Sự đồng ý xử lý dữ liệu cá nhân hợp lệ cần đáp ứng điều kiện gì?

Sự đồng ý xử lý dữ liệu cá nhân hợp lệ cần đáp ứng điều kiện gì?

Một chữ ký hoặc trạng thái “đã đồng ý” chưa đủ để đánh giá toàn bộ cơ chế thu thập dữ liệu. Doanh nghiệp cần kiểm tra thông tin đã cung cấp, quyền lựa chọn, phạm vi từng mục đích và khả năng chứng minh trước khi sử dụng.

Sự đồng ý xử lý dữ liệu cá nhân hợp lệ phải tự nguyện, dựa trên việc biết rõ thông tin và được thể hiện rõ ràng, cụ thể, kiểm chứng được theo từng mục đích. Doanh nghiệp không được lấy sự im lặng hoặc một lựa chọn mặc định làm sự đồng ý. Nếu hoạt động thuộc trường hợp pháp luật cho xử lý không cần đồng ý, phải xác định đúng căn cứ và điều kiện tương ứng thay vì xin một chữ ký bao phủ mọi công việc. Khi dựa vào đồng ý, doanh nghiệp cần lưu được ai đã chấp thuận, lúc nào, đối với nội dung nào và chỉ sử dụng dữ liệu trong phạm vi được phép. Việc kiểm tra cần bao gồm cả biểu mẫu, cách nhân viên giải thích và cách hệ thống ghi nhận, sử dụng lựa chọn.

Kiểm tra căn cứ trước khi kiểm tra chữ ký

Khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 yêu cầu có sự đồng ý trước khi thu thập, trừ trường hợp pháp luật quy định khác. Điều 19 quy định các trường hợp xử lý không cần đồng ý. Vì vậy, câu hỏi đầu tiên là hoạt động nào đang được thực hiện và căn cứ nào áp dụng cho chính hoạt động đó.

Chẳng hạn, việc xử lý cần thiết để thực hiện thỏa thuận của cá nhân với bên liên quan phải được đối chiếu điểm d khoản 1 Điều 19. Cần biết thỏa thuận thực sự của cá nhân là gì, thông tin nào phục vụ công việc đó và có quy định chuyên ngành nào phải áp dụng. Một hợp đồng giữa hai doanh nghiệp hoặc mong muốn tăng doanh số không tự chứng minh đã đáp ứng ngoại lệ. Khi xử lý theo Điều 19, cơ chế giám sát tại khoản 2 vẫn phải được thiết lập.

Nếu một biểu mẫu vừa tiếp nhận yêu cầu giao hàng, vừa đăng ký quảng cáo, cần phân loại riêng từng hoạt động. Không dùng căn cứ giao hàng để cho phép quảng cáo lâu dài, cũng không buộc khách ký đồng ý với mọi hoạt động của doanh nghiệp để được thực hiện một yêu cầu đã có căn cứ khác. Bài xử lý dữ liệu để thực hiện hợp đồng có luôn cần xin đồng ý giúp đối chiếu ranh giới này.

Người đồng ý phải biết rõ những thông tin nào?

Khoản 2 Điều 9 Luật 91 xác định các nhóm thông tin cần biết: loại dữ liệu và mục đích xử lý; bên kiểm soát hoặc bên kiểm soát và xử lý; quyền và nghĩa vụ của chủ thể dữ liệu. Doanh nghiệp nên diễn đạt bằng những công việc người cung cấp thông tin có thể hiểu, thay vì các cụm quá rộng như “phục vụ mọi hoạt động kinh doanh”.

Thông tin về bên chịu trách nhiệm cần giúp nhận diện đúng tổ chức. Chỉ ghi tên một ứng dụng hoặc tên thương hiệu có thể không cho biết pháp nhân đang quyết định sử dụng dữ liệu. Nếu có bên nhận hoặc nhà cung cấp tham gia, còn phải đối chiếu vai trò, căn cứ chuyển và yêu cầu chuyên ngành; không coi việc đã ghi “các đối tác” là cho phép mọi lần chia sẻ.

