Hầu hết các banner yêu cầu sự đồng ý chỉ được tạo một lần, bởi bất kỳ ai có quyền truy cập CMP trong tuần đó, và không bao giờ được kiểm tra lại. Sau đó, chúng gây ra hai loại thiệt hại: chúng khiến bạn bị cơ quan quản lý phát hiện vì họ đã công bố banner tuân thủ quy định, và chúng làm giảm hiệu quả phân tích của bạn. Google đặt ra một mức tối thiểu nghiêm ngặt ở đây — một thuộc tính GA4 chỉ đủ điều kiện để mô hình hóa hành vi nếu nó thu thập... ít nhất 1,000 sự kiện mỗi ngày với analytics_storage='denied' trong ít nhất 7 ngàyCộng thêm 1,000 người dùng đã đồng ý mỗi ngày trong 7 trong số 28 ngày trước đó. Dưới mức đó, lưu lượng truy cập bị từ chối đơn giản là biến mất.
Đây là cẩm nang tái cấu trúc dành cho bất kỳ ai sở hữu banner: trưởng nhóm tăng trưởng, người phụ trách phân tích, hoặc nhà phát triển được thừa hưởng nó. Sáu bước, theo thứ tự, mỗi bước đều có một điểm quyết định, kết thúc bằng một bảng đánh giá 14 tiêu chí để bạn có thể chấm điểm banner hiện tại của mình. Cẩm nang này bao gồm các trang web bán hàng vào EU, Anh và Thổ Nhĩ Kỳ.
Biểu ngữ đó có liên quan gì đến cả hai khu vực pháp lý?
Hai cơ quan giám sát đã soạn thảo các quy tắc thiết kế, vì vậy đây không phải là vấn đề về sở thích cá nhân. Cơ quan EDPB (Ủy ban Bảo vệ Dữ liệu Châu Âu) Báo cáo của Nhóm đặc nhiệm về biểu ngữ quảng cáo cookie (Ngày 17 tháng 1 năm 2023) và Hướng dẫn 03/2022 về các mẫu thiết kế gây hiểu nhầm (Phiên bản 2.0, ngày 14 tháng 2 năm 2023) đã thiết lập tiêu chuẩn cơ bản của EU. Cơ quan KVKK của Thổ Nhĩ Kỳ đã công bố hướng dẫn về cookie vào năm 2022 và phiên bản cập nhật vào giữa năm 2025.
| Hạng mục | EU / Vương quốc Anh (Bảo mật điện tử + GDPR) | Thổ Nhĩ Kỳ (KVKK) |
|---|---|---|
| Từ chối ở lớp đầu tiên | Việc thiếu tùy chọn từ chối ở bất kỳ lớp nào đều là vi phạm. | Cụm từ "Từ chối tất cả" phải có sức nặng trực quan tương đương với cụm từ "chấp nhận tất cả". |
| Các danh mục đã được chọn sẵn | Sự im lặng và việc đánh dấu sẵn vào các ô không phải là sự đồng ý. | Các danh mục không thiết yếu mặc định ở chế độ tắt. |
| Phân tích dữ liệu mà không có sự đồng ý | Không được miễn trừ đối với hầu hết các quy định của các quốc gia thành viên. | Ngoài các trường hợp ngoại lệ, phân tích và đo lường tạo thành một phạm trù riêng. |
| Tường bánh quy | Tùy từng trường hợp, tiêu chuẩn rất cao. | Việc ràng buộc quyền truy cập nội dung với việc chấp nhận tất cả cookie là không được phép. |
| Rút Tiền | Phải dễ dàng như việc đồng ý | Các cài đặt có thể truy cập từ mọi trang. |
Tín hiệu thực thi là có thật. Vào ngày 1 tháng 9 năm 2025, CNIL sẽ ban hành quyết định. Google bị phạt 325 triệu euro.Kết quả cho thấy sự đồng ý "không được đưa ra một cách tự nguyện, vì việc từ chối cookie liên kết với quảng cáo cá nhân hóa khó hơn việc chấp nhận chúng." Sự bất đối xứng của nút bấm không phải là một phát hiện mang tính thẩm mỹ.
Bước 1 — Kiểm kê tất cả các thẻ và giải thích lý do tại sao mỗi thẻ lại quan trọng.
Mở trang web bằng một trình duyệt mới, từ chối mọi thứ và ghi lại những gì vẫn thiết lập bộ nhớ. Sau đó chấp nhận và ghi lại sự khác biệt. Mỗi dòng tương ứng với một cookie hoặc khóa lưu trữ: tên, người thiết lập, mục đích, danh mục và câu bạn sẽ nói với cơ quan quản lý.
