Đồng ý xử lý dữ liệu cá nhân hợp lệ là sự đồng ý tự nguyện, được đưa ra khi chủ thể biết rõ loại dữ liệu, mục đích, bên kiểm soát cùng quyền và nghĩa vụ của mình. Sự đồng ý phải được thể hiện rõ ràng, kiểm chứng được và cho từng mục đích riêng. Im lặng hoặc không phản hồi không được coi là đồng ý. Từ ngày 01/01/2026, bên kiểm soát dữ liệu còn phải lưu bằng chứng và chịu trách nhiệm chứng minh khi có tranh chấp.
Bài viết của Global Vietnam Lawyers (GV Lawyers) giải thích điều kiện, hình thức, việc rút lại đồng ý, các trường hợp không cần đồng ý và những lỗi thường gặp khi thiết kế biểu mẫu, ô chọn.
Đồng Ý Xử Lý Dữ Liệu Cá Nhân Hợp Lệ Cần Những Điều Kiện Gì?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đặt ra các điều kiện cộng dồn. Thiếu một điều kiện, sự đồng ý có thể bị coi là không hợp lệ:
- Tự nguyện: chủ thể có quyền từ chối mà không bị gây khó khăn không liên quan;
- Biết rõ: chủ thể được biết loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát và các quyền, nghĩa vụ của mình;
- Rõ ràng, cụ thể: thể hiện bằng phương thức có thể in hoặc sao chép thành văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được;
- Riêng cho từng mục đích: mỗi mục đích xử lý cần một sự đồng ý riêng;
- Không bị ràng buộc với mục đích khác: không được buộc chủ thể đồng ý thêm nội dung ngoài thỏa thuận;
- Không suy diễn từ sự im lặng: không phản hồi không phải là đồng ý.
Sự đồng ý có hiệu lực cho đến khi chủ thể thay đổi hoặc pháp luật có quy định khác. Với dữ liệu nhạy cảm, Nghị định 356/2025/NĐ-CP yêu cầu thông báo riêng để chủ thể biết đây là dữ liệu nhạy cảm. Ví dụ là dữ liệu sinh trắc học, tình trạng sức khỏe hoặc thông tin tài khoản ngân hàng.
Hình Thức Thể Hiện Và Lưu Bằng Chứng Đồng Ý
Nghị định 356/2025/NĐ-CP yêu cầu phương thức xin đồng ý phải cho phép kiểm chứng ba điều: ai đồng ý, đồng ý khi nào và đồng ý nội dung gì. Các hình thức được ghi nhận và bằng chứng nên lưu như sau:
| Hình thức | Thường dùng khi | Bằng chứng nên lưu |
|---|---|---|
| Văn bản giấy | Ký hợp đồng, biểu mẫu tại quầy | Bản có chữ ký, ngày ký, phiên bản mẫu |
| Cuộc gọi ghi âm | Tổng đài chăm sóc khách hàng | File ghi âm, thời điểm, nội dung được xác nhận |
| Tin nhắn theo cú pháp | Đăng ký dịch vụ qua tin nhắn | Nội dung tin nhắn, số gửi, thời gian |
| Thư điện tử | Trao đổi với khách hàng, người lao động | Thư gốc kèm tiêu đề và thời gian gửi |
| Website, ứng dụng có thiết lập kỹ thuật | Đăng ký tài khoản, cookie, bản tin | Nhật ký đồng ý gồm định danh, thời điểm, phiên bản thông báo, kênh |
Khi có tranh chấp, trách nhiệm chứng minh thuộc về bên kiểm soát dữ liệu. Vì vậy, nhật ký đồng ý không phải tùy chọn kỹ thuật mà là hồ sơ pháp lý. Không ghi nhận, không lưu nhật ký hoặc không chứng minh được sự đồng ý nằm trong các hành vi bị xử phạt theo Nghị định 330/2026/NĐ-CP.
