Trong hành lang pháp lý về bảo vệ dữ liệu cá nhân tại Việt Nam, sự đồng ý của chủ thể dữ liệu được coi là “hạt nhân” để đánh giá tính tuân thủ của tổ chức. Kể từ ngày 01/01/2026, khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực, các tiêu chuẩn về sự đồng ý đã được nâng tầm rõ rệt, không còn chấp nhận các hình thức thỏa thuận mập mờ hay mặc định.
1. Tiêu chuẩn xác lập sự đồng ý hợp lệ
Theo Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025 và hướng dẫn tại Nghị định 356/2025/NĐ-CP, một sự đồng ý chỉ được coi là có giá trị pháp lý khi đáp ứng đầy đủ 03 điều kiện tiên quyết:
- Tính tự nguyện và nhận thức đầy đủ: Chủ thể dữ liệu phải thực hiện hành vi đồng ý một cách tự do, không bị ép buộc hoặc lừa dối. Sự đồng ý chỉ có hiệu lực khi chủ thể đã được thông báo và biết rõ ít nhất 05 nội dung: (i) Loại dữ liệu xử lý; (ii) Mục đích xử lý; (iii) Các thực thể tham gia xử lý; (iv) Quyền và (v) Nghĩa vụ của mình.
- Tính rõ ràng và định danh mục đích (Granular Consent): Pháp luật nghiêm cấm việc “gói” nhiều mục đích xử lý vào một nút đồng ý duy nhất. Doanh nghiệp phải liệt kê danh mục mục đích cụ thể để khách hàng có thể lựa chọn đồng ý một phần hoặc toàn bộ. Sự đồng ý cho mục đích A không được mặc nhiên áp dụng cho mục đích B.
- Tính chủ động (Active Consent): Đây là điểm thay đổi trọng yếu. Luật quy định rõ: Sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý. Doanh nghiệp không được phép sử dụng các thiết lập mặc định (default check-box) hoặc các giao diện gây nhầm lẫn để “bẫy” sự chấp thuận của người dùng.
2. Hình thức thể hiện và tính kiểm chứng được
Sự đồng ý phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả định dạng điện tử hoặc các hình thức kiểm chứng được khác. Các phương thức phổ biến bao gồm:
- Văn bản có chữ ký trực tiếp hoặc chữ ký số.
- Cuộc gọi ghi âm có xác nhận trực tiếp của chủ thể.
- Cú pháp tin nhắn SMS hoặc phản hồi qua email.
- Thao tác tích chọn trên các nền tảng số (website, ứng dụng) có lưu lại lịch sử truy cập (audit log).
Đặc biệt, đối với dữ liệu cá nhân của trẻ em từ 7 tuổi trở lên, doanh nghiệp phải thực hiện cơ chế xác nhận “kép”: cần có sự đồng ý của cha mẹ/người giám hộ và sự đồng ý của chính trẻ em đó.
3. Quyền rút lại sự đồng ý và hệ quả pháp lý
Chủ thể dữ liệu có quyền rút lại sự đồng ý bất cứ lúc nào. Luật Bảo vệ dữ liệu cá nhân 2025 yêu cầu quy trình rút lại sự đồng ý phải dễ dàng và đơn giản tương đương với quy trình đã thực hiện để cho phép xử lý. Khi chủ thể rút lại sự đồng ý, Bên Kiểm soát dữ liệu phải ngay lập tức ngừng các hoạt động xử lý liên quan và thực hiện các biện pháp xóa hoặc hủy dữ liệu trong thời hạn luật định, trừ trường hợp có quy định khác.
4. Nghĩa vụ chứng minh và trách nhiệm bồi thường
Điểm mấu chốt doanh nghiệp cần lưu ý là: Trong trường hợp có tranh chấp hoặc thanh tra, trách nhiệm chứng minh sự đồng ý thuộc về Bên Kiểm soát dữ liệu.
Nếu doanh nghiệp không cung cấp được bằng chứng hợp lệ về việc chủ thể đã đồng ý theo đúng tiêu chuẩn pháp luật, mọi hoạt động xử lý sau đó sẽ bị coi là trái phép. Điều này không chỉ dẫn đến các án phạt hành chính lên đến 3 tỷ đồng hoặc 5% doanh thu mà còn là căn cứ để chủ thể dữ liệu khởi kiện yêu cầu bồi thường thiệt hại dân sự.
Việc tuân thủ không chỉ là trách nhiệm pháp lý mà còn là nền tảng để doanh nghiệp khẳng định uy tín với khách hàng. Thấu hiểu những khó khăn về quy trình kỹ thuật và thủ tục hành chính, Luật LT VINA cung cấp gói giải pháp tuân thủ toàn diện bao gồm:
- Rà soát và Kiểm toán dữ liệu (Data Audit): Xác định các luồng dữ liệu, phân loại dữ liệu cơ bản và nhạy cảm để xây dựng bản đồ dữ liệu chính xác cho doanh nghiệp.
- Xây dựng Hệ thống tài liệu nội bộ: Soạn thảo Chính sách bảo vệ dữ liệu (Privacy Policy), Quy chế xử lý dữ liệu, mẫu văn bản đồng ý cho khách hàng và nhân sự, cùng các thỏa thuận xử lý dữ liệu (DPA) với bên thứ ba.
- Thực hiện Hồ sơ báo cáo hành chính: Thay mặt doanh nghiệp lập và nộp Hồ sơ đánh giá tác động xử lý dữ liệu (DPIA) và chuyển dữ liệu xuyên biên giới (TIA) lên cơ quan chức năng trong thời hạn 60 ngày theo quy định.
- Đào tạo và Hỗ trợ nhân sự DPO: Tư vấn tiêu chuẩn và đào tạo chuyên môn cho nhân sự bảo vệ dữ liệu (DPO) hoặc cung cấp dịch vụ DPO thuê ngoài đáp ứng đủ điều kiện về bằng cấp và kinh nghiệm.
- Ứng phó sự cố rò rỉ dữ liệu: Tư vấn quy trình xử lý khủng hoảng và thực hiện thông báo vi phạm cho cơ quan chức năng trong vòng 72 giờ để giảm thiểu rủi ro pháp lý.
- Đại diện giải quyết tranh chấp: Tư vấn và tham gia bảo vệ quyền lợi hợp pháp cho doanh nghiệp/ cá nhân trong các vụ việc khiếu nại, tố cáo hoặc kiện tụng liên quan đến xâm phạm dữ liệu.
Lưu ý: Nội dung bài viết được xây dựng trên ý kiến tư vấn chuyên môn của Luật sư/Chuyên gia pháp lý thuộc Luật LT VINA, thông tin trong bài viết chỉ mang tính chất tham khảo và không thay thế cho ý kiến tư vấn pháp lý chính thức của Luật sư do mỗi vụ việc cụ thể có đặc thù riêng hoặc các quy định pháp luật được viện dẫn có thể đã được sửa đổi, bổ sung hoặc hết hiệu lực tại thời điểm Quý Khách hàng tiếp cận bài viết. Quý Khách hàng không nên tự ý áp dụng nội dung bài viết khi chưa có sự tư vấn chính thức của Luật sư.
Mọi thắc mắc và nhu cầu tư vấn, Quý Khách hàng vui lòng liên hệ trực tiếp với Luật sư qua số điện thoại: 0982.333.565 – 0373.424.646 hoặc Email: luatltvina@gmail.com để được tư vấn, hỗ trợ kịp thời.