Sự đồng ý hợp lệ theo Nghị định 356: Làm sai cũng là vi phạm
Trong nhiều năm qua, không ít doanh nghiệp cho rằng chỉ cần khách hàng bấm nút "Đồng ý", tích vào ô xác nhận hoặc tiếp tục sử dụng dịch vụ là đã đủ cơ sở pháp lý để thu thập và xử lý dữ liệu cá nhân.
Tuy nhiên, theo các quy định mới về bảo vệ dữ liệu cá nhân tại Việt Nam, đặc biệt là các yêu cầu được làm rõ trong Nghị định 356, cách hiểu này có thể khiến doanh nghiệp đối mặt với rủi ro pháp lý nghiêm trọng.
Thực tế, một sự đồng ý không hợp lệ về mặt pháp lý được xem như không có sự đồng ý, đồng nghĩa với việc toàn bộ hoạt động xử lý dữ liệu phát sinh sau đó có thể bị xem là vi phạm.
Thế nào là sự đồng ý hợp lệ?
Theo quy định, sự đồng ý của chủ thể dữ liệu phải đáp ứng đầy đủ các điều kiện sau:
1. Đồng ý phải được thể hiện rõ ràng
Chủ thể dữ liệu phải thực hiện hành động thể hiện ý chí rõ ràng như:
- Tích chọn ô đồng ý.
- Ký xác nhận điện tử hoặc văn bản.
- Thực hiện thao tác xác nhận trên ứng dụng hoặc website.
Doanh nghiệp không được sử dụng:
- Ô đồng ý được tích sẵn.
- Điều khoản ẩn trong chính sách dài và khó hiểu.
- Mặc định xem việc tiếp tục sử dụng dịch vụ là đồng ý.
2. Đồng ý phải dựa trên đầy đủ thông tin
Trước khi xin sự đồng ý, doanh nghiệp phải thông báo rõ:
- Mục đích xử lý dữ liệu.
- Loại dữ liệu sẽ được thu thập.
- Phạm vi sử dụng dữ liệu.
- Thời gian lưu trữ.
- Các bên thứ ba được chia sẻ dữ liệu.
- Quyền của chủ thể dữ liệu.
Nếu thiếu bất kỳ nội dung quan trọng nào, sự đồng ý có thể bị xem là không hợp lệ.
3. Đồng ý phải hoàn toàn tự nguyện
Khách hàng phải có quyền lựa chọn thực sự.
Các hành vi như:
- Ép buộc đồng ý mới được sử dụng dịch vụ không liên quan.
- Gộp nhiều mục đích xử lý vào một nút đồng ý duy nhất.
- Gây áp lực hoặc khiến khách hàng hiểu nhầm.
đều có thể bị xem là làm mất tính tự nguyện của sự đồng ý.
4. Chủ thể dữ liệu có quyền rút lại sự đồng ý
Người dùng có quyền:
- Rút lại sự đồng ý bất cứ lúc nào.
- Yêu cầu ngừng xử lý dữ liệu.
- Yêu cầu xóa dữ liệu theo quy định pháp luật.
Doanh nghiệp phải xây dựng cơ chế tiếp nhận và xử lý các yêu cầu này một cách kịp thời và minh bạch.
Những lỗi phổ biến khiến doanh nghiệp vô tình vi phạm
Nhiều doanh nghiệp hiện nay vẫn đang sử dụng các phương thức thu thập dữ liệu tiềm ẩn rủi ro như:
- Form đăng ký đã tích sẵn ô đồng ý nhận quảng cáo.
- Thu thập số điện thoại để giao hàng nhưng sử dụng thêm cho mục đích marketing.
- Chia sẻ dữ liệu khách hàng cho đối tác mà không xin phép riêng.
- Gộp điều khoản bảo mật vào điều khoản sử dụng chung.
- Không lưu bằng chứng về việc khách hàng đã đồng ý.
Những hành vi này đều có thể bị coi là xử lý dữ liệu cá nhân trái quy định.
Hậu quả pháp lý không chỉ dừng ở xử phạt hành chính
Theo các quy định hiện hành về bảo vệ dữ liệu cá nhân, doanh nghiệp vi phạm có thể đối mặt với:
- Mức xử phạt lên tới hàng tỷ đồng.
- Mức phạt tính theo tỷ lệ doanh thu của năm tài chính trước đó đối với một số hành vi nghiêm trọng.
- Buộc dừng hoạt động xử lý dữ liệu vi phạm.
- Buộc xóa dữ liệu đã thu thập trái quy định.
- Ảnh hưởng uy tín thương hiệu và niềm tin khách hàng.
Đối với doanh nghiệp hoạt động trong lĩnh vực tài chính, ngân hàng, thương mại điện tử, y tế hoặc công nghệ, tác động có thể còn lớn hơn nhiều do liên quan trực tiếp đến dữ liệu nhạy cảm.
Doanh nghiệp cần làm gì ngay từ bây giờ?
Để giảm thiểu rủi ro pháp lý, doanh nghiệp nên:
✅ Rà soát toàn bộ quy trình thu thập dữ liệu cá nhân.
✅ Kiểm tra lại các biểu mẫu đồng ý trên website, ứng dụng và hợp đồng.
✅ Tách riêng từng mục đích xử lý dữ liệu để khách hàng lựa chọn.
✅ Lưu trữ bằng chứng về sự đồng ý của chủ thể dữ liệu.
✅ Xây dựng cơ chế quản lý việc rút lại sự đồng ý.
✅ Đánh giá định kỳ mức độ tuân thủ các quy định về bảo vệ dữ liệu cá nhân.
Kết luận
Trong kỷ nguyên dữ liệu, sự đồng ý không còn là một thủ tục hình thức mà là nền tảng pháp lý cho toàn bộ hoạt động xử lý dữ liệu cá nhân của doanh nghiệp.
Theo tinh thần của Nghị định 356, việc có được sự đồng ý nhưng thực hiện sai quy định vẫn được xem là hành vi vi phạm.
Do đó, doanh nghiệp cần chuyển từ tư duy "có đồng ý là đủ" sang "đồng ý phải đúng và chứng minh được tính hợp lệ" nếu muốn tránh các rủi ro pháp lý và bảo vệ uy tín lâu dài trên thị trường.