Xử lý dữ liệu cá nhân không cần đồng ý: trường hợp nào được áp dụng?

Xử lý dữ liệu cá nhân không cần đồng ý: trường hợp nào được áp dụng?

Xử lý dữ liệu cá nhân không cần đồng ý chỉ được áp dụng khi hoạt động thực tế đáp ứng trường hợp luật quy định. Điều 19 Luật Bảo vệ dữ liệu cá nhân nêu các nhóm liên quan đến bảo vệ quyền, lợi ích trong điều kiện cụ thể; tình trạng khẩn cấp và an ninh; hoạt động nhà nước; thỏa thuận của chủ thể; trường hợp khác theo pháp luật. Doanh nghiệp phải xác định căn cứ cho từng mục đích, đồng thời duy trì cơ chế giám sát và bảo vệ. Không cần xin đồng ý không có nghĩa được thu thập tùy ý, giữ vô thời hạn hoặc sử dụng tiếp cho một mục đích khác.

Căn cứ không cần đồng ý phải được xác định theo luật hiện hành

Điều 9 và khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 điều chỉnh sự đồng ý và việc thu thập trước khi có đồng ý, trừ trường hợp pháp luật quy định khác. Điều 19 là căn cứ cần đối chiếu khi doanh nghiệp dự kiến xử lý mà không dùng sự đồng ý. Phải đọc điều kiện của từng điểm, không chỉ chọn một tên nhóm gần với công việc.

Đặc biệt, cần phân biệt “thực hiện thỏa thuận của chủ thể dữ liệu” với “doanh nghiệp có hợp đồng với ai đó”. Tương tự, không thể coi bất kỳ lợi ích kinh doanh nào cũng là quyền xử lý không cần đồng ý. Phải xác định chính xác điều kiện của pháp luật Việt Nam, không đưa một căn cứ của pháp luật nước ngoài vào thay cho quy định áp dụng tại Việt Nam.

 

Yêu cầu chỉnh sửaCtrl Shift X

Bảng căn cứ, điều kiện và tài liệu cần đối chiếu

Bảng hệ thống hóa khoản 1 Điều 19. Cột tài liệu là gợi ý cách ghi nhận việc áp dụng, không phải bộ hồ sơ hoặc mẫu bắt buộc được điều luật quy định cho mọi trường hợp.

Căn cứ tại Điều 19.1	Điều kiện phải làm rõ	Ví dụ áp dụng có điều kiện	Tài liệu nên đối chiếu, lưu	Giới hạn cần nhớ
Điểm a – bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp trong trường hợp cấp bách	Có tình huống cấp bách và quan hệ giữa dữ liệu với việc bảo vệ	Cung cấp thông tin cần thiết để hỗ trợ người bất tỉnh tại nơi làm việc	Ghi nhận sự việc, thời điểm, thông tin cung cấp, người nhận và lý do	Không công khai toàn bộ hồ sơ; các bên liên quan có trách nhiệm chứng minh trường hợp
Điểm a – bảo vệ quyền, lợi ích chính đáng một cách cần thiết trước hành vi xâm phạm	Có hành vi xâm phạm và sự cần thiết của hoạt động bảo vệ	Lưu thông tin liên quan trực tiếp đến hành vi xâm phạm để thực hiện biện pháp bảo vệ hợp pháp	Dữ kiện hành vi, quyền bị ảnh hưởng, phạm vi dữ liệu và biện pháp lựa chọn	Không phải quyền theo dõi hoặc khai thác mọi người vì “lợi ích doanh nghiệp”
Điểm b – tình trạng khẩn cấp, nguy cơ an ninh, phòng chống bạo loạn, khủng bố, tội phạm, vi phạm pháp luật	Đúng tình huống, chức năng và pháp luật điều chỉnh hoạt động	Cung cấp dữ liệu trong một yêu cầu hợp pháp phục vụ hoạt động có thẩm quyền	Yêu cầu, căn cứ thẩm quyền, mục đích, phạm vi và việc bàn giao	Không tự mở rộng quyền điều tra hoặc thu thập của doanh nghiệp
Điểm c – hoạt động của cơ quan nhà nước, quản lý nhà nước	Hoạt động và phạm vi theo quy định pháp luật	Thực hiện yêu cầu dữ liệu đúng thẩm quyền, nhiệm vụ	Văn bản hoặc căn cứ yêu cầu, dữ liệu đáp ứng, xác nhận giao nhận	Tên một cơ quan trong email chưa đủ chứng minh căn cứ
Điểm d – thực hiện thỏa thuận của chủ thể dữ liệu với bên liên quan	Có thỏa thuận của chính chủ thể và hoạt động thực hiện phù hợp pháp luật	Xử lý thông tin cần cho công việc người đó đã thỏa thuận	Thỏa thuận, yêu cầu nghiệp vụ, nguồn dữ liệu và giới hạn sử dụng	Không tự bao phủ quảng cáo hoặc dữ liệu của người khác
Điểm đ – trường hợp khác theo pháp luật	Chỉ ra quy định cụ thể và đủ điều kiện áp dụng	Thực hiện nghĩa vụ chuyên ngành có căn cứ cho hoạt động dữ liệu đó	Văn bản, điều khoản, loại thông tin, bên nhận và thời hạn liên quan	Không dùng cụm “theo luật” thay cho việc xác định điều khoản

