Giấy đồng ý xử lý dữ liệu có cần chữ ký trực tiếp?

Giấy đồng ý xử lý dữ liệu có cần chữ ký trực tiếp?

Doanh nghiệp có thể ghi nhận sự đồng ý bằng giấy, phương thức điện tử hoặc cuộc gọi ghi âm nếu đáp ứng điều kiện pháp luật. Bảng so sánh giúp lựa chọn cách xác thực, lưu giữ và xuất trình phù hợp tại từng điểm thu thập.

Giấy đồng ý xử lý dữ liệu cá nhân không phải lúc nào cũng cần người đồng ý ký tay trực tiếp trước mặt nhân viên. Pháp luật cho phép nhiều cách thể hiện sự đồng ý, với điều kiện xác định được người đồng ý, thời điểm và nội dung được chấp thuận. Một ô tích chọn, thư điện tử hoặc bản ghi cuộc gọi có thể được sử dụng nếu cơ chế thực tế đáp ứng các yêu cầu đó; tên gọi của phương thức chưa đủ chứng minh tính hợp lệ. Doanh nghiệp vẫn phải kiểm tra sự tự nguyện, thông tin đã cung cấp và từng mục đích xử lý theo khoản 2–4 Điều 9 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Điều 6 Nghị định 356/2025/NĐ-CP.

Có bắt buộc ký tay, ký trước mặt hoặc công chứng giấy đồng ý không?

Điều 9 Luật 91 yêu cầu phương thức thể hiện rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được. Khoản 1 Điều 6 Nghị định 356 liệt kê văn bản, cuộc gọi ghi âm, cú pháp đồng ý qua tin nhắn điện thoại, thư điện tử, website, nền tảng và ứng dụng có thiết lập kỹ thuật xin đồng ý. Các điều khoản này không đặt một điều kiện chung rằng mọi sự đồng ý đều phải có chữ ký tay, ký trước mặt doanh nghiệp hoặc được công chứng.

Nếu chọn phiếu giấy có chữ ký, doanh nghiệp cần gắn chữ ký với đúng người và bản nội dung đã cung cấp. Nhân viên đánh dấu hộ rồi ghi “đã tư vấn” không thay được hành vi đồng ý của khách hàng. Nếu sự đồng ý nằm trong một hợp đồng hoặc hồ sơ chịu yêu cầu hình thức riêng, phải kiểm tra thêm quy định và thỏa thuận áp dụng cho tài liệu đó; không suy từ việc được đồng ý điện tử sang việc mọi hợp đồng đều được miễn yêu cầu về chữ ký.

Chữ ký cũng không khắc phục một nội dung xin đồng ý thiếu thông tin. Phiếu ghi “đồng ý mọi việc sử dụng dữ liệu trong tương lai” vẫn cần được đối chiếu với yêu cầu biết rõ loại dữ liệu, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, cùng quyền và nghĩa vụ của cá nhân. Việc gộp mục đích gửi quảng cáo vào điều kiện bắt buộc để sử dụng một dịch vụ khác phải được rà soát theo điểm a, b khoản 4 Điều 9 Luật 91.

Bảng lựa chọn giữa giấy, điện tử và cuộc gọi ghi âm

Bảng dưới đây là công cụ lựa chọn phương thức do Justix biên soạn, không phải mẫu bắt buộc của cơ quan nhà nước. Cột tài liệu gợi ý cách tổ chức chứng cứ; nghĩa vụ pháp lý cốt lõi là kiểm chứng được chủ thể, thời điểm, nội dung và lưu giữ sự đồng ý theo Điều 6 Nghị định 356.

Không có phương thức tốt nhất cho mọi doanh nghiệp. Phiếu giấy thuận tiện tại quầy nhưng dễ tách khỏi hệ thống quản lý khách hàng. Biểu mẫu điện tử hỗ trợ cập nhật lựa chọn nhanh nhưng cần thiết kế chức năng lưu bằng chứng ngay từ đầu. Ghi âm thuận với tổng đài nhưng phải giữ được ngữ cảnh, kiểm soát quyền nghe và kiểm tra việc xử lý chính bản ghi.

Đồng ý điện tử có giá trị thế nào nếu không có chữ ký số?

