Phải xin trước khi thu thập, không phải sau. Điều 11 dùng chính xác cụm từ "trước khi thu thập" — một chi tiết có ý nghĩa lớn với thiết kế biểu mẫu.
Nhiều biểu mẫu đặt ô đồng ý ở cuối trang, sau khi người dùng đã điền hết thông tin. Về mặt trải nghiệm thì hợp lý, nhưng cần đối chiếu với cách diễn đạt của Điều 11 Luật 91/2025/QH15.
Quy định
Khoản 1 Điều 11 quy định: dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác.
Từ khóa là "trước khi thu thập". Sự đồng ý phải có trước, không phải hợp thức hóa sau.
Điều này có nghĩa gì với biểu mẫu
Về mặt thực hành, thời điểm dữ liệu được thu thập là thời điểm nó rời khỏi trình duyệt của người dùng và tới hệ thống của doanh nghiệp — tức khi bấm nút gửi. Vì vậy ô đồng ý đặt trước nút gửi vẫn nằm trong khuôn khổ, miễn là người dùng thấy và chủ động tích trước khi gửi.
Điều không đạt là những thiết kế thu dữ liệu ngay khi người dùng gõ, trước bất kỳ hành động đồng ý nào — chẳng hạn tính năng lưu nháp tự động gửi từng ký tự về máy chủ, hoặc mã theo dõi ghi lại thao tác nhập liệu.
Ngoại lệ "trừ trường hợp pháp luật có quy định khác"
Vế này dẫn tới Điều 19 của Luật, nơi liệt kê các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý — trong đó có việc thực hiện thỏa thuận của chủ thể dữ liệu với bên liên quan theo quy định của pháp luật, và phục vụ hoạt động của cơ quan nhà nước theo quy định của pháp luật.
Với doanh nghiệp, trường hợp thực hiện thỏa thuận là căn cứ phổ biến nhất: thu địa chỉ để giao hàng theo đơn khách đã đặt không cần một ô đồng ý riêng, vì việc đó phục vụ chính thỏa thuận giữa hai bên.
Phân tích và tổng hợp dữ liệu
Điều 11 không chỉ nói về thu thập. Khoản 2 quy định cơ quan Đảng, Nhà nước có thẩm quyền được phân tích, tổng hợp dữ liệu cá nhân từ nguồn dữ liệu tự thu thập hoặc được chia sẻ, cung cấp, chuyển giao, khai thác, sử dụng để phục vụ công tác lãnh đạo, chỉ đạo, quản lý nhà nước, phát triển kinh tế - xã hội theo quy định của pháp luật.
Khoản 3 quy định cơ quan, tổ chức, cá nhân không thuộc khoản 2 được phân tích, tổng hợp dữ liệu cá nhân từ nguồn dữ liệu cá nhân được phép xử lý theo quy định của pháp luật.
Vế cuối của khoản 3 là giới hạn quan trọng
Doanh nghiệp chỉ được phân tích, tổng hợp trên phần dữ liệu mà mình được phép xử lý. Việc thu thập dữ liệu từ các nguồn công khai trên mạng rồi ghép lại thành hồ sơ về từng cá nhân không thỏa mãn điều kiện này, vì phần dữ liệu đó không nằm trong phạm vi doanh nghiệp được phép xử lý.
Nguyên tắc bao trùm
Khoản 2 Điều 3 Luật 91/2025/QH15 nêu nguyên tắc: chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật.
Khoản 3 Điều 3 bổ sung: bảo đảm tính chính xác của dữ liệu và được chỉnh sửa, cập nhật, bổ sung khi cần thiết; được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ trường hợp pháp luật có quy định khác.
Ba câu hỏi trước khi thêm một trường dữ liệu mới
- Trường này phục vụ mục đích cụ thể nào; nếu bỏ đi thì dịch vụ có chạy được không;
- Cơ sở pháp lý để thu là gì — sự đồng ý theo Điều 9, hay một trường hợp tại Điều 19;
- Sẽ giữ trong bao lâu và xóa theo cơ chế nào.
Trả lời được ba câu này trước khi triển khai rẻ hơn rất nhiều so với việc gỡ bỏ một trường dữ liệu đã thu thập trong hai năm.
Đọc thêm cùng chủ đề
- Thu thập dữ liệu không xin đồng ý bị xử lý sao?
- Xin đồng ý bằng những cách nào thì được coi là hợp lệ?
- Ô đồng ý tích sẵn có hợp lệ không?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 11
- Luật 91/2025/QH15 Điều 9
- Luật 91/2025/QH15 Điều 3
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.