Safari iOS 27.3 có Global Privacy Control: hết popup cookie?

Global Privacy Control là gì?

Global Privacy Control là một tín hiệu mà trình duyệt gửi kèm mỗi lần bạn mở một trang web, mang ý nghĩa: “người dùng này không muốn dữ liệu cá nhân của họ bị bán hoặc chia sẻ”. Thay vì bạn phải vào từng website để tìm nút từ chối, trình duyệt nói thay bạn, cho mọi trang, một lần.

GPC ra đời năm 2020 từ nhóm nhà nghiên cứu về công nghệ quyền riêng tư, trong đó có Sebastian Zimmeck (Đại học Wesleyan) và Ashkan Soltani, cựu Giám đốc công nghệ của Uỷ ban Thương mại Liên bang Mỹ (FTC). Tổ chức Electronic Frontier Foundation (EFF) và Automattic, công ty đứng sau WordPress, cũng tham gia. Tiêu chuẩn này hiện được chuẩn hoá tại Nhóm làm việc về quyền riêng tư của W3C.

Về kỹ thuật, khi GPC được bật, trình duyệt gửi kèm header Sec-GPC: 1 trong mỗi yêu cầu và đặt giá trị navigator.globalPrivacyControl = true để mã JavaScript của trang đọc được. Website có thể công bố việc mình tôn trọng GPC bằng một tệp nhỏ đặt tại đường dẫn /.well-known/gpc.json.

Cách bật Global Privacy Control trên iPhone

Theo 9to5Mac, tuỳ chọn này có từ bản beta đầu tiên của iOS 27.3 nhưng không được nhắc trong ghi chú phát hành. Nó nằm khá sâu, và không bật sẵn. Các bước như sau:

1. Mở ứng dụng Cài đặt

Từ màn hình chính, chạm vào biểu tượng bánh răng.

2. Chọn mục Ứng dụng

Từ iOS 18, phần cài đặt của các ứng dụng của Apple được gom vào mục Ứng dụng ở gần cuối danh sách.

3. Chọn Safari, kéo xuống cuối

Trong danh sách ứng dụng, tìm và chạm vào Safari, rồi kéo xuống dưới cùng.

4. Mở Nâng cao và bật “Use Global Privacy Control”

Gạt công tắc sang bật. Apple ghi chú rằng Safari có thể đề nghị website không bán hoặc chia sẻ dữ liệu của bạn, và việc này có thể khiến một số website chạy không đúng hoặc không chạy được.

Blogger Nick Heer của trang Pixel Envy, người phát hiện tính năng này từ ngày 4/11, nhận xét nó chạy được khi thử. Tuy nhiên ông không hài lòng với vị trí: Apple đặt công tắc ở mục Nâng cao với cái tên khó hiểu, thay vì để cạnh các tính năng chống theo dõi khác trong phần Quyền riêng tư. Nếu bạn muốn kiểm tra trình duyệt đã gửi tín hiệu hay chưa, dự án GPC có một trang thử nghiệm tham chiếu tại global-privacy-control.vercel.app.

Bên cạnh GPC, Safari trong iOS 27.3 còn có thanh tab dọc và chế độ tối thích ứng. Bạn có thể xem thêm các thay đổi khác trong bài iOS 27.3 có gì mới.

GPC khác gì Do Not Track?

Nếu đã dùng máy tính lâu năm, bạn có thể nhớ tới Do Not Track (DNT), một tín hiệu “đừng theo dõi tôi” từng có trên hầu hết trình duyệt. Ý tưởng rất hay, nhưng DNT thất bại vì một lý do: không ai bắt buộc phải nghe theo. Các công ty quảng cáo và bên thứ ba phớt lờ nó, và theo thời gian DNT trở nên vô nghĩa. Firefox đã gỡ hẳn tuỳ chọn Do Not Track ở phiên bản 135.

