Thông báo xử lý dữ liệu khác gì chính sách bảo mật và văn bản đồng ý?

Thông báo xử lý dữ liệu khác gì chính sách bảo mật và văn bản đồng ý?

Ba loại tài liệu có chức năng khác nhau dù có thể được trình bày trong cùng một quy trình. Bảng so sánh và ví dụ thông báo ngắn giúp doanh nghiệp bố trí nội dung, lựa chọn và bằng chứng đúng chỗ.

Thông báo xử lý dữ liệu giải thích một hoạt động thu thập, sử dụng dữ liệu cụ thể; chính sách bảo mật trình bày cách doanh nghiệp bảo vệ, sử dụng thông tin trong phạm vi hoạt động được mô tả. Văn bản đồng ý là một cách ghi nhận việc cá nhân cho phép xử lý theo mục đích đã biết, đáp ứng điều kiện pháp luật. Doanh nghiệp có thể phối hợp các nội dung này trên một biểu mẫu, nhưng phải bảo đảm người dùng biết đủ thông tin và việc đồng ý được thể hiện, lưu giữ phù hợp. Một đường dẫn đến chính sách hoặc câu xác nhận “đã đọc” chưa tự chứng minh đồng ý với mọi hoạt động. Trước khi thiết kế tài liệu, cần xác định căn cứ xử lý và nghĩa vụ chuyên ngành của chính hoạt động đó.

Ba tên gọi cần được hiểu theo chức năng

Thông báo thường xuất hiện tại nơi thông tin được tiếp nhận: quầy đăng ký, biểu mẫu website, màn hình ứng dụng hoặc bước bổ sung dữ liệu. Nội dung giúp cá nhân hiểu ngay ai cần thông tin, dùng vào việc gì và tìm phần giải thích đầy đủ ở đâu. Đây là cách tổ chức thực hiện quyền được biết tại điểm a khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, cùng những yêu cầu thông báo cụ thể theo pháp luật liên quan.

Chính sách bảo mật, chính sách quyền riêng tư hoặc quy tắc bảo vệ thông tin là tài liệu mô tả rộng hơn về các hoạt động trong phạm vi doanh nghiệp công bố. Tên gọi không quyết định tài liệu đã đủ nội dung hay chưa. Một trang chỉ mô tả mật khẩu, tường lửa và máy chủ chưa giải thích được mục đích, bên tiếp cận, thời gian lưu hoặc cách khách hàng thực hiện quyền.

Văn bản đồng ý tập trung vào phạm vi cá nhân cho phép. Khoản 2–4 Điều 9 Luật 91 yêu cầu tự nguyện, biết rõ loại dữ liệu, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, cùng quyền và nghĩa vụ; cách thể hiện phải rõ, kiểm chứng được, theo từng mục đích. Vì vậy, ngay cả khi phần thông báo và chính sách đã đủ, doanh nghiệp còn phải xác định hành động nào thể hiện lựa chọn và giữ bằng chứng khi sử dụng căn cứ đồng ý.

 

Bảng so sánh để bố trí tài liệu

Đây là cách phân biệt theo chức năng để thiết kế công việc. Pháp luật không ấn định mọi doanh nghiệp phải có ba tệp riêng với đúng các tên dưới đây; yêu cầu cụ thể phụ thuộc hoạt động và quy định áp dụng.

Tiêu chí	Thông báo tại điểm xử lý	Chính sách bảo mật hoặc quy tắc bảo vệ thông tin	Văn bản hoặc cơ chế đồng ý
Câu hỏi cần trả lời	Thông tin đang được nhận để làm gì, bởi ai, theo phạm vi nào?	Các hoạt động trong phạm vi công bố được quản lý, bảo vệ và giải quyết quyền như thế nào?	Cá nhân cho phép mục đích nào và đã thể hiện lựa chọn bằng cách nào?
Phạm vi	Một hoạt động, biểu mẫu hoặc thời điểm cụ thể	Toàn bộ phạm vi website, ứng dụng hoặc hoạt động được xác định	Những mục đích, dữ liệu và hoạt động mà cá nhân được đề nghị chấp thuận
Vị trí và thời điểm	Đủ gần bước cung cấp dữ liệu để cá nhân tiếp cận đúng lúc; tuân thủ mốc chuyên ngành	Công khai, dễ tìm và tiếp cận theo quy định; có thể dẫn từ các điểm thu	Sau khi cung cấp thông tin cần thiết và trước hoạt động phải có đồng ý
Nội dung cần chú ý	Chủ thể, dữ liệu, mục đích, phạm vi, thời gian khi luật yêu cầu, liên hệ và phần giải thích thêm	Thông tin đầy đủ theo nhóm dữ liệu, mục đích, bên tiếp cận, lưu giữ, bảo vệ, quyền, đầu mối	Kết quả theo từng mục đích, phạm vi, người chọn, thời điểm và nội dung đã được biết
Tài liệu, bằng chứng cần giữ	Bản nội dung thực sự hiển thị, vị trí và phiên bản theo thời điểm	Các phiên bản và ngày áp dụng phù hợp hoạt động	Bản giấy, bản ghi điện tử hoặc phương thức kiểm chứng gắn với nội dung đồng ý
Rủi ro thường gặp	Thông báo sau khi đã thu; nội dung quá chung hoặc dẫn link sai	Sao chép từ website khác, bỏ sót nhà cung cấp và thời gian lưu	Ô tích sẵn; im lặng; gộp mọi mục đích; chỉ lưu kết quả “đã đọc”