Điều 8, khoản 1 Điều 9 và Điều 11 Luật Giao dịch điện tử số 20/2023/QH15 công nhận giá trị pháp lý của thông điệp dữ liệu, điều kiện đáp ứng yêu cầu văn bản và giá trị làm chứng cứ. Khi đánh giá chứng cứ, cần xét độ tin cậy của cách khởi tạo, gửi, nhận, lưu trữ; khả năng duy trì tính toàn vẹn và xác định người liên quan. Vì vậy, chỉ chụp ảnh màn hình biểu mẫu trống chưa chứng minh một khách hàng cụ thể đã đồng ý.

Yêu cầu chứng minh sự đồng ý cần được phân biệt với yêu cầu về chữ ký điện tử. Khoản 2 Điều 23 Luật Giao dịch điện tử quy định giá trị tương đương chữ ký trên giấy của chữ ký điện tử chuyên dùng bảo đảm an toàn hoặc chữ ký số. Không nên gọi mọi lần nhập OTP, nhấn nút hay ảnh chữ ký là chữ ký số, hoặc mặc nhiên coi chúng có giá trị tương đương theo khoản này. Đối với việc xin đồng ý xử lý dữ liệu, trước hết đối chiếu chính cơ chế được Điều 9 Luật 91 và Điều 6 Nghị định 356 cho phép.

Ví dụ, OTP có thể giúp xác thực việc sử dụng một số điện thoại. Nếu nội dung đồng ý không được lưu hoặc mã chỉ dùng để đăng nhập, doanh nghiệp vẫn chưa có đủ dữ kiện để kết luận người dùng đã đồng ý nhận quảng cáo. Cách thiết kế phù hợp là nối bước xác thực với thông báo cụ thể, lựa chọn cụ thể và sự kiện xác nhận có thể truy xuất.

Kiểm tra ba lớp trước khi sử dụng dữ liệu

Lớp nội dung: Pháp chế và bộ phận sử dụng dữ liệu xác định thông tin phải cung cấp, từng mục đích và căn cứ xử lý. Mục đích tư vấn theo yêu cầu, gửi ưu đãi và chia sẻ cho đối tác cần được mô tả đúng hoạt động. Bài Thông báo xử lý dữ liệu khác gì chính sách bảo mật và văn bản đồng ý? giúp bố trí các tài liệu tại điểm thu thập.

Lớp hành vi và xác thực: Bộ phận vận hành cùng kỹ thuật kiểm tra ai thực hiện, thời điểm và hành động nào thể hiện việc đồng ý. Khoản 3 Điều 6 Nghị định 356 cấm thiết lập mặc định đồng ý và chỉ dẫn gây nhầm lẫn. Với dữ liệu nhạy cảm, khoản 4 Điều này còn yêu cầu thông báo cho chủ thể biết tính chất nhạy cảm của dữ liệu.

Lớp lưu giữ và sử dụng: Đầu mối quản lý dữ liệu phải truy xuất được bằng chứng và nối lựa chọn với danh sách thực tế được phép dùng. Khoản 2 Điều 6 Nghị định 356 đặt trách nhiệm lưu giữ và chứng minh sự đồng ý khi tranh chấp cho bên kiểm soát, bên kiểm soát và xử lý. Mã phiên bản, nhật ký thao tác và việc thử xuất hồ sơ là khuyến nghị tổ chức để thực hiện nghĩa vụ đó, không phải một bộ trường kỹ thuật bắt buộc giống nhau cho mọi hệ thống.

Với các kênh trao đổi từ xa, có thể xem thêm Lấy sự đồng ý qua điện thoại, Zalo, email: cần lưu bằng chứng gì?. Việc lưu tập trung cần đi cùng giới hạn người truy cập và thời gian lưu phù hợp, tránh thu thập thêm giấy tờ định danh chỉ để làm hồ sơ dày hơn.

Tình huống giả định: đăng ký nhận tư vấn tại quầy và trên website

Một doanh nghiệp bán thiết bị nhận yêu cầu tư vấn qua phiếu giấy và website. Tại quầy, khách ký vào phiếu ghi rõ dữ liệu liên hệ và mục đích tư vấn; lựa chọn nhận ưu đãi được để riêng. Trên website, khách chủ động chọn mục đích, nhận thông tin tương ứng và xác nhận; hệ thống lưu phiên bản nội dung, thời điểm và dữ kiện nối với tài khoản hoặc địa chỉ liên hệ đã được xác thực phù hợp.

