Mẫu văn bản đồng ý xử lý dữ liệu cá nhân: cách soạn và sử dụng

Mẫu văn bản đồng ý xử lý dữ liệu cá nhân: cách soạn và sử dụng

Văn bản đồng ý phải cho người cung cấp dữ liệu hiểu việc được đề nghị và lựa chọn theo từng mục đích. Bài viết có mẫu minh họa, chú thích các trường và cách gắn văn bản với bằng chứng thực hiện.

Mẫu văn bản đồng ý xử lý dữ liệu cá nhân cần thể hiện rõ dữ liệu được dùng, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, cùng quyền và nghĩa vụ của người đồng ý. Văn bản phải được sử dụng trong một quy trình cho phép lựa chọn tự nguyện và kiểm chứng được nội dung đã chấp thuận. Doanh nghiệp cần xác định trước hoạt động có dựa vào sự đồng ý hay thuộc trường hợp pháp luật cho xử lý không cần đồng ý. Mẫu dưới đây do Justix biên soạn để minh họa cách soạn, không phải biểu mẫu bắt buộc do cơ quan nhà nước ban hành. Việc điền tên doanh nghiệp và ký chưa đủ nếu nội dung không khớp cách thu thập, sử dụng dữ liệu thực tế.

Cần xác định phạm vi trước khi soạn mẫu

Điều 9 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định điều kiện của sự đồng ý, nhưng không yêu cầu mọi hoạt động đều sử dụng cùng một bản giấy. Điều 19 quy định những trường hợp xử lý không cần đồng ý. Nếu một phần hồ sơ được xử lý để thực hiện nghĩa vụ pháp luật hoặc thỏa thuận của cá nhân theo đúng điều kiện luật định, doanh nghiệp cần xác định căn cứ đó thay vì buộc cá nhân ký một sự đồng ý bao phủ mọi công việc.

Khi dùng đồng ý, khoản 2 Điều 9 yêu cầu tự nguyện và biết rõ loại dữ liệu, mục đích, bên chịu vai trò kiểm soát hoặc kiểm soát và xử lý, quyền và nghĩa vụ của chủ thể. Khoản 3–4 yêu cầu phương thức rõ ràng, cụ thể, kiểm chứng được; thể hiện theo từng mục đích và không buộc đồng ý với mục đích khác ngoài thỏa thuận. Tuyên bố “đồng ý mọi mục đích kinh doanh hiện tại và tương lai” không giúp người ký biết chính xác phạm vi mình chấp thuận.

Mẫu cần được giới hạn theo nhóm người và hoạt động. Mẫu cho người trưởng thành đăng ký bản tin không nên đem dùng nguyên trạng để xử lý dữ liệu trẻ em, hồ sơ bệnh án, sinh trắc học hoặc chuyển dữ liệu cho một đối tác có mục đích riêng. Khoản 4 Điều 6 Nghị định 356/2025/NĐ-CP còn yêu cầu thông báo tính chất nhạy cảm khi xin đồng ý xử lý dữ liệu thuộc nhóm này.

Với thông tin người tiêu dùng, cần đối chiếu Điều 15–18 Luật Bảo vệ quyền lợi người tiêu dùng về quy tắc công khai, thông báo, thuê bên thứ ba và cơ chế lựa chọn. Mẫu phải phản ánh những điều kiện áp dụng này; không coi sự đồng ý theo Luật 91 là lý do bỏ qua quy định chuyên ngành.

Mẫu minh họa dành cho đăng ký bản tin sản phẩm

Phạm vi giả định: Một doanh nghiệp bán đồ gia dụng tự quản lý danh sách, tự gửi bản tin qua hệ thống của mình tại Việt Nam, không thuê bên thứ ba tiếp cận dữ liệu và không theo dõi hành vi trên website. Mẫu dành cho người từ đủ 18 tuổi, gồm lựa chọn nhận bản tin và lựa chọn cá nhân hóa theo nhóm sản phẩm người đăng ký chủ động cung cấp. Nếu dùng dịch vụ gửi thư, lưu trữ thuê ngoài, có chuyển xuyên biên giới hoặc đổi hoạt động, phải sửa nội dung và rà soát điều kiện tương ứng trước khi dùng.

