Ô đồng ý được tích sẵn trên website có đáp ứng yêu cầu pháp luật?

Ô đồng ý được tích sẵn trên website có đáp ứng yêu cầu pháp luật?

Ô tích sẵn không thể thay lựa chọn chủ động khi doanh nghiệp dựa vào sự đồng ý để xử lý dữ liệu. Hai ví dụ giao diện trước và Ô đồng ý được tích sẵn trên website không đáp ứng yêu cầu nếu được dùng để mặc định người dùng đã cho phép xử lý dữ liệu cá nhân. Khoản 3 Điều 6 Nghị định 356/2025/NĐ-CP không cho phép thiết lập phương thức mặc định đồng ý hoặc chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý. Doanh nghiệp cần để người dùng thể hiện lựa chọn rõ ràng, có thông tin phù hợp và lưu được kết quả theo từng mục đích. Việc bỏ dấu tích trên giao diện mới chỉ là một phần việc; phải kiểm tra hệ thống có tự ghi “đồng ý”, tự bật công cụ hoặc tự đưa dữ liệu vào danh sách sử dụng hay không. Với hoạt động có căn cứ xử lý khác, cần xác định và thể hiện đúng căn cứ đó, thay vì tạo một ô đồng ý hình thức.

Vì sao có nút gửi chưa chứng minh sự đồng ý?

Khoản 2–4 Điều 9 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 yêu cầu tự nguyện, biết rõ thông tin, thể hiện rõ ràng và kiểm chứng được theo từng mục đích. Sự im lặng hoặc không phản hồi không được coi là đồng ý. Nếu website tự đánh dấu trước rồi người dùng chỉ bấm gửi yêu cầu, doanh nghiệp không thể chỉ dựa vào trạng thái có dấu tích để chứng minh người dùng đã chọn mục đích đó.

Khoản 3 Điều 6 Nghị định 356/2025/NĐ-CP áp dụng cho phương thức mặc định đồng ý, không chỉ hình dạng ô vuông. Việc đổi ô tích sang công tắc đang bật, danh sách chọn sẵn “có”, hoặc tự ghi nhận đồng ý khi đóng thông báo cũng phải được kiểm tra theo quy định này. Giao diện không có dấu tích sẵn vẫn có thể chưa phù hợp nếu câu chữ mơ hồ, buộc chọn mục đích không liên quan hoặc không chứng minh được hành động của người dùng.

Ngược lại, không phải mọi nút gửi biểu mẫu đều phải kèm một ô đồng ý xử lý dữ liệu giống nhau. Khoản 1 Điều 11 và Điều 19 Luật 91 yêu cầu xác định căn cứ cho từng hoạt động. Nếu đúng trường hợp xử lý không cần đồng ý, doanh nghiệp phải đáp ứng điều kiện và cơ chế giám sát tương ứng; không lấy một ô đồng ý tích sẵn làm căn cứ thay thế.sau giúp rà cả nội dung, trạng thái mặc định và cách ghi nhận trong hệ thống.

Ví dụ 1. Tách dữ liệu giao hàng khỏi lựa chọn nhận bản tin

Tình huống giả định: Khách đã đặt mua hàng và đề nghị giao, bên bán đã xác định căn cứ hợp pháp cho dữ liệu cần thực hiện đơn. Việc nhận bản tin sản phẩm là mục đích riêng. Hình chỉ so sánh phần lựa chọn, không thay toàn bộ thông báo, chính sách và điều kiện giao dịch.

Ví dụ 2. Không mặc định bật công cụ theo dõi để quảng cáo

Tình huống giả định: Website dự kiến dùng công cụ theo dõi thu thập dữ liệu cá nhân để cá nhân hóa quảng cáo. Hình minh họa lựa chọn cho hoạt động đó, không khẳng định mọi loại cookie hoặc công cụ trên mọi website đều có cùng căn cứ và nghĩa vụ.

Cần phân biệt trạng thái mặc định với lựa chọn đã có từ trước

Một công tắc hiển thị “đang nhận bản tin” có thể là phần quản lý lựa chọn mà người dùng đã xác lập hợp lệ trước đó. Khi đó, phải kiểm chứng được căn cứ của trạng thái đang hiển thị, mục đích và nội dung đã được chấp thuận, cùng các thay đổi về sau. Không thể coi mọi trạng thái bật sẵn ở trang quản lý là một lần xin đồng ý mới; cũng không được dùng cách gọi “ghi nhớ lựa chọn” để tự tạo sự đồng ý chưa từng có.

Với người dùng mới hoặc một mục đích mới chưa được phép, cần để cơ chế xin đồng ý phản ánh đúng tình trạng chưa có sự chấp thuận. Nếu sao chép một tài khoản mẫu có trạng thái “đồng ý”, chuyển dữ liệu cũ sang hệ thống mới hoặc nhập danh sách từ đối tác, không được mặc định toàn bộ người dùng đã cho phép. Cần kiểm tra phạm vi và bằng chứng thực tế trước khi sử dụng.