Khi có khiếu nại, cả hai hồ sơ đều cần trả lời cùng câu hỏi: người nào đã đồng ý với mục đích nào và tại thời điểm nào? Nếu bản điện tử chỉ còn cờ “đồng ý = có”, không có nội dung từng hiển thị, doanh nghiệp cần kiểm tra lại khả năng chứng minh trước khi tiếp tục dựa vào cờ đó để quảng cáo. Nếu phiếu giấy không chọn mục nhận ưu đãi, chữ ký cho việc tư vấn không tự mở rộng sang quảng cáo.

Đầu ra cần có là bộ nội dung thống nhất giữa hai kênh, cách nhận diện hồ sơ, danh sách lựa chọn sử dụng được trong bán hàng và đầu mối tiếp nhận thay đổi. Đây là ví dụ minh họa, không phải vụ việc Justix đã thực hiện.

Doanh nghiệp triển khai theo trình tự nào?

Bước 1 — Chọn điểm thu thập: Kinh doanh và marketing liệt kê quầy, website, tổng đài, đối tác tiếp nhận; pháp chế xác định nơi thực sự cần xin đồng ý. Đầu ra là danh mục phương thức, mục đích và chủ thể chịu trách nhiệm.

Bước 2 — Chốt nội dung và thao tác: Pháp chế duyệt dự thảo nội dung; kỹ thuật hoặc quản lý quầy thiết kế thao tác chủ động, tách từng mục đích. Đầu ra là bản nội dung có phiên bản và quy tắc ghi nhận.

Bước 3 — Thử truy xuất: Người phụ trách dữ liệu chọn một hồ sơ mẫu, xuất lại nội dung, lựa chọn, thời điểm và thông tin xác thực. Đây là bước kiểm tra nội bộ được khuyến nghị; ảnh giao diện đẹp chưa thay được kết quả truy xuất.

Bước 4 — Nối với thay đổi lựa chọn: Vận hành xác định cách cập nhật việc rút lại đồng ý cho các bộ phận và nhà cung cấp liên quan. Đầu ra là trạng thái sử dụng dữ liệu được cập nhật cùng bằng chứng xử lý yêu cầu.

Câu hỏi thường gặp

Khách gửi ảnh phiếu đã ký qua email có dùng được không?

Có thể xem xét như một phần chứng cứ, nhưng cần xác định người gửi, nội dung đầy đủ và độ tin cậy của ảnh cùng chuỗi trao đổi. Ảnh bị cắt mất mục đích hoặc không nối được với người ký cần được làm rõ. Không mặc nhiên coi ảnh là bản gốc hoặc chữ ký số; các điều kiện về thông điệp dữ liệu và yêu cầu hình thức riêng của giao dịch vẫn phải được kiểm tra.

Có phải xin ký lại toàn bộ phiếu cũ từ ngày 01/01/2026 không?

Khoản 1 Điều 39 Luật 91 cho tiếp tục hoạt động đang thực hiện đã có đồng ý hoặc thỏa thuận theo Nghị định 13 trước khi Luật có hiệu lực mà không phải xin lại. Doanh nghiệp phải kiểm tra hồ sơ có thực sự đáp ứng điều kiện chuyển tiếp và hoạt động có tiếp tục trong phạm vi đó không. Quy định này không tự hợp thức hóa phiếu cũ thiếu căn cứ hoặc mở rộng sang mục đích mới.

Justix hỗ trợ rà soát phương thức xin đồng ý

Nếu doanh nghiệp đang dùng đồng thời phiếu giấy, website và tổng đài, Justix có thể rà soát thông tin thu thập, nội dung đồng ý, cách lưu bằng chứng và nội dung tiếp nhận thay đổi trong phạm vi dịch vụ bảo vệ dữ liệu khách hàng, website và marketing. Doanh nghiệp nên chuẩn bị mẫu phiếu, ảnh giao diện, kịch bản cuộc gọi, chính sách và một hồ sơ chứng cứ đã ẩn thông tin không cần thiết. Liên hệ 037 27 17 888 hoặc legal@justix.vn để trao đổi phạm vi; việc cài đặt và vận hành hệ thống cần phối hợp với bộ phận kỹ thuật.