Các thời hạn 12 tháng và 24 tháng dưới đây là giả định tổ chức công việc của mẫu, không phải thời hạn chung pháp luật áp cho mọi dữ liệu. Doanh nghiệp cần chọn thời hạn có căn cứ phù hợp, bảo đảm nghĩa vụ lưu thông tin quảng cáo tối thiểu theo pháp luật và khả năng thực hiện. Những dòng chấm phải được điền đầy đủ trước khi cung cấp cho người đăng ký.

VĂN BẢN ĐỒNG Ý XỬ LÝ DỮ LIỆU CÁ NHÂN

Mã văn bản: CN-01. Phiên bản: ........................ Ngày áp dụng: ........................

1. Bên kiểm soát và xử lý dữ liệu cá nhân. Tên pháp lý doanh nghiệp: ........................ Mã số doanh nghiệp: ........................ Địa chỉ: ........................ Điện thoại: ........................ Email tiếp nhận yêu cầu dữ liệu và từ chối quảng cáo: ........................ Trang tiếp nhận yêu cầu: ........................ Chính sách đầy đủ, phiên bản và địa chỉ truy cập: ........................

2. Thông tin người đăng ký. Email nhận bản tin: ........................ Họ tên hoặc tên xưng hô, không bắt buộc: ........................ Nhóm sản phẩm quan tâm, chỉ cung cấp nếu chọn mục đích 2: ........................ Mẫu này không yêu cầu số căn cước, ảnh giấy tờ, thông tin sức khỏe hoặc tài khoản ngân hàng. Người đăng ký xác nhận thuộc nhóm người từ đủ 18 tuổi mà chương trình dành cho.

3. Hoạt động, mục đích và thời gian xử lý. Doanh nghiệp tiếp nhận thông tin trên phiếu, lưu danh sách đăng ký, sử dụng để gửi thư và ghi nhận lựa chọn, yêu cầu của người đăng ký. Mục đích 1 là gửi bản tin qua email giới thiệu sản phẩm đồ gia dụng và ưu đãi của chính doanh nghiệp, tối đa 02 thư mỗi tháng. Mục đích 2 là dùng nhóm sản phẩm người đăng ký chủ động cung cấp để chọn nội dung phù hợp trong các bản tin đó; không tăng số thư và không theo dõi hoạt động duyệt web.

Thời gian gửi và dùng thông tin để gửi tối đa 12 tháng từ ngày đăng ký hoặc đến khi người đăng ký từ chối, rút đồng ý cho phần liên quan, tùy thời điểm nào đến trước. Hết thời gian này, doanh nghiệp dừng gửi và không tự gia hạn bằng sự im lặng. Bằng chứng đăng ký, lựa chọn và yêu cầu ngừng nhận được lưu riêng, giới hạn truy cập trong 24 tháng từ khi kết thúc đăng ký để chứng minh việc thực hiện, giải quyết yêu cầu và tuân thủ nghĩa vụ liên quan quảng cáo; hết thời gian thì xóa, trừ phần pháp luật yêu cầu lưu tiếp theo căn cứ cụ thể. Phần lưu bằng chứng không được dùng để tiếp tục gửi quảng cáo.

4. Bên tiếp cận, bảo vệ và phạm vi sử dụng. Chỉ nhân sự được phân quyền của doanh nghiệp tiếp cận để thực hiện các công việc đã nêu. Theo giả định của mẫu, không có đơn vị dịch vụ bên ngoài được tiếp cận; doanh nghiệp không chia sẻ danh sách cho bên khác quảng cáo và không chuyển dữ liệu xuyên biên giới. Doanh nghiệp áp dụng phân quyền, hạn chế xuất danh sách và biện pháp bảo vệ hệ thống phù hợp; nguy cơ tiếp cận trái phép hoặc gửi nhầm được kiểm soát nhưng không thể cam kết loại bỏ tuyệt đối. Nếu hoạt động thực tế khác, doanh nghiệp phải điều chỉnh thông tin và xác lập điều kiện cần thiết trước khi triển khai.