Với người tiêu dùng, khoản 1–2 Điều 17 Luật Bảo vệ quyền lợi người tiêu dùng có yêu cầu thông báo, lựa chọn về mục đích, phạm vi thu thập, sử dụng và thời hạn lưu, cùng các ngoại lệ được quy định. Thời gian lưu không phải một nội dung được liệt kê riêng tại khoản 2 Điều 9 Luật 91, nhưng vẫn phải được kiểm tra theo quy định liên quan và nguyên tắc lưu phù hợp tại khoản 3 Điều 3. Không nên rút một danh mục ngắn ở một điều luật thành toàn bộ yêu cầu cho mọi hoạt động.

Khoản 4 Điều 6 Nghị định 356/2025/NĐ-CP yêu cầu thông báo rằng dữ liệu cần xử lý là dữ liệu nhạy cảm khi xin sự đồng ý xử lý nhóm này. Mẫu dành cho tên, số liên hệ thông thường không nên dùng nguyên trạng khi bổ sung dữ liệu sức khỏe, sinh trắc học hoặc dữ liệu khác thuộc danh mục nhạy cảm hiện hành.

Thế nào là tự nguyện và theo từng mục đích?

Điểm a–b khoản 4 Điều 9 yêu cầu thể hiện sự đồng ý theo từng mục đích và không kèm điều kiện bắt buộc đồng ý với mục đích khác ngoài nội dung thỏa thuận. Cần xem người cung cấp dữ liệu có thể lựa chọn thật sự hay chỉ có một nút chấp thuận toàn bộ để đi tiếp.

Một lựa chọn nhận email giới thiệu sản phẩm không nên bị gộp với việc giải quyết bảo hành chỉ vì hai công việc cùng dùng số điện thoại hoặc email. Nếu không cung cấp một dữ liệu thực sự cần cho dịch vụ khiến doanh nghiệp không thể thực hiện, cần giải thích đúng trở ngại cụ thể. Điều đó khác việc gây bất lợi cho khách vì họ từ chối một mục đích quảng cáo không cần cho dịch vụ chính.

Doanh nghiệp có thể đối chiếu thêm bài thu thập thông tin qua form quảng cáo có phải xin đồng ý không khi biểu mẫu phục vụ đồng thời yêu cầu tư vấn và đăng ký nhận tin.

Pháp luật yêu cầu lựa chọn rõ theo từng mục đích, không ấn định số ô vuông cho mọi biểu mẫu. Cơ chế xác nhận chung phải giữ được kết quả từng mục đích khi chuyển sang hệ thống sử dụng.

 

 

 

Bảng kiểm tra cơ chế đồng ý trước khi sử dụng

Đây là công cụ quản trị do Justix biên soạn. Doanh nghiệp ghi kết quả “đạt”, “chưa đạt” hoặc “không áp dụng có lý do”, kèm người kiểm tra và tài liệu đối chiếu; không bỏ qua điều kiện chỉ vì các mục khác đã đạt.

Nội dung kiểm tra	Câu hỏi phải trả lời	Bằng chứng nên đối chiếu	Dấu hiệu cần sửa	Căn cứ chính
Căn cứ từng hoạt động	Đang dựa vào đồng ý hay trường hợp không cần đồng ý?	Mô tả công việc, thỏa thuận, quy định áp dụng	Một chữ ký bao phủ cả nghĩa vụ pháp luật và mọi hoạt động mới	Điều 9, 11, 19 Luật 91
Thông tin trước lựa chọn	Cá nhân biết dữ liệu, mục đích, bên chịu trách nhiệm, quyền và nghĩa vụ chưa?	Bản nội dung thực sự hiển thị; thông tin người tiêu dùng khi áp dụng	Chỉ có một câu đồng ý chung, link lỗi hoặc thông tin cung cấp sau	Điều 9.2; Điều 17 Luật BVQLNTD
Tự nguyện, từng mục đích	Có thể chọn phần phù hợp, từ chối phần không liên quan không?	Biểu mẫu, kịch bản nhân viên, điều kiện tiếp tục dịch vụ	Buộc nhận quảng cáo để giải quyết yêu cầu không cần quảng cáo	Điều 9.4.a–b Luật 91
Hành động và chứng cứ	Kiểm chứng được người chọn, thời điểm và nội dung không?	Chữ ký, bản ghi, tin nhắn hoặc sự kiện gắn phiên bản	Ô tích sẵn; im lặng; chỉ có cột “đã đồng ý”	Điều 9.3–4.d; Điều 6.1–3 NĐ 356
Điều kiện bổ sung	Có dữ liệu nhạy cảm, nhóm chủ thể hoặc hoạt động cần quy định riêng không?	Loại dữ liệu, người cung cấp, quy định ngành	Dùng nguyên mẫu thông thường cho mọi nhóm dữ liệu	Điều 6.4 NĐ 356; quy định theo trường hợp
Sử dụng đúng kết quả	Dữ liệu chỉ được dùng cho mục đích còn hiệu lực và phạm vi được phép không?	Danh sách vận hành, thay đổi lựa chọn, nội dung cũ nếu chuyển tiếp	Đã từ chối nhưng vẫn nhận tin; tự mở rộng mục đích	Điều 3, 9–10, 39 Luật 91

