Điều 10 quy định cả hình thức yêu cầu, phạm vi áp dụng lẫn một giới hạn quan trọng: việc rút lại không làm mất hiệu lực của hoạt động xử lý đã diễn ra trước đó.
Khách hàng nhắn tin yêu cầu ngừng sử dụng thông tin của họ. Doanh nghiệp phải làm gì, trong bao lâu, và có phải xóa toàn bộ dữ liệu không? Điều 10 Luật 91/2025/QH15 trả lời khá cụ thể.
Khi nào chủ thể dữ liệu được rút lại đồng ý
Khoản 1 Điều 10 quy định chủ thể dữ liệu cá nhân có quyền yêu cầu rút lại sự đồng ý cho phép xử lý, yêu cầu hạn chế xử lý dữ liệu cá nhân của mình khi có nghi ngờ về phạm vi, mục đích xử lý hoặc tính chính xác của dữ liệu. Ngoại lệ được nêu ngay: trừ trường hợp quy định tại Điều 19 của Luật hoặc trường hợp pháp luật có quy định khác.
Điều 19 là ngoại lệ đáng chú ý
Điều 19 liệt kê các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý — chẳng hạn để bảo vệ tính mạng, sức khỏe trong trường hợp cấp bách; giải quyết tình trạng khẩn cấp; phục vụ hoạt động của cơ quan nhà nước theo quy định pháp luật; hoặc thực hiện thỏa thuận của chủ thể dữ liệu với bên liên quan theo quy định của pháp luật.
Hệ quả thực tế: nếu doanh nghiệp đang xử lý dữ liệu để thực hiện chính thỏa thuận với khách hàng, việc khách rút lại đồng ý không tự động chấm dứt được hoạt động đó. Ví dụ dữ liệu cần cho việc giao nốt đơn hàng đang treo, hoặc dữ liệu phải lưu theo quy định của pháp luật kế toán, không thuộc phạm vi rút lại.
Yêu cầu phải ở hình thức nào
Khoản 2 Điều 10 quy định yêu cầu phải được thể hiện bằng văn bản, bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được, và được gửi cho bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân. Việc thực hiện theo quy định của pháp luật và theo thỏa thuận giữa các bên.
Nghĩa là email, biểu mẫu trên website hay tin nhắn qua kênh chính thức đều được, miễn là lưu lại được. Doanh nghiệp không nên đòi hỏi khách phải gửi công văn giấy — đó là gây khó khăn cho việc thực hiện quyền, điều mà khoản 4 Điều 4 không cho phép.
Ai phải thực hiện
Khoản 3 Điều 10 giao trách nhiệm cho bên kiểm soát và bên kiểm soát và xử lý: tiếp nhận, thực hiện, đồng thời yêu cầu bên xử lý dữ liệu cá nhân thực hiện, trong thời gian theo quy định của pháp luật.
Vế "đồng thời yêu cầu bên xử lý thực hiện" là phần hay bị quên. Nếu dữ liệu khách hàng đang nằm trên hệ thống của nhà cung cấp phần mềm, của đối tác gửi tin nhắn, của đơn vị vận chuyển, thì doanh nghiệp phải chuyển yêu cầu tới các bên đó chứ không chỉ xử lý trên hệ thống của mình. Đây là lý do hợp đồng với nhà cung cấp cần có sẵn điều khoản về nghĩa vụ phối hợp.
Giới hạn quan trọng nhất
Khoản 4 Điều 10 nêu rõ việc thực hiện yêu cầu rút lại sự đồng ý hoặc hạn chế xử lý không áp dụng đối với hoạt động xử lý đã diễn ra trước thời điểm chủ thể dữ liệu đưa ra yêu cầu.
Điều này có nghĩa việc rút lại có hiệu lực về sau, không hồi tố. Những gì đã xử lý hợp pháp trước đó không trở thành bất hợp pháp. Nhưng nó cũng không cho phép tiếp tục sử dụng dữ liệu sau thời điểm nhận yêu cầu.
Quy trình tối thiểu nên có
- Một kênh tiếp nhận công khai và một người chịu trách nhiệm theo dõi;
- Bước xác minh người gửi đúng là chủ thể dữ liệu;
- Danh sách các hệ thống và đối tác cần chuyển yêu cầu tới;
- Rà soát xem phần dữ liệu nào thuộc diện Điều 19 hoặc phải giữ theo pháp luật khác, và giải thích lại cho khách về phần đó;
- Ghi nhật ký: nhận lúc nào, làm gì, xong lúc nào.
Bước cuối cùng thường bị coi nhẹ nhưng lại là thứ duy nhất chứng minh được doanh nghiệp đã thực hiện đúng khi có khiếu nại.
Đọc thêm cùng chủ đề
- Khi nào được xử lý dữ liệu mà không cần đồng ý?
- Phòng khám lưu hồ sơ bệnh nhân phải theo quy định gì?
- Doanh nghiệp được từ chối xóa dữ liệu khi nào?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 10
- Luật 91/2025/QH15 Điều 19
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.