Quản lý sự đồng ý của chủ thể dữ liệu

Sự đồng ý của chủ thể dữ liệu là căn cứ xử lý phổ biến nhất — và cũng là căn cứ dễ bị vô hiệu nhất nếu quản lý sai cách. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) dành Điều 9 quy định điều kiện hiệu lực của sự đồng ý, Điều 10 ghi nhận quyền rút lại và yêu cầu hạn chế xử lý, Điều 19 liệt kê các trường hợp xử lý không cần đồng ý. Trên thực tế, “quản lý sự đồng ý” là cả một vòng đời: thu thập, lưu trữ bằng chứng, theo dõi hiệu lực, xử lý yêu cầu rút lại, và làm mới đồng ý khi mục đích thay đổi.

Sự đồng ý theo Điều 9: khái niệm và điều kiện hiệu lực

Khoản 1 Điều 9 định nghĩa sự đồng ý là việc chủ thể cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác. Khoản 2 đặt điều kiện hiệu lực: sự đồng ý chỉ có hiệu lực khi dựa trên sự tự nguyện và chủ thể biết rõ ba nhóm thông tin — loại dữ liệu được xử lý và mục đích xử lý; bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý; các quyền, nghĩa vụ của chủ thể dữ liệu. “Biết rõ” là tiêu chuẩn thực chất: văn bản dài hàng chục trang với ngôn ngữ khó hiểu, mà chủ thể ký vì “không ký thì không được dùng dịch vụ”, khó đáp ứng đồng thời cả tự nguyện lẫn biết rõ.

Sự đồng ý không hợp lệ kéo theo hệ quả nghiêm trọng: toàn bộ hoạt động xử lý dựa trên đó có nguy cơ bị coi là xử lý dữ liệu cá nhân trái quy định của pháp luật — hành vi bị nghiêm cấm tại khoản 4 Điều 7. Thu thập sự đồng ý không phải thủ tục “lấy cho có”, mà là cấu phần pháp lý quyết định tính hợp pháp của cả luồng xử lý.

Hình thức thể hiện sự đồng ý

Khoản 3 Điều 9 yêu cầu sự đồng ý thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản — bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được. Yêu cầu “có thể in, sao chép” mang ý nghĩa chứng cứ: khi tranh chấp, doanh nghiệp phải xuất trình được bằng chứng về việc chủ thể đã đồng ý và đồng ý vào nội dung gì. Với đồng ý bằng giấy, đó là văn bản có chữ ký; với đồng ý điện tử, đó là bản ghi trích xuất được — log ghi nhận thời điểm, nội dung văn bản và phương thức xác thực danh tính.

Khoản 5 Điều 9 giao Chính phủ quy định chi tiết khoản 3 — được cụ thể hóa trong Nghị định 356/2025/NĐ-CP. Trong thực hành, doanh nghiệp nên chuẩn hóa hình thức đồng ý theo từng kênh: văn bản giấy có chữ ký cho giao dịch trực tiếp quan trọng; checkbox điện tử có ghi nhận log cho website, ứng dụng; biên bản kèm bản ghi âm cho đồng ý qua tổng đài. Mỗi hình thức đều phải bảo đảm khả năng truy xuất, chứng minh.

Bốn nguyên tắc bắt buộc khi thu thập sự đồng ý

Khoản 4 Điều 9 quy định bốn nguyên tắc mọi cơ chế thu thập sự đồng ý phải tuân thủ. Thứ nhất, thể hiện sự đồng ý đối với từng mục đích: không gộp nhiều mục đích không liên quan thành một lần đồng ý duy nhất — ví dụ một checkbox “đồng ý” bao trùm cả cung cấp dịch vụ, marketing, phân tích hành vi và chia sẻ cho đối tác. Mỗi mục đích cần cơ chế đồng ý riêng để chủ thể có thể đồng ý mục đích này mà từ chối mục đích khác.

Thứ hai, không kèm điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận — không được ép chủ thể “muốn dùng dịch vụ thì phải đồng ý nhận quảng cáo”. Thứ ba, sự đồng ý có hiệu lực cho đến khi chủ thể thay đổi — nền tảng cho quyền rút lại sự đồng ý tại Điều 10. Thứ tư, im lặng hoặc không phản hồi không được coi là đồng ý — loại bỏ các cơ chế “mặc định đồng ý” (pre-ticked checkbox).

