Xử lý dữ liệu để thực hiện hợp đồng: có luôn cần phải xin đồng ý?

Xử lý dữ liệu để thực hiện hợp đồng: có luôn cần xin đồng ý?

Không phải mọi hoạt động xử lý dữ liệu để thực hiện hợp đồng đều cần xin đồng ý riêng. Điểm d khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân cho phép xử lý để thực hiện thỏa thuận của chủ thể với bên liên quan theo quy định pháp luật. Tuy nhiên, cần xác định chính xác người có thỏa thuận, công việc và phạm vi dữ liệu được dùng, đồng thời kiểm tra quy định chuyên ngành. Việc có một hợp đồng không tự cho phép doanh nghiệp dùng toàn bộ dữ liệu để quảng cáo hoặc cung cấp cho đối tác khác.

Điều 19 nói đến thỏa thuận của ai?

Điểm d khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 gắn căn cứ với thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan, theo quy định của pháp luật. Doanh nghiệp phải chỉ ra cá nhân được dữ liệu phản ánh và thỏa thuận đang thực hiện. Cụm “phục vụ hợp đồng” trong tên thư mục hoặc quy chế chưa trả lời được hai vấn đề này.

Một hợp đồng thuê quảng cáo giữa A và B không tự là thỏa thuận của tất cả khách hàng trong danh sách A giao cho B. Tương tự, nếu khách mua hàng cung cấp số của người nhận khác, không nên suy ra người nhận đã đồng ý mọi hoạt động chỉ vì khách mua có hợp đồng. Cần kiểm tra nguồn, quan hệ, mục đích và căn cứ đối với thông tin của người được phản ánh.

Điều 385 Bộ luật Dân sự 2015 xác định hợp đồng theo sự thỏa thuận xác lập, thay đổi hoặc chấm dứt quyền, nghĩa vụ dân sự. Khi đối chiếu Điều 19, doanh nghiệp cần làm rõ những quyền, nghĩa vụ đang thực hiện đối với cá nhân. Một ô lựa chọn hoặc hành vi nhận hàng không tự chứng minh người đó cho phép một mục đích tiếp thị khác.

Xác định dữ liệu phục vụ thực hiện hợp đồng bằng cách nào?

Nên bắt đầu từ nghĩa vụ cụ thể: xác nhận đơn, giao đúng địa điểm, xử lý thanh toán, phản hồi yêu cầu hoặc thực hiện bảo hành. Sau đó xác định dữ liệu nào liên quan đến công việc và ai cần tiếp cận. Khoản 2–3 Điều 3 Luật 91 yêu cầu đúng phạm vi, mục đích cụ thể, rõ ràng, cùng thời gian lưu phù hợp.

Ví dụ, địa chỉ để giao một kiện hàng và số liên hệ để giải quyết việc giao là các trường có quan hệ với công việc. Ngược lại, việc lấy ảnh giấy tờ định danh, thông tin gia đình hoặc lịch sử thu nhập cần căn cứ và sự liên quan riêng; không nên bổ sung chỉ vì biểu mẫu mặc định đang có các trường đó. Không có một danh mục dữ liệu “cần cho hợp đồng” dùng cho mọi ngành và mọi giao dịch.

Pháp chế và nghiệp vụ có thể kiểm tra bằng ba câu hỏi: công việc nào bị ảnh hưởng nếu không dùng trường này; có cách thực hiện phù hợp với ít thông tin hơn không; việc sử dụng có vượt công việc cá nhân đã thỏa thuận không. Đây là cách đánh giá được đề xuất để áp dụng nguyên tắc luật định, không phải ba điều kiện được Điều 19 liệt kê nguyên văn.

Ví dụ: giao hàng xong có được nhắn quảng cáo lại không?

Tình huống giả định: Khách K mua một máy lọc nước để dùng trong gia đình, yêu cầu giao tại nhà và cung cấp số liên hệ. Cửa hàng A giao thông tin cần thiết cho đơn vị B thực hiện giao hàng. Sau khi hoàn thành, bộ phận kinh doanh muốn dùng số của K để gửi SMS khuyến mại, đồng thời đề nghị B giữ danh sách để liên hệ về sản phẩm khác. Giả định K chưa đăng ký nhận quảng cáo.