Khoản 1 Điều 39 Luật 91 có chuyển tiếp cho hoạt động đã được đồng ý hoặc thỏa thuận đúng Nghị định 13 trước ngày 01/01/2026. Chuyển tiếp này không làm một cách mặc định đồng ý chưa hợp lệ trở thành hợp lệ. Tài liệu cũ cần được đánh giá theo điều kiện và thời điểm áp dụng, không chỉ theo tên phiên bản.

Đối chiếu hai giao diện với hoạt động thực tế

Ở ví dụ 1, dấu tích và câu gộp khiến khách khó thể hiện việc chỉ muốn giải quyết đơn hàng. Phần sau để lựa chọn bản tin trống và không dùng lựa chọn đó làm điều kiện cho công việc giao hàng đã có căn cứ. Nội dung về doanh nghiệp, dữ liệu, quyền và nghĩa vụ vẫn phải được cung cấp đầy đủ trước khi xin đồng ý.

Với ví dụ 2, điểm a khoản 8 Điều 28 Luật 91 yêu cầu có sự đồng ý khi thu thập dữ liệu qua theo dõi website, ứng dụng để quảng cáo theo hành vi, có mục tiêu cụ thể hoặc cá nhân hóa. Phần sau chỉ có ý nghĩa nếu công cụ đó chưa thu dữ liệu trước lựa chọn phù hợp. Việc hiển thị nút từ chối sau khi dữ liệu đã được gửi không khắc phục phần thu trước đó.

Bỏ tích sẵn cần đi cùng câu chữ và thông tin đầy đủ

Theo khoản 2 Điều 9, người đồng ý phải biết loại dữ liệu, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, cùng quyền và nghĩa vụ. Một ô trống với câu “tôi đồng ý tất cả” chưa cho biết phạm vi này. Đường dẫn chính sách cần dễ mở và dẫn tới nội dung phù hợp; phần thông tin cần thiết phải được cung cấp trước khi cá nhân lựa chọn.

Với thông tin người tiêu dùng, Điều 17 Luật Bảo vệ quyền lợi người tiêu dùng có yêu cầu thông báo và cơ chế lựa chọn, cùng các ngoại lệ được quy định. Điểm b khoản 4 Điều 18 yêu cầu cơ chế lựa chọn việc cho phép hoặc không cho phép sử dụng thông tin để quảng cáo, giới thiệu sản phẩm và hoạt động thương mại khác. Không gộp việc nhận quảng cáo vào một mục đích không cần quảng cáo chỉ vì cùng một biểu mẫu.

Nếu dùng công cụ theo dõi để cá nhân hóa quảng cáo, ngoài đồng ý trước còn phải đối chiếu điểm b khoản 8 Điều 28 về phương thức từ chối chia sẻ, thời gian lưu và xóa khi không còn cần. Cần kiểm tra dữ liệu công cụ thực sự thu, bên tiếp cận, việc chuyển xuyên biên giới nếu có và các nghĩa vụ tương ứng. Tên “cookie cần thiết” hoặc “công cụ phân tích” do đơn vị kỹ thuật đặt không tự quyết định căn cứ pháp lý.

Website có chức năng thương mại điện tử còn phải kiểm tra cơ chế đồng ý với nội dung điều kiện hoạt động, điều kiện giao dịch theo khoản 4 Điều 11 và khoản 1 Điều 12 Luật Thương mại điện tử 122/2025/QH15, theo loại nền tảng và chức năng thực tế. Không nên gộp mọi yêu cầu thành một lựa chọn quảng cáo bắt buộc. Bài chính sách bảo mật website cần có những nội dung gì giúp đối chiếu phần tài liệu đầy đủ.

Hệ thống phải ghi nhận đúng điều người dùng đã làm

Khoản 1–2 Điều 6 Nghị định 356 yêu cầu kiểm chứng người đồng ý, thời điểm, nội dung và lưu bằng chứng. Khi sửa giao diện, cần xem kết quả gửi từ biểu mẫu sang hệ thống có phân biệt được chưa lựa chọn, không đồng ý và đã đồng ý hay không. Nếu không chọn nhận bản tin nhưng hệ thống vẫn tạo trạng thái “đồng ý”, việc bỏ dấu tích trên màn hình chưa giải quyết được vấn đề.

Doanh nghiệp nên giữ phiên bản nội dung đã hiển thị, mục đích tương ứng, kết quả lựa chọn và sự kiện gắn với người thực hiện bằng cách phù hợp. Đây là cách tổ chức ghi nhận được đề xuất; không phải yêu cầu mọi website phải lưu một danh mục thông tin kỹ thuật cố định. Chỉ thu và giữ dữ liệu cần cho việc kiểm chứng, bảo vệ kho bằng chứng và giới hạn người truy cập.

Đối với công cụ quảng cáo, IT cần kiểm tra cả thời điểm công cụ được kích hoạt và dữ liệu bắt đầu được thu, không chỉ trạng thái của nút bấm. Với danh sách bản tin, người vận hành phải xác định được ai được đưa vào danh sách, mục đích nào đang được phép và cách cập nhật khi từ chối. Một bản ghi “đã lưu tùy chọn” chưa nói được người dùng thực sự cho phép mục đích nào.

