Theo Luật Bảo vệ dữ liệu cá nhân 2025, xin đồng ý bằng những cách nào thì được coi là hợp lệ?

Năm phương thức được liệt kê, từ văn bản đến cuộc gọi ghi âm và cú pháp tin nhắn. Điểm chung bắt buộc là phải kiểm chứng được ba yếu tố.

Khoản 3 Điều 9 Luật 91/2025/QH15 yêu cầu sự đồng ý được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được, và giao Chính phủ quy định chi tiết. Điều 6 Nghị định 356/2025/NĐ-CP là nơi liệt kê các cách cụ thể.

Yêu cầu chung cho mọi phương thức

Điều 6 Nghị định 356/2025/NĐ-CP nêu các phương thức xin sự đồng ý phải bảo đảm khả năng kiểm chứng được về ba yếu tố: việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm đồng ý, và nội dung được đồng ý.

Ba yếu tố này chính là bộ tối thiểu mà hệ thống phải lưu. Ghi nhận "khách đã đồng ý" mà không có thời điểm, hoặc không lưu lại nội dung hiển thị tại thời điểm đó, là chưa đủ.

Năm phương thức được liệt kê

• Bằng văn bản;
• Bằng cuộc gọi ghi âm;
• Cú pháp đồng ý qua tin nhắn điện thoại;
• Qua thư điện tử, trên trang thông tin điện tử, nền tảng, ứng dụng có thiết lập kỹ thuật xin sự đồng ý;
• Bằng các phương thức khác phù hợp có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.

Cuộc gọi ghi âm được công nhận

Đây là điểm hữu ích cho các mô hình bán hàng qua điện thoại. Nhưng cần lưu ý bản ghi âm phải thể hiện đủ ba yếu tố kiểm chứng, tức phải nghe được nội dung mà khách đồng ý chứ không chỉ có tiếng "vâng". Trong thực tế, kịch bản gọi nên đọc rõ loại dữ liệu, mục đích và tên bên kiểm soát trước khi hỏi xác nhận.

Trách nhiệm lưu trữ và chứng minh

Điều 6 Nghị định 356/2025/NĐ-CP quy định bên kiểm soát dữ liệu và bên kiểm soát và xử lý dữ liệu cá nhân phải lưu trữ sự đồng ý của chủ thể dữ liệu. Trong trường hợp có tranh chấp, trách nhiệm chứng minh sự đồng ý thuộc về bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân.

Nghĩa vụ chứng minh thuộc về doanh nghiệp, không phải khách hàng. Đây là lý do việc lưu nhật ký đồng ý không phải công việc phụ mà là phần cốt lõi.

Hai điều bị cấm rõ ràng

Điều 6 Nghị định 356/2025/NĐ-CP nêu bên kiểm soát và bên kiểm soát và xử lý không được thiết lập phương thức mặc định đồng ý, và không được tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý. Các thiết lập mặc định sẵn có phải bảo đảm nguyên tắc bảo vệ dữ liệu cá nhân và tôn trọng quyền của chủ thể dữ liệu.

Vế thứ hai nhắm thẳng vào những thiết kế giao diện quen thuộc: nút "Đồng ý tất cả" to và nổi bật trong khi lựa chọn từ chối bị ẩn sau một liên kết nhỏ, hoặc cách diễn đạt phủ định lồng nhau khiến người dùng không rõ tích vào ô là đồng ý hay từ chối.

Riêng dữ liệu nhạy cảm

Điều 6 Nghị định 356/2025/NĐ-CP quy định đối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.

Đây là một dòng thông báo bắt buộc, không thể gộp vào chính sách chung. Nếu biểu mẫu có yêu cầu ảnh căn cước, thông tin sức khỏe hay dữ liệu sinh trắc học, cần ghi rõ ngay tại chỗ rằng đây là dữ liệu nhạy cảm.

Áp dụng vào một biểu mẫu thật

Một biểu mẫu đăng ký đạt yêu cầu thường có: ô đồng ý không tích sẵn, tách riêng theo mục đích; dòng mô tả ngắn nêu dữ liệu nào, dùng làm gì, ai là bên kiểm soát; nhãn cảnh báo nếu có trường dữ liệu nhạy cảm; liên kết tới trang về quyền của chủ thể dữ liệu; và ở phía hệ thống là một bản ghi lưu thời điểm cùng phiên bản nội dung đã hiển thị.

Đọc thêm cùng chủ đề

• Ô đồng ý tích sẵn có hợp lệ không?
• Thu thập dữ liệu cá nhân phải xin phép trước không?
• Im lặng có được coi là đồng ý xử lý dữ liệu không?

Căn cứ pháp lý

• Nghị định 356/2025/NĐ-CP Điều 6
• Luật 91/2025/QH15 Điều 9

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.