Với phần thực hiện đơn hàng, A cần kiểm tra thỏa thuận với K và quy định áp dụng cho thông tin người tiêu dùng. Khi giao dữ liệu cho B, còn phải xác định vai trò, căn cứ chuyển giao và thỏa thuận giữa hai bên. Có thể xem xét điểm d khoản 1 Điều 19 trong phạm vi thực hiện thỏa thuận, nhưng không bỏ qua điều kiện chuyên ngành hoặc toàn bộ việc chuyển giao.

Với SMS khuyến mại, đây là mục đích khác với việc giao đơn hàng. A không thể viện dẫn đơn đã mua để thay cho đăng ký nhận quảng cáo. Việc B dùng danh sách để quảng cáo sản phẩm của mình cũng phải được đánh giá riêng về vai trò, căn cứ và giới hạn sử dụng; hợp đồng giao hàng không tự cho B quyền này.

 

Yêu cầu chỉnh sửaCtrl Shift X

Bảng xử lý tình huống giao hàng và quảng cáo lại

Hoạt động	Quan hệ với đơn hàng	Căn cứ, điều kiện cần kiểm tra	Cách xử lý đề xuất	Tài liệu đầu ra
A dùng tên, địa chỉ, số liên hệ để thực hiện đơn	Gắn với công việc K yêu cầu	Điều 19.1.d, Điều 3 Luật 91; quy định thông tin người tiêu dùng	Chỉ dùng trong phạm vi thực hiện; kiểm tra nguồn, nội dung đã thông tin	Đơn hàng, thỏa thuận, mục đích và trường dữ liệu
A chuyển dữ liệu cho B để giao	Là một hoạt động chuyển giao cần kiểm tra riêng	Điều 17 Luật 91, Điều 7 Nghị định 356; Điều 15.2 Luật BVQLNTD nếu thuộc thuê, ủy quyền xử lý	Xác định vai trò B, căn cứ và giới hạn trước khi gửi	Thỏa thuận, bằng chứng phù hợp, phạm vi đã giao
A gửi SMS khuyến mại sau giao	Mục đích quảng cáo mới	Điều 9 Luật 91; Điều 18 Luật BVQLNTD; Điều 11, 13 Nghị định 91/2020	Chưa gửi khi chưa đủ điều kiện; thiết lập lựa chọn và kiểm tra đúng kênh	Nội dung, thời điểm đăng ký; danh sách đủ điều kiện; cơ chế từ chối
B giữ danh sách để quảng cáo riêng	Vượt nhiệm vụ giao hàng giả định	Căn cứ sử dụng riêng, vai trò B và giới hạn chuyển giao	Không cho phép chỉ bằng hợp đồng giao hàng; rà soát trước mục đích mới	Quyết định giới hạn; điều khoản hiệu chỉnh; tài liệu xử lý dữ liệu
Lưu sau hoàn thành để giải quyết công việc còn tồn tại	Có thể có mục đích hoặc nghĩa vụ riêng	Điều 3, 14 Luật 91 và quy định lưu giữ cụ thể thực sự áp dụng	Xác định dữ liệu, lý do, thời gian; không giữ vô hạn cả danh sách	Lịch lưu theo nhóm hồ sơ, quyền truy cập, xử lý khi hết căn cứ

 

 

 

Thông tin người tiêu dùng có yêu cầu riêng gì?

Điểm b khoản 3 Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng quy định trường hợp sử dụng để bán, cung cấp sản phẩm, hàng hóa, dịch vụ theo yêu cầu của người tiêu dùng, chỉ trong phạm vi thông tin người tiêu dùng đã đồng ý. Không nên diễn giải thành quyền lấy thêm mọi thông tin cần theo đánh giá đơn phương của bên bán.

Khoản 2 Điều 15 yêu cầu sự đồng ý của người tiêu dùng khi doanh nghiệp thuê, ủy quyền bên thứ ba thực hiện các hoạt động thông tin được quy định; việc thuê, ủy quyền phải bằng văn bản, xác định phạm vi và trách nhiệm bảo vệ. Ngoại lệ về cơ chế lựa chọn chia sẻ tại điểm a khoản 4 Điều 18 có điều kiện riêng về thông tin được thu thập hợp pháp, bên nhận lưu trữ hoặc phân tích phục vụ kinh doanh của bên chuyển và thỏa thuận bảo vệ bằng văn bản. Không dùng ngoại lệ này như miễn toàn bộ yêu cầu của Điều 15.