5. Quyền, nghĩa vụ và cách thay đổi lựa chọn. Người đăng ký có quyền được biết; đồng ý hoặc không đồng ý; yêu cầu rút đồng ý, xem, chỉnh sửa, cung cấp, xóa, hạn chế hoặc phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường và yêu cầu bảo vệ dữ liệu theo pháp luật. Việc thực hiện quyền có điều kiện, giới hạn theo Điều 4, 10, 14 và quy định liên quan của Luật 91. Người đăng ký có nghĩa vụ tự bảo vệ dữ liệu, tôn trọng dữ liệu người khác, cung cấp thông tin đầy đủ, chính xác theo trường hợp luật định, hợp đồng hoặc nội dung đồng ý và chấp hành pháp luật, tham gia phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

Có thể gửi yêu cầu qua email, điện thoại hoặc trang tiếp nhận tại mục 1. Mỗi email quảng cáo có hướng dẫn từ chối qua trang điện tử, email và điện thoại. Khi nhận yêu cầu từ chối, doanh nghiệp gửi xác nhận và dừng gửi thư bị từ chối ngay theo quy định; xác nhận không chứa quảng cáo. Rút riêng lựa chọn cá nhân hóa thì chỉ tiếp tục bản tin chung nếu lựa chọn nhận bản tin còn hiệu lực. Rút đồng ý không làm thay đổi việc xử lý trước thời điểm yêu cầu và không tự loại bỏ nghĩa vụ lưu bằng chứng có căn cứ pháp luật.

6. Lựa chọn tự nguyện. Không lựa chọn nào được đánh dấu sẵn. Việc không đăng ký hoặc từ chối cá nhân hóa không làm mất quyền mua hàng, bảo hành hoặc quyền khác không phụ thuộc chương trình bản tin.

Mục đích 1 — Tôi cho phép doanh nghiệp nêu tại mục 1 xử lý email, tên xưng hô nếu có và thông tin đăng ký để gửi bản tin sản phẩm, ưu đãi qua email theo mục 3: □ Đồng ý  □ Không đồng ý.

Mục đích 2 — Nếu đã chọn nhận bản tin, tôi cho phép sử dụng thêm nhóm sản phẩm tôi cung cấp để cá nhân hóa nội dung theo mục 3: □ Đồng ý  □ Không đồng ý. Nếu không đồng ý mục đích 1, doanh nghiệp không thực hiện mục đích 2 và không lưu nhóm sản phẩm để phục vụ mục đích này.

Tôi đã được cung cấp nội dung trên, có cơ hội đọc và lựa chọn. Tôi chỉ đồng ý các mục đích đã chọn, theo thông tin tương ứng trong văn bản và chính sách được xác định ở mục 1.

Ngày, giờ lựa chọn: ........................ Chữ ký và họ tên người đăng ký, nếu dùng bản giấy: ........................ Nếu dùng điện tử, hệ thống ghi nhận lựa chọn và phương thức kiểm chứng tương ứng; không tự điền tên người dùng để thay bằng chứng hành động.

 