Điểm mấu chốt là tính thiết yếu, và trách nhiệm thuộc về bạn — nhóm đặc nhiệm EDPB thừa nhận khó khăn thực tiễn trong việc đánh giá điều này nhưng khẳng định rõ ràng rằng các đơn vị kiểm soát dữ liệu phải chứng minh tính thiết yếu của những gì họ phân loại là thiết yếu. Xác thực phiên, nội dung giỏ hàng và mã chống gian lận vẫn được giữ lại. Công cụ bản đồ nhiệt, thư viện kiểm thử và pixel tiếp thị thì không.
Ví dụ minh họa, quy trình thanh toán thương mại điện tử điển hình của Thổ Nhĩ Kỳ: cookie phiên, mã thông báo giỏ hàng và mã thông báo bảo vệ bot là cần thiết; GA4, pixel Meta, tiếp thị lại quảng cáo, phát lại phiên và tiện ích trò chuyện đều cần sự đồng ý. Sáu trong tám — một tỷ lệ mà hầu hết các nhóm chưa bao giờ ghi lại.
Bước 2 — Sửa lớp đầu tiên, bao gồm cả khả năng truy cập của nó
Lớp đầu tiên cần một tuyên bố rõ ràng về việc ai xử lý cái gì và tại sao, "chấp nhận tất cả" và "từ chối tất cả" với cùng một kiểu định dạng, một đường dẫn đến các thiết lập chi tiết và không có gì được chọn trước. Sự nổi bật ngang nhau dễ bảo vệ hơn khi bạn làm cho nó có thể đo lường được:
- Cả hai nút chính đều có cùng kích thước, trọng lượng và cách xử lý. Nếu một nút là nút có ruột, thì nút kia cũng vậy.
- Độ tương phản văn bản tối thiểu là 4.5:1, và 3:1 đối với viền nút và các giao diện người dùng không phải văn bản khác, theo WCAG 2.2 tiêu chí 1.4.3 và 1.4.11. Nhóm đặc nhiệm đã gắn cờ các biểu ngữ có "độ tương phản giữa văn bản và nền nút quá thấp đến mức văn bản không thể đọc được".
- Nút "Từ chối" phải là một nút thực sự. Nhóm đặc nhiệm đã bác bỏ các tùy chọn từ chối chỉ bao gồm "một liên kết ẩn sau cụm từ như 'từ chối'" mà không có đủ hỗ trợ trực quan.
- Các phím trên bàn phím có thể truy cập theo thứ tự hợp lý, không gây tắc nghẽn tiêu điểm (WCAG 2.1.2). Của chúng tôi Công cụ kiểm tra WCAG Khắc phục được các lỗi về độ tương phản và thứ tự lấy nét.
Sau đó, hãy kiểm tra nội dung của bạn so với sáu nhóm mẫu thiết kế của EDPB: quá tải, bỏ qua, khuấy động, cản trở, thiếu nhất quán, bị bỏ mặc trong bóng tối. "Khuấy động" là kiểu thiết kế "ảnh hưởng đến lựa chọn mà người dùng sẽ đưa ra bằng cách tác động đến cảm xúc của họ hoặc sử dụng các gợi ý trực quan" - đó chính là điều mà "Chấp nhận để có trải nghiệm tốt nhất" thực hiện.
Bước 3 — Xây dựng lớp thứ hai và đường rút lui
Lớp thứ hai là các công tắc bật/tắt theo từng danh mục, tất cả đều tắt theo mặc định, mỗi công tắc đều có mô tả mục đích và thời gian lưu giữ, mỗi công tắc có thể được lưu độc lập.
Thu hồi sự đồng ý là điểm mà các triển khai thường thất bại. Thao tác này phải dễ dàng như việc cấp phép, và hướng dẫn của KVKK yêu cầu các cài đặt phải có thể truy cập được từ mọi trang. Một liên kết chân trang cố định hoặc một nút điều khiển nhỏ nổi đều có tác dụng; một dòng trong chính sách bảo mật thì không. Hãy thử nghiệm bằng cách thu hồi sự đồng ý từ trang sản phẩm chỉ với hai cú nhấp chuột.
Bước 4 — Xác nhận đồng ý qua mạng để việc từ chối vẫn có thể đo lường được.