 

 

Nghĩa vụ thông báo phải tra theo quy định đang áp dụng

Với thông tin người tiêu dùng, khoản 1 Điều 17 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu thông báo rõ ràng, công khai bằng hình thức phù hợp về mục đích, phạm vi thu thập, sử dụng và thời hạn lưu trước khi thực hiện, đồng thời có sự đồng ý, trừ khoản 3. Khoản 2 yêu cầu phương thức lựa chọn rõ, với các ngoại lệ được dẫn chiếu. Không thể chỉ đặt một đường dẫn khó thấy ở cuối trang rồi mặc định mọi người đã được thông tin phù hợp.

Điều 16 của Luật này còn quy định việc xây dựng quy tắc bảo vệ thông tin với nội dung về mục đích, phạm vi, thời hạn lưu và biện pháp bảo vệ, trừ khi pháp luật có quy định khác. Quy tắc được công khai ở vị trí dễ nhìn tại trụ sở, địa điểm kinh doanh và trên website, ứng dụng nếu có, để người tiêu dùng tiếp cận trước hoặc tại thời điểm thu thập. Điều 16 và Điều 17 giải quyết những yêu cầu liên quan nhưng không đồng nhất.

Khoản 3 Điều 17 có ngoại lệ đối với thông tin người tiêu dùng đã công khai hoặc trường hợp khác theo pháp luật. Ngoại lệ này không tự cho phép mọi mục đích thu thập, sử dụng lại dữ liệu cá nhân. Vẫn phải đối chiếu Điều 3, 9, 11, 19 Luật 91 và các điều kiện chuyên ngành tương ứng. Nếu thay đổi mục đích, phạm vi đã thông báo, khoản 1 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu thông báo lại và được đồng ý về thay đổi trước khi thực hiện.

Từ ngày 01/01/2026, không nên tiếp tục dẫn danh mục thông báo của Điều 13 Nghị định 13/2023/NĐ-CP như một quy định đang có hiệu lực cho mọi hoạt động. Khoản 2 Điều 42 Nghị định 356/2025/NĐ-CP quy định Nghị định 13 hết hiệu lực. Cần sử dụng quy định hiện hành và đối chiếu chuyển tiếp cụ thể, thay vì giữ nguyên số điều từ một mẫu cũ.

Chính sách công khai trên nền tảng thương mại điện tử có yêu cầu riêng

Khoản 1–2 Điều 11 Luật Thương mại điện tử 122/2025/QH15 yêu cầu công khai chính sách bảo mật trong nội dung điều kiện hoạt động, tại vị trí dễ thấy, bằng tiếng Việt, dễ hiểu và không gây nhầm lẫn. Khoản 4 còn yêu cầu cơ chế để người sử dụng thể hiện sự đồng ý với nội dung quy định tại khoản 1 trước khi mở tài khoản. Phải kiểm tra đúng loại nền tảng và chức năng, không áp dụng toàn bộ yêu cầu này cho mọi website chỉ vì có biểu mẫu liên hệ.

Điều 5 Nghị định 248/2026/NĐ-CP quy định nội dung tối thiểu của chính sách, gồm phạm vi thu thập và sử dụng, thời gian hoặc phương pháp xác định thời gian lưu, bên tiếp cận, biện pháp bảo mật và các phương thức, quy trình thực hiện quyền, tiếp nhận yêu cầu, khiếu nại, phản ánh. Các nội dung phải tuân thủ pháp luật dữ liệu và bảo vệ dữ liệu cá nhân.