Các trường hợp xử lý không cần sự đồng ý

Điều 19 liệt kê năm nhóm trường hợp xử lý không cần sự đồng ý: (a) bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể hoặc người khác trong trường hợp cấp bách; (b) giải quyết tình trạng khẩn cấp, phòng chống bạo loạn, khủng bố, tội phạm; (c) phục vụ hoạt động của cơ quan nhà nước, quản lý nhà nước; (d) thực hiện thỏa thuận của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan; (e) trường hợp khác theo quy định của pháp luật.

Với doanh nghiệp tư nhân, hai căn cứ thực tế nhất là điểm a (tình huống cấp bách) và điểm d (thực hiện thỏa thuận — xử lý dữ liệu cần thiết để thực hiện hợp đồng mà chủ thể là một bên). Nhưng khoản 2 Điều 19 đặt nghĩa vụ đi kèm: tổ chức xử lý theo các trường hợp này phải thiết lập cơ chế giám sát gồm quy trình xử lý, phân định trách nhiệm, biện pháp bảo vệ, đánh giá rủi ro thường xuyên, kiểm tra định kỳ việc tuân thủ và cơ chế tiếp nhận, xử lý phản ánh. “Không cần đồng ý” không có nghĩa là “không cần kiểm soát”.

Sự đồng ý đối với trẻ em và người yếu thế

Điều 24 quy định đặc thù cho trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi. Với các nhóm này (trừ trẻ em), người đại diện theo pháp luật thay mặt thực hiện các quyền của chủ thể dữ liệu, trừ các trường hợp không cần đồng ý theo khoản 1 Điều 19. Riêng với trẻ em, khoản 2 Điều 24: công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên phải có sự đồng ý của cả trẻ em và người đại diện theo pháp luật.

Quy định này tác động trực tiếp đến doanh nghiệp cung cấp dịch vụ cho trẻ em — học trực tuyến, giải trí, chăm sóc sức khỏe nhi — và cả doanh nghiệp dùng hình ảnh trẻ em cho marketing. Cơ chế đồng ý phải được thiết kế hai lớp: xác minh độ tuổi, và khi cần, thu thập đồng ý của người đại diện theo pháp luật. Khoản 3 Điều 24 quy định nghĩa vụ ngừng xử lý khi người đã đồng ý rút lại sự đồng ý, hoặc khi cơ quan có thẩm quyền yêu cầu.

Rút lại sự đồng ý và yêu cầu hạn chế xử lý

Điều 10 ghi nhận quyền của chủ thể yêu cầu rút lại sự đồng ý và yêu cầu hạn chế xử lý khi có nghi ngờ về phạm vi, mục đích xử lý hoặc tính chính xác của dữ liệu — trừ các trường hợp xử lý không cần đồng ý theo Điều 19 hoặc pháp luật có quy định khác. Yêu cầu phải thể hiện bằng văn bản, bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được, gửi cho bên kiểm soát hoặc bên kiểm soát và xử lý.

Khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP cụ thể hóa thời gian: phản hồi trong 02 ngày làm việc kèm đầy đủ thông tin về thủ tục ngừng xử lý, thực hiện trong 15 ngày — 20 ngày nếu cần yêu cầu bên xử lý, bên thứ ba cùng ngừng xử lý. Trường hợp phức tạp được gia hạn một lần tối đa 15 ngày, với nghĩa vụ thông báo lý do và chứng minh tính cần thiết, hợp lý. Khoản 4 Điều 10: rút lại sự đồng ý không áp dụng đối với hoạt động xử lý đã thực hiện trước thời điểm rút.

Thu thập và lưu trữ bằng chứng đồng ý

Quản lý sự đồng ý bắt đầu từ hai khâu nền tảng. Thu thập: thiết kế cơ chế đồng ý theo từng mục đích, tuân thủ bốn nguyên tắc tại khoản 4 Điều 9; văn bản viết bằng ngôn ngữ rõ ràng, dễ hiểu. Lưu trữ bằng chứng: mỗi lượt đồng ý được ghi nhận với nội dung văn bản tại thời điểm đồng ý, thời điểm, phương thức và danh tính chủ thể — có thể truy xuất khi cần chứng minh.

