Trong xu hướng thương mại hóa và công nghệ số đang bùng phát hiện nay thì việc quản lý chặt chẽ các nội dung thông tin số đang là điều mà Chính phủ Việt Nam đặc biệt quan tâm. Điều này cũng xuất phát từ việc ngày càng nhiều xuất hiện các chiêu trò lừa đảo người dùng thông qua việc rò rỉ thông tin dữ liệu cá nhân, mà trách nhiệm thuộc về các doanh nghiệp thu thập thông tin người dùng. Hiện Dự thảo Luật bảo vệ dữ liệu cá nhân đang được lấy ý kiến và chờ thông qua bởi Quốc hội, trong thời gian này Nghị định 13/2023/NĐ-CP vẫn là văn bản điều chỉnh trực tiếp trách nhiệm của các doanh nghiệp đối việc thu thập, lưu trữ và xử lý dữ liệu cá nhân của người lao động, khách hàng, cũng theo Nghị định này thì mọi hoạt động liên quan đến dữ liệu cá nhân đều phải được sự đồng ý của chủ thể dữ liệu. Vậy mức độ, cách thức thể hiện ý chí đồng ý của chủ thể dữ liệu sẽ được thể hiện như thế nào, bài viết dưới đây sẽ chia sẻ cụ thể.

1. Sự đồng ý của chủ thể dữ liệu cá nhân là bắt buộc hay không?

Trong phạm vi mối quan hệ giữa người dùng và các nhà cung cấp, giữa doanh nghiệp và người lao động và các mối quan hệ khác thì việc nhận được sự đồng ý của chủ thể dữ liệu cá nhân là điều bắt buộc, ngoại trừ một số trường hợp đặc biệt. Theo quy định của NĐ 13/2023/NĐ-CP thì sự đồng ý của chủ thể dữ liệu được áp dụng đối với tất cả các hoạt động trong quy trình xử lý dữ liệu cá nhân, trừ trường hợp luật có quy định khác.

Để đảm bảo rằng sự đồng ý của chủ thể dữ liệu là có hiệu lực thì bên xử lý dữ liệu ( doanh nghiệp, tổ chức, sàn thương mại điện tử …) phải có cơ sở để xác định rõ rằng chủ thể dữ liệu biết rõ các thông tin mà bên xử lý dữ liệu thu thập, xử lý là gì cũng như thể hiện dự đồng ý tự nguyện của chủ thể dữ liệu. Theo đó bên xử lý dữ liệu phải bằng cách thức nào đó cho chủ thể dữ liệu hiểu rõ được:

• Loại dữ liệu cá nhân được xử lý;
• Mục đích xử lý dữ liệu cá nhân;
• Tổ chức, cá nhân được xử lý dữ liệu cá nhân;
• Các quyền, nghĩa vụ của chủ thể dữ liệu.

Đồng thời bên xử lý dữ liệu cần lưu ý rằng sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này. Sự đồng ý phải được tiến hành cho cùng một mục đích. Khi có nhiều mục đích, bên kiểm soát – xử lý dữ liệu cá nhân phải liệt kê các mục đích để chủ thể dữ liệu đồng ý với một hoặc nhiều mục đích nêu ra.

2. Hình thức thể hiện sự đồng ý của chủ thể dữ liệu cá nhân

Sự đồng ý của chủ thể dữ liệu phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. Bên xử lý dữ liệu cá nhân cũng cần biết rằng sự im lặng hoặc không phản hồi của chủ thể dữ liệu không được coi là sự đồng ý. Như vậy sẽ tùy thuộc vào từng trường hợp cụ thể cũng như cách thức thu thập, mục đích sử dụng dữ liệu cá nhân cụ thể mà cách thức ghi nhận sự đồng ý sẽ khác nhau. Điển hình với trường hợp thu thập dữ liệu cá nhân của người lao động thì điều khoản về quyền và phạm vi thu thập xử lý của bên xử lý dữ liệu cá nhân cần phải được ghi nhận tại một trong các văn bản như Hợp đồng lao động, phụ lục HĐLĐ hoặc văn bản khác có thể hiện ý chí đồng ý của người lao động.

Đối với mối quan hệ giữa doanh nghiệp với các bên cung cấp dịch vụ cá nhân thì điều khoản về xử lý dữ liệu cũng cần được ghi nhận vào hợp đồng hoặc hình thức khác thể hiện rõ sự đồng ý của chủ thể dữ liệu. Đối với các doanh nghiệp mà hoạt động kinh doanh liên quan đến nhân sự, tính lương, cho thuê lại lao động, bảo hiểm, tài chính … thì doanh nghiệp cần ràng buộc được với bên sử dụng dịch vụ về việc bên cung ứng dịch vụ được quyền xử lý dữ liệu cá nhân mà họ tiếp nhận được một cách gián tiếp hoặc trực tiếp từ bên sử dụng dịch vụ.

Với các trang web, sàn thương mại điện tử hoặc các nền tảng khả có thu thập thông tin của người dùng khi truy cập thì phải thể hiện rõ cho người truy cập được biết những thông tin nào của họ sẽ được thu thập, mục đích thu thập … và cách thức nào để làm bằng chứng cho việc bên xử lý dữ liệu đã được người dùng đồng ý cho phép thu thập ….

Chính bởi những quy định về quản lý việc thu thập, xử lý dữ liệu cá nhân hiện tại cũng như của dự thảo Luật bảo vệ dữ liệu cá nhân khi được thông qua sắp tới, thì việc các doanh nghiệp ngay từ thời điểm bây giờ cần lưu ý để đảm bảo rằng trong tất cả các mối quan hệ, trên các nền tảng khác nhau thì doanh nghiệp đã nhận được sự đồng ý của chủ thể dữ liệu cá nhân trong việc thu thập, lưu trữ, xử lý các dữ liệu cá nhân.

Chúng tôi cho rằng trong thời gian sắp tới các cơ quan có thẩm quyền sẽ kiểm soát khá chặt chẽ vấn đề này, hiện tại các hành lang pháp lý, công cụ kiểm soát đang được xây dựng, chế tài phạt dành cho các doanh nghiệp không thực hiện đúng quy định về xử lý dữ liệu cá nhân bao gồm cả trong nước và chuyển dữ liệu ra nước ngoài sẽ được cụ thể hóa trên thực tế. Chính vì vậy tại thời điểm hiện tại, khi các quy định pháp luật mới ban hành và có sự kiểm soát chặt chẽ từ phía cơ quan quản lý cụ thể là Bộ Công An thì quá trình thực hiện các thủ tục về dữ liệu cá nhân sẽ tương đối đơn giản và thuận lợi hơn, các điều kiện đặt ra cho bên xử lý dữ liệu cá nhân cũng ít hơn.

Thời gian viết bài: 18/03/2025

Bài viết ghi nhận thông tin chung có giá trị tham khảo, trường hợp bạn mong muốn nhận ý kiến pháp lý liên quan đến các vấn đề mà bạn đang vướng mắc, bạn vui lòng liên hệ với Luật sư của chúng tôi theo email info@cdlaf.vn

Bạn có thể tham thảo thêm:

• Doanh nghiệp có giao dịch liên kết? Hãy cẩn thận với chuyển giá.
• Quy định pháp lý về giao dịch liên kết và chuyển giá tại Việt Nam: Kiểm soát, tuân thủ và giải pháp giảm thiểu rủi ro
• Trách nhiệm pháp lý của người quản lý doanh nghiệp trong hoạt động kinh doanh