5 trường hợp xử lý dữ liệu không cần sự đồng ý (Consent) theo Điều 19

Xử lý dữ liệu không cần sự đồng ý: 5 trường hợp ngoại lệ theo Điều 19

Trong pháp luật bảo vệ dữ liệu, xử lý dữ liệu không cần sự đồng ý (Consent) là cơ chế pháp lý đặc biệt giúp giải quyết sự xung đột giữa quyền tự quyết thông tin và nhu cầu vận hành cấp thiết của xã hội. Nguyên tắc nền tảng và cốt lõi nhất của pháp luật bảo vệ dữ liệu cá nhân trên toàn thế giới cũng như tại Việt Nam là nguyên tắc tôn trọng quyền tự quyết của cá nhân: mọi hoạt động thu thập, phân tích, chia sẻ dữ liệu cá nhân đều phải dựa trên cơ sở sự đồng ý tự nguyện, minh bạch của chủ thể dữ liệu (theo Điều 9 Luật 91/2025/QH15). Tuy nhiên, trong đời sống kinh tế - xã hội, nếu áp dụng nguyên tắc này một cách máy móc và tuyệt đối thì sẽ dẫn đến những bế tắc nghiêm trọng: bác sĩ không thể cấp cứu bệnh nhân hôn mê, cơ quan công an không thể truy bắt tội phạm, và doanh nghiệp không thể giao hàng cho khách khi chưa hoàn tất hàng loạt thủ tục xin đồng ý lặp đi lặp lại.

Để giải quyết mâu thuẫn này, Điều 19 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã thiết lập cơ chế "Xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu cá nhân". Đây là một trong những điều khoản có giá trị thực tiễn cao nhất, tạo cơ sở pháp lý vững chắc cho hoạt động vận hành của các cơ quan nhà nước và doanh nghiệp, đồng thời đặt ra những giới hạn giám sát chặt chẽ để chống lạm quyền.

1. Phân tích chi tiết 5 trường hợp miễn Consent theo Khoản 1 Điều 19

Căn cứ Khoản 1 Điều 19 Luật 91/2025/QH15, các trường hợp xử lý dữ liệu không cần sự đồng ý của chủ thể dữ liệu bao gồm chính xác 5 trường hợp sau:

Trường hợp 1: Tình huống cấp bách bảo vệ tính mạng, sức khỏe và lợi ích chính đáng (Điểm a)

Được áp dụng để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền và lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc của người khác trong trường hợp cấp bách. Đồng thời, trường hợp này cũng bao gồm việc bảo vệ quyền hoặc lợi ích chính đáng của chính tổ chức, của người khác hoặc lợi ích của Nhà nước trước hành vi xâm phạm một cách cần thiết. Lưu ý đặc biệt: Luật quy định Bên kiểm soát dữ liệu cá nhân, Bên xử lý dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân hoặc bên thứ ba có trách nhiệm chứng minh trường hợp cấp bách này khi được yêu cầu.

Ví dụ thực tế: Cơ sở y tế trích xuất tiền sử bệnh án và nhóm máu của nạn nhân tai nạn giao thông đang nguy kịch mà không thể chờ người thân đến ký giấy đồng ý; hoặc bộ phận an ninh mạng của ngân hàng phân tích địa chỉ IP và mã thiết bị để cô lập hành vi tấn công chiếm quyền đoạt tài khoản khách hàng.

Trường hợp 2: Tình trạng khẩn cấp và an ninh quốc gia (Điểm b)

Áp dụng để giải quyết tình trạng khẩn cấp; ứng phó với nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố; phòng, chống tội phạm và vi phạm pháp luật. Trong trường hợp này, các doanh nghiệp viễn thông, ngân hàng, nền tảng số có thể cung cấp dữ liệu theo yêu cầu hợp lệ của cơ quan có thẩm quyền phục vụ điều tra mà không cần sự đồng ý của chủ tài khoản.

Trường hợp 3: Phục vụ hoạt động của cơ quan nhà nước (Điểm c)

Áp dụng khi việc xử lý dữ liệu phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật. Ví dụ: Cơ quan thuế xử lý dữ liệu thu nhập của công dân để quyết toán thuế; cơ quan bảo hiểm xã hội quản lý thông tin đóng nộp BHXH; cơ quan thống kê tiến hành điều tra dân số.