Chú thích các trường trước khi dùng mẫu

Trường trong mẫu	Cách hoàn thiện	Ý nghĩa khi sử dụng	Tính chất
Mã, phiên bản, ngày áp dụng	Gắn với bản nội dung thực sự hiển thị và giữ được bản cũ	Truy được khách đã đọc bản nào, tránh dùng bản mới chứng minh lựa chọn cũ	Khuyến nghị quản lý để đáp ứng khả năng kiểm chứng
Bên chịu trách nhiệm và liên hệ	Ghi đúng pháp nhân, vai trò, địa chỉ, kênh đang hoạt động	Người đồng ý biết bên xử lý và nơi thực hiện quyền; không chỉ ghi thương hiệu	Điều 9.2 Luật 91; cách trình bày là khuyến nghị
Email, tên, nhóm sản phẩm	Phân biệt cần thiết và tùy chọn; không thu nhóm sản phẩm nếu không có mục đích tương ứng	Dữ liệu phải gắn với công việc được phép, không mở rộng hồ sơ định danh	Điều 3, 9; giới hạn mẫu là giả định
Mục đích, thời gian, bên tiếp cận	Sửa theo hoạt động, hệ thống và đơn vị dịch vụ thực tế	12 tháng, 24 tháng là ví dụ; thuê bên ngoài hoặc chuyển dữ liệu phải kiểm tra riêng	Điều 3, 9, 14; Điều 15–18 Luật BVQLNTD; NĐ 91.11.7
Quyền, nghĩa vụ, kênh thay đổi	Giữ thông tin đầy đủ; nối với quy trình thực hiện được	Không chỉ ghi “theo pháp luật”; không hứa xóa mọi tài liệu ngay khi rút đồng ý	Điều 4, 10, 14 Luật 91; NĐ 91.13.4, 20
Lựa chọn từng mục đích	Giữ ô trống; chỉ chọn một phương án mỗi mục đích; xử lý tình huống mâu thuẫn	Mục đích 1 có thể được chấp thuận mà không phải chọn mục đích 2	Điều 9.3–4 Luật 91; NĐ 356.6.1–3
Người chọn, thời điểm, bằng chứng	Bản giấy lưu nội dung và chữ ký; điện tử lưu hành động, phiên bản, cách xác định người chọn	Không coi chữ ký quét tự chèn hoặc cột “đã đồng ý” là đủ trong mọi trường hợp	Điều 6.1–2 NĐ 356

 

 

Làm sao để văn bản trở thành bằng chứng sử dụng được?

Khoản 1–3 Điều 6 Nghị định 356 cho phép nhiều phương thức, gồm văn bản, cuộc gọi ghi âm, tin nhắn và cơ chế điện tử phù hợp. Điều kiện quyết định là kiểm chứng được người đồng ý, thời điểm và nội dung. Vì vậy, không bắt buộc phải in mẫu để ký tay trong mọi trường hợp; đồng thời một nút “Gửi” không gắn rõ với nội dung lựa chọn cũng chưa tự chứng minh sự đồng ý.

Với bản giấy, cần bảo toàn toàn bộ nội dung, phiên bản và phần lựa chọn, tránh tách trang chữ ký khỏi thông tin mà người ký được cung cấp. Với điện tử, bộ phận kỹ thuật cần nối bản ghi lựa chọn với bản nội dung đã hiển thị, tài khoản hoặc phương thức xác định người thực hiện phù hợp. Chỉ lưu thông tin cần thiết và bảo vệ bằng chứng; không thu thêm giấy tờ tùy thân một cách máy móc chỉ để chứng minh mọi lượt đăng ký.

Tình huống giả định: Khách chọn nhận bản tin chung nhưng không chọn cá nhân hóa. Marketing xuất toàn bộ email cùng nhóm sản phẩm sang danh sách cá nhân hóa vì hệ thống chỉ có một cột “đăng ký thành công”. Doanh nghiệp cần sửa việc ghi nhận, giữ riêng kết quả từng mục đích và chỉ đưa người đủ điều kiện vào hoạt động tương ứng. Đầu ra phải là mẫu đã duyệt, bản lưu nội dung, bản ghi từng lựa chọn và danh sách vận hành khớp với các lựa chọn đó.