Bước này quyết định việc tuân thủ có làm ảnh hưởng đến số liệu phân tích của bạn hay không. Google's chế độ đồng ý có hai hình dạng:
- cơ bản: Các thẻ không được tải cho đến khi người dùng tương tác. Không có gì được gửi trước đó, "ngay cả trạng thái đồng ý mặc định cũng không." Đây là cách đơn giản nhất để bảo vệ, và bạn sẽ mất tất cả tín hiệu từ những người từ chối.
- Nâng cao: Các thẻ được tải với sự đồng ý mặc định là bị từ chối và gửi các ping không dùng cookie. Bạn giữ lại hình dạng của lưu lượng truy cập bị từ chối và đủ điều kiện để được phân tích mô hình.
Nâng cao là con đường duy nhất để mô hình hành viĐiều này yêu cầu "các thẻ phải được tải trước khi hộp thoại đồng ý xuất hiện, và các thẻ của Google phải được tải trong mọi trường hợp, không chỉ khi người dùng đồng ý." Lưu ý rằng điều kiện đủ điều kiện không phải là mô hình: Google tuyên bố rằng việc đáp ứng các ngưỡng đã công bố "không đảm bảo đủ điều kiện." Hãy coi các con số được mô hình hóa là mang tính định hướng, chứ không bao giờ là thước đo quyết định của một thí nghiệm.
Điểm mấu chốt: nếu lưu lượng truy cập từ EEA, Anh và Thổ Nhĩ Kỳ cộng lại không thể xử lý được 1,000 sự kiện bị từ chối mỗi ngày, thì không nên xây dựng kế hoạch đo lường dựa trên mô hình hóa. Hãy sử dụng dữ liệu chuyển đổi phía máy chủ và bảng đơn đặt hàng của riêng bạn làm nguồn thông tin chính xác.
Bước 5 — Gắn thiết bị vào chính biểu ngữ
Biểu ngữ là một bước trong phễu và hầu như không ai đo lường nó. Ghi lại bốn sự kiện, không có dữ liệu cá nhân, thông qua một cơ chế không yêu cầu sự đồng ý: biểu ngữ được hiển thị (mẫu số); lựa chọn được đưa ra, với lựa chọn nào; lớp thứ hai được mở; và không có tương tác nào cả.
Phân loại cả bốn nhóm theo quốc gia và thiết bị. Tỷ lệ không tương tác trên thiết bị di động thường là điều bất ngờ, và là điều bạn có thể cải thiện mà không cần thay đổi cấu trúc lựa chọn: chiều cao biểu ngữ, liệu nó có che khuất nút kêu gọi hành động chính hay không, liệu nó có xuất hiện lại mỗi khi thay đổi tuyến đường hay không.
Bước 6 — Chỉ kiểm tra những gì bạn được phép kiểm tra
Tiêu chí đánh giá công bằng: chiều cao banner, vị trí, độ rõ ràng của nội dung, cách đặt tên danh mục, bố cục lớp hai, liệu banner có che khuất nội dung hay không. Tiêu chí đánh giá không công bằng: nút bấm không đối xứng, các ô được chọn sẵn, đường dẫn từ chối ẩn, các bước thừa trong quy trình từ chối. Đó không phải là các biến thể bị loại bỏ, mà là những phát hiện.
Cũng cần phải nghi ngờ về cách trích dẫn thông thường. Tuyên bố được trích dẫn nhiều lần rằng việc loại bỏ tùy chọn từ chối ở trang đầu tiên "làm tăng tỷ lệ đồng ý lên 22-23 điểm phần trăm" xuất phát từ... Nouwens và cộng sự, CHI 2020, quá trình thu thập dữ liệu của họ bao gồm hàng ngàn trang web nhưng thí nghiệm nhân quả của họ được thực hiện với Người tham gia 40Hướng nghiên cứu này đáng tin cậy; tuy nhiên, không nên dùng con số này làm chuẩn mực, và con số 8-20 điểm trong cùng bài báo về các biện pháp kiểm soát lớp đầu tiên chi tiết cũng mang cùng một lưu ý. Các con số về "tỷ lệ đồng ý trung bình" của nhà cung cấp thậm chí còn yếu hơn: đó là cơ sở khách hàng tự lựa chọn, không thể kiểm chứng độc lập.