GPC được thiết kế để tránh vết xe đổ đó. Thay vì yêu cầu chung chung “đừng theo dõi”, GPC gắn với một quyền cụ thể trong luật: quyền từ chối việc bán hoặc chia sẻ dữ liệu cá nhân. Nick Heer mô tả GPC là “Do Not Track có cơ bắp pháp lý”.

Vì sao GPC có “sức nặng” hơn trước?

Sức mạnh của GPC đến từ luật bảo vệ dữ liệu của một số bang tại Mỹ. Tính đến năm 2026, năm bang buộc doanh nghiệp coi tín hiệu GPC là lời từ chối hợp lệ:

• California: theo luật CCPA, Bộ trưởng Tư pháp bang xác nhận từ tháng 7/2021 rằng GPC phải được tôn trọng.
• Colorado: GPC là cơ chế từ chối chung đầu tiên được công nhận theo luật quyền riêng tư của bang.
• Connecticut: có hiệu lực từ ngày 1/1/2025.
• New Jersey: có hiệu lực từ ngày 15/7/2025.
• Oregon: doanh nghiệp phải tôn trọng tín hiệu từ chối như GPC từ ngày 1/1/2026.

Và đây không phải luật trên giấy. Đã có những khoản phạt thật, khá lớn, vì phớt lờ GPC hoặc gây khó dễ cho việc từ chối:

• Sephora chấp nhận nộp 1,2 triệu USD (công bố 24/8/2022) vì không xử lý yêu cầu từ chối gửi qua GPC.
• Healthline.com nộp 1,55 triệu USD (công bố 1/7/2025), khoản phạt lớn nhất theo CCPA ở thời điểm đó.
• Disney nộp 2,75 triệu USD (công bố 11/2/2026) vì không áp dụng lời từ chối trên mọi thiết bị và dịch vụ gắn với tài khoản.
• Ford bị yêu cầu nộp 375.703 USD (5/3/2026) vì gây thêm phiền toái không cần thiết cho quy trình từ chối và phải tuân thủ GPC.

Đáng chú ý hơn, từ ngày 1/1/2027, luật CCPA yêu cầu các công ty phát triển trình duyệt phải cung cấp một tuỳ chọn gửi tín hiệu từ chối có thể cấu hình, điều mà trên thực tế gần như buộc mọi trình duyệt phục vụ cư dân California phải có GPC. Việc Apple đưa GPC vào Safari ngay lúc này vì thế khá hợp lý về thời điểm.

Trình duyệt nào đã hỗ trợ GPC?

Safari không phải người tiên phong. Theo trang chính thức của dự án, Brave và DuckDuckGo đã có GPC sẵn và bật mặc định, Firefox có sẵn nhưng bạn phải tự bật trong cài đặt. Chrome và Microsoft Edge chưa hỗ trợ sẵn; người dùng hai trình duyệt này cần cài tiện ích như Privacy Badger của EFF hoặc DuckDuckGo Privacy Essentials.

Với hàng trăm triệu iPhone dùng Safari làm trình duyệt mặc định, việc Apple tham gia có thể tạo thêm áp lực để các website hỗ trợ tín hiệu này, dù ban đầu tính năng chưa được bật sẵn.

Vì sao popup cookie chưa biến mất ngay?

9to5Mac đặt tiêu đề cho tin này với chữ “eventually” (cuối cùng thì, rồi sẽ), và đó là cách hiểu đúng. Bật GPC hôm nay sẽ không làm biến mất các popup cookie ngay lập tức, vì bốn lý do:

Website phải tự hỗ trợ. GPC là lời đề nghị gửi đi. Website có đọc và làm theo hay không là việc của website. 9to5Mac cho biết một số trang đã hỗ trợ nhưng đa số thì chưa.

Luật chỉ có ở vài nơi. Ngoài năm bang của Mỹ kể trên, chưa có quy định nào buộc website phải tôn trọng tín hiệu GPC.