Có đồng ý rồi vẫn phải kiểm tra cách gửi quảng cáo

Mẫu dùng cho bản tin sản phẩm nên phải đối chiếu cả pháp luật quảng cáo theo kênh. Khoản 2, 4–5, 7 Điều 11; khoản 4 Điều 13 và Điều 17–20 Nghị định 91/2020/NĐ-CP quy định đồng ý trước, khả năng kiểm tra, lưu thông tin đăng ký và từ chối tối thiểu một năm, dừng gửi và yêu cầu đối với thư điện tử. Thư quảng cáo thực tế còn phải có nhãn, thông tin người quảng cáo và cơ chế từ chối đúng quy định. Mẫu đồng ý không thay việc kiểm tra nội dung từng thư.

Nếu có kinh doanh dịch vụ quảng cáo hoặc cá nhân hóa quảng cáo, cần đối chiếu thêm Điều 28 Luật 91 theo hoạt động thực tế. Mẫu đã mô tả sản phẩm, kênh, hình thức và tần suất; không được dùng sự đồng ý cho email để mở thêm SMS, cuộc gọi, theo dõi hành vi hoặc chuyển danh sách cho đối tác. Bài thu thập thông tin qua form quảng cáo giải thích thêm ranh giới giữa yêu cầu tư vấn và quảng cáo sau đó.

Ai cần làm gì khi đưa mẫu vào sử dụng?

Marketing mô tả mục đích, nội dung và tần suất thực sự; người phụ trách pháp lý xác định căn cứ, nhóm dữ liệu, điều kiện chuyên ngành và sửa mẫu. IT kiểm tra vị trí hiển thị, lựa chọn không tích sẵn, việc lưu phiên bản, thông tin nhận diện phù hợp và đồng bộ ngừng nhận. Người phụ trách chăm sóc khách hàng thử kênh tiếp nhận yêu cầu trước khi chương trình bắt đầu.

Nên chạy thử một trường hợp chỉ nhận bản tin chung, một trường hợp có cá nhân hóa và một yêu cầu từ chối. Đây là bước kiểm tra vận hành được đề xuất. Kết quả cần thể hiện lựa chọn đã được ghi đúng và danh sách gửi được cập nhật, thay vì chỉ xác nhận rằng biểu mẫu đã xuất hiện trên website.

Câu hỏi thường gặp

Mẫu đồng ý có bắt buộc đóng dấu doanh nghiệp không?

Điều 9 Luật 91 và Điều 6 Nghị định 356 không đặt một yêu cầu đóng dấu chung cho mọi sự đồng ý. Cần chọn hình thức đáp ứng khả năng kiểm chứng và quy định áp dụng cho giao dịch cụ thể. Dấu doanh nghiệp không khắc phục việc người ký chưa được cung cấp đủ thông tin hoặc bị buộc chọn mục đích không liên quan.

Có thể dùng một chữ ký cho nhiều lựa chọn không?

Có thể thiết kế một văn bản có phần xác nhận chung, nhưng phải thể hiện được kết quả theo từng mục đích và bảo đảm người ký tự nguyện. Một chữ ký cuối trang không tự cho phép tất cả các mục đích nếu phần lựa chọn hoặc nội dung không rõ.

Phiếu đồng ý có trước ngày 01/01/2026 có phải ký lại hết không?

Khoản 1 Điều 39 Luật 91 cho tiếp tục hoạt động đang thực hiện đã được đồng ý hoặc theo thỏa thuận đúng Nghị định 13 trước ngày Luật có hiệu lực, không phải xin lại hoặc thỏa thuận lại. Cần kiểm tra điều kiện này và phạm vi hoạt động; không dùng chuyển tiếp để tự bổ sung mục đích mới.

Justix hỗ trợ sửa mẫu và cơ chế lựa chọn

Doanh nghiệp có thể gửi biểu mẫu đã loại dữ liệu cá nhân không cần thiết, mô tả điểm thu thập, mục đích, phần mềm và cách lưu lựa chọn để trao đổi dịch vụ bảo vệ dữ liệu khách hàng, website và marketing. Justix hỗ trợ soạn nội dung và yêu cầu pháp lý tại các vị trí đã chọn để doanh nghiệp phối hợp triển khai. Liên hệ 0372 717 888 hoặc info@justix.vn.