 

 

 

Hành động rõ ràng phải đi cùng khả năng kiểm chứng

Khoản 3 Điều 9 cho phép phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, gồm dạng điện tử hoặc định dạng kiểm chứng được. Khoản 1 Điều 6 Nghị định 356 nêu các phương thức như văn bản, cuộc gọi ghi âm, tin nhắn, thư điện tử và thiết lập trên nền tảng phù hợp. Hình thức điện tử không tự làm sự đồng ý kém giá trị hơn bản giấy; yếu tố cần kiểm tra là nội dung và khả năng chứng minh.

Ngược lại, ký tên hoặc nhập mã xác nhận chưa tự chứng minh mọi điều kiện. Doanh nghiệp còn phải nối hành động đó với người thực hiện, thời điểm và nội dung được chấp thuận. Mã xác nhận có thể hỗ trợ xác định người thao tác, nhưng nếu không rõ mã đó xác nhận đăng nhập hay chấp thuận mục đích nào thì vẫn thiếu một phần quan trọng.

Điểm d khoản 4 Điều 9 không coi im lặng hoặc không phản hồi là đồng ý. Khoản 3 Điều 6 Nghị định 356 còn cấm phương thức mặc định đồng ý và chỉ dẫn không rõ ràng, gây nhầm lẫn giữa đồng ý và không đồng ý. Việc gửi thông báo rồi chờ hết vài ngày, khách tiếp tục mua hàng hoặc nhân viên tự đánh dấu đã đồng ý không thay được bằng chứng về lựa chọn phù hợp.

Ví dụ kiểm tra một cơ chế có chữ ký nhưng vẫn thiếu điều kiện

Tình huống giả định: Công ty A nhận yêu cầu bảo hành và đưa khách ký phiếu có câu “đồng ý sử dụng thông tin để chăm sóc, quảng cáo và chia sẻ với mọi đối tác”. Khách không được chọn riêng phần quảng cáo. Nhân viên nhập “đã đồng ý” vào CRM nhưng không gắn với phiên bản phiếu.

Chữ ký là một dữ kiện cần giữ để kiểm tra, chưa đủ để kết luận toàn bộ mục đích đã được chấp thuận hợp lệ. A phải xác định căn cứ phục vụ bảo hành; đối chiếu nội dung thông tin, quyền lựa chọn cho quảng cáo, phạm vi chia sẻ và bằng chứng thực tế. Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng có yêu cầu riêng về sử dụng thông tin, thay đổi mục đích và cơ chế lựa chọn. Hợp đồng với một đối tác cũng không tự thay điều kiện đối với khách hàng.

Đối với phần chưa đủ căn cứ, A cần giới hạn sử dụng và làm rõ trước khi đưa vào chiến dịch mới. Người phụ trách pháp lý sửa nội dung, marketing tách các mục đích, IT ghi nhận kết quả riêng và nối với phiên bản đã hiển thị. Hồ sơ cần giữ cả tài liệu cũ, kết quả kiểm tra và thời điểm áp dụng thay đổi; không sửa lùi bản cũ để tạo cảm giác khách đã được biết từ trước.

Nếu cần xác lập lại sự đồng ý, phải chọn cách tiếp cận có căn cứ phù hợp. Không lấy danh sách chưa rõ nguồn làm đầu vào cho một chiến dịch gọi, gửi quảng cáo hàng loạt với lý do “xin phép lại”. Đầu ra cần có danh sách được phép sử dụng cho từng mục đích, phần chưa được sử dụng và bằng chứng xác lập tương ứng.