Sai Lầm Khi Thiết Kế Form Và Checkbox
Phần lớn vi phạm về đồng ý bắt nguồn từ giao diện chứ không phải từ chính sách. Một biểu mẫu đạt chuẩn đồng ý xử lý dữ liệu cá nhân hợp lệ cần tránh các lỗi trong bảng sau:
| Hình thức thiết kế sai | Rủi ro | Cách sửa |
|---|---|---|
| Ô đồng ý được tick sẵn | Nghị định 356/2025/NĐ-CP cấm thiết lập mặc định đồng ý | Để ô trống, người dùng tự chọn |
| Một ô cho mọi mục đích gồm dịch vụ, quảng cáo, chia sẻ đối tác | Vi phạm nguyên tắc đồng ý riêng từng mục đích | Tách ô theo từng mục đích |
| Buộc đồng ý nhận quảng cáo mới được dùng dịch vụ | Ràng buộc với mục đích khác | Cho dùng dịch vụ khi không đồng ý phần quảng cáo |
| Dòng chữ “tiếp tục sử dụng đồng nghĩa với đồng ý” | Im lặng hoặc không phản hồi không phải đồng ý | Yêu cầu hành động chủ động |
| Nút chấp nhận nổi bật, nút từ chối ẩn hoặc mờ | Gây nhầm lẫn giữa đồng ý và không đồng ý | Hai lựa chọn cùng mức hiển thị |
| Chỉ gắn đường dẫn tới chính sách dài | Chủ thể chưa thật sự biết rõ | Tóm tắt loại dữ liệu, mục đích, bên kiểm soát, quyền ngay tại form |
| Không lưu nhật ký đồng ý | Không chứng minh được khi bị kiểm tra | Lưu định danh, thời điểm, nội dung, phiên bản |
Nghị định 330/2026/NĐ-CP, có hiệu lực từ ngày 19/08/2026, có nhóm hành vi riêng về sự đồng ý của chủ thể dữ liệu. Mức phạt cụ thể xem tại bài xử phạt vi phạm dữ liệu cá nhân 2026. Dữ liệu xử lý khi chưa có đồng ý hợp lệ còn có thể bị buộc hủy hoặc xóa.
Khi luồng đồng ý liên quan đến dữ liệu nhạy cảm hoặc quy mô lớn, doanh nghiệp nên xem xét thêm đánh giá tác động dữ liệu cá nhân DPIA. Tổng quan nghĩa vụ có trong bài luật bảo vệ dữ liệu cá nhân 2026.
Rút Lại Đồng Ý Được Thực Hiện Thế Nào?
Chủ thể dữ liệu có quyền yêu cầu rút lại sự đồng ý. Yêu cầu được lập thành văn bản, kể cả dạng điện tử, và gửi đến bên kiểm soát dữ liệu. Việc rút lại không có hiệu lực hồi tố, tức không làm vô hiệu hoạt động xử lý đã diễn ra trước đó.
Nghị định 356/2025/NĐ-CP đặt ra các mốc thời hạn cho bên kiểm soát:
- Phản hồi yêu cầu trong 02 ngày làm việc;
- Thực hiện việc rút lại đồng ý trong 15 ngày;
- Nếu cần yêu cầu bên xử lý hoặc bên thứ ba ngừng xử lý, thời hạn là 20 ngày;
- Gia hạn tối đa một lần, không quá 15 ngày, và phải thông báo lý do.
Về thiết kế, việc rút lại nên dễ như việc đồng ý. Nếu chủ thể đồng ý bằng một lần nhấp nhưng phải gửi thư giấy để rút lại, quy trình đó dễ bị đánh giá là cản trở quyền. Doanh nghiệp cũng nên ghi nhận ngay việc rút lại vào nhật ký và dừng xử lý đúng phạm vi.
Các Trường Hợp Không Cần Xin Đồng Ý
Điều 19 của Luật liệt kê các trường hợp xử lý dữ liệu không cần sự đồng ý của chủ thể:
- Bảo vệ tính mạng, sức khỏe, danh dự, quyền và lợi ích hợp pháp trong trường hợp cấp bách, và bên xử lý phải chứng minh tình huống đó;
- Ứng phó tình trạng khẩn cấp, phòng chống bạo loạn, khủng bố, tội phạm và vi phạm pháp luật;
- Phục vụ hoạt động của cơ quan nhà nước và quản lý nhà nước theo quy định;
- Thực hiện thỏa thuận giữa chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định pháp luật;
- Các trường hợp khác do luật quy định.