Đánh giá banner hiện tại của bạn: 14 dấu tích
Mỗi người một điểm. Nếu dưới 12 điểm, hãy khắc phục trước khi tốn tiền làm các bài kiểm tra.
| # | kiểm tra | Vượt ngưỡng |
|---|---|---|
| 1 | Tùy chọn từ chối ở lớp đầu tiên | Hiện tại, dưới dạng một nút bấm |
| 2 | Chấp nhận / từ chối sự tương đồng về thị giác | Cùng kích thước, trọng lượng, dung tích |
| 3 | Độ tương phản của văn bản nút | ≥4.5: 1 |
| 4 | Độ tương phản giao diện người dùng không phải văn bản | ≥3: 1 |
| 5 | Các danh mục không thiết yếu đã được chọn sẵn | Không áp dụng |
| 6 | Số lượng bánh quy được ghi chép lại. | Mỗi khóa đều có một mục đích cụ thể. |
| 7 | Văn bản biện minh cho tính thiết yếu | Một câu cho mỗi cookie thiết yếu |
| 8 | Không có thẻ nào được kích hoạt trước khi có lựa chọn. | Đã xác minh trên hồ sơ sạch. |
| 9 | Rút khỏi bất kỳ trang nào | ≤2 lần nhấp chuột |
| 10 | Có thể thao tác bằng bàn phím, không bị kẹt tiêu điểm. | WCAG 2.1.2 đã được đáp ứng. |
| 11 | Không có sự tác động cảm xúc nào cả. | Không có khuôn khổ "trải nghiệm tốt nhất" |
| 12 | Không có bức tường bánh quy | Nội dung có thể truy cập được sau khi từ chối |
| 13 | Trạng thái đồng ý đã được ghi lại | Hồ sơ được lưu giữ theo từng lựa chọn |
| 14 | phễu biểu ngữ được trang bị thiết bị | Cả bốn sự kiện đều xảy ra |
Điểm mấu chốt nằm ở đây.
Đây là cẩm nang về giao diện và đo lường, không phải là ý kiến pháp lý, và có bốn điều nằm ngoài phạm vi của nó.
ePrivacy là một chỉ thị, do đó, việc miễn trừ đối với phân tích dữ liệu được hiểu khác nhau giữa các quốc gia thành viên và một thiết kế đáp ứng yêu cầu của một cơ quan có thể không đáp ứng yêu cầu của cơ quan khác. Luật cũng đang phát triển: đề xuất Digital Omnibus của Ủy ban, COM(2025) 837 cuối cùng ngày 19 tháng 11 năm 2025Đề xuất này sẽ đưa các quy định về cookie vào GDPR và miễn trừ việc đo lường đối tượng người dùng bên thứ nhất tổng hợp — nhưng hồ sơ lập pháp của chính Nghị viện cho thấy nó vẫn đang ở giai đoạn đầu, với ý kiến của EESC vào ngày 18 tháng 3 năm 2026 và chưa có cuộc bỏ phiếu nào của ủy ban hoặc lập trường nào của Hội đồng được công bố. Các bài đăng thông báo về các cuộc đối thoại ba bên và một mốc thời gian đã được ấn định đều đi trước nội dung của hồ sơ. Hãy thiết kế theo các quy tắc hiện hành và giữ kho dữ liệu ở dạng bạn có thể phân loại lại nhanh chóng.
Nó cũng bỏ qua các ứng dụng di động, nơi ATT và giao diện chấp thuận của Android có cơ chế riêng, và nó giả định một CMP duy nhất — nhiều thương hiệu trong một vùng chứa thẻ cần trạng thái chấp thuận được giới hạn theo từng miền. [CẦN DỮ LIỆU NỘI BỘ: tỷ lệ đồng ý trước/sau khi sử dụng và tỷ lệ không tương tác trên thiết bị di động được ẩn danh từ việc xây dựng lại banner quảng cáo của Switas, lý tưởng nhất là một banner tại EU và một banner tại Thổ Nhĩ Kỳ, để thay thế các số liệu chuẩn của nhà cung cấp mà bài viết này cố tình không trích dẫn.]
Các câu hỏi thường gặp
Nút "từ chối tất cả" có làm giảm tỷ lệ chuyển đổi của tôi không?
Việc này làm giảm tỷ lệ chấp thuận của bạn, nhưng đó không phải là điều tương tự. Tỷ lệ chuyển đổi trên trang web không bị ảnh hưởng bởi việc ai đó chấp nhận cookie quảng cáo hay không; điều thay đổi là khả năng phân bổ tỷ lệ chuyển đổi đó trên các nền tảng quảng cáo. Hãy chuẩn bị ngân sách cho khả năng phân bổ kém hơn, chứ không phải doanh thu kém hơn.
Tôi có thể coi Google Analytics là công cụ hoàn toàn cần thiết không?