Đồng ý còn hiệu lực không có nghĩa được sử dụng không giới hạn

Điểm c khoản 4 Điều 9 quy định sự đồng ý có hiệu lực đến khi cá nhân thay đổi hoặc theo pháp luật. Quy định này không xóa giới hạn mục đích, phạm vi, thời gian lưu và yêu cầu xử lý dữ liệu không còn cần thiết. Doanh nghiệp phải đối chiếu hoạt động thực tế thay vì mặc định một chữ ký có giá trị cho mọi mục đích về sau.

Điều 10 quy định việc yêu cầu rút đồng ý, hạn chế xử lý và trách nhiệm tiếp nhận, thực hiện. Doanh nghiệp cần có đầu mối nhận yêu cầu và cập nhật đúng phần liên quan. Rút đồng ý cho quảng cáo không tự xóa mọi chứng từ giao dịch phải lưu theo pháp luật; ngược lại, nghĩa vụ lưu một chứng từ cũng không tự cho phép tiếp tục dùng địa chỉ email để quảng cáo.

Với hoạt động đã có trước ngày 01/01/2026, khoản 1 Điều 39 có điều kiện chuyển tiếp riêng đối với đồng ý, thỏa thuận đúng Nghị định 13. Không cần xin lại toàn bộ chỉ vì Luật mới có hiệu lực, nhưng phải kiểm tra hoạt động đang thực hiện và phạm vi đã xác lập. Cũng không dùng chuyển tiếp để duy trì một ô tích sẵn hoặc mục đích chưa được chấp thuận hợp lệ.

Ai nên kiểm tra và chốt kết quả?

Bộ phận nghiệp vụ mô tả mục đích, dữ liệu và trường hợp người dùng từ chối; pháp chế xác định căn cứ và điều kiện áp dụng. Nhân sự vận hành biểu mẫu, tổng đài hoặc kênh trao đổi cung cấp cách thông tin, cách ghi nhận thực tế. IT kiểm tra nội dung, phiên bản và việc chuyển lựa chọn sang hệ thống sử dụng.

Trước khi áp dụng, nên thử một người chỉ đồng ý một phần, một người không đồng ý và một yêu cầu thay đổi lựa chọn. Đây là bước kiểm tra quản trị được đề xuất, không phải thủ tục xin phê duyệt riêng. Kết quả nên thể hiện phần đủ điều kiện, phần cần sửa, người chịu trách nhiệm và bằng chứng sẽ được lưu, để nhân viên biết dữ liệu nào được đưa vào công việc.

Câu hỏi thường gặp

Khách không phản đối sau khi nhận thông báo thì đã đồng ý chưa?

Không thể suy ra đồng ý chỉ từ việc không phản đối. Điểm d khoản 4 Điều 9 không coi im lặng, không phản hồi là đồng ý; cần hành động và bằng chứng phù hợp khi doanh nghiệp dựa vào căn cứ này.

Một người có thể đồng ý mục đích này nhưng từ chối mục đích khác không?

Có thể có những kết quả lựa chọn khác nhau theo từng mục đích. Doanh nghiệp cần kiểm tra căn cứ của từng hoạt động và ghi nhận đúng phần được chấp thuận, không biến một lần đồng ý thành quyền sử dụng toàn bộ.

Nhờ đại lý lấy đồng ý thì doanh nghiệp có phải giữ bằng chứng không?

Nếu doanh nghiệp là bên kiểm soát hoặc bên kiểm soát và xử lý, khoản 2 Điều 6 Nghị định 356 đặt trách nhiệm lưu, chứng minh sự đồng ý. Cần có cách tiếp nhận, truy xuất bằng chứng phù hợp và kiểm tra phạm vi; một cam kết chung của đại lý chưa tự đáp ứng yêu cầu đó.

Justix hỗ trợ kiểm tra cơ chế đang sử dụng

Doanh nghiệp có thể chuẩn bị mẫu biểu, ảnh màn hình, kịch bản trao đổi và mô tả cách lưu lựa chọn đã loại thông tin cá nhân không cần thiết. Dịch vụ bảo vệ dữ liệu khách hàng, website và marketing hỗ trợ đối chiếu hoạt động, sửa nội dung và yêu cầu pháp lý để phối hợp triển khai. Liên hệ 0372 717 888 hoặc legal@justix.vn.