Sự đồng ý của chủ thể dữ liệu

Sự đồng ý của chủ thể dữ liệu là lời cho phép của chính người có dữ liệu để người khác xử lý dữ liệu đó. Từ năm 2026, một cái gật đầu chung chung không còn đủ: đồng ý phải tự nguyện, biết rõ dữ liệu nào bị dùng vào việc gì, tách theo từng mục đích, để lại dấu vết kiểm chứng được — và im lặng thì không bao giờ được tính là đồng ý.

Định nghĩa theo văn bản pháp luật

1. Sự đồng ý của chủ thể dữ liệu cá nhân là việc chủ thể dữ liệu cá nhân cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác.
2. Sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ các thông tin sau đây:
a) Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân;
b) Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân;
c) Các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân.

Khoản 1, 2 Điều 9 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026); phương thức thể hiện tại Điều 6 Nghị định 356/2025/NĐ-CP.

Giải nghĩa dễ hiểu

Bốn nguyên tắc ở khoản 4 Điều 9

• Từng mục đích một. Đồng ý để giao hàng không bao gồm đồng ý để quảng cáo. Mỗi mục đích cần một lựa chọn riêng.
• Không trói buộc. Không được bắt khách đồng ý cho mục đích khác ngoài nội dung thỏa thuận mới cho dùng dịch vụ.
• Có hiệu lực tới khi bị thay đổi hoặc theo quy định pháp luật.
• Im lặng hoặc không phản hồi không phải là đồng ý.

Đồng ý phải "để lại dấu vết"

Khoản 3 Điều 9 Luật đòi hỏi đồng ý thể hiện rõ ràng, cụ thể, in hoặc sao chép được thành văn bản. Điều 6 Nghị định 356 liệt kê năm cách: văn bản; cuộc gọi có ghi âm; cú pháp tin nhắn; thư điện tử, website, ứng dụng có thiết lập kỹ thuật xin đồng ý; phương thức khác kiểm chứng được. Điểm then chốt: phải chứng minh được ai đồng ý, lúc nào, nội dung gì.

Gánh nặng chứng minh thuộc về doanh nghiệp

Bên kiểm soát phải lưu trữ sự đồng ý; khi tranh chấp, chính họ phải chứng minh đã có đồng ý (khoản 2 Điều 6 NĐ 356). Không lưu nhật ký đồng ý bị phạt 30–50 triệu đồng (điểm g khoản 1 Điều 43 NĐ 330/2026).

Cấm "ô tích sẵn" và chỉ dẫn mập mờ

Không được thiết lập mặc định đồng ý hoặc tạo chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý (khoản 3 Điều 6 NĐ 356) — ví dụ nút "Đồng ý" to màu đỏ, còn "Từ chối" là dòng chữ xám nhỏ. Với dữ liệu nhạy cảm, phải nói rõ đó là dữ liệu nhạy cảm (khoản 4).

Phân biệt đồng ý xử lý dữ liệu với chấp nhận điều khoản hợp đồng

Ví dụ tình huống

Tháng 4/2026, một ứng dụng đặt phòng nghỉ dưỡng có trụ sở tại phường Nha Trang, tỉnh Khánh Hòa cập nhật màn hình đăng ký: một ô duy nhất đã tích sẵn "Đồng ý với Điều khoản sử dụng và Chính sách bảo mật". Trong chính sách có câu cho phép chia sẻ số điện thoại, lịch sử đặt phòng với "đối tác tiếp thị". Chị Võ Thanh Thảo đăng ký, sau đó bị gọi chào mua căn hộ.

Phân tích: thiếu đồng ý theo từng mục đích (điểm a khoản 4 Điều 9), gộp mục đích tiếp thị vào điều kiện dùng dịch vụ (điểm b), và đặt ô mặc định đồng ý (khoản 3 Điều 6 NĐ 356). Lịch sử đặt phòng còn có thể bị xem là dữ liệu theo dõi hành vi sử dụng dịch vụ trực tuyến, thuộc nhóm nhạy cảm. Theo Điều 43 NĐ 330/2026, mỗi hành vi ở điểm b, c, e khoản 1 có khung 30–50 triệu đồng với tổ chức, kèm buộc hủy dữ liệu thu thập không có đồng ý hợp lệ; nếu ứng dụng vẫn chia sẻ sau khi chị Thảo yêu cầu dừng, khung tăng lên 50–70 triệu đồng (điểm a khoản 2). Chị Thảo gửi email rút đồng ý cho mục đích tiếp thị: ứng dụng phải phản hồi trong 02 ngày làm việc và ngừng trong 15 ngày, đồng thời yêu cầu đối tác ngừng trong 20 ngày.

