5 trường hợp xử lý dữ liệu không cần Consent (sự đồng ý) theo Điều 19

Xử lý dữ liệu không cần Consent: 5 trường hợp ngoại lệ theo Điều 19

Xử lý dữ liệu không cần Consent (không cần sự đồng ý) là cơ chế pháp lý đặc biệt giúp giải quyết sự xung đột giữa quyền tự quyết thông tin và nhu cầu vận hành cấp thiết của xã hội. Nguyên tắc nền tảng và cốt lõi nhất của pháp luật bảo vệ dữ liệu cá nhân trên toàn thế giới cũng như tại Việt Nam là nguyên tắc tôn trọng quyền tự quyết của cá nhân: mọi hoạt động thu thập, phân tích, chia sẻ dữ liệu cá nhân đều phải dựa trên cơ sở sự đồng ý tự nguyện, minh bạch của chủ thể dữ liệu (theo Điều 9 Luật 91/2025/QH15). Tuy nhiên, trong đời sống kinh tế - xã hội, nếu áp dụng nguyên tắc này một cách máy móc và tuyệt đối thì sẽ dẫn đến những bế tắc nghiêm trọng: bác sĩ không thể cấp cứu bệnh nhân hôn mê, cơ quan công an không thể truy bắt tội phạm, và doanh nghiệp không thể giao hàng cho khách khi chưa hoàn tất hàng loạt thủ tục xin đồng ý lặp đi lặp lại.

Để giải quyết mâu thuẫn này, Điều 19 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã thiết lập cơ chế "Xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu cá nhân". Đây là một trong những điều khoản có giá trị thực tiễn cao nhất, tạo cơ sở pháp lý vững chắc cho hoạt động vận hành của các cơ quan nhà nước và doanh nghiệp, đồng thời đặt ra những giới hạn giám sát chặt chẽ để chống lạm quyền.

1. Phân tích chi tiết 5 trường hợp miễn Consent theo Khoản 1 Điều 19

Căn cứ Khoản 1 Điều 19 Luật 91/2025/QH15, các trường hợp xử lý dữ liệu không cần sự đồng ý của chủ thể dữ liệu bao gồm chính xác 5 trường hợp sau:

Trường hợp 1: Tình huống cấp bách bảo vệ tính mạng, sức khỏe và lợi ích chính đáng (Điểm a)

Được áp dụng để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền và lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc của người khác trong trường hợp cấp bách. Đồng thời, trường hợp này cũng bao gồm việc bảo vệ quyền hoặc lợi ích chính đáng của chính tổ chức, của người khác hoặc lợi ích của Nhà nước trước hành vi xâm phạm một cách cần thiết. Lưu ý đặc biệt: Luật quy định Bên kiểm soát dữ liệu cá nhân, Bên xử lý dữ liệu cá nhân hoặc bên thứ ba có trách nhiệm chứng minh trường hợp cấp bách này khi được yêu cầu.

Ví dụ thực tế: Cơ sở y tế trích xuất tiền sử bệnh án và nhóm máu của nạn nhân tai nạn giao thông đang nguy kịch mà không thể chờ người thân đến ký giấy đồng ý; hoặc bộ phận an ninh mạng của ngân hàng phân tích địa chỉ IP và mã thiết bị để cô lập hành vi tấn công chiếm quyền đoạt tài khoản khách hàng.

Trường hợp 2: Tình trạng khẩn cấp và an ninh quốc gia (Điểm b)

Áp dụng để giải quyết tình trạng khẩn cấp; ứng phó với nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố; phòng, chống tội phạm và vi phạm pháp luật theo quy định của pháp luật chuyên ngành. Trong trường hợp này, các doanh nghiệp viễn thông, ngân hàng, nền tảng số có trách nhiệm cung cấp dữ liệu phục vụ điều tra của cơ quan chuyên trách mà không cần sự đồng ý của chủ tài khoản.

Trường hợp 3: Phục vụ hoạt động của cơ quan nhà nước (Điểm c)

Áp dụng khi việc xử lý dữ liệu phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật. Ví dụ: Cơ quan thuế xử lý dữ liệu thu nhập của công dân để quyết toán thuế; cơ quan bảo hiểm xã hội quản lý thông tin đóng nộp BHXH; cơ quan thống kê tiến hành điều tra dân số.

Trường hợp 4: Thực hiện thỏa thuận của chủ thể dữ liệu (Điểm d)

Đây là căn cứ pháp lý quan trọng nhất đối với khu vực doanh nghiệp: xử lý dữ liệu để thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật. Khi một khách hàng đặt mua một đơn hàng trên website thương mại điện tử hoặc ký hợp đồng dịch vụ tư vấn, doanh nghiệp được quyền xử lý họ tên, số điện thoại, địa chỉ giao hàng và thông tin thanh toán của khách hàng để giao hàng và xuất hóa đơn mà không cần tách riêng một bước xin consent cho chính hành vi thực hiện đơn hàng đó.

Trường hợp 5: Trường hợp khác theo quy định của pháp luật (Điểm đ)

Bao gồm các trường hợp được quy định cụ thể trong các đạo luật chuyên ngành khác (như Luật Các tổ chức tín dụng, Luật Phòng chống rửa tiền, Luật Công chứng...).

2. Nghĩa vụ thiết lập 4 cơ chế giám sát bắt buộc (Khoản 2 Điều 19)

Luật 91/2025/QH15 khẳng định: Việc xử lý dữ liệu không cần sự đồng ý không đồng nghĩa với việc xử lý tùy tiện. Căn cứ Khoản 2 Điều 19, tổ chức xử lý dữ liệu theo diện ngoại lệ bắt buộc phải thiết lập cơ chế giám sát toàn diện gồm 4 cấu phần:

1. Thiết lập quy trình nội bộ: Ban hành quy trình, quy định nội bộ rõ ràng và xác định cụ thể trách nhiệm của từng cá nhân, phòng ban trong quá trình xử lý dữ liệu không cần sự đồng ý.
2. Biện pháp an toàn và đánh giá rủi ro: Triển khai các biện pháp kỹ thuật bảo vệ phù hợp; thường xuyên đánh giá rủi ro có thể xảy ra đối với quyền và lợi ích của chủ thể dữ liệu.
3. Kiểm tra, đánh giá định kỳ: Thực hiện hoạt động rà soát, kiểm toán định kỳ việc tuân thủ pháp luật và quy trình xử lý nội bộ.
4. Kênh tiếp nhận phản ánh, khiếu nại: Xây dựng cơ chế tiếp nhận, xử lý kịp thời các phản ánh, kiến nghị từ cơ quan nhà nước, tổ chức và cá nhân liên quan.