Sự đồng ý, hay consent, là một trong các cơ sở pháp lý để xử lý dữ liệu cá nhân. Tuy nhiên, không phải lúc nào doanh nghiệp cũng cần xin consent. Việc hiểu đúng khi nào cần và khi nào không cần lấy sự đồng ý sẽ giúp doanh nghiệp vừa tuân thủ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, vừa tránh gây phiền toái cho khách hàng.
Các trường hợp cần lấy consent
Cần lấy sự đồng ý của chủ thể dữ liệu trong nhiều trường hợp. Thứ nhất là khi xử lý dữ liệu cá nhân nhạy cảm. Thứ hai là khi sử dụng dữ liệu cho mục đích marketing trực tiếp. Thứ ba là khi chia sẻ dữ liệu cho bên thứ ba. Thứ tư là khi xử lý dữ liệu cho mục đích không thuộc nghĩa vụ hợp đồng hoặc không do pháp luật quy định. Thứ năm là khi xử lý tự động có ảnh hưởng lớn đến quyền và lợi ích của chủ thể dữ liệu. Trong các trường hợp này, doanh nghiệp cần có sự đồng ý rõ ràng trước khi xử lý dữ liệu.
Các trường hợp không cần consent
Không cần lấy consent trong các trường hợp được pháp luật cho phép. Các trường hợp này bao gồm thực hiện hợp đồng với chủ thể dữ liệu, tuân thủ nghĩa vụ pháp luật, bảo vệ tính mạng và sức khỏe, phục vụ hoạt động của cơ quan nhà nước, và các trường hợp khác theo quy định. Ví dụ, doanh nghiệp không cần xin consent để xử lý thông tin giao hàng khi thực hiện hợp đồng mua bán, nhưng vẫn cần thông báo cho khách hàng.
Yêu cầu về consent theo Nghị định 356
Theo Nghị định 356/2025/NĐ-CP, consent phải rõ ràng, có thể kiểm chứng về thời gian và nội dung đồng ý. Pháp luật nghiêm cấm thiết lập mặc định đồng ý hoặc gây nhầm lẫn giữa lựa chọn đồng ý và không đồng ý. Chủ thể dữ liệu có quyền rút lại consent bất cứ lúc nào, và việc rút lại consent không được gây ảnh hưởng tiêu cực đến các quyền và lợi ích hợp pháp khác của chủ thể dữ liệu. Doanh nghiệp cần ghi nhận và quản lý consent một cách có hệ thống.
Ví dụ thực tế
Một website bán hàng thu thập email khách hàng để gửi xác nhận đơn hàng. Đây là thực hiện hợp đồng nên không cần consent nhưng vẫn cần thông báo. Tuy nhiên, nếu website muốn gửi email khuyến mãi sau này, cần có consent rõ ràng của khách hàng. Một ví dụ khác là ứng dụng y tế thu thập dữ liệu sức khỏe. Dù có thể xử lý dữ liệu để cung cấp dịch vụ theo hợp đồng, nhưng nếu muốn chia sẻ dữ liệu cho đối tác nghiên cứu, cần có consent riêng.
Checklist quản lý consent
- Xác định cơ sở pháp lý cho từng hoạt động xử lý dữ liệu.
- Thiết kế cơ chế xin consent rõ ràng, dễ hiểu.
- Không thiết lập mặc định đồng ý.
- Ghi nhận thời gian, nội dung và phạm vi consent.
- Cung cấp cơ chế dễ dàng để rút lại consent.
- Tôn trọng quyền rút lại consent của chủ thể dữ liệu.
- Định kỳ rà soát và cập nhật cơ chế consent.
Sai lầm thường gặp
Nhiều doanh nghiệp xin consent chung chung mà không nêu rõ mục đích xử lý. Một số website sử dụng checkbox đã được tích sẵn. Nhiều tổ chức không lưu trữ bằng chứng consent, khiến không thể chứng minh khi bị thanh tra. Việc không cung cấp cơ chế rút lại consent cũng là vi phạm phổ biến.
Phân biệt consent và thông báo
Nhiều doanh nghiệp nhầm lẫn giữa việc thông báo và xin consent. Thông báo là cung cấp thông tin cho chủ thể dữ liệu về việc xử lý dữ liệu, còn consent là sự cho phép rõ ràng của chủ thể dữ liệu. Trong các trường hợp như thực hiện hợp đồng hoặc tuân thủ pháp luật, doanh nghiệp chỉ cần thông báo mà không cần consent. Tuy nhiên, khi xử lý dữ liệu nhạy cảm hoặc marketing, doanh nghiệp cần cả thông báo và consent. Việc phân biệt đúng giúp tránh xin consent không cần thiết hoặc bỏ sót consent bắt buộc.
Quản lý consent qua nhiều kênh
Trong thực tế, doanh nghiệp tiếp xúc với khách hàng qua nhiều kênh như website, ứng dụng di động, cửa hàng, điện thoại hoặc email. Consent cần được quản lý thống nhất trên tất cả các kênh này để tránh tình trạng khách hàng đồng ý trên website nhưng từ chối qua email. Doanh nghiệp nên sử dụng hệ thống trung tâm để lưu trữ và cập nhật trạng thái consent. Việc đồng bộ giúp đảm bảo mọi phòng ban đều tuân thủ đúng ý kiến của chủ thể dữ liệu.
Cách xử lý khi khách hàng rút lại consent
Khi chủ thể dữ liệu rút lại consent, doanh nghiệp cần dừng ngay hoạt động xử lý dữ liệu liên quan. Quy trình xử lý nên bao gồm cập nhật trạng thái consent trong hệ thống, thông báo cho các phòng ban liên quan, và xóa hoặc ngừng sử dụng dữ liệu theo yêu cầu. Việc rút lại consent không được ảnh hưởng đến các quyền và lợi ích hợp pháp khác của chủ thể dữ liệu. Doanh nghiệp cũng nên ghi nhận thờidiểm rút lại để kiểm chứng khi cần.
## Kết luận
Consent là cơ sở pháp lý quan trọng nhưng không phải lúc nào cũng cần thiết. Doanh nghiệp cần phân biệt rõ các trường hợp cần và không cần consent, đồng thờithiết lập cơ chế quản lý consent rõ ràng và có thể kiểm chứng. Bằng cách tuân thủ đúng quy định của Luật PDPD và Nghị định 356, doanh nghiệp có thể xử lý dữ liệu cá nhân một cách hợp pháp và tôn trọng quyền của chủ thể dữ liệu.