Áp dụng trong thực tế và ngoại lệ

• Không cần đồng ý trong các trường hợp của khoản 1 Điều 19 Luật 91: cấp cứu, bảo vệ quyền lợi chính đáng trước hành vi xâm phạm, phòng chống tội phạm, hoạt động quản lý nhà nước, thực hiện thỏa thuận theo luật. Bên viện dẫn phải chứng minh được căn cứ; lợi dụng để thu thập vượt phạm vi bị phạt 30–50 triệu đồng (Điều 47 NĐ 330).
• Trẻ em: người đại diện đồng ý thay; công bố đời tư của trẻ từ đủ 07 tuổi cần thêm đồng ý của trẻ (khoản 2 Điều 24); Nghị định 330/2026 phạt cả việc xử lý dữ liệu trẻ từ đủ 07 tuổi thiếu đồng thời hai sự đồng ý (Điều 60).
• Đồng ý cũ: đồng ý xin hợp lệ theo Nghị định 13/2023 trước 01/01/2026 tiếp tục có hiệu lực (khoản 1 Điều 39 Luật 91).
• Quan hệ với Bộ luật Dân sự: dùng ảnh người khác cần đồng ý theo Điều 32 Bộ luật Dân sự; nếu là doanh nghiệp xử lý ảnh như dữ liệu, sự đồng ý đó còn phải đáp ứng Điều 9 Luật 91.

Những chỗ hay hiểu sai

• Sai: "Khách không phản đối sau khi nhận thông báo là đã đồng ý." — Đúng: im lặng không phải đồng ý; coi im lặng là đồng ý bị phạt 50–70 triệu đồng (điểm b khoản 2 Điều 43 NĐ 330).
• Sai: "Một ô đồng ý cho cả chính sách bảo mật là đủ." — Đúng: phải tách theo từng mục đích; ô gộp và tích sẵn đều vi phạm.
• Sai: "Đã đồng ý thì không rút được vì đã ký." — Đúng: chủ thể có quyền rút bất cứ lúc nào; chỉ việc xử lý trước thời điểm rút là không bị ảnh hưởng.
• Sai: "Có đồng ý rồi thì làm gì với dữ liệu cũng được." — Đúng: đồng ý chỉ mở cửa cho đúng mục đích, loại dữ liệu đã nêu; dùng vượt ra ngoài vẫn là xử lý trái phép.

Thuật ngữ tiếng Anh tương đương

Consent of the data subject là cách dịch sát. GDPR đòi đồng ý freely given, specific, informed and unambiguous — gần với yêu cầu "tự nguyện, biết rõ, từng mục đích" của Luật 91. Ô tích sẵn được gọi là pre-ticked box; giao diện lừa người dùng gọi là dark patterns. Không dịch là approval hay acceptance.

Thuật ngữ liên quan

• Quyền của chủ thể dữ liệu — quyền đồng ý và rút đồng ý cùng thời hạn đáp ứng
• Xử lý dữ liệu cá nhân — hoạt động cần có đồng ý hoặc căn cứ luật
• Dữ liệu cá nhân nhạy cảm — phải báo rõ khi xin đồng ý
• Quyền đối với hình ảnh — đồng ý dùng ảnh theo Bộ luật Dân sự
• Hợp đồng điện tử — nơi thường gộp đồng ý vào điều khoản
• Bảo vệ quyền lợi người tiêu dùng — lớp bảo vệ song song với khách hàng

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Điều 9, 10, 11, 19, 24, 39; hiệu lực từ 01/01/2026.
• Nghị định 356/2025/NĐ-CP — Điều 5, 6; hiệu lực từ 01/01/2026.
• Nghị định 330/2026/NĐ-CP — Điều 43, 47; hiệu lực từ 19/8/2026.
• Bộ luật Dân sự số 91/2015/QH13 — Điều 32, 38.

Hỏi đáp nhanh

Đồng ý qua điện thoại có giá trị không?

Có, nếu cuộc gọi được ghi âm và xác định được người đồng ý, thời điểm, nội dung (điểm b khoản 1 Điều 6 Nghị định 356/2025). Lời đồng ý miệng không ghi âm thì doanh nghiệp rất khó chứng minh khi tranh chấp, vì gánh nặng chứng minh thuộc về họ.

Doanh nghiệp có được từ chối phục vụ nếu khách không đồng ý nhận quảng cáo?

Không. Từ chối cung cấp dịch vụ vì khách không đồng ý xử lý dữ liệu cho mục đích không liên quan tới dịch vụ bị phạt 30–50 triệu đồng (điểm b khoản 1 Điều 43 Nghị định 330/2026). Khách có quyền dùng dịch vụ mà từ chối nhận quảng cáo.

Rút đồng ý thì dữ liệu đã chia sẻ cho đối tác có bị thu hồi không?

Bên kiểm soát phải chuyển yêu cầu ngừng xử lý cho đối tác, hạn 20 ngày (khoản 2 Điều 5 Nghị định 356). Dữ liệu đã dùng trước đó không bị coi là trái phép. Muốn đối tác xóa hẳn, nên gửi thêm yêu cầu xóa — xem quyền của chủ thể dữ liệu.