Theo dõi hiệu lực, xử lý yêu cầu rút lại và làm mới đồng ý

Theo dõi hiệu lực: hệ thống ghi nhận trạng thái đồng ý của từng chủ thể theo từng mục đích, để khi chủ thể rút lại sự đồng ý cho một mục đích, các luồng xử lý tương ứng dừng kịp thời mà không ảnh hưởng các mục đích khác còn hiệu lực. Xử lý yêu cầu rút lại, hạn chế: quy trình tiếp nhận thống nhất (cổng thông tin, email chuyên trách, văn bản), phân công xử lý, đáp ứng các mốc 02 ngày — 15/20 ngày theo Nghị định 356/2025. Làm mới đồng ý: khi thay đổi mục đích xử lý, bổ sung loại dữ liệu, hoặc văn bản đồng ý cũ không còn đáp ứng chuẩn mới, doanh nghiệp cần xin lại sự đồng ý theo chuẩn Điều 9. Lưu ý Điều 39: hoạt động xử lý đã được đồng ý theo Nghị định 13/2023 trước ngày Luật có hiệu lực thì tiếp tục thực hiện, không phải xin lại.

Sự đồng ý trong quan hệ lao động và quan hệ khách hàng

Trong quan hệ lao động, sự đồng ý của người lao động cần đặt trong bối cảnh quan hệ phụ thuộc — người lao động khó được coi là “tự nguyện” tuyệt đối khi từ chối đồng ý có thể ảnh hưởng đến công việc. Thực hành tốt là tách bạch: dữ liệu cần thiết để thực hiện hợp đồng lao động, tuân thủ nghĩa vụ pháp lý (thuế, bảo hiểm xã hội) được xử lý trên căn cứ thỏa thuận và quy định pháp luật; chỉ xin đồng ý riêng cho các mục đích ngoài phạm vi đó (ví dụ dùng hình ảnh nhân viên cho marketing). Cách tiếp cận này vừa phù hợp điểm d khoản 1 Điều 19, vừa tránh “đồng ý hình thức”.

Trong quan hệ khách hàng, sự đồng ý thường gắn với thông báo bảo mật — văn bản giúp chủ thể “biết rõ” trước khi đồng ý. Với marketing, quảng cáo, Điều 28 yêu cầu khách hàng đồng ý trên cơ sở biết rõ nội dung, phương thức, hình thức, tần suất giới thiệu sản phẩm; doanh nghiệp phải có phương thức để khách hàng từ chối và phải ngừng quảng cáo theo yêu cầu. Cơ chế “opt-out” phải dễ thực hiện tương xứng với mức độ dễ dàng khi đăng ký.

Rủi ro khi sự đồng ý không hợp lệ

Khi sự đồng ý không đáp ứng điều kiện tại Điều 9, toàn bộ hoạt động xử lý dựa trên đó mất căn cứ hợp pháp. Hệ quả: hành chính, xử phạt theo Điều 8 tối đa 3 tỷ đồng đối với tổ chức (khoản 5 Điều 8); dân sự, chủ thể có quyền khiếu nại, khởi kiện, yêu cầu bồi thường (điểm đ khoản 1 Điều 4); vận hành, doanh nghiệp có thể phải dừng các luồng dữ liệu đang phục vụ kinh doanh khi chủ thể đồng loạt rút lại sự đồng ý hoặc cơ quan chức năng yêu cầu ngừng xử lý.

Với dữ liệu cá nhân nhạy cảm — sức khỏe, sinh trắc học, thông tin tài chính — rủi ro còn cao hơn vì đây là nhóm chịu mức bảo vệ tăng cường và là trọng tâm kiểm tra của cơ quan chức năng. Cơ chế đồng ý phải đáp ứng bài kiểm tra nghiêm ngặt nhất: tự nguyện thực sự, thông tin đầy đủ, tách bạch từng mục đích, bằng chứng lưu trữ đầy đủ. Xem thêm khung nghĩa vụ chung của Luật Bảo vệ dữ liệu cá nhân. FLAT LAW FIRM hỗ trợ rà soát văn bản đồng ý, thiết kế cơ chế thu thập và quản trị vòng đời sự đồng ý, xây dựng quy trình xử lý yêu cầu rút lại, hạn chế xử lý theo Nghị định 356/2025.

Câu hỏi thường gặp