Trường hợp 4: Thực hiện thỏa thuận của chủ thể dữ liệu (Điểm d)

Đây là căn cứ pháp lý quan trọng nhất đối với khu vực doanh nghiệp: xử lý dữ liệu để thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật. Khi một khách hàng đặt mua một đơn hàng trên website thương mại điện tử hoặc ký hợp đồng dịch vụ tư vấn, doanh nghiệp được quyền xử lý họ tên, số điện thoại, địa chỉ giao hàng và thông tin thanh toán của khách hàng để giao hàng và xuất hóa đơn mà không cần tách riêng một bước xin consent cho chính hành vi thực hiện đơn hàng đó.

Trường hợp 5: Trường hợp khác theo quy định của pháp luật (Điểm đ)

Bao gồm các trường hợp khác theo quy định của pháp luật, thường nằm trong các luật chuyên ngành (như Luật Các tổ chức tín dụng, Luật Phòng chống rửa tiền, Luật Công chứng...).

2. Bốn cơ chế giám sát bắt buộc khi xử lý dữ liệu không cần sự đồng ý (Khoản 2 Điều 19)

Luật 91/2025/QH15 khẳng định: Việc xử lý dữ liệu không cần sự đồng ý không đồng nghĩa với việc xử lý tùy tiện. Căn cứ Khoản 2 Điều 19, tổ chức xử lý dữ liệu theo diện ngoại lệ bắt buộc phải thiết lập cơ chế giám sát toàn diện gồm 4 cấu phần:

1. Thiết lập quy trình nội bộ: Ban hành quy trình, quy định nội bộ rõ ràng và xác định cụ thể trách nhiệm của từng cá nhân, phòng ban trong quá trình xử lý dữ liệu không cần sự đồng ý.
2. Biện pháp an toàn và đánh giá rủi ro: Triển khai các biện pháp kỹ thuật bảo vệ phù hợp; thường xuyên đánh giá rủi ro có thể xảy ra đối với quyền và lợi ích của chủ thể dữ liệu.
3. Kiểm tra, đánh giá định kỳ: Thực hiện hoạt động rà soát, kiểm toán định kỳ việc tuân thủ pháp luật và quy trình xử lý nội bộ.
4. Kênh tiếp nhận phản ánh, khiếu nại: Xây dựng cơ chế tiếp nhận, xử lý kịp thời các phản ánh, kiến nghị từ cơ quan nhà nước, tổ chức và cá nhân liên quan.

3. Hướng dẫn 4 bước thẩm định trước khi áp dụng ngoại lệ Điều 19

Để ngăn chặn nguy cơ bị cơ quan quản lý nhà nước xử phạt vì hành vi tự ý xử lý dữ liệu trái phép, doanh nghiệp cần tuân thủ quy trình thẩm định 4 bước:

Bước 1: Đánh giá căn cứ pháp lý chính xác (Legal Ground Assessment)

Bộ phận Pháp chế hoặc nhân sự phụ trách bảo vệ dữ liệu (DPO) phải đối chiếu hoạt động xử lý dự kiến với 5 trường hợp tại Khoản 1 Điều 19. Tuyệt đối không được mở rộng khái niệm 'lợi ích chính đáng của tổ chức' để bao hàm các hoạt động mang tính chất tìm kiếm lợi nhuận thương mại thuần túy (như bán data khách hàng hoặc spam tiếp thị).

Bước 2: Kiểm tra tính cần thiết và cân xứng (Necessity & Proportionality Test)

Doanh nghiệp phải trả lời được hai câu hỏi cốt lõi:

• Hoạt động này có thực sự cần thiết để đạt được mục tiêu hợp pháp hay không? Có phương thức nào khác ít xâm phạm quyền riêng tư hơn mà vẫn đạt được mục đích không?
• Phạm vi dữ liệu thu thập đã ở mức tối thiểu cần thiết chưa? Nếu việc thực hiện hợp đồng chỉ cần số điện thoại và địa chỉ giao hàng thì tuyệt đối không được thu thập thêm số CCCD hay ngày sinh của khách hàng.

