数据主体同意是最常用的处理依据——也是管理不当最容易被认定无效的依据。《个人数据保护法》第91/2025/QH15号（2026年1月1日生效）以第9条规定同意的效力条件，第10条确认撤回权和限制处理请求权，第19条列举不需同意的处理情形。实践中，”同意管理”是完整生命周期：收集、保存证据、跟踪效力、处理撤回请求、目的变更时更新同意。
第9条下的同意：概念与效力条件
第9条第1款定义同意为数据主体允许处理其个人数据，法律另有规定的除外。第2款规定效力条件：同意仅在基于自愿且主体清楚知晓三组信息时有效——被处理的数据类型和处理目的；个人数据控制方或控制兼处理方；数据主体的权利、义务。”清楚知晓”是实质标准：几十页难懂文字的文件，主体因”不签就不能用服务”而签，难同时满足自愿和清楚知晓。
无效同意后果严重：基于其的全部处理有被视为违反法律规定的个人数据处理的风险——第7条第4款禁止的行为。收集同意不是”走形式”程序，而是决定整个处理流合法性的法律环节。
同意的表达形式
第9条第3款要求同意以清楚、具体、可打印、可书面复制的方式表达——包括电子形式或可验证格式。”可打印、可复制”要求具有证据意义：争议时企业须出示主体已同意及同意内容的证据。纸质同意即有签名的文件；电子同意即指可提取的记录——记录时点、文件内容和身份验证方式的日志。
第9条第5款交由政府细化第3款——具体化于第356/2025/ND-CP号议定。实践中，企业应按渠道规范同意形式：重要线下交易用有签名的纸质文件；网站、应用用带日志记录的电子复选框；客服电话同意用笔录附录音。每种形式都须保证可追溯、可证明。
收集同意的四项强制原则
第9条第4款规定所有同意收集机制须遵守四项原则。第一，按每个目的分别表达同意：不得将多个不相关目的合并为一次同意——如一个”同意”复选框覆盖服务提供、营销、行为分析及分享给合作伙伴。每个目的须有单独的同意机制，让主体可同意此目的而拒绝彼目的。
第二，不得以同意其他目的为条件——不能强迫主体”想用服务就必须同意接收广告”。第三，同意有效直至主体变更——第10条撤回权的基础。第四，沉默或无回应不视为同意——排除”默认同意”机制（预勾选复选框）。
不需同意的处理情形
第19条列举五组不需同意的处理情形：(a)紧急情况下保护主体或他人生命、健康、名誉、人格、权利、合法利益；(b)处理紧急状态、防范暴乱、恐怖主义、犯罪；(c)服务国家机关、国家管理活动；(d)履行数据主体与相关机关、组织、个人的协议；(e)法律规定的其他情形。
对私营企业，最实际的两个依据是a项（紧急情形）和d项（履行协议——处理履行主体为一方当事人的合同所必需的数据）。但第19条第2款规定附随义务：按这些情形处理的组织须建立监督机制，包括处理流程、责任划分、保护措施、定期风险评估、定期合规检查和反馈接收处理机制。”不需同意”不等于”不需管控”。
儿童和弱势群体的同意
第24条对儿童、无或限制民事行为能力人、认知或行为控制困难者规定特殊规则。对这些群体（儿童除外），法定代理人代为行使数据主体的权利，第19条第1款下不需同意的情形除外。对儿童，第24条第2款：公开、披露年满07周岁儿童的私生活信息、个人秘密，须经儿童和法定代理人双方同意。
该规定直接影响服务儿童的企业——在线学习、娱乐、儿科健康——以及用儿童形象做营销的企业。同意机制须设计为两层：年龄核验，必要时收集法定代理人的同意。第24条第3款规定同意人撤回同意或主管机关要求时停止处理的义务。
撤回同意与限制处理请求
第10条确认主体要求撤回同意和在怀疑处理范围、目的或数据准确性时要求限制处理的权利——第19条下不需同意的处理或法律另有规定的除外。请求须以书面形式，包括电子形式或可验证格式，发送给控制方或控制兼处理方。