Xử lý những dữ liệu đã thu từ cơ chế tích sẵn thế nào?

Cần kiểm tra cơ chế cũ, thời gian áp dụng, thông tin đã cung cấp và hành động thực tế của người dùng. Việc có ô tích sẵn là vấn đề phải làm rõ, nhưng không thay việc xác định toàn bộ căn cứ của từng hoạt động. Không tự xóa sạch dữ liệu, cũng không mặc định mọi dữ liệu cũ đều tiếp tục sử dụng được.

Đối với phần chưa đủ căn cứ, doanh nghiệp cần giới hạn sử dụng và xác định cách xử lý phù hợp, gồm làm rõ, xác lập điều kiện cho việc tiếp tục khi được phép hoặc xóa theo quy định áp dụng. Cần lưu lại cơ chế cũ và kết quả rà soát; không đổi lịch sử từ “mặc định” thành “người dùng đã chọn”. Việc xác lập đồng ý về sau không tự chứng minh lần xử lý trước đã hợp pháp.

Nếu danh sách được dùng để quảng cáo qua email, tin nhắn hoặc điện thoại, còn phải kiểm tra khoản 2, 4–5 Điều 11 và Điều 13 Nghị định 91/2020/NĐ-CP. Có một mục dữ liệu ghi “đồng ý” không tự thay điều kiện về đồng ý trước, kiểm tra, từ chối và cách gửi theo kênh. Khoản 4 Điều 13 yêu cầu dừng quảng cáo ngay sau khi nhận yêu cầu từ chối.

Trước khi mở lại biểu mẫu cần kiểm tra những trường hợp nào?

Pháp chế cùng bộ phận nghiệp vụ xác định mục đích, căn cứ, nội dung và lựa chọn; IT sửa giao diện cùng cách ghi nhận, kích hoạt công cụ; người quản lý danh sách kiểm tra việc sử dụng ở phía sau. Nên thử trường hợp không chọn quảng cáo nhưng vẫn hoàn tất công việc chính có căn cứ, chọn riêng một mục đích, từ chối công cụ quảng cáo và thay đổi lựa chọn đã có.

Kết quả kiểm tra cần thể hiện nội dung nào được hiển thị, lựa chọn nào được ghi, dữ liệu đã chuyển đến đâu và công cụ nào thực sự hoạt động. Nên kiểm tra cả trên điện thoại và máy tính, vì cách hiển thị có thể khác. Đây là đề xuất kiểm tra vận hành để thực hiện đúng cơ chế đã chốt, không phải một thủ tục xin phép website riêng.

Hồ sơ bàn giao nên gồm ảnh giao diện, bản nội dung, phiên bản áp dụng, kết quả các tình huống thử và xác nhận của người phụ trách. Nếu dùng tiện ích hoặc nhà cung cấp ngoài, cần xác nhận phần họ triển khai, phạm vi tiếp cận và việc phối hợp cập nhật. Chỉ nhìn giao diện của nhà cung cấp mà chưa kiểm tra luồng dữ liệu thực tế có thể bỏ sót việc tự bật hoặc tự ghi nhận ở phía sau.

Câu hỏi thường gặp

Đổi ô tích sẵn thành nút “Tiếp tục” có giải quyết được không?

Không tự động. Cần xác định nút đó xác nhận điều gì, người dùng đã biết thông tin nào và có lựa chọn theo từng mục đích không. Không thể đổi tên một hành động mặc định đồng ý rồi coi là đã đáp ứng Điều 9 và Điều 6.

Từ chối quảng cáo thì có phải chặn người dùng gửi mọi yêu cầu không?

Không nên dùng mục đích quảng cáo không liên quan làm điều kiện cho công việc đã có căn cứ riêng. Phải xác định dữ liệu cần thiết và căn cứ cho yêu cầu chính; giải thích trở ngại thực tế nếu không đủ dữ liệu, thay vì buộc đồng ý quảng cáo.

Tích sẵn ô “Tôi đã đọc” có tương đương tích sẵn đồng ý xử lý không?

Cần xem chức năng thực tế. Nếu hệ thống dùng trạng thái đó để ghi người dùng đã cho phép xử lý, phải đối chiếu đầy đủ điều kiện đồng ý; đổi câu chữ thành “đã đọc” không khắc phục việc mặc định. Nếu chỉ là bước thông tin hoặc điều kiện giao dịch, phải xác định quy định và cơ chế tương ứng, không tự suy thành đồng ý cho mục đích quảng cáo.

Justix hỗ trợ rà giao diện và yêu cầu ghi nhận lựa chọn

Doanh nghiệp có thể chuẩn bị URL website, ảnh biểu mẫu và thông báo, danh sách công cụ, mô tả cách ghi nhận và sử dụng lựa chọn. Dịch vụ bảo vệ dữ liệu khách hàng, website và marketing hỗ trợ soạn nội dung và yêu cầu pháp lý cho các vị trí đã chọn; doanh nghiệp phối hợp với kỹ thuật triển khai, kiểm tra trên hệ thống. Liên hệ 0372 717 888 hoặc legal@justix.vn.