Những banner yêu cầu chấp thuận cookie xuất hiện tràn lan trên internet trong vài năm qua vốn được tạo ra với mục tiêu trao cho người dùng quyền từ chối các công cụ theo dõi quảng cáo. Nhưng một báo cáo kiểm toán mới đây tại California lại cho thấy thực tế hoàn toàn trái ngược: ngay cả khi người dùng đã bấm “từ chối”, nhiều công ty quảng cáo lớn vẫn tiếp tục thu thập dữ liệu như chưa từng có gì xảy ra.
Theo báo cáo từ webXray, các mạng quảng cáo hàng đầu vẫn duy trì việc cài cookie theo dõi trên nhiều website dù người dùng đã gửi tín hiệu không đồng ý. Những banner cookie vốn xuất phát từ các đạo luật quyền riêng tư tại châu Âu, yêu cầu website phải có sự chấp thuận rõ ràng trước khi kích hoạt công cụ theo dõi. Tuy nhiên, trên thực tế, việc tuân thủ dường như chỉ tồn tại trên bề mặt.
Sau nhiều năm bị phàn nàn vì các banner cookie rối rắm, mang tính dẫn dắt hoặc cố tình gây khó dễ, cơ quan quản lý đã cố đơn giản hóa quy định để người dùng dễ kiểm soát dữ liệu cá nhân hơn. Nhưng cuộc kiểm toán tháng 3/2026 của webXray cho thấy vấn đề gần như không thay đổi. Gần 200 dịch vụ quảng cáo bị phát hiện phớt lờ hoàn toàn tín hiệu từ chối của người dùng tại California, nơi áp dụng nhiều quy định bảo mật tương tự châu Âu.
Khi nút “Từ chối tất cả” chỉ còn mang tính hình thức
Những con số đi kèm càng cho thấy mức độ nghiêm trọng của vấn đề. Có tới 55% website trong mẫu thử nghiệm vẫn thiết lập cookie sau khi người dùng từ chối. 78% banner không thể bảo vệ người dùng. Nói cách khác, người dùng được trao một nút bấm, nhưng nút bấm ấy không thật sự có giá trị.
webXray ước tính các công ty quảng cáo có thể sẵn sàng đối mặt với khoản phạt lên tới 5,8 tỷ USD thay vì từ bỏ nguồn doanh thu khổng lồ từ dữ liệu người dùng.
Trên các website sử dụng hệ thống quảng cáo của Google hoặc Microsoft, quá trình thiết lập cookie vẫn diễn ra thường xuyên dù tín hiệu từ chối đã được gửi đi rõ ràng. Đáng chú ý, những hành vi này được phát hiện trực tiếp qua lưu lượng mạng công khai (open network traffic), cho thấy đây không phải lỗi hiếm gặp hay hiện tượng ngẫu nhiên.
Ở từng công ty, mức độ vi phạm cũng khác nhau. Mạng quảng cáo của Microsoft bị cho là phớt lờ khoảng một nửa số yêu cầu từ chối và vẫn theo dõi người dùng trên 35% website khách hàng, tương ứng mức phạt ước tính khoảng 390 triệu USD. Với Google, tỷ lệ bị bỏ qua cao hơn nhiều: 86% tín hiệu từ chối không được thực thi và hoạt động theo dõi xuất hiện trên 77% số website được kiểm tra, kéo theo khoản phạt có thể lên tới 2,31 tỷ USD.
Trường hợp gây chú ý nhất là Meta. Theo báo cáo, mã theo dõi của công ty này dường như không được thiết kế để kiểm tra tín hiệu từ chối ngay từ đầu. Trong số các website có phát hiện tín hiệu đó, 69% vẫn bị phớt lờ và 21% chủ động tiếp tục bám đuôi người dùng. webXray cho rằng tổng mức phạt tiềm năng dành cho Meta có thể chạm mốc 9,3 tỷ USD.
Timothy Libert, nhà sáng lập kiêm CEO của webXray và từng là kỹ sư quyền riêng tư tại Google, cho biết trong thời gian làm việc tại đây, giới lãnh đạo nhiều khi không phân biệt giữa “thuế phải đóng” và “tiền phạt vi phạm”. Nhận định này phản ánh góc nhìn đáng chú ý: với những tập đoàn có doanh thu khổng lồ, tiền phạt đôi khi chỉ được xem như chi phí kinh doanh.
Tất nhiên, cả ba ông lớn công nghệ đều bác bỏ kết luận của báo cáo. Microsoft cho rằng một số cookie là cần thiết để website hoạt động bình thường. Meta nói rằng ở một số cấu hình nhất định, website chủ quản có thể tự ghi đè lựa chọn từ chối của người dùng. Các công ty liên quan cho rằng báo cáo đã diễn giải sai cách công nghệ của họ vận hành.
