Thay đổi mục đích sử dụng dữ liệu: doanh nghiệp cần làm gì?

Thay đổi mục đích sử dụng dữ liệu: doanh nghiệp cần làm gì?

Khi thay đổi mục đích sử dụng dữ liệu cá nhân, doanh nghiệp cần xác định hoạt động mới có nằm trong phạm vi đã được phép hay phải có căn cứ khác. Nếu dựa vào sự đồng ý, mục đích mới phải được cá nhân biết và chấp thuận phù hợp trước khi thực hiện. Với thông tin người tiêu dùng, pháp luật còn yêu cầu thông báo lại và có đồng ý khi thay đổi mục đích, phạm vi đã thông báo. Sau đó, doanh nghiệp phải điều chỉnh việc vận hành, thỏa thuận và hồ sơ có liên quan; không chỉ sửa một đoạn trên website.

Khi nào được coi là thay đổi mục đích sử dụng dữ liệu?

Mục đích trả lời doanh nghiệp dùng thông tin để làm việc gì. “Giải quyết bảo hành”, “xét tuyển một vị trí” và “nghiên cứu hành vi của từng khách hàng” là những công việc khác nhau. Việc dữ liệu vẫn nằm trong cùng phần mềm hoặc cùng phòng ban không làm chúng trở thành một mục đích duy nhất.

Khoản 2 Điều 3 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 yêu cầu thu thập, xử lý đúng phạm vi, mục đích cụ thể, rõ ràng và phù hợp pháp luật. Khi rà soát đề xuất mới, cần đối chiếu với nội dung đã thực sự xác lập, thay vì đổi cách gọi rộng hơn như “phục vụ kinh doanh” hoặc “cải thiện trải nghiệm” để bao phủ mọi hoạt động.

Thay đổi phương tiện chưa chắc là thay đổi mục đích. Ví dụ, chuyển phần mềm để tiếp tục giải quyết cùng yêu cầu bảo hành có thể vẫn giữ công việc ban đầu. Tuy nhiên, thay đổi đó có thể làm phát sinh bên nhận, nơi lưu, quyền truy cập hoặc luồng xuyên biên giới mới. Vì vậy, kết luận “không đổi mục đích” không thay cho việc kiểm tra các điều kiện còn lại.

 

 

Yêu cầu chỉnh sửaCtrl Shift X

Bảng đối chiếu mục đích ban đầu và mục đích mới

Các trường hợp dưới đây là giả định để tổ chức rà soát, không phải kết luận sẵn cho mọi doanh nghiệp. Cần đối chiếu nội dung thông báo, thỏa thuận và hoạt động thực tế.

Mục đích ban đầu	Đề xuất sử dụng tiếp	Vấn đề cần nhận diện	Căn cứ, tài liệu phải kiểm tra	Cách xử lý phù hợp
Tiếp nhận, giải quyết bảo hành	Phân tích hồ sơ từng khách để nghiên cứu thói quen sử dụng	Có công việc nghiên cứu mới ngoài việc giải quyết yêu cầu cụ thể	Thông tin đã cung cấp; Điều 9, 19 Luật 91; Điều 18 Luật BVQLNTD	Xác lập căn cứ cho nghiên cứu; thực hiện yêu cầu thông báo, đồng ý theo trường hợp
Tuyển dụng tại Công ty A	Chuyển CV sang Công ty B để B tuyển vị trí khác	Khác đơn vị tuyển và có bên nhận mới	Khoản 1 Điều 25, Điều 9, 17 Luật 91; nội dung ứng viên đã chấp thuận	Không tự suy ra quyền chuyển từ việc A đã nhận CV
Quản lý lao động, chấm công	Giao thông tin cho đối tác dùng để giới thiệu dịch vụ riêng	Mục đích và bên sử dụng khác công việc lao động ban đầu	Điều 3, 9, 17, 19, 25; vai trò, yêu cầu của đối tác	Tách hoạt động riêng; kiểm tra căn cứ trước khi cấp quyền hoặc xuất tệp
Dùng phần mềm cũ để giải quyết bảo hành	Đổi nhà cung cấp, tiếp tục cùng công việc	Có thể giữ mục đích nhưng thay bên xử lý, phương tiện hoặc nơi xử lý	Hợp đồng, luồng dữ liệu, phạm vi đồng ý; Điều 20–22 và 37	Không xin lại đồng ý một cách máy móc; xác minh phạm vi, điều kiện và hồ sơ phải điều chỉnh

 

 

 

Phải xin lại đồng ý trong mọi trường hợp không?

Không thể áp một câu trả lời cho mọi thay đổi. Điều 9 Luật 91 yêu cầu đồng ý tự nguyện, có thông tin rõ về loại dữ liệu, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, cùng quyền và nghĩa vụ. Sự đồng ý phải thể hiện theo từng mục đích. Nếu mục đích mới chưa được phép và doanh nghiệp tiếp tục dựa vào đồng ý, phải thiết lập sự đồng ý phù hợp cho phần mới trước khi xử lý.