Do đó, một thông báo ngắn cạnh ô email không thay toàn bộ chính sách của nền tảng. Cơ chế đồng ý với điều kiện hoạt động cũng phải được phối hợp với lựa chọn theo từng mục đích của pháp luật bảo vệ dữ liệu; không dùng nút tạo tài khoản để buộc nhận mọi quảng cáo. Có thể đọc bài chính sách bảo mật website cần có những nội dung gì để rà phần chính sách đầy đủ. Bài này tập trung phân biệt chức năng và cách phối hợp tài liệu.

Ví dụ thông báo ngắn tại biểu mẫu yêu cầu tài liệu

Tình huống giả định: Doanh nghiệp nhận email để gửi một bộ hướng dẫn sử dụng thiết bị mà người dùng chủ động yêu cầu, không đăng ký bản tin quảng cáo. Email được sử dụng trong tối đa 30 ngày để gửi tài liệu và xử lý phản hồi liên quan; doanh nghiệp không thuê bên thứ ba tiếp cận trong giả định. Pháp chế phải xác định căn cứ cho hoạt động này trước khi lựa chọn cách ghi nhận. Thời hạn 30 ngày là lựa chọn minh họa của tình huống, không phải thời hạn luật định chung.

Mẫu thông báo tại biểu mẫu: “Công ty ........................ dùng địa chỉ email bạn cung cấp để gửi bộ hướng dẫn sử dụng thiết bị theo yêu cầu và tiếp nhận phản hồi về việc gửi tài liệu, trong tối đa 30 ngày từ khi nhận yêu cầu. Chúng tôi không dùng yêu cầu này để đăng ký bạn vào danh sách quảng cáo. Xem thông tin đầy đủ về bên xử lý, quyền, nghĩa vụ, việc bảo vệ và lưu dữ liệu tại Chính sách ........................, phiên bản ........................; liên hệ về dữ liệu qua ........................”.

Phần tên, đường dẫn, phiên bản và liên hệ phải được điền trước khi hiển thị; đường dẫn cần mở được và dẫn đúng phần liên quan. Đây là mẫu thông báo ngắn, không phải toàn bộ chính sách hoặc toàn bộ bằng chứng đồng ý. Nếu hệ thống lưu cả tên, địa chỉ mạng, nội dung trao đổi hoặc có nhà cung cấp tham gia, phải mô tả dữ liệu và phạm vi thực tế, không tiếp tục công bố chỉ thu email.

Nếu xác định đúng trường hợp thực hiện thỏa thuận của cá nhân tại điểm d khoản 1 Điều 19 Luật 91, doanh nghiệp phải lưu được yêu cầu và thực hiện cơ chế giám sát tại khoản 2; vẫn đối chiếu yêu cầu người tiêu dùng khi áp dụng. Nếu hoạt động dựa vào đồng ý, trước khi thu cần cung cấp đầy đủ nội dung tại khoản 2 Điều 9, có lựa chọn rõ và lưu chứng cứ theo Điều 6 Nghị định 356. Câu “tôi đã đọc” chỉ chứng minh sự chấp thuận khi nội dung và hành động thực tế đáp ứng đủ điều kiện, không thể suy ra tự động từ câu chữ.

Phần quảng cáo, nếu có, cần một lựa chọn được mô tả riêng theo căn cứ áp dụng. Không thêm dòng “đồng thời nhận mọi ưu đãi” vào nút gửi tài liệu. Bài thu thập thông tin qua form quảng cáo có phải xin đồng ý không hướng dẫn phần quảng cáo theo kênh; không dùng thông báo ngắn trên thay cho quy trình đó.

Có thể gộp ba nội dung trên cùng một trang không?

Có thể tổ chức thông tin thành lớp ngắn tại điểm thu, phần giải thích đầy đủ dễ mở và phần lựa chọn rõ ràng. Đây là phương án thiết kế, không phải một ngoại lệ làm giảm nội dung phải cung cấp. Cá nhân cần tiếp cận được thông tin liên quan trước khi quyết định; doanh nghiệp cần chứng minh nội dung nào đã hiển thị và lựa chọn nào được thực hiện.

