Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, thu thập dữ liệu không xin đồng ý bị xử lý sao?

17/07/2026
5 lượt xem
0 bình luận

Thu thập không có cơ sở pháp lý rơi vào khoản 4 Điều 7 — xử lý dữ liệu cá nhân trái quy định của pháp luật, thuộc nhóm hành vi bị nghiêm cấm.

Nhiều doanh nghiệp vẫn coi việc thu thập thông tin khách hàng là hoạt động trung tính. Sau khi Luật có hiệu lực, mỗi lần thu thập đều cần một cơ sở pháp lý xác định.

Nghĩa vụ xin đồng ý trước khi thu thập

Khoản 1 Điều 11 Luật 91/2025/QH15 quy định dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác.

Điều 9 của Luật quy định điều kiện để sự đồng ý có hiệu lực: dựa trên sự tự nguyện và biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát, các quyền và nghĩa vụ của mình; thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được; và bảo đảm bốn nguyên tắc tại khoản 4, trong đó có nguyên tắc im lặng hoặc không phản hồi không được coi là sự đồng ý.

Ngoại lệ

Điều 19 của Luật liệt kê các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý. Doanh nghiệp viện dẫn ngoại lệ này cần đáp ứng thêm khoản 2 Điều 19 về việc thiết lập cơ chế giám sát gồm bốn nội dung.

Vì sao đây là hành vi bị nghiêm cấm

Khoản 4 Điều 7 Luật 91/2025/QH15 xếp hành vi xử lý dữ liệu cá nhân trái quy định của pháp luật vào nhóm bị nghiêm cấm. Thu thập là một hoạt động xử lý theo khoản 6 Điều 2, nên thu thập không có cơ sở pháp lý rơi thẳng vào khoản này.

Điểm h khoản 1 Điều 37 còn đặt nghĩa vụ ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình — tức doanh nghiệp không chỉ phải tự mình không thu thập trái phép, mà còn phải ngăn bên khác làm điều đó qua hệ thống của mình.

Chế tài

Khoản 1 Điều 8 Luật 91/2025/QH15 quy định tùy theo tính chất, mức độ, hậu quả, có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Khoản 5 Điều 8 quy định mức phạt tiền tối đa đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng; khoản 6 nêu cá nhân chịu tối đa bằng một phần hai mức của tổ chức.

Những cách thu thập dễ vi phạm nhất

Mã theo dõi trên website thu thập hành vi người dùng trước khi họ đồng ý. Điểm a khoản 8 Điều 28 quy định chỉ được thu thập dữ liệu thông qua việc theo dõi trang thông tin điện tử, cổng thông tin điện tử, ứng dụng khi có sự đồng ý của chủ thể dữ liệu;
Thu thập từ nguồn công khai trên mạng rồi ghép thành hồ sơ cá nhân. Khoản 3 Điều 11 chỉ cho phép phân tích, tổng hợp từ nguồn dữ liệu cá nhân được phép xử lý theo quy định của pháp luật;
Nhận danh sách từ đối tác mà không rõ nguồn gốc. Nếu là giao dịch mua bán thì chạm khoản 6 Điều 7;
Thu thập vượt phạm vi cần thiết. Khoản 2 Điều 3 nêu nguyên tắc chỉ được thu thập, xử lý đúng phạm vi, mục đích cụ thể, rõ ràng.

Cách tự kiểm tra

Lập bảng ba cột cho mọi điểm thu thập dữ liệu: thu gì, để làm gì, cơ sở pháp lý nào. Cột thứ ba chỉ có hai giá trị hợp lệ — sự đồng ý theo Điều 9, hoặc một trường hợp cụ thể tại Điều 19. Ô nào để trống là ô cần xử lý ngay.

Nếu số trường thu thập nhiều hơn số trường thực sự dùng đến, đó cũng là dấu hiệu vi phạm nguyên tắc tại khoản 2 Điều 3 — và cũng là cơ hội dọn bớt để giảm rủi ro.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 9
Luật 91/2025/QH15 Điều 11
Luật 91/2025/QH15 Điều 7
Luật 91/2025/QH15 Điều 8

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.