Bước 3: Lập Hồ sơ giải trình căn cứ pháp lý (Legal Justification Memo)

Điểm a Khoản 1 Điều 19 giao trách nhiệm chứng minh trường hợp cấp bách cho Bên kiểm soát, Bên xử lý, Bên kiểm soát và xử lý dữ liệu cá nhân và bên thứ ba; điểm b khoản 3 Điều 47 Nghị định 330/2026/NĐ-CP xử phạt hành vi không chứng minh được căn cứ xử lý không cần sự đồng ý khi cơ quan có thẩm quyền kiểm tra. Do đó, doanh nghiệp cần lập văn bản ghi nhớ pháp lý nội bộ lưu trữ trong hồ sơ tuân thủ, ghi rõ: lý do áp dụng Điều 19, thời điểm bắt đầu xử lý, loại dữ liệu được sử dụng, danh tính người phê duyệt và thời hạn dự kiến kết thúc xử lý.

Bước 4: Vận hành đầy đủ 4 cơ chế giám sát theo Khoản 2 Điều 19

Cập nhật Sổ RoPA của doanh nghiệp; thiết lập phân quyền truy cập hạn chế chỉ dành cho các nhân sự trực tiếp xử lý tình huống; mở hòm thư điện tử chuyên biệt (ví dụ: privacy@doanhnghiep.vn) để tiếp nhận và giải quyết phản hồi từ các chủ thể dữ liệu liên quan.

4. Rủi ro pháp lý và chế tài xử phạt theo Nghị định 330/2026/NĐ-CP

Căn cứ Nghị định 330/2026/NĐ-CP, việc lạm dụng hoặc áp dụng sai quy định về ngoại lệ không cần sự đồng ý sẽ bị xử lý theo các điều khoản tương ứng:

• Xử lý dữ liệu cá nhân khi chưa có sự đồng ý mà không thuộc trường hợp Điều 19, thiết lập mặc định đồng ý, coi im lặng là đồng ý, hoặc không thực hiện đúng nghĩa vụ về sự đồng ý: Điều 43 — phạt 30–50 triệu đồng đối với tổ chức (khoản 1, gồm cả xử lý khi chưa có sự đồng ý và thiết lập mặc định đồng ý); 50–70 triệu đồng khi tự ý coi sự im lặng là đồng ý hoặc cố ý tiếp tục xử lý sau khi chủ thể yêu cầu ngừng, hạn chế xử lý (khoản 2).
• Vi phạm quy định về xử lý dữ liệu không cần sự đồng ý: Điều 47 — phạt 10–20 triệu đồng nếu không thiết lập cơ chế giám sát theo Khoản 2 Điều 19 (quy trình, kiểm tra định kỳ, kênh tiếp nhận phản ánh); 20–30 triệu đồng nếu không triển khai biện pháp bảo vệ phù hợp làm lộ, mất dữ liệu hoặc không đánh giá rủi ro; 30–50 triệu đồng nếu lợi dụng các trường hợp Khoản 1 Điều 19 để xử lý vượt quá mục đích, phạm vi cần thiết hoặc không chứng minh được căn cứ khi được kiểm tra.
• Vi phạm nguyên tắc bảo vệ dữ liệu, thu thập/cung cấp dữ liệu trái quy định khi vận dụng ngoại lệ: Được xem xét theo các điều khoản tương ứng khác của Nghị định 330/2026/NĐ-CP (ví dụ Điều 39 về nguyên tắc bảo vệ dữ liệu cá nhân, phạt 20–60 triệu đồng tùy hành vi); trường hợp gây thiệt hại còn phải bồi thường theo pháp luật dân sự.

Lưu ý: chế tài phạt theo tỷ lệ doanh thu (1–5% doanh thu năm liền trước tại thị trường Việt Nam) chỉ áp dụng cho một số vi phạm chuyển dữ liệu cá nhân xuyên biên giới theo Điều 56 Nghị định 330/2026/NĐ-CP. Xem chi tiết tại cẩm nang Mức phạt vi phạm bảo vệ dữ liệu cá nhân.