Xin chào quý khán thính giả đã quay trở lại với kênh The Lawyers Talk của Công ty Luật TNHH BLawyers Vietnam. Tôi là Huỳnh Kim Thành, rất vui được đồng hành cùng quý vị trong số podcast ngày hôm nay.
Trong thời đại ngày nay, dữ liệu cá nhân được ví như một nguồn tài nguyên thô của các doanh nghiệp. Tuy nhiên, để khai thác chúng một cách hợp pháp và hiệu quả, doanh nghiệp không thể bỏ qua một điều quan trọng đó là: Sự đồng ý của khách hàng.
Do đó, chủ đề chúng ta cùng trao đổi hôm nay là 03 lưu ý liên quan đến sự đồng ý của chủ thể dữ liệu mà doanh nghiệp cần nắm để xây dựng quy trình quản trị dữ liệu của mình chuẩn chỉnh.
1. Lưu ý thứ nhất: Dữ liệu nào cần có sự đồng ý, dữ liệu nào thì không cần?
Với lưu ý này, một câu hỏi mà tôi nghĩ ai trong chúng ta cũng luôn tự hỏi bản thân mình: “Có phải dữ liệu nào chúng ta muốn xử lý thì cũng phải được xin phép trước không?”. Câu trả lời ở đây là: Gần như tất cả đều phải được xin phép, nhưng có một số ngoại lệ.
Theo quy định tại Điều 9 của Luật Bảo vệ dữ liệu cá nhân 2025, nguyên tắc chung là khi doanh nghiệp thực hiện bất kỳ hành động nào từ thu thập, lưu trữ đến sử dụng dữ liệu, dù đó là dữ liệu cơ bản như họ tên, số điện thoại hay dữ liệu nhạy cảm như tình trạng sức khỏe,… thì doanh nghiệp đều phải có sự đồng ý của chủ thể dữ liệu. Tuy nhiên, luật này cũng đưa ra 05 trường hợp ngoại lệ tại Khoản 1, Điều 19, mà tôi cho rằng đây là các tình huống khẩn cấp, bao gồm:
- Thứ nhất là nhóm trường hợp cấp bách: Ví dụ như để bảo vệ tính mạng, sức khỏe hay danh dự của chính khách hàng đó hoặc người khác trong tình trạng nguy cấp. Lúc này, việc xin phép sẽ được lược bỏ để đảm bảo tính kịp thời. Tuy nhiên, các bên có liên quan đến việc kiểm soát, xử lý dữ liệu cá nhân có trách nhiệm chứng minh trường hợp này.
- Thứ hai là các vấn đề liên quan đến tình trạng khẩn cấp, có nguy cơ đe dọa an ninh quốc gia,…
- Thứ ba là để phục vụ hoạt động của cơ quan Nhà nước.
- Thứ tư, một điểm rất quan trọng với các doanh nghiệp, đó là nhằm thực hiện thỏa thuận: Theo đó, khi chủ thể dữ liệu đã có những thỏa thuận cụ thể với cơ quan, tổ chức liên quan theo quy định pháp luật thì sự đồng ý là không cần.
- Cuối cùng, các trường hợp khác mà luật chuyên ngành hoặc nghị định khác có quy định cụ thể.
Tuy nhiên, quý vị cần đặc biệt lưu ý một điểm quan trọng là “Không cần sự đồng ý” không có nghĩa là doanh nghiệp được miễn trừ trách nhiệm bảo vệ dữ liệu. Theo đó, doanh nghiệp bắt buộc phải thiết lập một cơ chế giám sát nội bộ chặt chẽ cho các trường hợp ngoại lệ này theo quy định tại khoản 2 Điều 19 Luật BVDLCN.
2. Lưu ý thứ hai: hiệu lực của sự đồng ý
Bước sang lưu ý thứ hai, chúng ta nên lưu ý rằng việc đồng ý thôi vẫn chưa đủ, mà cũng cần phải lưu ý đến hiệu lực của sự đồng ý. Việc này được quy định tại khoản 2, Điều 9 của Luật Bảo vệ dữ liệu cá nhân 2025. Theo đó, sự đồng ý chỉ có hiệu lực khi hội đủ các yếu tố sau: một là sự tự nguyên, hai là bên đồng ý phải biết rõ các thông tin về loại dữ liệu cá nhân được xử lý, mục đích xử lý, ai là bên kiểm soát, bên xử lý, bên kiểm soát, xử lý dữ liệu cá nhân, và quyền, nghĩa vụ của họ là gì?
Ngoài ra, khoản 3 và khoản 4 điều này cũng quy định về:
Một là phương thức đồng ý, phương thức phải được thực hiện rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. Quy định này cũng đã được hướng dẫn bởi Nghị Định số 356/2025/NĐ-CP (“Nghị Định 356”), có hiệu lực từ ngày 01/01/2026.
Hai là sự đồng ý phải bảo đảm 04 nguyên tắc mà Luật Bảo vệ dữ liệu cá nhân quy định, bao gồm:
- Sự đồng ý phải được thể hiện đối với từng mục đích;
- Không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận;
- Sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc theo quy định của pháp luật;
- Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.