Đây không phải lối tắt để bỏ qua đồng ý. Khi dựa vào các trường hợp này, doanh nghiệp phải có quy trình xử lý, biện pháp bảo vệ, đánh giá rủi ro định kỳ và cơ chế tiếp nhận phản ánh. Việc ghi âm, ghi hình ở nơi công cộng có quy định riêng tại Điều 32, kèm nghĩa vụ thông báo để người bị ghi biết.
Cần lưu ý thêm quy định chuyển tiếp. Hoạt động xử lý đang diễn ra và đã được đồng ý hoặc thỏa thuận theo Nghị định 13/2023/NĐ-CP trước ngày 01/01/2026 được tiếp tục thực hiện mà không phải xin lại. Mục đích mới phát sinh sau thời điểm đó vẫn cần cơ sở xử lý phù hợp.
Cơ Sở Pháp Lý
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, thông qua ngày 26/06/2025, có hiệu lực từ ngày 01/01/2026;
- Nghị định 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP;
- Nghị định 330/2026/NĐ-CP ngày 19/08/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày ký.
Câu Hỏi Thường Gặp
Thế nào là đồng ý xử lý dữ liệu cá nhân hợp lệ?
Là sự đồng ý tự nguyện, sau khi chủ thể biết rõ loại dữ liệu, mục đích, bên kiểm soát và quyền, nghĩa vụ của mình. Sự đồng ý phải rõ ràng, kiểm chứng được và cho từng mục đích riêng.
Tick sẵn ô đồng ý trên website có hợp lệ không?
Không. Nghị định 356/2025/NĐ-CP cấm thiết lập cơ chế mặc định đồng ý hoặc chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý. Người dùng phải chủ động thực hiện hành động đồng ý.
Đồng ý qua cuộc gọi có được không?
Được nếu kiểm chứng được. Cuộc gọi ghi âm là một hình thức được ghi nhận, nhưng doanh nghiệp phải lưu bản ghi và chứng minh được ai đồng ý, khi nào và đồng ý nội dung gì.
Đồng ý đã xin theo Nghị định 13/2023/NĐ-CP có phải xin lại không?
Không, nếu hoạt động xử lý đang diễn ra và đã được đồng ý hoặc thỏa thuận trước ngày 01/01/2026. Mục đích xử lý mới vẫn cần cơ sở phù hợp.
Doanh nghiệp có được xử lý dữ liệu khi khách hàng không phản hồi yêu cầu đồng ý không?
Không. Im lặng hoặc không phản hồi không được coi là đồng ý. Doanh nghiệp chỉ xử lý khi có sự đồng ý hợp lệ hoặc thuộc trường hợp luật cho phép xử lý không cần đồng ý.
Dịch Vụ Tư Vấn Cơ Chế Đồng Ý Tại GV Lawyers
GV Lawyers hỗ trợ doanh nghiệp rà soát biểu mẫu, ô chọn, cookie và quy trình rút lại đồng ý. Luật sư cũng soạn thông báo xử lý dữ liệu và mẫu nhật ký đồng ý. Dịch vụ nằm trong nhóm tư vấn tuân thủ luật bảo vệ dữ liệu cá nhân.
Nếu doanh nghiệp của bạn cần kiểm tra đồng ý xử lý dữ liệu cá nhân hợp lệ trên website, ứng dụng hoặc hồ sơ giấy, hãy liên hệ với GV Lawyers. Chúng tôi sẽ rà soát và đề xuất phương án chỉnh sửa phù hợp.
Bài viết mang tính chất tham khảo pháp lý chung, không thay thế cho ý kiến tư vấn cụ thể của luật sư đối với từng trường hợp. Liên hệ GV Lawyers để được tư vấn chi tiết.
