Consent là gì? Nguyên tắc lấy sự đồng ý của chủ thể dữ liệu chuẩn PDPD

Consent là gì theo Luật Bảo vệ dữ liệu cá nhân?

Khi xây dựng biểu mẫu thu thập dữ liệu khách hàng, thắc mắc cơ bản nhất của doanh nghiệp là: consent là gì? Theo Điều 9 Luật 91/2025/QH15, sự đồng ý (Consent) là căn cứ pháp lý quan trọng bậc nhất. Để một Consent có giá trị pháp lý, doanh nghiệp phải đáp ứng nguyên tắc Tự nguyện – Cụ thể – Minh bạch – Có thể rút lại được.

Để phân biệt việc cung cấp thông tin với việc ghi nhận lựa chọn của khách hàng, xem thông báo xử lý dữ liệu cá nhân là gì, kèm ví dụ trình bày tại biểu mẫu đăng ký tư vấn.

Điều kiện để consent có hiệu lực theo Điều 9 Luật 91/2025

Điều 9 Luật 91/2025/QH15 đặt ra ba lớp điều kiện.

1. Tự nguyện và biết rõ (Khoản 2). Sự đồng ý chỉ có hiệu lực khi dựa trên sự tự nguyện và chủ thể dữ liệu biết rõ:

• loại dữ liệu cá nhân được xử lý, mục đích xử lý (điểm a);
• bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu (điểm b);
• các quyền, nghĩa vụ của chủ thể dữ liệu (điểm c).

2. Hình thức rõ ràng (Khoản 3). Sự đồng ý được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được.

3. Bốn nguyên tắc (Khoản 4).

• Đồng ý cho từng mục đích (điểm a).
• Không được kèm điều kiện bắt buộc phải đồng ý với các mục đích khác ngoài nội dung thỏa thuận (điểm b).
• Sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu thay đổi hoặc theo quy định của pháp luật (điểm c).
• Sự im lặng hoặc không phản hồi không được coi là đồng ý (điểm d).

Consent là gì trên thực tế: các phương thức lấy sự đồng ý hợp lệ

Điều 6 Nghị định 356/2025/NĐ-CP quy định chi tiết Khoản 3 Điều 9 của Luật. Mọi phương thức phải kiểm chứng được ai đã đồng ý, vào thời điểm nào và với nội dung gì (Khoản 1), gồm:

• bằng văn bản (điểm a);
• bằng cuộc gọi ghi âm (điểm b);
• cú pháp đồng ý qua tin nhắn điện thoại (điểm c);
• qua thư điện tử, trang web, nền tảng, ứng dụng có thiết lập kỹ thuật xin sự đồng ý (điểm d);
• các phương thức khác có thể in, sao chép bằng văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được (điểm đ).

Ba nghĩa vụ đi kèm:

• Lưu trữ và chứng minh: bên kiểm soát phải lưu trữ sự đồng ý; khi có tranh chấp, trách nhiệm chứng minh thuộc về bên kiểm soát (Khoản 2 Điều 6).
• Không mặc định đồng ý: không được thiết lập phương thức mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý (Khoản 3 Điều 6). Ô tích chọn sẵn, nút "Đồng ý" nổi bật còn nút "Từ chối" bị ẩn là các ví dụ điển hình.
• Dữ liệu nhạy cảm: khi xin đồng ý xử lý dữ liệu cá nhân nhạy cảm, phải thông báo cho chủ thể dữ liệu biết dữ liệu cần xử lý là dữ liệu nhạy cảm (Khoản 4 Điều 6).

Gợi ý triển khai theo kênh:

• Website, ứng dụng: ô tích để trống, mỗi mục đích một ô (nhận tin khuyến mãi, chia sẻ cho đối tác, chuyển dữ liệu ra nước ngoài); đặt thông báo ngắn ngay cạnh ô tích. Với cookie banner, nút "Chấp nhận" và "Từ chối" nên nổi bật như nhau.
• Cửa hàng, chi nhánh: phiếu giấy có ô ký hoặc ô tích riêng cho từng mục đích, giao bản sao hoặc chụp ảnh cho khách.
• Tổng đài, telesale: kịch bản đọc đủ thông tin theo Khoản 2 Điều 9, ghi âm câu trả lời đồng ý và gắn bản ghi âm với hồ sơ khách hàng.
• Người lao động: cân nhắc trước xem hoạt động xử lý có thuộc hợp đồng lao động hoặc quy định pháp luật hay không; xem dữ liệu nhân sự theo PDPD.