Khi thay đổi mục đích, phạm vi đã thông báo, khoản 1 Điều 18 yêu cầu thông báo lại và có đồng ý về thay đổi. Khoản 4 còn yêu cầu cơ chế lựa chọn đối với sử dụng thông tin cho quảng cáo, giới thiệu sản phẩm và hoạt động thương mại khác. Vì vậy, đơn hàng và lựa chọn nhận tiếp thị cần được quản lý theo phạm vi riêng, dù cùng nằm trong một hệ thống khách hàng.

Vì sao hợp đồng không thay được đăng ký nhận quảng cáo?

Điều 9 Luật 91 yêu cầu sự đồng ý tự nguyện, có thông tin rõ và theo từng mục đích; không được buộc đồng ý với mục đích khác nội dung thỏa thuận. Điều 6 Nghị định 356/2025/NĐ-CP yêu cầu phương thức có thể kiểm chứng người đồng ý, thời điểm, nội dung; không thiết lập mặc định đồng ý hoặc hướng dẫn gây hiểu lầm.

Đối với SMS, email và cuộc gọi quảng cáo, khoản 1–2, 4 Điều 11 Nghị định 91/2020/NĐ-CP yêu cầu kiểm tra Danh sách không quảng cáo trong phạm vi số điện thoại, đồng ý trước và trách nhiệm kiểm tra đồng ý rõ ràng. Điều 13 quy định thêm nguyên tắc theo kênh, gồm việc dừng sau yêu cầu từ chối. Một dòng chung “khách đồng ý chính sách” không tự chứng minh đã đáp ứng các điều kiện này.

Trong tình huống A, nên tách lựa chọn đăng ký quảng cáo khỏi thông tin cần cho đơn hàng, ghi phạm vi kênh và nội dung, lưu bằng chứng cùng yêu cầu từ chối. Chỉ đưa người đủ điều kiện vào chiến dịch phù hợp. Khi cần thiết kế điểm thu thông tin, có thể đối chiếu bài thu thập thông tin qua form quảng cáo có phải xin đồng ý không.

Hợp đồng với đơn vị giao hàng cần kiểm soát điều gì?

Trước hết, xác định B đang xử lý theo yêu cầu thông qua hợp đồng hay có mục đích, quyền quyết định riêng. Nếu là bên xử lý, khoản 2 Điều 37 Luật 91 yêu cầu có thỏa thuận trước tiếp nhận, xử lý đúng thỏa thuận và thực hiện đầy đủ biện pháp bảo vệ. Không chỉ nhìn tên “đơn vị vận chuyển” để kết luận mọi hoạt động đều có cùng vai trò.

Đối với chuyển giao thuộc phạm vi khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP, thỏa thuận cần ghi mục đích, loại dữ liệu và chủ thể, thời hạn xử lý, xóa hoặc hủy, cơ sở pháp lý, trách nhiệm bảo vệ, thực hiện quyền và phối hợp khi phát hiện vi phạm. A và B nên xác nhận thông tin được cung cấp cho người trực tiếp giao hàng và giới hạn truy cập các đơn khác.

Nếu có nhà cung cấp tiếp theo hoặc thay đổi nơi xử lý, phải rà soát luồng, căn cứ và điều khoản liên quan trước khi mở rộng. Khi kết thúc, kiểm tra dữ liệu trả lại, xóa, hủy và phần còn phải lưu theo căn cứ riêng. Có thể xem thêm bài chia sẻ dữ liệu khách hàng cho đối tác để đối chiếu giới hạn chuyển giao.

Khách rút đồng ý hoặc đơn hàng kết thúc thì làm gì?

Điều 10 Luật 91 điều chỉnh rút lại đồng ý, hạn chế xử lý và có ngoại lệ liên quan Điều 19 hoặc quy định khác. Doanh nghiệp cần xác định khách muốn dừng quảng cáo, rút một mục đích đã đồng ý hay yêu cầu xóa dữ liệu. Không coi tất cả yêu cầu là hủy đơn hàng; cũng không tiếp tục quảng cáo chỉ vì còn một công việc hợp đồng khác.