Ngược lại, Điều 19 quy định những trường hợp xử lý không cần đồng ý. Doanh nghiệp phải xác định hoạt động mới có thực sự đủ điều kiện của một trường hợp đó hay không. Không dùng ngoại lệ từng áp dụng cho công việc cũ để bao phủ mục đích mới. Ví dụ, căn cứ thực hiện thỏa thuận của khách không tự kéo dài sang mọi nghiên cứu hoặc hoạt động tiếp thị về sau.

Khoản 1 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu thông báo lại và có đồng ý về thay đổi trước khi doanh nghiệp thay đổi mục đích, phạm vi đã thông báo. Cần đối chiếu khoản 2 Điều 5 Luật 91 về áp dụng quy định liên quan. Không lấy một đánh giá nội bộ rằng mục đích “tương thích” để bỏ qua yêu cầu cụ thể này.

Thông báo lại khác việc cá nhân đồng ý như thế nào?

Thông báo giúp cá nhân biết hoạt động dự kiến. Đồng ý là việc họ cho phép xử lý theo điều kiện luật định. Khi trường hợp áp dụng yêu cầu đồng ý, việc đăng bản chính sách mới hoặc gửi email thông báo chưa tự chứng minh người nhận đã chấp thuận mục đích mới.

Điều 6 Nghị định 356/2025/NĐ-CP yêu cầu phương thức xin đồng ý có khả năng kiểm chứng người đồng ý, thời điểm và nội dung; bên kiểm soát hoặc bên kiểm soát và xử lý phải lưu bằng chứng. Không được thiết lập mặc định đồng ý hoặc hướng dẫn gây hiểu lầm. Sự im lặng không phải đồng ý theo điểm d khoản 4 Điều 9 Luật.

Doanh nghiệp nên ghi rõ công việc mới, thông tin cần dùng, bên thực hiện hoặc tiếp nhận và lựa chọn của cá nhân. Nếu chỉ một nhóm người đồng ý, hệ thống cần phân biệt nhóm đó với phần còn lại. Không nhập cả kho dữ liệu vào hoạt động mới rồi dự kiến bổ sung thông báo sau.

Ví dụ: hồ sơ bảo hành được đưa sang nghiên cứu khách hàng

Tình huống giả định: Công ty A nhận tên, số liên hệ, địa chỉ lắp đặt và mô tả lỗi thiết bị để giải quyết bảo hành cho người tiêu dùng. Sau một thời gian, bộ phận sản phẩm muốn gắn lịch sử lỗi với hồ sơ từng khách để phân nhóm thói quen sử dụng. Nội dung ban đầu chỉ thể hiện việc tiếp nhận, xử lý bảo hành, chưa đề cập hoạt động nghiên cứu này.

A cần mô tả lại đề xuất trước khi xuất dữ liệu: dùng theo từng người hay chỉ cần số liệu về lỗi thiết bị; có kết hợp thêm nguồn không; ai được xem; có nhà cung cấp tham gia không. Việc nghiên cứu có lợi cho sản phẩm chưa đủ để kết luận mọi dữ liệu bảo hành được dùng nguyên trạng.

Với dữ kiện nêu trên, A cần đối chiếu căn cứ cho hoạt động nghiên cứu và yêu cầu tại Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng trước khi thay đổi mục đích. Nếu dùng đồng ý, phải có thông tin và bằng chứng tương ứng, đồng thời giới hạn dữ liệu được đưa sang nghiên cứu. Không coi việc khách vẫn sử dụng dịch vụ bảo hành là chấp thuận thêm mục đích.

Nếu chỉ cần thống kê lỗi theo dòng sản phẩm, bộ phận chuyên môn có thể đề xuất đầu ra không gắn với cá nhân và đánh giá khả năng nhận diện thực tế. Khoản 1, 11 Điều 2 Luật 91 quy định điều kiện khử nhận dạng; việc bỏ cột tên chưa đủ nếu dữ liệu khác vẫn giúp xác định một người. Quá trình tạo đầu ra từ dữ liệu cá nhân vẫn phải có căn cứ và biện pháp bảo vệ.

Hồ sơ kết thúc rà soát nên có đề xuất đã được mô tả, kết luận về từng mục đích, tài liệu thông tin và đồng ý khi cần, danh sách dữ liệu được phép sử dụng, cùng xác nhận cấu hình. Đây là cách ghi nhận công việc được đề xuất, không phải một mẫu hồ sơ đổi mục đích bắt buộc riêng do Luật quy định.

Hợp đồng và quyền truy cập phải thay đổi theo hoạt động mới

Nếu bên xử lý tham gia, doanh nghiệp cần xem chỉ dẫn và phạm vi hợp đồng hiện có đã bao phủ công việc được phép hay chưa. Khoản 2 Điều 37 Luật 91 yêu cầu bên xử lý tiếp nhận sau thỏa thuận và xử lý đúng thỏa thuận. Một yêu cầu miệng từ bộ phận kinh doanh không nên được dùng để mở rộng công việc trái phạm vi đã xác lập.