Nhưng ở Thổ Nhĩ Kỳ thì khác — hướng dẫn cập nhật của KVKK xếp phân tích và đo lường vào một hạng mục riêng, nằm ngoài các trường hợp ngoại lệ dành cho truyền tải kỹ thuật và các dịch vụ được yêu cầu rõ ràng. Tại EU, quy định khác nhau tùy theo từng quốc gia thành viên, nhưng mặc định an toàn là cần có sự đồng ý.
Chế độ đồng ý cơ bản hay nâng cao?
Nên chọn phương án Nâng cao, trừ khi nhóm pháp lý của bạn đã phản đối việc sử dụng ping không dùng cookie trước đó. Phương án Cơ bản dễ bảo vệ hơn nhưng lại khiến bạn mất toàn bộ khả năng theo dõi lưu lượng truy cập bị từ chối, bao gồm cả khả năng đủ điều kiện mô hình hóa.
Sau khi bị từ chối, tôi có thể hỏi lại sau bao lâu?
Hiện tại, các quy định của EU hoặc Thổ Nhĩ Kỳ không quy định con số cố định nào; yêu cầu đặt ra là việc nhắc nhở nhiều lần không được gây cản trở. Đề xuất trong dự luật Digital Omnibus sẽ bổ sung thời hạn tối thiểu sáu tháng cho mỗi mục đích, nhưng điều đó chưa trở thành luật. Việc lưu trữ thông báo từ chối trong sáu tháng và không nhắc lại là một chính sách hợp lý hiện nay.
Tôi có cần một biểu ngữ riêng cho Thổ Nhĩ Kỳ không?
Thông thường không cần banner riêng, mà cần logic phân loại theo quốc gia và văn bản tiếng Thổ Nhĩ Kỳ với cùng kiểu nút. Các quy tắc của KVKK khá gần với tiêu chuẩn của EDPB nên một banner được thiết kế tốt có thể dùng cho cả nội dung và danh mục khi được bản địa hóa.
Liệu việc sử dụng "bức tường cookie" có bao giờ được chấp nhận?
Hãy coi như nó không khả dụng. Hướng dẫn của KVKK không cho phép ràng buộc việc truy cập nội dung với việc chấp nhận tất cả cookie, và tiêu chuẩn của EU rất cao. "Đồng ý hoặc trả tiền" trên các trang tin tức là một vấn đề riêng biệt, gây tranh cãi, chứ không phải là một khuôn mẫu cho thương mại điện tử.
Việc này cần được kiểm toán lại bao lâu một lần?
Hãy chấm điểm 14 bước kiểm tra này hàng quý và ngay sau bất kỳ thay đổi nào về trình quản lý thẻ hoặc tích hợp nhà cung cấp mới. Hầu hết các lỗi hồi quy xuất hiện dưới dạng một pixel mới, chứ không phải là thiết kế lại banner.
Bạn có thể tự thiết kế biểu ngữ của riêng mình, hoặc đưa cho chúng tôi.
Hãy chạy 14 bước kiểm tra trên banner trực tuyến của bạn trong tuần này; quá trình này mất chưa đến một giờ với cấu hình trình duyệt sạch và công cụ kiểm tra độ tương phản. Nếu bạn muốn giao diện, lớp thẻ và hồ sơ đồng ý được kiểm toán cùng nhau, với danh sách các lỗi cần khắc phục được ưu tiên thay vì điểm số, Hãy trao đổi với chúng tôi về việc kiểm toán khả năng tiếp cận và tuân thủ quy định..
nguồn
- EDPB, Báo cáo của Nhóm đặc nhiệm về biểu ngữ cookieđược thông qua ngày 17 tháng 1 năm 2023
- EDPB, Hướng dẫn 03/2022 về các mẫu thiết kế gây hiểu nhầmPhiên bản 2.0 được thông qua ngày 14 tháng 2 năm 2023
- KVKK, Çerez Uygulamaları Hakkında Rehber (Phiên bản cập nhật, 2025)
- CNIL, Google bị phạt 325 triệu EUR, 1 Tháng Chín 2025
- Tổng quan về chế độ chấp thuận của Google
- Google, mô hình hành vi GA4 cho chế độ đồng ý
- Google, Chính sách chấp thuận của người dùng EU
- W3C, WCAG 2.2
- Nouwens, Liccardi, Veale, Karger, Kagal, Mô hình đen tối sau GDPRCHI 2020
- Đề xuất Quy định tổng hợp về kỹ thuật số của Đoàn lập pháp Nghị viện châu Âu, COM(2025) 837 cuối cùng