Khi đơn kết thúc, khoản 3 Điều 3 và Điều 14 yêu cầu kiểm tra mục đích lưu và các trường hợp xóa, hủy. Nếu cần giữ một chứng từ hoặc tài liệu để thực hiện nghĩa vụ pháp luật, phải xác định quy định và nhóm hồ sơ cụ thể. Không có một thời hạn lưu chung có thể áp cho mọi dữ liệu khách hàng chỉ từ Điều 19.

Khoản 2 Điều 19 vẫn yêu cầu cơ chế giám sát đối với hoạt động xử lý không cần đồng ý. Người phụ trách cần theo dõi mục đích, quyền truy cập, phản ánh và thay đổi, cùng các nghĩa vụ liên quan theo diện áp dụng. Ngoại lệ đồng ý không thay cho quy trình thực hiện quyền hoặc biện pháp bảo vệ.

Doanh nghiệp có thể rà soát trong bốn bước

Bước 1: Nghiệp vụ tách các công việc trước, trong và sau hợp đồng; ghi cá nhân liên quan, trường dữ liệu và người nhận. Đầu ra là danh mục hoạt động theo mục đích, tránh ghi một dòng bao trùm “phục vụ khách hàng”.

Bước 2: Pháp chế đối chiếu thỏa thuận của chủ thể, Điều 19 và pháp luật chuyên ngành. Ghi phần có căn cứ không cần đồng ý, phần cần căn cứ khác và dữ kiện còn phải xác minh. Không dùng một phụ lục dữ liệu chung để kết luận thay cho mọi giao dịch.

Bước 3: Người quản lý hệ thống và hợp đồng triển khai giới hạn đã xác nhận: cấu hình quyền, danh sách cung cấp cho bên nhận, lựa chọn tiếp thị và bằng chứng. Đầu ra phải thể hiện hoạt động thật, không chỉ là một bản chính sách.

Bước 4: Khi công việc hoàn thành hoặc có yêu cầu, kiểm tra thời gian lưu, dữ liệu ở đối tác, mục đích tiếp tục và việc phải dừng. Lưu kết quả để các bộ phận vận hành cùng một phạm vi đã được xác nhận.

Câu hỏi thường gặp

Khách ký hợp đồng có đồng nghĩa đồng ý mọi mục đích dữ liệu không?

Không. Phải phân biệt căn cứ thực hiện thỏa thuận với đồng ý cho mục đích khác. Điều 9 yêu cầu đồng ý theo từng mục đích và không buộc chấp thuận mục đích ngoài nội dung thỏa thuận.

Hợp đồng giữa hai công ty có miễn đồng ý đối với thông tin người đại diện không?

Không thể kết luận chỉ từ hợp đồng giữa hai pháp nhân. Cần xác định cá nhân được phản ánh, quan hệ và hoạt động sử dụng cụ thể, rồi đối chiếu căn cứ phù hợp. Không mặc nhiên coi người đại diện đã cho phép tiếp thị riêng vì họ ký thay công ty.

Có thể giữ dữ liệu sau giao hàng để phòng mọi tranh chấp về sau không?

Cần xác định mục đích, căn cứ, phạm vi và thời gian lưu phù hợp. Lý do chung “phòng tranh chấp” chưa đủ cho việc giữ vô hạn toàn bộ lịch sử, bản ghi và danh sách liên hệ.

Tin báo trạng thái giao hàng có phải quảng cáo không?

Cần xem nội dung và mục đích thực tế. Thông tin phục vụ giao một đơn khác việc giới thiệu khuyến mại hoặc sản phẩm mới. Không gắn nội dung quảng cáo vào thông báo giao hàng rồi chỉ áp căn cứ thực hiện đơn.

Justix hỗ trợ rà soát phạm vi dữ liệu trong hợp đồng

Doanh nghiệp có thể gửi điều khoản khách hàng, mẫu đặt hàng, thông báo dữ liệu, lựa chọn tiếp thị và hợp đồng với đơn vị giao hàng để trao đổi dịch vụ hợp đồng và phụ lục bảo vệ dữ liệu cá nhân. Justix hỗ trợ phân biệt công việc thực hiện thỏa thuận và mục đích phát sinh, rà soát căn cứ và trách nhiệm của bên nhận. Liên hệ 0372 717 888 hoặc info@justix.vn