 

 

 

Trường hợp bảo vệ quyền, lợi ích không chỉ có cấp cứu

Điểm a khoản 1 Điều 19 có hai nội dung cần đọc đầy đủ. Một nội dung là bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể hoặc người khác trong trường hợp cấp bách. Nội dung còn lại là bảo vệ quyền, lợi ích chính đáng của mình, người khác hoặc lợi ích của Nhà nước, cơ quan, tổ chức một cách cần thiết trước hành vi xâm phạm các lợi ích đó.

Với nội dung thứ hai, phải làm rõ quyền, lợi ích bị xâm phạm, hành vi xâm phạm và sự cần thiết của việc xử lý. Ví dụ, việc giữ tài liệu liên quan trực tiếp đến một hành vi xâm phạm để thực hiện biện pháp bảo vệ hợp pháp cần được phân biệt với việc thu thập hàng loạt thông tin không liên quan. Cụm “bảo vệ doanh nghiệp” trong chính sách nội bộ chưa chứng minh các yếu tố này.

Điểm a cũng quy định trách nhiệm chứng minh đối với bên kiểm soát, bên xử lý, bên kiểm soát và xử lý, bên thứ ba. Nên ghi nhận dữ kiện và lý do tại thời điểm quyết định, cùng dữ liệu được dùng, người nhận và phạm vi. Việc tổ chức tài liệu cụ thể là cách quản trị được đề xuất; không nên tạo một mẫu ký xác nhận rồi cho rằng mẫu đó tự chứng minh mọi điều kiện đã tồn tại.

Yêu cầu từ cơ quan nhà nước cần được kiểm tra thế nào?

Điểm b, c khoản 1 Điều 19 phải được áp dụng cùng quy định điều chỉnh hoạt động có liên quan. Khi doanh nghiệp nhận yêu cầu, cần xác minh cơ quan, người gửi, thẩm quyền, mục đích và phạm vi. Đối với chuyển giao theo yêu cầu cơ quan có thẩm quyền, còn đối chiếu điểm đ khoản 1 Điều 17 Luật.

Không nên từ chối một yêu cầu hợp pháp chỉ vì chưa có đồng ý của cá nhân. Ngược lại, không nên gửi cả cơ sở dữ liệu chỉ vì văn bản có tiêu đề “phục vụ kiểm tra”. Bộ phận phụ trách cần xác định dữ liệu thực sự được yêu cầu và cách cung cấp an toàn. Nếu phạm vi hoặc căn cứ chưa rõ, cần làm rõ với cơ quan yêu cầu bằng kênh phù hợp; không tự suy đoán thêm quyền hạn.

Thực hiện thỏa thuận của cá nhân có giới hạn gì?

