Không. Đây là một trong bốn nguyên tắc tại khoản 4 Điều 9, và nó xóa bỏ cách làm quen thuộc kiểu "nếu không phản hồi trong 7 ngày, chúng tôi hiểu là quý khách đồng ý".
Cách làm này quen tới mức ít ai đặt câu hỏi: gửi một email thông báo thay đổi chính sách, kèm câu "nếu không nhận được phản hồi trong vòng bảy ngày, chúng tôi hiểu rằng quý khách đồng ý". Kể từ khi Luật Bảo vệ dữ liệu cá nhân có hiệu lực, cách này không còn tạo ra sự đồng ý hợp lệ.
Quy định nói gì
Điểm cuối khoản 4 Điều 9 Luật 91/2025/QH15 viết ngắn gọn: sự im lặng hoặc không phản hồi không được coi là sự đồng ý. Không có ngoại lệ nào kèm theo, không có ngưỡng thời gian nào biến im lặng thành đồng ý.
Vì sao quy định như vậy
Khoản 2 Điều 9 đặt điều kiện sự đồng ý chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát và các quyền, nghĩa vụ của mình. Một người không mở email thì không biết gì cả — không thể suy ra họ đã cân nhắc và chấp nhận.
Trên thực tế, tỷ lệ mở email thông báo chính sách thường rất thấp. Suy đoán đồng ý từ nhóm không mở thư là suy đoán từ nhóm chắc chắn không biết nội dung.
Những cách làm cùng bản chất
Không chỉ email. Các thiết kế sau đây đều dựa trên im lặng và đều không tạo ra sự đồng ý hợp lệ:
- Dòng chữ nhỏ "tiếp tục sử dụng dịch vụ đồng nghĩa với việc bạn chấp nhận chính sách mới";
- Thanh thông báo cookie chỉ có nút "Đã hiểu", không có lựa chọn từ chối;
- Ô đồng ý được tích sẵn trong biểu mẫu;
- Điều khoản trong hợp đồng ghi rằng bên còn lại mặc nhiên đồng ý cho chia sẻ dữ liệu với các đơn vị liên kết.
Riêng trường hợp cuối cần nói rõ
Đưa một câu vào hợp đồng rồi coi việc ký hợp đồng là đã đồng ý với mọi mục đích xử lý là cách làm không đứng vững, vì điểm b khoản 4 Điều 9 cấm việc kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận. Ký hợp đồng mua bán hàng hóa không đương nhiên kéo theo đồng ý nhận quảng cáo hay đồng ý cho chuyển dữ liệu sang bên thứ ba.
Vậy thay bằng gì
Cần một hành động chủ động và ghi lại được. Một cú nhấp vào nút xác nhận, một ô tích do chính người dùng tích, một tin nhắn xác nhận gửi lại, một chữ ký. Khoản 3 Điều 9 yêu cầu phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được — nên bất kỳ cách nào bạn chọn cũng phải để lại dấu vết lưu trữ được.
Xử lý tệp khách hàng cũ ra sao
Với dữ liệu đã thu thập từ trước, đừng vội gửi một chiến dịch "xin đồng ý lại" cho toàn bộ danh sách. Trước hết hãy xác định lại cơ sở pháp lý của từng luồng xử lý: có luồng vẫn tiếp tục được theo quy định chuyển tiếp, có luồng dựa trên cơ sở khác chứ không phải sự đồng ý. Chỉ những luồng thực sự dựa trên sự đồng ý mà chưa có bằng chứng hợp lệ mới cần xin lại.
Điểm mấu chốt
Nguyên tắc rất dễ nhớ: nếu người dùng không làm gì mà hệ thống của bạn vẫn ghi nhận là "đồng ý", thì bản ghi đó không có giá trị. Sự đồng ý phải bắt đầu từ một hành động của họ, không phải từ sự trôi qua của thời gian.
Đọc thêm cùng chủ đề
- Ô đồng ý tích sẵn có hợp lệ không?
- Thu thập dữ liệu cá nhân phải xin phép trước không?
- Khi nào được xử lý dữ liệu mà không cần đồng ý?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 9
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.