Dù dùng kênh nào, doanh nghiệp cũng nên có nhật ký đồng ý: ai đồng ý, với mục đích nào, khi nào, qua kênh nào và đã xem phiên bản thông báo nào.

Mức phạt vi phạm quy định về consent

Điều 43 Nghị định 330/2026/NĐ-CP quy định mức phạt đối với tổ chức:

• 30–50 triệu đồng (Khoản 1): xử lý dữ liệu khi chưa có sự đồng ý; kèm điều kiện bắt buộc, từ chối dịch vụ nếu không đồng ý mục đích khác; thiết lập mặc định đồng ý hoặc chỉ dẫn gây hiểu lầm; phương thức xin đồng ý không rõ ràng, không kiểm chứng được; không cung cấp thông tin minh bạch dẫn đến đồng ý không dựa trên tự nguyện và biết rõ; không cho đồng ý theo từng mục đích; không ghi nhận, lưu nhật ký hoặc không chứng minh được sự đồng ý; không thông báo cho chủ thể dữ liệu biết dữ liệu nhạy cảm của họ đang được xử lý.
• 50–70 triệu đồng (Khoản 2): cố ý tiếp tục xử lý sau khi chủ thể dữ liệu yêu cầu ngừng, hạn chế xử lý; tự ý coi sự im lặng là đồng ý.
• Hình thức bổ sung và biện pháp khắc phục: tịch thu tang vật, phương tiện vi phạm; buộc hủy, xóa đến mức không thể khôi phục dữ liệu thu thập, xử lý khi không có sự đồng ý hợp lệ; buộc nộp lại khoản thu bất hợp pháp (Khoản 3, 4).

Xem các nhóm vi phạm khác tại cẩm nang mức phạt vi phạm dữ liệu cá nhân.

Consent là gì khi xử lý dữ liệu trẻ em và dữ liệu nhạy cảm?

• Trẻ em: người đại diện theo pháp luật thay mặt thực hiện quyền của chủ thể dữ liệu, trừ các trường hợp tại Khoản 1 Điều 19. Việc xử lý dữ liệu của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ từ đủ 07 tuổi trở lên phải có sự đồng ý của cả trẻ em và người đại diện theo pháp luật (Khoản 2 Điều 24 Luật 91/2025). Khi xử phạt, Nghị định 330/2026/NĐ-CP áp dụng rộng hơn: phạt 30–50 triệu đồng khi không xác minh tuổi trẻ em trước khi xử lý, xử lý dữ liệu trẻ dưới 07 tuổi không có sự đồng ý của người đại diện, hoặc xử lý dữ liệu trẻ từ đủ 07 tuổi không có đồng thời sự đồng ý của trẻ và người đại diện (Khoản 1 Điều 60). Xem dữ liệu cá nhân trẻ em.
• Tài chính, ngân hàng, thông tin tín dụng: khi xin sự đồng ý (với mọi loại dữ liệu), doanh nghiệp phải nêu rõ mục đích (kể cả chấm điểm, xếp hạng tín dụng nếu có), nguồn thu thập và các bên liên quan, thời gian lưu trữ, cơ chế rút lại sự đồng ý và chính sách xóa, hủy dữ liệu (Khoản 2 Điều 8 Nghị định 356/2025/NĐ-CP).

Rút lại sự đồng ý theo Điều 10 Luật 91/2025

Yêu cầu rút lại sự đồng ý là quyền của chủ thể dữ liệu (điểm b Khoản 1 Điều 4) và sự đồng ý chỉ có hiệu lực cho đến khi chủ thể dữ liệu thay đổi (điểm c Khoản 4 Điều 9). Điều 10 quy định thủ tục: chủ thể dữ liệu có quyền yêu cầu rút lại sự đồng ý, yêu cầu hạn chế xử lý dữ liệu của mình khi có nghi ngờ về phạm vi, mục đích xử lý hoặc tính chính xác của dữ liệu, trừ các trường hợp tại Điều 19 hoặc pháp luật có quy định khác (Khoản 1 Điều 10). Yêu cầu được thể hiện bằng văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được (Khoản 2). Bên kiểm soát tiếp nhận, thực hiện và yêu cầu bên xử lý thực hiện (Khoản 3). Việc rút lại không áp dụng với hoạt động xử lý trước thời điểm yêu cầu (Khoản 4).

