Theo Luật Bảo vệ dữ liệu cá nhân 2025, ô đồng ý tích sẵn có hợp lệ không?

Câu trả lời ngắn là không. Điều 9 đặt ra bốn nguyên tắc cho sự đồng ý, và ô tích sẵn vi phạm ít nhất hai trong số đó.

Ô đồng ý được tích sẵn từ trước là thiết kế phổ biến trên các biểu mẫu đăng ký ở Việt Nam. Nó giúp tỷ lệ đồng ý gần như tuyệt đối, và chính vì thế mà nó không đứng vững trước Điều 9 Luật 91/2025/QH15.

Sự đồng ý phải tự nguyện và biết rõ

Khoản 2 Điều 9 quy định sự đồng ý chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ ba nội dung: loại dữ liệu được xử lý và mục đích xử lý; bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân; các quyền và nghĩa vụ của chủ thể dữ liệu.

Với ô tích sẵn, người dùng không thực hiện bất kỳ hành động nào thể hiện ý chí. Họ bấm nút gửi biểu mẫu vì muốn đăng ký dịch vụ, không phải vì đã cân nhắc và chấp nhận việc xử lý dữ liệu. Yếu tố tự nguyện vì thế không được xác lập.

Bốn nguyên tắc tại khoản 4

Khoản 4 Điều 9 nêu rõ sự đồng ý phải bảo đảm:

• Thể hiện sự đồng ý đối với từng mục đích;
• Không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận;
• Sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu thay đổi sự đồng ý đó hoặc theo quy định của pháp luật;
• Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.

Nguyên tắc cuối cùng là căn cứ trực tiếp nhất. Ô tích sẵn hoạt động đúng theo cơ chế im lặng: người dùng không làm gì thì mặc định là đồng ý. Luật nói thẳng rằng cách hiểu đó không có giá trị.

Gộp nhiều mục đích vào một ô cũng không đạt

Nguyên tắc thứ nhất và thứ hai loại bỏ kiểu thiết kế "tôi đồng ý với chính sách bảo mật" bao trùm mọi việc. Nếu doanh nghiệp vừa muốn dùng dữ liệu để giao hàng, vừa muốn gửi quảng cáo, vừa muốn chia sẻ cho đối tác thì phải tách thành các lựa chọn riêng. Và không được đặt điều kiện buộc khách phải đồng ý nhận quảng cáo mới được mua hàng.

Hình thức thể hiện

Khoản 3 Điều 9 yêu cầu sự đồng ý được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được. Khoản 5 giao Chính phủ quy định chi tiết khoản này, và Điều 6 Nghị định 356/2025/NĐ-CP là nơi cụ thể hóa phương thức thể hiện sự đồng ý.

Yêu cầu "kiểm chứng được" có hệ quả kỹ thuật rõ ràng: hệ thống phải lưu lại bằng chứng. Tối thiểu là thời điểm đồng ý, nội dung được hiển thị tại thời điểm đó và phiên bản chính sách áp dụng. Nếu sau này có tranh chấp, doanh nghiệp là bên phải chứng minh đã có sự đồng ý hợp lệ.

Sửa biểu mẫu như thế nào

Bốn thay đổi gọn, làm được trong một buổi:

• Bỏ trạng thái tích sẵn ở mọi ô đồng ý;
• Tách riêng ô cho từng mục đích, đặc biệt là tách marketing khỏi mục đích thực hiện dịch vụ;
• Ghi ngay cạnh ô ba thông tin bắt buộc: dữ liệu nào, dùng làm gì, ai là bên kiểm soát, kèm liên kết tới phần quyền của chủ thể dữ liệu;
• Lưu lại nhật ký đồng ý gồm thời điểm và phiên bản nội dung hiển thị.

Tỷ lệ đồng ý sẽ giảm so với cách cũ. Đổi lại, phần đồng ý còn giữ được là phần thực sự có giá trị pháp lý và cũng là tệp khách hàng có chất lượng cao hơn.

Đọc thêm cùng chủ đề

• Xin đồng ý bằng những cách nào thì được coi là hợp lệ?
• Im lặng có được coi là đồng ý xử lý dữ liệu không?
• Khi nào được xử lý dữ liệu mà không cần đồng ý?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 9
• Nghị định 356/2025/NĐ-CP Điều 6

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.