Điểm d khoản 1 Điều 19 không viết rằng mọi dữ liệu xuất hiện trong quan hệ hợp đồng đều được dùng không cần đồng ý. Cần xác định cá nhân nào có thỏa thuận, công việc nào đang được thực hiện và việc xử lý có phù hợp thỏa thuận, pháp luật hay không. Một hợp đồng dịch vụ giữa doanh nghiệp và đối tác không tự là thỏa thuận của tất cả người được danh sách phản ánh.

Nếu dùng thông tin để thực hiện một đơn hàng, mục đích đó phải được phân biệt với việc lập hồ sơ tiếp thị hoặc chuyển cho một đơn vị giới thiệu sản phẩm khác. Điều 3 yêu cầu xử lý đúng phạm vi và mục đích cụ thể, rõ ràng. Mục đích mới phải có căn cứ phù hợp; không thể tiếp tục viện dẫn thỏa thuận cũ chỉ vì dữ liệu đã có sẵn.

Với thông tin người tiêu dùng, khoản 2 Điều 5 Luật 91 yêu cầu đối chiếu quy định cụ thể có liên quan. Khoản 2 Điều 15, khoản 1 và khoản 3–4 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng đặt các yêu cầu về thuê, ủy quyền xử lý, sử dụng, thay đổi mục đích và cơ chế lựa chọn. Không đọc Điều 19 tách khỏi các điều kiện chuyên ngành của giao dịch.

Ví dụ: cung cấp thông tin để hỗ trợ người gặp tình huống cấp bách

Tình huống giả định: Một người lao động bất tỉnh tại kho. Người phụ trách cần cung cấp thông tin nhận diện và thông tin liên quan đang có hợp pháp cho lực lượng hỗ trợ, đồng thời liên hệ người phù hợp để hỗ trợ việc cấp cứu. Vì người đó không thể xác nhận ngay, doanh nghiệp phải đánh giá việc cung cấp theo điểm a khoản 1 Điều 19.

Nếu dữ kiện cho thấy tình huống cấp bách và thông tin cần cho việc bảo vệ tính mạng, sức khỏe, có thể áp dụng căn cứ này trong phạm vi phù hợp. Người phụ trách cần ghi nhận sự việc, dữ liệu nào đã cung cấp, cung cấp cho ai và vì sao. Không vì có sự việc cấp bách mà gửi hồ sơ lương, lịch sử công việc hoặc đăng hình ảnh lên nhóm công khai nếu các hoạt động đó không đáp ứng căn cứ.

Sau sự việc, bộ phận phụ trách rà lại phạm vi sử dụng, quyền truy cập và các bản sao phát sinh. Những thông tin còn cần cho công việc hoặc nghĩa vụ pháp lý phải được xác định riêng; không duy trì quyền truy cập mở với lý do tình huống ban đầu. Đây là bước thực hiện cơ chế giám sát, không phải yêu cầu cá nhân ký đồng ý hồi tố để hợp pháp hóa mọi thao tác.

Không xin đồng ý thì còn nghĩa vụ nào?

Khoản 2 Điều 19 Luật 91/2025/QH15 yêu cầu thiết lập cơ chế giám sát gồm quy trình và trách nhiệm; biện pháp bảo vệ cùng đánh giá rủi ro thường xuyên; kiểm tra, đánh giá tuân thủ định kỳ; cơ chế tiếp nhận, xử lý phản ánh, kiến nghị. Đây là nghĩa vụ của hoạt động xử lý theo ngoại lệ, không phải công việc chỉ thực hiện khi đã có khiếu nại.

Nguyên tắc tại Điều 3 vẫn áp dụng, gồm giới hạn mục đích, tính chính xác, thời gian lưu phù hợp và biện pháp bảo vệ. Quyền của cá nhân tại Điều 4 cũng không bị xóa bỏ; việc thực hiện từng quyền cần xét giới hạn và quy định tương ứng. Quyền được biết không đồng nhất với yêu cầu đồng ý, cũng không được hiểu thành một thủ tục thông báo trước giống nhau cho mọi hoạt động khi chưa đọc điều khoản áp dụng.