第356/2025/ND-CP号议定第5条第2款具体化时限：2个工作日内回应并附停止处理的完整程序信息，15日内执行——需处理方、第三方一并停止的20日。复杂情形可延长一次最多15日，须通知理由并证明必要、合理。第10条第4款：撤回同意不适用于撤回前已进行的处理活动。
收集和保存同意证据
同意管理始于两个基础环节。收集：按每个目的设计同意机制，遵守第9条第4款四项原则；文件用清楚易懂的语言。保存证据：每次同意记录同意时的文件内容、时点、方式和主体身份——需要证明时可调取。
跟踪效力、处理撤回请求与更新同意
跟踪效力：系统记录每主体按每个目的的同意状态，以便主体撤回某目的同意时，对应处理流及时停止而不影响其他仍有效的目的。处理撤回、限制请求：统一接收流程（门户、专职邮箱、书面文件），分工处理，满足第356/2025号议定下2日——15/20日时限。更新同意：变更处理目的、新增数据类型或旧同意文件不再符合新标准时，企业须按第9条标准重新取得同意。注意第39条：按第13/2023号议定在法律生效前已取得同意的处理活动继续进行，无需重新取得。
劳动关系和客户关系中的同意
劳动关系中，劳动者的同意须放在从属关系背景下看——拒绝同意可能影响工作时，劳动者难被视为绝对”自愿”。良好实务是区分：履行劳动合同、遵守法定义务（税收、社会保险）所必需的数据基于协议和法律规定处理；仅对超出该范围的目的单独征求同意（如用员工形象做营销）。该方式既符合第19条第1款d项，又避免”形式同意”。
客户关系中，同意常与隐私通知关联——帮助主体在同意前”清楚知晓”的文件。营销、广告方面，第28条要求客户在清楚知晓产品介绍的内容、方式、形式、频率的基础上同意；企业须有客户拒绝的方式并按要求停止广告。”退订”机制须与注册同样易操作。
同意无效的风险
同意不符合第9条条件时，基于其的全部处理失去合法依据。后果：行政，按第8条处罚，对组织最高30亿越盾（第8条第5款）；民事，主体可投诉、起诉、要求赔偿（第4条第1款丁项）；运营，主体集体撤回同意或职能机关要求停止处理时，企业可能须停止服务于业务的数据流。
对敏感个人数据——健康、生物识别、财务信息——风险更高，因为该组受加强保护且是职能机关检查重点。同意机制须通过最严格的检验：真正自愿、信息完整、按目的分别、证据保存完整。另见《个人数据保护法》总体义务框架。FLAT律所协助审查同意文件、设计收集机制和同意生命周期治理、按第356/2025号议定建设撤回、限制处理请求的处理流程。
常见问题
默认勾选的复选框算同意吗？
不算。第9条第4款d项：沉默或无回应不视为同意。预勾选复选框违反该规定。正确机制是空白复选框，由用户主动为每个目的勾选。
可以将使用服务同意与接收广告同意合并吗？
不可以。第9条第4款要求按每个目的分别同意，不得以同意其他目的为条件。广告方面，第28条还要求客户清楚知晓产品介绍的内容、方式、形式、频率并有拒绝方式。
主体撤回同意后，此前已处理的数据怎么办？
按第10条第4款，撤回同意不适用于撤回前已进行的处理活动。收到请求后，企业须停止一切后续处理，并在15日内——涉及第三方时20日内——执行请求（删除、限制处理），依据第356/2025/ND-CP号议定第5条第2款。
91/2025号法律生效前取得的同意还有效吗？
在过渡范围内有效。第39条第1款：按第13/2023号议定在法律生效前（2026年1月1日）已取得同意或达成协议的处理活动继续进行，无需重新取得。若旧同意文件不符合第9条标准，企业应主动更新以降低风险。
为履行合同处理数据需要征求同意吗？
第19条第1款d项将履行数据主体的协议列为不需同意的处理情形。豁免仅覆盖该协议所必需的数据；超出范围的目的仍须单独同意。援引该依据的企业须证明必要性并维持第19条第2款下的监督机制。
