Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, không cho khách rút lại đồng ý bị xử lý thế nào?

16/07/2026
5 lượt xem
0 bình luận

Gây khó khăn cho việc thực hiện quyền là vi phạm riêng theo khoản 4 Điều 4, ngoài việc không thực hiện yêu cầu theo Điều 10.

Không nhiều doanh nghiệp từ chối thẳng yêu cầu rút lại đồng ý. Cách phổ biến hơn là làm cho quy trình đủ phiền phức để khách bỏ cuộc. Cả hai đều nằm trong phạm vi vi phạm.

Nghĩa vụ tại Điều 10

Khoản 1 Điều 10 Luật 91/2025/QH15 quy định chủ thể dữ liệu cá nhân có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, yêu cầu hạn chế xử lý dữ liệu cá nhân của mình khi có nghi ngờ phạm vi, mục đích xử lý hoặc tính chính xác của dữ liệu, trừ trường hợp quy định tại Điều 19 của Luật hoặc trường hợp pháp luật có quy định khác.

Khoản 3 Điều 10 quy định bên kiểm soát và bên kiểm soát và xử lý tiếp nhận, thực hiện và yêu cầu bên xử lý dữ liệu cá nhân thực hiện yêu cầu, trong thời gian theo quy định của pháp luật.

Thời hạn cụ thể

Điều 5 Nghị định 356/2025/NĐ-CP quy định với yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý, phải phản hồi trong 02 ngày làm việc và thực hiện trong thời hạn 15 ngày; trường hợp cần yêu cầu bên xử lý hoặc bên thứ ba ngừng xử lý thì thực hiện trong thời hạn 20 ngày.

Việc gia hạn chỉ được tối đa 01 lần trong thời hạn không quá 15 ngày, kèm nghĩa vụ thông báo lý do và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

Gây khó khăn cũng là vi phạm

Khoản 4 Điều 4 Luật 91/2025/QH15 quy định cơ quan, tổ chức, cá nhân có trách nhiệm tạo điều kiện thuận lợi, không được gây khó khăn, cản trở việc thực hiện quyền và nghĩa vụ của chủ thể dữ liệu cá nhân theo quy định của pháp luật.

Đây là căn cứ áp dụng cho các thiết kế cản trở gián tiếp:

Chỉ nhận yêu cầu bằng công văn giấy trong khi mọi giao dịch khác đều trực tuyến;
Yêu cầu khách cung cấp giấy tờ vượt quá mức cần thiết để xác minh;
Liên kết hủy đăng ký dẫn tới trang lỗi hoặc bắt đăng nhập lại;
Kéo dài thời gian xử lý mà không có lý do chính đáng.

Ngoài ra, khoản 2 Điều 7 của Luật xếp hành vi cản trở hoạt động bảo vệ dữ liệu cá nhân vào nhóm bị nghiêm cấm.

Phải thông báo cho cơ quan chuyên trách

Điểm c khoản 3 Điều 23 Luật 91/2025/QH15 quy định việc không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân là một trong các trường hợp phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Đây là chi tiết ít được chú ý: chính doanh nghiệp có nghĩa vụ báo cáo khi mình không đáp ứng đúng quyền của chủ thể dữ liệu.

Chế tài

Khoản 1 Điều 8 Luật 91/2025/QH15 quy định tùy theo tính chất, mức độ, hậu quả, tổ chức và cá nhân vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường. Khoản 5 Điều 8 quy định mức phạt tiền tối đa với các hành vi vi phạm khác là 03 tỷ đồng, và khoản 6 nêu cá nhân chịu tối đa bằng một phần hai mức của tổ chức.

Ranh giới hợp pháp của việc từ chối

Doanh nghiệp vẫn có quyền không thực hiện trong các trường hợp tại Điều 19, hoặc khi việc thực hiện vi phạm khoản 3 Điều 4. Khoản 4 Điều 10 cũng nêu việc rút lại đồng ý không áp dụng với hoạt động xử lý đã diễn ra trước thời điểm yêu cầu.

Điểm khác biệt giữa từ chối hợp pháp và vi phạm nằm ở chỗ: từ chối hợp pháp luôn kèm giải thích căn cứ cụ thể và được thực hiện đúng thời hạn phản hồi. Im lặng hoặc kéo dài không phải là từ chối — đó là không thực hiện nghĩa vụ.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 10
Luật 91/2025/QH15 Điều 4
Luật 91/2025/QH15 Điều 8

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.