Rút lại sự đồng ý và hạn chế xử lý dữ liệu cá nhân: doanh nghiệp phải làm gì theo Điều 10 Luật 91/2025?

Rút lại sự đồng ý là gì?

Rút lại sự đồng ý là việc chủ thể dữ liệu yêu cầu doanh nghiệp ngừng xử lý dữ liệu cá nhân mà trước đó họ đã cho phép. Đây là quyền tại điểm b khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, và là hệ quả trực tiếp của nguyên tắc tại điểm c khoản 4 Điều 9: sự đồng ý chỉ có hiệu lực cho đến khi chủ thể dữ liệu thay đổi sự đồng ý đó. Cách xin sự đồng ý hợp lệ được phân tích trong cẩm nang consent.

Điều 10 Luật 91/2025 quy định chung hai yêu cầu: rút lại sự đồng ý và hạn chế xử lý dữ liệu cá nhân. Khoản 1 Điều 10 gắn các yêu cầu này với trường hợp chủ thể dữ liệu "có nghi ngờ phạm vi, mục đích xử lý dữ liệu cá nhân hoặc tính chính xác của dữ liệu cá nhân". Theo cách hiểu của LexData, điều kiện này chủ yếu áp dụng cho yêu cầu hạn chế xử lý. Quyền rút lại sự đồng ý là quyền chung tại Điều 4 và Điều 9, nên doanh nghiệp không nên đòi chủ thể dữ liệu giải thích lý do khi họ rút lại sự đồng ý.

Hạn chế xử lý dữ liệu cá nhân là gì?

Hạn chế xử lý là yêu cầu giới hạn việc xử lý dữ liệu cá nhân, thay vì dừng hẳn hoặc xóa dữ liệu. Luật 91/2025 không định nghĩa chi tiết khái niệm này. Trên thực tế, hạn chế xử lý thường có nghĩa là doanh nghiệp vẫn lưu dữ liệu nhưng tạm ngừng sử dụng cho một số hoặc tất cả mục đích, trong khi hai bên làm rõ điều chủ thể dữ liệu nghi ngờ. Ví dụ: khách hàng cho rằng điểm tín dụng nội bộ của họ được tính từ dữ liệu sai, và yêu cầu ngân hàng không dùng điểm này để xét duyệt khoản vay cho đến khi dữ liệu được chỉnh sửa.

Chi tiết về quyền xóa xem tại cẩm nang quyền xóa dữ liệu cá nhân; tổng quan các quyền xem tại quyền của chủ thể dữ liệu.

Yêu cầu rút lại sự đồng ý phải được gửi như thế nào?

Theo khoản 2 Điều 10 Luật 91/2025, cả hai loại yêu cầu phải thể hiện bằng văn bản, bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được, và gửi cho bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu. Việc thực hiện theo quy định của pháp luật và theo thỏa thuận giữa các bên.

Khoản 1 Điều 5 Nghị định 356/2025/NĐ-CP yêu cầu doanh nghiệp xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để chủ thể dữ liệu thực hiện quyền, và bảo đảm họ biết về thủ tục đó. Nguyên tắc thực tế: rút lại sự đồng ý phải dễ như khi cho đồng ý. Nếu khách hàng đồng ý bằng một cú nhấp trên ứng dụng, doanh nghiệp nên cho họ rút lại bằng một cú nhấp tương tự, không bắt gửi văn bản giấy. Cố ý che giấu, ngăn chặn hoặc gây cản trở việc rút lại sự đồng ý bị phạt 20–30 triệu đồng (điểm a khoản 1 Điều 45 Nghị định 330/2026/NĐ-CP).

Thời hạn xử lý yêu cầu rút lại sự đồng ý

Khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP quy định:

1. Phản hồi trong 02 ngày làm việc, cung cấp đầy đủ thông tin cho chủ thể dữ liệu về thủ tục ngừng xử lý.
2. Thực hiện trong 15 ngày. Nếu cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba ngừng xử lý, thời hạn là 20 ngày.
3. Nếu yêu cầu phức tạp, được gia hạn 01 lần, tối đa 15 ngày. Doanh nghiệp phải thông báo lý do gia hạn cho chủ thể dữ liệu và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

Điều 10 cũng yêu cầu bên kiểm soát yêu cầu bên xử lý dữ liệu thực hiện các yêu cầu này (khoản 3). Đây là điểm dễ bị bỏ sót: khách hàng đã hủy đăng ký trên website nhưng danh sách vẫn nằm trong nền tảng gửi email, tổng đài hoặc tài khoản quảng cáo của bên thứ ba. Mọi hợp đồng với bên xử lý nên có điều khoản về thời hạn phối hợp, xem hợp đồng xử lý dữ liệu (DPA).