Ví dụ minh họa: Một trang cho đăng ký tài khoản, gửi yêu cầu bảo hành và nhận quảng cáo. Chính sách có thể mô tả cả ba hoạt động. Tuy nhiên, tại biểu mẫu bảo hành phải cho khách hiểu dữ liệu phục vụ yêu cầu đó; việc nhận quảng cáo cần được phân biệt theo mục đích, điều kiện tương ứng. Một lần khách xác nhận đã đọc chính sách ở bước tạo tài khoản không tự cho phép mọi cách sử dụng sau này, nhất là mục đích mới chưa được xác lập.

Phần bằng chứng phải được tổ chức theo yêu cầu của Điều 6 Nghị định 356. Nếu chỉ giữ bản chính sách hiện tại và một cột “đã đồng ý”, doanh nghiệp có thể không tra được khách từng nhìn thấy thông tin nào hoặc chọn mục đích gì. Nên quản lý phiên bản của chính sách, thông báo và phần lựa chọn, đồng thời ghi nhận mối liên hệ giữa chúng. Không bắt buộc mọi bản ghi đều phải thu thêm cùng một loại thông tin kỹ thuật nếu không cần thiết.

Cách rà soát bộ tài liệu đang dùng

Người quản lý website nên lập danh sách các điểm thu, gồm biểu mẫu, tài khoản, chat và các công cụ liên quan, rồi cùng bộ phận nghiệp vụ xác nhận dữ liệu, mục đích, bên tiếp cận và thời gian lưu. Đầu ra là danh sách hoạt động để đối chiếu, không chỉ danh sách các trang đang có đường dẫn chính sách.

Người phụ trách pháp lý xác định quy định áp dụng và nội dung cần sửa ở từng điểm. Marketing hoặc bộ phận phục vụ khách xác nhận câu chữ phản ánh đúng dịch vụ; IT kiểm tra nội dung xuất hiện trước lúc thu, đường dẫn, lựa chọn và bằng chứng lưu. Người phụ trách tiếp nhận yêu cầu thử việc tra phiên bản, thay đổi lựa chọn và chuyển yêu cầu đến nơi xử lý.

Khi thay đổi mục đích, công cụ hoặc bên nhận, cần xem xét đồng thời nội dung công khai và điều kiện xử lý, thỏa thuận liên quan. Sửa chính sách không tự cấp thêm quyền sử dụng dữ liệu; gửi email thông báo về bản sửa cũng không tự tạo sự đồng ý. Chỉ đưa nội dung đã được xác định phù hợp vào vận hành và giữ kết quả kiểm tra để có thể đối chiếu về sau.

Câu hỏi thường gặp

Mỗi biểu mẫu có phải đính kèm toàn bộ chính sách không?

Không có một cách trình bày duy nhất cho mọi tình huống. Có thể cung cấp phần thông tin cụ thể ngay tại biểu mẫu và đường dẫn dễ tiếp cận đến phần đầy đủ, nhưng phải bảo đảm nội dung, thời điểm và sự đồng ý khi pháp luật yêu cầu. Đường dẫn bị lỗi hoặc nội dung quá chung không đáp ứng được mục tiêu này.

Dùng cụm từ “chính sách quyền riêng tư” thay “chính sách bảo mật” có được không?

Cần xét nội dung và quy định áp dụng, không chỉ tiêu đề. Tài liệu công khai phải mô tả đúng hoạt động và đủ yêu cầu tương ứng. Nếu văn bản chuyên ngành quy định chính sách bảo mật, doanh nghiệp nên thể hiện rõ chức năng đó để người dùng và người kiểm tra dễ đối chiếu.

Đăng chính sách phiên bản mới có phải xin lại đồng ý với mọi khách không?

Không tự động. Cần xác định sửa nội dung giải thích hay thay đổi hoạt động, mục đích, phạm vi và căn cứ. Với thay đổi mục đích, phạm vi thông tin người tiêu dùng, khoản 1 Điều 18 quy định thông báo lại và được đồng ý; chuyển tiếp của sự đồng ý cũ tại khoản 1 Điều 39 Luật 91 cũng phải được đối chiếu đúng điều kiện.

Justix hỗ trợ đồng bộ tài liệu với điểm thu thập

Doanh nghiệp có thể chuẩn bị URL website, chính sách hiện có, ảnh các biểu mẫu, danh sách nhà cung cấp và mô tả cách ghi nhận lựa chọn. Dịch vụ bảo vệ dữ liệu khách hàng, website và marketing hỗ trợ soạn, sửa chính sách, thông báo và nội dung lựa chọn tại những vị trí đã thống nhất. Liên hệ 0372 717 888 hoặc info@justix.vn để trao đổi phạm vi.