Popup cookie là chuyện rộng hơn. Hộp thoại cookie thường xin sự đồng ý cho nhiều mục đích khác nhau như phân tích, cá nhân hoá, quảng cáo, theo yêu cầu luật của từng nước. GPC chỉ nói về việc bán và chia sẻ dữ liệu, nên không thay thế được mọi lựa chọn trong hộp thoại đó.

Có thể làm lỗi trang. Chính Apple cảnh báo bật GPC có thể khiến vài website chạy sai. Đây là lý do tính năng được để tắt mặc định.

Ở Việt Nam, GPC có ý nghĩa gì?

Nói thẳng: với phần lớn website tiếng Việt hiện nay, bật GPC nhiều khả năng chưa tạo ra khác biệt rõ ràng, vì các website này không nằm trong phạm vi luật của các bang Mỹ và việc hỗ trợ GPC là tự nguyện. Tuy nhiên tính năng vẫn có giá trị khi bạn truy cập các dịch vụ quốc tế đã hỗ trợ GPC, và nó là một tín hiệu rõ ràng về ý muốn của bạn.

Quan trọng hơn, quyền của bạn với dữ liệu cá nhân không phụ thuộc vào công tắc này. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 1/1/2026, trao cho bạn quyền đồng ý hoặc không đồng ý, và yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân. Luật cũng cấm mua bán dữ liệu cá nhân (trừ trường hợp luật có quy định khác), với mức phạt tối đa tới 10 lần khoản thu có được từ hành vi vi phạm; vi phạm về chuyển dữ liệu ra nước ngoài của tổ chức có thể bị phạt tới 5% doanh thu năm trước liền kề, các vi phạm khác tối đa 3 tỷ đồng.

Vì vậy, khi gặp popup cookie trên một website Việt, việc bấm “Từ chối” hoặc chỉ chọn cookie cần thiết vẫn là cách trực tiếp nhất để thể hiện ý muốn của bạn. GPC là lớp bổ sung, không phải thứ thay thế.

Gợi ý dùng Safari riêng tư hơn

Bạn không cần chờ iOS 27.3 để duyệt web riêng tư hơn. Một vài thói quen đơn giản:

1. Bật Ngăn theo dõi chéo trang web

Trong cài đặt Safari, mục Quyền riêng tư, tính năng này hạn chế việc các bên thứ ba theo dõi bạn qua nhiều website.

2. Từ chối cookie không cần thiết

Khi popup có nút “Từ chối” hoặc “Chỉ cookie cần thiết”, hãy dành thêm một giây để chọn nút đó thay vì “Đồng ý tất cả”.

3. Bật GPC khi lên iOS 27.3

Khi bản chính thức phát hành, vào Cài đặt, Ứng dụng, Safari, Nâng cao để bật. Đây là lựa chọn “đặt một lần, áp dụng mọi nơi”.

4. Tắt GPC nếu website quen bị lỗi

Nếu một trang ngân hàng hay trang mua sắm bạn hay dùng bỗng chạy sai sau khi bật GPC, hãy thử tắt để kiểm tra.

5. Hạn chế khai thông tin trên web lạ

Dữ liệu càng ít được chia sẻ, rủi ro càng thấp. Khi chỉ cần xem nhanh, bạn có thể dùng chế độ duyệt riêng tư; xem thêm cách mở tab ẩn danh trên trình duyệt.

Hiểu lầm phổ biến

“Bật GPC là hết sạch popup cookie.” Không đúng. Chỉ website hỗ trợ GPC mới làm theo, và nhiều popup cookie hỏi về những mục đích nằm ngoài phạm vi của GPC.

“GPC chặn quảng cáo và chặn theo dõi.” GPC không chặn gì cả. Nó chỉ gửi lời đề nghị không bán, không chia sẻ dữ liệu. Việc chặn trình theo dõi là nhiệm vụ của các tính năng như Ngăn theo dõi chéo trang web.

“Có GPC rồi thì không cần làm gì thêm.” GPC là một lớp bổ sung. Bạn vẫn nên dùng các tính năng riêng tư khác của Safari và cẩn trọng khi chia sẻ thông tin.