Vậy doanh nghiệp nên triển khai thực tế thế nào? Tùy vào quy mô và lĩnh vực, mỗi doanh nghiệp sẽ có cách thiết kế khác nhau. Tuy nhiên, BLawyers Vietnam gợi ý 4 giải pháp thực tế sau:
- Thứ nhất: Xây dựng một công cụ đơn giản với giao diện thân thiện, giúp người dùng dễ dàng hiểu rõ tầm quan trọng của việc bảo vệ dữ liệu thay vì chỉ hiện lên một bảng thông báo khô khan;
- Thứ hai: Hãy viết các câu yêu cầu đồng ý thật ngắn gọn, xúc tích và dễ hiểu, tránh dùng thuật ngữ pháp lý quá phức tạp gây hoang mang cho người đọc;
- Thứ ba: Chia nhỏ các mục đích sử dụng dữ liệu và sử dụng phương pháp dấu tick (checkbox) để khách hàng chủ động lựa chọn những gì họ muốn chia sẻ hoặc đồng ý;
- Thứ tư: Thiết lập hệ thống lưu trữ chặt chẽ các nội dung đã được đồng ý. Đối với những nội dung khách hàng chưa đồng ý ngay, quý vị có thể lưu lại để gửi yêu cầu bổ sung qua email hoặc tin nhắn điện thoại sau đó.
Có thể thấy việc thiết kế một quy trình xin sự đồng ý vừa giữ được tính chuyên nghiệp vừa tuân thủ pháp lý cũng là cách để khẳng định uy tín và sự tôn trọng của doanh nghiệp đối với quyền riêng tư của khách hàng.
3. Lưu ý thứ ba: Quyền rút lại sự đồng ý
Chúng ta đã thảo luận về cách đạt được sự đồng ý và làm sao để nó có hiệu lực. Tuy nhiên, có một khía cạnh thực tế mà doanh nghiệp đặc biệt cần lưu tâm: Đó là khi khách hàng muốn rút lại sự đồng ý.
Theo Điều 10 Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu có quyền yêu cầu rút lại sự đồng ý hoặc hạn chế xử lý dữ liệu khi họ có nghi ngờ về phạm vi, mục đích hoặc tính chính xác của thông tin, tất nhiên là trừ các trường hợp ngoại lệ tôi đã nêu ở Lưu ý thứ nhất. Đây là một quyền năng rất lớn mà nếu doanh nghiệp không có quy trình ứng phó rõ ràng, rủi ro pháp lý cũng như rối rắm trong công tác quản lý sẽ là rất lớn. Theo đó, chúng tôi có một 3 điểm muốn chia sẻ như sau:
- Thứ nhất, là hình thức của yêu cầu: Luật quy định việc rút lại sự đồng ý hoặc hạn chế xử lý phải được thể hiện bằng văn bản, bao gồm cả định dạng điện tử hoặc các định dạng có thể kiểm chứng được. Để tránh việc tiếp nhận yêu cầu không thống nhất về mặt hình thức dẫn đến khó quản lý, lời khuyên của tôi là doanh nghiệp nên xây dựng một quy trình và thỏa thuận rõ với khách hàng ngay từ đầu. Ví dụ: thiết kế tính năng “Rút lại đồng ý” trực tiếp trên Website của mình, hoặc công bố mẫu đơn tương ứng cho họ. Điều này vừa giúp khách hàng thuận tiện thao tác, vừa giúp doanh nghiệp quản lý hồ sơ của mình một cách khoa học.
- Thứ hai, doanh nghiệp cần lưu ý đến thời gian tiếp nhận, thực hiện yêu cầu: Khi nhận được yêu cầu, bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm tiếp nhận và phải yêu cầu cả Bên xử lý dữ liệu thực hiện theo trong thời hạn luật định. Hiện nay, thời hạn này đã được quy định cụ thể tại Nghị định 356. Một lưu ý nhỏ cho doanh nghiệp là: Nếu Bên xử lý dữ liệu là đối tác bên thứ ba, chúng ta cần ràng buộc chặt chẽ các điều khoản về thời hạn phản hồi ngay trong Hợp đồng dịch vụ để tránh các rủi ro phát sinh có thể dẫn đến tranh chấp.
- Lưu ý cuối cùng: Các doanh nghiệp có thể yên tâm ở một điểm là yêu cầu rút lại sự đồng ý không có giá trị hồi tố. Nghĩa là, mọi hoạt động xử lý dữ liệu của quý vị được thực hiện trước thời điểm nhận được yêu cầu vẫn hoàn toàn hợp pháp.
Qua đó, có thể thấy việc không chỉ việc tuân thủ theo quy định ghi trong luật là an toàn, mà việc chuẩn bị một hệ thống lường được trước các rủi ro tiềm ẩn cũng rất quan trọng. Do đó, doanh nghiệp cần phải tính toán, rà soát lại hệ thống, nội dung hợp đồng với các bên xử lý dữ liệu, bên kiểm soát dữ liệu để đảm bảo tối đa quyền lợi của mình.
Do thời lượng của podcast hôm nay có giới hạn, chúng tôi xin khép lại nội dung tại đây. Nếu quý khán thính giả có thêm câu hỏi liên quan đến nội dung trên, vui lòng để lại bình luận để chúng tôi có thể trao đổi trong các số tiếp theo.
Về chúng tôi, BLawyers Vietnam cung cấp dịch vụ tư vấn cho cả doanh nghiệp, cá nhân Việt Nam và nước ngoài trong các lĩnh vực liên quan đến dữ liệu cá nhân, như tư vấn, xây dựng quy trình, điều khoản, làm việc với cơ quan Nhà nước,…
Để biết thêm thông tin về BLawyers Vietnam, xin mời các bạn xem Website của chúng tôi bên dưới màn hình podcast của The Lawyers Talk.
Xin chào và hẹn gặp lại.
Nội dung nêu trên không phải là ý kiến tư vấn chính thức từ BLawyers Vietnam. Nếu bạn có bất kỳ câu hỏi hay góp ý về nội dung trên, vui lòng liên hệ với chúng tôi qua địa chỉ info@blawyersvn.com. Chúng tôi rất vui khi nghe từ bạn.
Ngày: 23/4/2026
Thành Huỳnh
Xem thêm thông tin tại đường dẫn