Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, khi nào được xử lý dữ liệu mà không cần đồng ý?

13/06/2026
4 lượt xem
0 bình luận

Năm nhóm trường hợp tại Điều 19. Nhưng đi kèm là bốn nghĩa vụ giám sát bắt buộc — không phải cứ viện dẫn ngoại lệ là xong việc.

Không phải mọi hoạt động xử lý dữ liệu cá nhân đều cần xin đồng ý. Điều 19 Luật 91/2025/QH15 liệt kê các trường hợp ngoại lệ — nhưng cũng đặt kèm điều kiện mà nhiều doanh nghiệp đọc lướt qua.

Năm nhóm trường hợp

Khoản 1 Điều 19 quy định các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý bao gồm:

Để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền và lợi ích hợp pháp của chủ thể dữ liệu hoặc người khác trong trường hợp cấp bách; bảo vệ quyền hoặc lợi ích chính đáng của mình, của người khác hoặc lợi ích của Nhà nước, của cơ quan tổ chức một cách cần thiết trước hành vi xâm phạm;
Để giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật;
Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật;
Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật;
Trường hợp khác theo quy định của pháp luật.

Nhóm thứ tư là nhóm doanh nghiệp dùng nhiều nhất

Thực hiện thỏa thuận với chủ thể dữ liệu là căn cứ bao trùm phần lớn hoạt động thường ngày. Khách đặt hàng thì phải có địa chỉ để giao; ký hợp đồng dịch vụ thì phải có thông tin để xuất hóa đơn; đăng ký tài khoản thì phải có định danh để đăng nhập. Những xử lý đó phục vụ chính thỏa thuận, không cần một ô đồng ý riêng.

Ranh giới cần giữ: căn cứ này chỉ phủ những gì cần thiết để thực hiện thỏa thuận. Lấy số điện thoại để giao hàng là trong phạm vi; dùng chính số đó để gửi tin quảng cáo sản phẩm khác thì đã sang mục đích mới và cần cơ sở riêng.

Nhóm đầu tiên có kèm nghĩa vụ chứng minh

Điểm a khoản 1 ghi rõ bên kiểm soát, bên xử lý, bên kiểm soát và xử lý, bên thứ ba có trách nhiệm chứng minh trường hợp này. Nghĩa là không thể viện dẫn "vì lợi ích chính đáng" một cách chung chung; khi bị yêu cầu, phải trình bày được vì sao việc xử lý là cần thiết và tương xứng.

Phần nhiều người bỏ sót: cơ chế giám sát

Khoản 2 Điều 19 quy định khi xử lý dữ liệu trong trường hợp không cần sự đồng ý, cơ quan, tổ chức, cá nhân có liên quan phải thiết lập cơ chế giám sát gồm bốn nội dung:

Thiết lập quy trình, quy định xử lý dữ liệu cá nhân và xác định trách nhiệm của từng bên trong quá trình xử lý;
Triển khai các biện pháp bảo vệ dữ liệu cá nhân phù hợp; thường xuyên đánh giá rủi ro có thể xảy ra;
Thực hiện kiểm tra, đánh giá định kỳ việc tuân thủ quy định của pháp luật và quy trình xử lý dữ liệu;
Có cơ chế tiếp nhận và xử lý phản ánh, kiến nghị từ cơ quan, tổ chức, cá nhân có liên quan.

Đây là điểm đảo ngược cách hiểu thông thường. Nhiều doanh nghiệp nghĩ rằng viện dẫn được ngoại lệ là nhẹ việc hơn. Thực tế Điều 19 đổi một nghĩa vụ dễ thấy — xin đồng ý — lấy bốn nghĩa vụ quản trị nội bộ khó làm hơn.

Cách áp dụng cho gọn

Lập bảng các luồng xử lý dữ liệu, mỗi luồng ghi một cơ sở pháp lý duy nhất: hoặc là sự đồng ý theo Điều 9, hoặc là một trong các trường hợp tại Điều 19. Không để trống, cũng không ghi hai cơ sở cho một luồng.

Với những luồng chọn Điều 19, bổ sung phần quy trình, đánh giá rủi ro, kiểm tra định kỳ và đầu mối tiếp nhận phản ánh. Với những luồng chọn Điều 9, tập trung vào việc lưu bằng chứng đồng ý. Bảng này chính là nền cho mọi tài liệu tuân thủ về sau.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 19
Luật 91/2025/QH15 Điều 9

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.