Thời hạn theo Khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP: phản hồi trong 02 ngày làm việc, thực hiện trong 15 ngày, hoặc 20 ngày nếu cần yêu cầu bên xử lý, bên thứ ba ngừng xử lý; được gia hạn 01 lần không quá 15 ngày và phải thông báo lý do. Doanh nghiệp nên thiết kế kênh rút lại sự đồng ý ở mọi nơi đã thu thập, để việc rút lại không khó hơn việc đồng ý. Xem đầy đủ các quyền tại quyền của chủ thể dữ liệu. Quy trình xử lý yêu cầu, các ngoại lệ và mức phạt được phân tích trong cẩm nang rút lại sự đồng ý và hạn chế xử lý.

5 trường hợp xử lý dữ liệu không cần consent (Khoản 1 Điều 19 Luật 91/2025)

1. Tình huống cấp bách bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền và lợi ích hợp pháp của chủ thể dữ liệu hoặc của người khác; hoặc bảo vệ một cách cần thiết quyền, lợi ích chính đáng của mình, của người khác, của Nhà nước, cơ quan, tổ chức trước hành vi xâm phạm. Bên viện dẫn trường hợp này có trách nhiệm chứng minh (Điểm a).
2. Tình trạng khẩn cấp, an ninh quốc gia: giải quyết tình trạng khẩn cấp; ứng phó nguy cơ đe dọa an ninh quốc gia chưa đến mức ban bố tình trạng khẩn cấp; phòng chống bạo loạn, khủng bố; phòng chống tội phạm và vi phạm pháp luật (Điểm b).
3. Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật (Điểm c).
4. Thực hiện thỏa thuận của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật (Điểm d).
5. Các trường hợp khác theo quy định của pháp luật (Điểm đ).

Xem phân tích chi tiết từng trường hợp, nghĩa vụ giám sát theo Khoản 2 Điều 19 và ma trận đối chiếu tại cẩm nang Các trường hợp xử lý dữ liệu không cần sự đồng ý.

Doanh nghiệp FDI cần lưu ý: khác với GDPR, Luật 91 không có căn cứ chung "lợi ích hợp pháp" (legitimate interests). Trường hợp gần nhất là điểm a Khoản 1 Điều 19, nhưng chỉ giới hạn ở việc bảo vệ quyền, lợi ích một cách cần thiết trước hành vi xâm phạm và bên viện dẫn phải chứng minh. Nhiều hoạt động ở châu Âu dựa trên lợi ích hợp pháp, như gửi email marketing cho khách hàng hiện hữu, tại Việt Nam thường cần sự đồng ý.

Sự đồng ý đã thu thập theo Nghị định 13/2023

Doanh nghiệp đã lấy sự đồng ý theo Nghị định 13/2023/NĐ-CP không phải làm lại từ đầu. Hoạt động xử lý đang thực hiện đã được đồng ý hoặc theo thỏa thuận trước ngày 01/01/2026 được tiếp tục, không phải xin đồng ý lại (Khoản 1 Điều 39 Luật 91/2025). Mục đích, loại dữ liệu hoặc bên nhận mới phát sinh sau thời điểm đó phải đáp ứng yêu cầu của Luật 91.

Checklist: consent là gì trong quy trình của doanh nghiệp

1. Liệt kê mọi mục đích thu thập dữ liệu, xác định mục đích nào dựa trên sự đồng ý, mục đích nào thuộc Điều 19.
2. Bảo đảm mỗi yêu cầu đồng ý nêu đủ loại dữ liệu, mục đích, bên kiểm soát và quyền của chủ thể dữ liệu.
3. Dùng ô tích để trống, tách riêng từng mục đích, kể cả chuyển dữ liệu ra nước ngoài.
4. Thông báo rõ khi dữ liệu cần xử lý là dữ liệu nhạy cảm.
5. Lưu nhật ký đồng ý có thể in, xuất ra khi cơ quan chức năng yêu cầu.
6. Có kênh rút lại sự đồng ý ở mọi kênh thu thập, đáp ứng thời hạn tại Điều 5 Nghị định 356.
7. Rà soát nội dung xin đồng ý mỗi khi có mục đích, nhà cung cấp hoặc quốc gia nhận dữ liệu mới.

Để nhân viên hiểu sự khác nhau giữa từng mục đích sử dụng thông tin và cách ghi nhận lựa chọn của khách hàng, doanh nghiệp có thể tham khảo đào tạo DPO và nhận thức về bảo vệ dữ liệu cá nhân. Nội dung thực hành được thiết kế theo biểu mẫu và tình huống của từng bộ phận.