Nghĩa vụ chuyển giao, đánh giá tác động, chuyển xuyên biên giới hoặc thông báo vi phạm phải được kiểm tra riêng theo Điều 17, 20–23 và trường hợp áp dụng. Việc đủ căn cứ Điều 19 không tự miễn các nghĩa vụ này. Ngược lại, không nên suy ra chỉ vì có dữ liệu cá nhân thì mọi tổ chức đều có cùng một bộ hồ sơ phải gửi.

Quy trình kiểm tra căn cứ nên có đầu ra gì?

Trước khi xử lý, bộ phận nghiệp vụ ghi rõ mục đích, dữ liệu, người liên quan và tình huống thực tế. Pháp chế hoặc người phụ trách đối chiếu điều khoản, xác định điều kiện còn thiếu và giới hạn sử dụng. Người có thẩm quyền chốt việc thực hiện; với tình huống cấp bách, quy trình phải giúp xử lý kịp thời và ghi nhận quyết định phù hợp.

Trong quá trình xử lý, người vận hành kiểm soát quyền truy cập, người nhận và dữ liệu phát sinh. Nên lưu tài liệu làm cơ sở quyết định cùng dấu vết bàn giao hoặc sử dụng trong phạm vi cần thiết. Không thu thêm thông tin không liên quan chỉ để tạo một hồ sơ chứng minh lớn hơn.

Khi mục đích hoặc hoàn cảnh thay đổi, rà lại căn cứ, thời gian lưu và việc tiếp tục sử dụng. Tài liệu đầu ra nên cho thấy hoạt động được phép, điều kiện áp dụng, phần đã dừng và người chịu trách nhiệm. Nếu chưa xác định được điều khoản cho một mục đích mới, chưa thể coi hoạt động đó được miễn đồng ý; phải chọn cách xử lý có căn cứ phù hợp.

Câu hỏi thường gặp

Khách đã công khai số điện thoại thì được dùng không cần đồng ý không?

Không thể kết luận chỉ từ việc công khai. Cần xác định căn cứ cho hoạt động thu thập và sử dụng lại, mục đích, phạm vi cùng quy định liên quan. Dữ liệu nhìn thấy trên mạng không tự thuộc một ngoại lệ của Điều 19.

Công ty có quy chế “vì lợi ích hợp pháp” thì đủ căn cứ chưa?

Chưa đủ. Nếu dựa vào điểm a khoản 1 Điều 19, phải chứng minh điều kiện của điểm này, gồm tình huống cấp bách hoặc sự cần thiết trước hành vi xâm phạm theo nội dung tương ứng. Quy chế nội bộ không tạo thêm một căn cứ ngoài pháp luật.

Có phải lập một mẫu hồ sơ miễn đồng ý cho mọi trường hợp không?

Điều 19 không quy định một mẫu chung mang tên đó. Cần thiết lập cơ chế giám sát và có tài liệu đủ để kiểm tra việc áp dụng; hồ sơ chuyên ngành hoặc hồ sơ đánh giá tác động được xác định theo quy định riêng.

Thuê đối tác xử lý thì căn cứ không cần đồng ý của doanh nghiệp tự bao phủ đối tác không?

Không tự động bao phủ mọi việc đối tác làm. Phải kiểm tra nhiệm vụ được giao, phạm vi dữ liệu, vai trò, căn cứ chuyển giao và mục đích của bên nhận. Nếu đối tác sử dụng riêng, hoạt động đó cần được đánh giá riêng.

Justix hỗ trợ kiểm tra căn cứ trước khi hoàn thiện thỏa thuận

Doanh nghiệp có thể gửi mô tả hoạt động, thỏa thuận của cá nhân, yêu cầu hoặc tài liệu pháp lý liên quan, cùng dự thảo hợp đồng với bên nhận để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ đối chiếu căn cứ, giới hạn xử lý và trách nhiệm phối hợp. Liên hệ 0372 717 888 hoặc info@justix.vn.