Khi nào doanh nghiệp không phải ngừng xử lý sau khi rút lại sự đồng ý?

Có hai giới hạn quan trọng:

• Không hồi tố. Khoản 4 Điều 10 Luật 91/2025 quy định việc thực hiện hai loại yêu cầu này không áp dụng với hoạt động xử lý trước thời điểm chủ thể dữ liệu yêu cầu. Các hoạt động đã làm hợp pháp trước đó không trở thành trái luật.
• Ngoại lệ Điều 19 và luật khác. Khoản 1 Điều 10 loại trừ các trường hợp xử lý dữ liệu không cần sự đồng ý tại Điều 19 và trường hợp pháp luật có quy định khác. Ví dụ: ngân hàng vẫn phải lưu hồ sơ giao dịch theo pháp luật về phòng, chống rửa tiền; doanh nghiệp vẫn phải lưu chứng từ kế toán theo thời hạn luật định.

Khi từ chối hoặc chỉ thực hiện một phần yêu cầu, doanh nghiệp phải thông báo lý do chính đáng cho chủ thể dữ liệu. Không thông báo bị phạt 10–20 triệu đồng (điểm đ khoản 1 Điều 44 Nghị định 330/2026/NĐ-CP).

Mức phạt vi phạm quyền rút lại sự đồng ý và hạn chế xử lý

Nghị định 330/2026/NĐ-CP quy định các mức phạt sau với tổ chức (cá nhân chịu một nửa):

• 10–20 triệu đồng: không có quy trình, biểu mẫu thực hiện quyền; không phản hồi trong 02 ngày làm việc; không thông báo lý do khi từ chối hoặc gia hạn (khoản 1 Điều 44).
• 20–30 triệu đồng: bên xử lý, bên thứ ba không ngừng xử lý trong thời hạn bên kiểm soát yêu cầu (khoản 2 Điều 44); cản trở việc rút lại sự đồng ý, không ngừng xử lý sau khi chủ thể dữ liệu rút lại sự đồng ý, không gửi yêu cầu ngừng xử lý cho bên xử lý, bên thứ ba (khoản 1 Điều 45).
• 30–40 triệu đồng: không thực hiện yêu cầu rút lại đồng ý, hạn chế hoặc phản đối xử lý trong 15 ngày, 20 ngày hoặc thời hạn gia hạn (điểm a khoản 3 Điều 44).
• 50–70 triệu đồng: cố ý tiếp tục xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu đã yêu cầu ngừng, hạn chế xử lý (điểm a khoản 2 Điều 43).

Biện pháp khắc phục gồm buộc xóa dữ liệu đã tiếp tục xử lý sau khi chủ thể dữ liệu rút lại đồng ý, buộc nộp lại khoản thu có được từ việc tiếp tục khai thác, và buộc thiết lập cơ chế kỹ thuật rõ ràng, dễ tiếp cận để chủ thể dữ liệu rút lại sự đồng ý (khoản 2 Điều 45). Tổng hợp khác xem tại cẩm nang mức phạt vi phạm dữ liệu cá nhân.

Checklist xử lý yêu cầu rút lại sự đồng ý và hạn chế xử lý

1. Có kênh rút lại đồng ý ở mọi nơi thu thập sự đồng ý: ứng dụng, website, tin nhắn, email, quầy giao dịch.
2. Ghi nhận thời điểm nhận yêu cầu để tính mốc 02 ngày làm việc và 15 ngày.
3. Xác định hoạt động xử lý nào dựa trên sự đồng ý và hoạt động nào có căn cứ khác (Điều 19, nghĩa vụ luật định).
4. Ngừng các hoạt động dựa trên sự đồng ý trong hệ thống nội bộ và gửi yêu cầu ngừng xử lý cho mọi bên xử lý, bên thứ ba liên quan.
5. Với yêu cầu hạn chế xử lý: đánh dấu dữ liệu, chặn các mục đích bị hạn chế và làm rõ nghi ngờ của chủ thể dữ liệu.
6. Thông báo kết quả, hoặc lý do từ chối, gia hạn, cho chủ thể dữ liệu bằng định dạng lưu lại được.
7. Xem xét xóa dữ liệu nếu không còn căn cứ lưu giữ, và lưu hồ sơ toàn bộ quá trình để chứng minh khi bị kiểm tra.