Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, đã xin đồng ý theo Nghị định 13 có phải xin lại?

03/07/2026
5 lượt xem
0 bình luận

Không phải xin lại. Khoản 1 Điều 39 nói rõ điều này — nhưng chỉ với phần dữ liệu đã có đồng ý hoặc thỏa thuận hợp lệ theo Nghị định 13.

Đây là nỗi lo lớn của các doanh nghiệp có tệp khách hàng lớn: có phải gửi lại yêu cầu đồng ý cho hàng trăm nghìn người không. Điều 39 Luật 91/2025/QH15 trả lời trực tiếp.

Quy định chuyển tiếp

Khoản 1 Điều 39 quy định: hoạt động xử lý dữ liệu cá nhân đang thực hiện mà đã được chủ thể dữ liệu cá nhân đồng ý hoặc theo thỏa thuận theo quy định của Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ trước ngày Luật này có hiệu lực thi hành thì tiếp tục thực hiện, không phải xin đồng ý lại hoặc thỏa thuận lại.

Ba điều kiện cần đồng thời thỏa mãn

Đọc kỹ câu trên, việc được miễn xin lại phụ thuộc vào ba yếu tố:

Hoạt động xử lý đang thực hiện — không phải hoạt động mới phát sinh sau khi Luật có hiệu lực;
Đã được đồng ý hoặc theo thỏa thuận — tức phải thực sự có cơ sở, không phải trường hợp thu thập mà chưa từng có sự đồng ý nào;
Theo quy định của Nghị định 13/2023/NĐ-CP — sự đồng ý phải hợp lệ theo tiêu chuẩn của văn bản khi đó, không phải một ô tích mờ nhạt không đạt chuẩn.

Phần nào không được bảo vệ bởi quy định này

Ba nhóm sau vẫn phải xử lý riêng:

Dữ liệu chưa từng có cơ sở hợp lệ. Danh sách mua từ bên ngoài, dữ liệu thu thập trước khi Nghị định 13 có hiệu lực mà không có bất kỳ ghi nhận đồng ý nào — những phần này không có gì để chuyển tiếp.

Mục đích xử lý mới. Nếu sau ngày Luật có hiệu lực doanh nghiệp muốn dùng dữ liệu cũ cho một mục đích chưa từng nêu, đó là hoạt động mới. Điểm a khoản 4 Điều 9 Luật 91/2025/QH15 yêu cầu thể hiện sự đồng ý đối với từng mục đích.

Chuyển sang bên nhận mới. Việc bổ sung một bên thứ ba nhận dữ liệu cũng vượt ra ngoài phạm vi đồng ý ban đầu.

Việc nên làm thay vì gửi thư xin đồng ý hàng loạt

Chiến dịch xin đồng ý lại cho toàn bộ danh sách thường phản tác dụng: tỷ lệ trả lời thấp, và những người không trả lời lại rơi vào tình trạng bấp bênh hơn trước — vì khoản 4 Điều 9 nêu rõ im lặng hoặc không phản hồi không được coi là sự đồng ý.

Cách làm hợp lý hơn là kiểm kê trước:

Liệt kê từng luồng xử lý dữ liệu đang chạy;
Với mỗi luồng, xác định cơ sở pháp lý: sự đồng ý đã có, hay một trường hợp tại Điều 19 của Luật;
Kiểm tra xem bằng chứng đồng ý có còn lưu được không;
Chỉ với những luồng vừa dựa trên sự đồng ý, vừa không có bằng chứng, mới cần xin lại — và nên xin đúng nhóm đó thay vì gửi cho tất cả.

Nhớ giữ lại bằng chứng cũ

Quy định chuyển tiếp chỉ có ý nghĩa nếu doanh nghiệp chứng minh được rằng sự đồng ý đã tồn tại. Điều 6 Nghị định 356/2025/NĐ-CP quy định trách nhiệm chứng minh sự đồng ý thuộc về bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân.

Vì vậy, nhật ký đồng ý, bản ghi biểu mẫu, hợp đồng đã ký từ giai đoạn trước cần được lưu giữ, không nên dọn dẹp trong quá trình nâng cấp hệ thống.

Một lưu ý về hoạt động đã dừng

Quy định nói về "hoạt động xử lý dữ liệu cá nhân đang thực hiện". Với dữ liệu của khách hàng đã ngừng giao dịch từ lâu và doanh nghiệp cũng không còn xử lý gì, câu hỏi hợp lý hơn không phải là xin đồng ý lại, mà là có lý do gì để tiếp tục lưu giữ. Điểm b khoản 1 Điều 14 Luật 91/2025/QH15 nêu việc xóa, hủy được thực hiện khi đã hoàn thành mục đích xử lý.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 39
Luật 91/2025/QH15 Điều 9

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.