không quan tâm. Có nhiều người còn không dùng nổi điện thoại thân thiện với người dùng, nên khó mà kỳ vọng họ quản lý cả tài khoản
    Luật an toàn trực tuyến và các luật tương tự của EU rất nguy hiểm, nhưng họ lại không muốn bàn đến phương án thay thế thực sự là cấm hoàn toàn mạng xã hội, hoặc ít nhất trong ngắn hạn là cấm smartphone. Cuối cùng vẫn là vì có tiền trong đó
  • California Digital Age Assurance Act chính xác là như vậy, nhưng luật này cũng không nhận được phản hồi tích cực lắm
  • Chỉ cần để phụ huynh khóa thiết bị ở chế độ trẻ em, rồi gửi header user is child và để website chặn truy cập là được. Phạm vi tác động thực tế gần như bằng không và cũng tránh được kiểu giải pháp nhà nước giám sát
    Nếu trình duyệt triển khai trước thì các nhà cung cấp hệ điều hành cũng có thể tích hợp theo, nên Firefox nên dẫn dắt việc này. Tôi thậm chí còn nghĩ đến chuyện làm một website quảng bá đặc tả rồi khởi động quy trình GitHub và RFC

• Chỉ cần đừng giám sát mọi người. Với các cookie thực sự cần thiết về mặt chức năng thì không cần banner cookie

  • Ngay cả website chính thức của EU, thứ gần như chỉ có nội dung tĩnh, xem ra cũng rất cần theo dõi. Chừng nào website chính thức của EU còn chưa hoạt động mà không cần banner cookie thì điều đó vẫn mang cảm giác “chỉ được làm theo những gì tôi bảo”

• Khó hiểu vì sao ngay từ đầu họ không buộc trình duyệt xử lý quyền cookie giống như cách hỏi quyền truy cập vị trí hay microphone

• Đừng chỉ bàn nữa, hãy thực sự triển khai như California. Từ tháng 1 năm 2027, chỉ với một cài đặt quyền riêng tư trên trình duyệt, tùy chọn của người dùng sẽ được tự động truyền tới website để bảo vệ việc lịch sử tìm kiếm, vị trí, lịch sử mua hàng, sở thích... không bị bán cho các nhà môi giới dữ liệu hay bên thứ ba
  Thông báo liên quan

• Cuối cùng thì đây có vẻ là thay đổi sẽ cải thiện mạnh khả năng sử dụng của web. Vì có thể người ta không muốn áp cùng một tùy chọn cho mọi website, nên phương án thỏa hiệp là cung cấp cả giá trị mặc định toàn cục và cài đặt theo từng site

  • Miễn là đó là tín hiệu tự động thì User-Agent có thể gửi theo logic mà nó muốn, nên không cần luật phải quy định cả cách truyền cụ thể. Tracking Protection của Firefox cũng hỗ trợ mặc định toàn cục và ngoại lệ theo từng site, nên tính năng này có thể dùng cùng cấu trúc hoặc được tích hợp vào chức năng hiện có
  • Tôi tự hỏi trong hoàn cảnh nào người dùng lại muốn chủ động đồng ý gửi lịch sử tìm kiếm của mình cho hàng chục hay hàng trăm bên theo dõi thứ ba
  • Những site muốn theo dõi bất kể tùy chọn hiện có có lẽ vẫn sẽ tiếp tục hỏi

• Ngay cả TFL (Transport for London), vốn được vận hành với thiện chí, cũng để cảnh báo cookie thực sự cản trở việc truy cập website. Chỉ muốn xem giờ xe buýt mà lại bật ra hộp đồng ý toàn màn hình, còn nút chấp nhận thì bị vẽ ra ngoài màn hình

  • Nếu theo dõi vô tận mọi hành vi của người dùng thì khó mà gọi là vận hành với thiện chí được

• Có lẽ đơn giản hơn nếu biến mọi cookie không thiết yếu thành bất hợp pháp. Thật khó hình dung vì sao một người hợp lý lại chấp nhận điều này ngoài việc đi theo con đường ít kháng cự nhất

• Tín hiệu tự động không chỉ nên bao gồm tùy chọn mặc định mà còn cả cái cớ lợi ích chính đáng bị giấu trong những lớp UI rối rắm. Kiểu như “chúng tôi biết bạn không muốn bị theo dõi, nhưng vẫn sẽ theo dõi bạn, nên hãy bấm từ chối lại với từng đối tác”

  • Trước đây đã từng có nỗ lực như vậy nhưng có vẻ đã bị ngành thông tin thị trường và giám sát phá hỏng
    https://en.wikipedia.org/wiki/P3P

• Quá nhiều luật quyền riêng tư nói là nhắm vào “các công ty xấu”, nhưng cuối cùng lại đẩy toàn bộ trách nhiệm quản lý sang cho cá nhân. Tôi không muốn ký hợp đồng pháp lý mỗi lần vào một website
  Tương tự, việc bắt mọi khách truy cập phải xuất trình giấy tờ ở cổng chỉ vì mạng xã hội có thể gây hại cho trẻ em cũng vậy