Với chuyển giao thuộc điểm a, c, d khoản 1 Điều 17 Luật, khoản 1 Điều 7 Nghị định 356 yêu cầu thỏa thuận làm rõ mục đích, dữ liệu, thời hạn, cơ sở pháp lý và trách nhiệm phối hợp. Sửa phụ lục giữa hai doanh nghiệp chỉ xử lý một phần quan hệ; căn cứ đối với cá nhân vẫn phải được kiểm tra riêng. Có thể đối chiếu các điều khoản cần có trong hợp đồng xử lý dữ liệu cá nhân khi hiệu chỉnh tài liệu.

IT cần điều chỉnh quyền xem, xuất, đồng bộ và các bản sao theo phạm vi mới đã được phép. Khi một nhóm dữ liệu chưa có căn cứ sử dụng tiếp, không nên để tài khoản của dự án mới truy cập toàn bộ thư mục cũ. Người phê duyệt nội dung và người triển khai cấu hình cần cùng xác nhận kết quả.

Có phải cập nhật hồ sơ đánh giá tác động ngay không?

Phải kiểm tra nghĩa vụ hồ sơ của doanh nghiệp và loại thay đổi thực tế. Điều 22 Luật 91 quy định cập nhật định kỳ sáu tháng khi có thay đổi, cùng các trường hợp cập nhật ngay. Khoản 1 Điều 20 Nghị định 356 nêu mục đích xử lý hoặc chuyển dữ liệu mới, phát sinh hoặc thay đổi các bên liên quan trong nhóm cập nhật định kỳ theo quy định.

Khoản 2 Điều 20 Nghị định quy định cập nhật ngay trong thời hạn 10 ngày đối với các trường hợp tương ứng như tổ chức lại, thay đổi thông tin tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu, phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đã đăng ký trong hồ sơ. Không nên viết mọi thay đổi mục đích hoặc mọi thay nhà cung cấp phần mềm đều tự thuộc cùng một mốc 10 ngày.

Việc được cập nhật hồ sơ theo một kỳ không có nghĩa doanh nghiệp được xử lý mục đích mới trước khi đủ căn cứ. Thông tin cho cá nhân, đồng ý khi cần, thỏa thuận và cấu hình phải đáp ứng ở thời điểm hoạt động mới bắt đầu. Khi nộp cập nhật, dùng phương thức hiện hành theo Điều 20 Nghị định và quy định phân cấp tại Nghị quyết 22/2026/NQ-CP, tránh sao chép địa chỉ hoặc cách nộp từ tài liệu cũ.

Doanh nghiệp nên chốt thay đổi qua những công việc nào?

Nghiệp vụ mô tả mục đích mới và dữ liệu cần dùng, chỉ ra điểm khác với hoạt động cũ. Pháp chế hoặc người phụ trách dữ liệu đối chiếu căn cứ, quy định chuyên ngành, tài liệu đã thông tin và nghĩa vụ hồ sơ. Những điểm chưa đủ dữ kiện phải được làm rõ trước khi kết luận.

Người quản lý hợp đồng và hệ thống hoàn thiện chỉ dẫn, giới hạn dữ liệu, lựa chọn của cá nhân và phân quyền theo phương án đã được phép. Người có thẩm quyền phê duyệt phạm vi, thời điểm triển khai và người theo dõi. Sau khi áp dụng, kiểm tra dữ liệu thật được sử dụng, phản ánh của cá nhân và việc duy trì giới hạn.

Câu hỏi thường gặp

Sửa chính sách bảo mật trên website có đủ để đổi mục đích không?

Không tự động đủ. Cần kiểm tra cách thông tin tới cá nhân và căn cứ của hoạt động mới. Khi yêu cầu đồng ý áp dụng, việc công bố văn bản không thay hành động đồng ý đáp ứng Điều 9 và Điều 6 Nghị định 356.

Đổi phần mềm có luôn phải xin lại đồng ý không?

Không thể kết luận chỉ từ việc đổi phần mềm. Phải xem mục đích, bên xử lý, nơi xử lý, phạm vi đã đồng ý và thỏa thuận; sau đó xác định phần cần thông tin, đồng ý hoặc điều chỉnh theo quy định áp dụng.

Cá nhân không đồng ý mục đích mới thì có phải dừng dịch vụ cũ không?

Cần tách hai hoạt động và căn cứ tương ứng. Điểm b khoản 4 Điều 9 không cho phép buộc đồng ý với mục đích khác nội dung thỏa thuận. Không dùng việc từ chối nghiên cứu hoặc tiếp thị để mặc nhiên chấm dứt một công việc cũ còn đủ căn cứ thực hiện.

Justix hỗ trợ rà soát thay đổi trước khi triển khai

Doanh nghiệp có thể chuẩn bị đề xuất mới, nội dung thông tin và đồng ý cũ, danh mục dữ liệu, hợp đồng và hồ sơ đánh giá tác động đang có để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ xác định phần cần hiệu chỉnh và trách nhiệm phối hợp trong phạm vi giao dịch. Liên hệ 0372 717 888 hoặc info@justix.vn.