Thông báo xử lý dữ liệu cá nhân là gì? Nội dung và ví dụ

Ví dụ, website đặt liên kết chính sách dưới biểu mẫu là một cách cung cấp thông tin. Việc xin consent vẫn cần cơ chế riêng phù hợp, có thể kiểm chứng được. Xem thêm sự đồng ý của chủ thể dữ liệu.

Nội dung thông báo xử lý dữ liệu cá nhân cần làm rõ những gì?

Thông tin cần biết khi lấy sự đồng ý

Khoản 2 Điều 9 Luật 91/2025/QH15 đặt ra ba nhóm thông tin để chủ thể biết rõ khi tự nguyện đồng ý:

• Loại dữ liệu và mục đích: nêu thông tin được xử lý và lý do sử dụng.
• Bên chịu trách nhiệm: xác định bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cá nhân.
• Quyền, nghĩa vụ của chủ thể: giải thích nội dung liên quan theo luật; xem các quyền của chủ thể dữ liệu.

Chẳng hạn, thay vì “thu thập thông tin để phục vụ kinh doanh”, biểu mẫu có thể nêu tên, email và nội dung câu hỏi dùng để phản hồi yêu cầu tư vấn. Cần xác định đúng vai trò bên kiểm soát và bên xử lý, không chỉ ghi tên thương hiệu của website.

Khi xin consent đối với dữ liệu nhạy cảm, phải thông báo tính chất nhạy cảm theo khoản 4 Điều 6 Nghị định 356. Riêng lĩnh vực tài chính, ngân hàng, thông tin tín dụng còn có nội dung bổ sung tại khoản 2 Điều 8; không áp danh sách chung cho mọi nghiệp vụ.

Các mục nên bổ sung để người đọc dễ hiểu

Với biểu mẫu thông thường, LexData khuyến nghị giải thích thêm bên nhận dữ liệu, thời gian lưu hoặc tiêu chí xác định, kênh liên hệ và cách gửi yêu cầu. Đây là gợi ý trình bày; nghĩa vụ cụ thể cần đối chiếu hoạt động, lĩnh vực và pháp luật liên quan.

Thông tin nên khớp thực tế. Nếu phần mềm quản lý khách hàng hoặc nhà cung cấp email tiếp nhận dữ liệu, hãy rà soát luồng chuyển này. Thời gian lưu cần có cơ sở; khoản 3 Điều 3 quy định việc lưu trữ phù hợp mục đích, trừ trường hợp pháp luật quy định khác. Không đặt một thời hạn tùy ý cho mọi hồ sơ.

Ví dụ thông báo tại biểu mẫu đăng ký tư vấn

Giả sử Công ty A tự vận hành biểu mẫu nhận câu hỏi và phản hồi bằng email. Dưới đây là phần tóm tắt minh họa do LexData biên soạn; doanh nghiệp cần hoàn thiện thông tin thực tế và phần quyền, nghĩa vụ trước khi sử dụng.

Công ty A thu thập họ tên, email và nội dung câu hỏi để tiếp nhận, liên hệ và phản hồi yêu cầu tư vấn của bạn. Công ty A quyết định mục đích, phương tiện và trực tiếp xử lý thông tin này.

Trước khi lựa chọn đồng ý, vui lòng đọc bản thông báo đầy đủ về bên nhận dữ liệu, thời gian lưu, các quyền và nghĩa vụ liên quan cùng cách liên hệ để gửi yêu cầu. Việc nhận bản tin giới thiệu dịch vụ, nếu có, được trình bày thành lựa chọn riêng.

Khi triển khai, thay “Công ty A” bằng đơn vị thực tế và gắn liên kết bản đầy đủ ngay tại vị trí dễ thấy. Với ô nhập tự do, nên nhắc khách hàng không gửi hồ sơ nhạy cảm hoặc thông tin người khác nếu chưa cần thiết.

Nếu lấy consent, có thể thiết kế lựa chọn cho phép sử dụng các thông tin đã nêu để phản hồi yêu cầu. Phần đăng ký bản tin có mục đích riêng. Điểm a, b khoản 4 Điều 9 yêu cầu consent theo từng mục đích và không ép đồng ý mục đích khác ngoài nội dung thỏa thuận. Không gộp mọi việc vào câu “đồng ý tất cả chính sách”.

Nên trình bày và cập nhật thông báo như thế nào?

Đặt thông tin trước lựa chọn liên quan

Khoản 1 Điều 11 yêu cầu có sự đồng ý trước khi thu thập, trừ trường hợp pháp luật có quy định khác. Khi dựa vào consent, nên hiển thị phần tóm tắt và bản đầy đủ trước thao tác đồng ý; kiểm tra cả màn hình điện thoại và biểu mẫu giấy.

Lưu được nội dung đã cung cấp và lựa chọn đã nhận

Khoản 1, 2 Điều 6 Nghị định 356 yêu cầu phương thức kiểm chứng được người đồng ý, thời điểm, nội dung và việc lưu trữ sự đồng ý. Để thực hiện, nên quản lý phiên bản thông báo cùng bản ghi lựa chọn tương ứng. Lượt mở trang policy không tự chứng minh consent.

Rà soát khi hoạt động thay đổi

Khi thêm mục đích, dữ liệu hoặc bên nhận, đối chiếu thông báo với hoạt động mới và căn cứ xử lý. Nếu dựa vào consent, kiểm tra phạm vi đã được đồng ý; cập nhật trang policy không tự mở rộng phạm vi đó. Thay địa chỉ liên hệ và thêm mục đích quảng cáo cần được đánh giá khác nhau.

Những lỗi thường gặp khi soạn thông báo

• Sao chép mẫu: liệt kê cả dữ liệu và mục đích doanh nghiệp không thực sự sử dụng.
• Nhầm biết với đồng ý: coi nhận thông báo hoặc im lặng là chấp thuận, trái nguyên tắc tại điểm d khoản 4 Điều 9.
• Chỉ nêu quyền mà thiếu cách thực hiện: nên chỉ rõ kênh liên hệ và thủ tục tương ứng.
• Dùng một mẫu cho mọi hoạt động: biểu mẫu hỏi đáp và nghiệp vụ có dữ liệu nhạy cảm cần được rà soát riêng.

Doanh nghiệp cần đối chiếu thông báo với biểu mẫu, luồng dữ liệu và cơ chế consent có thể tham khảo dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân của LexData. Nội dung được xây dựng theo hoạt động thực tế và phạm vi tư vấn thống nhất.