Thu thập và xử lý dữ liệu khách hàng: yêu cầu về thông báo và sự đồng ý

Khung pháp lý điều chỉnh việc thu thập và xử lý dữ liệu khách hàng

Trong hoạt động thương mại, dữ liệu khách hàng thường được thu thập qua biểu mẫu đăng ký, giao dịch trực tuyến, tổng đài chăm sóc khách hàng, chương trình hội viên và các hoạt động tiếp thị. Từ góc độ pháp lý, dữ liệu này thuộc phạm vi dữ liệu cá nhân khi có thể dùng để xác định hoặc liên hệ đến một cá nhân cụ thể. Việc xử lý dữ liệu phải tuân thủ nguyên tắc hợp pháp, minh bạch, đúng mục đích và giới hạn phạm vi cần thiết.

Cơ sở pháp lý hiện hành yêu cầu doanh nghiệp phải xác định rõ vai trò của mình với tư cách là bên kiểm soát dữ liệu hoặc bên xử lý dữ liệu, từ đó thiết lập nghĩa vụ tương ứng. Theo Điều 3, Điều 11, Điều 12, Điều 13, Điều 17 Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân phải dựa trên căn cứ phù hợp, trong đó sự đồng ý là căn cứ phổ biến nhất đối với hoạt động thu thập và sử dụng dữ liệu khách hàng cho mục đích kinh doanh, tiếp thị và chăm sóc sau bán hàng. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân năm 2025 tiếp tục củng cố nguyên tắc này, đồng thời ghi nhận đầy đủ hơn quyền được biết, quyền đồng ý, quyền rút lại sự đồng ý và các quyền kiểm soát dữ liệu của cá nhân.

Yêu cầu về thông báo trước khi xử lý dữ liệu

Thông báo là bước pháp lý bắt buộc trước khi tiến hành xử lý dữ liệu trong đa số trường hợp. Theo khoản 1 và khoản 2 Điều 13 Nghị định 13/2023/NĐ-CP, việc thông báo phải được thực hiện một lần trước khi xử lý dữ liệu cá nhân và phải nêu rõ mục đích xử lý, loại dữ liệu được sử dụng, cách thức xử lý và thông tin về các tổ chức, cá nhân có liên quan tới mục đích xử lý. Quy định này nhằm bảo đảm khách hàng biết dữ liệu của mình được thu thập để làm gì và sẽ được chia sẻ với ai.

Trong thực tiễn, thông báo cần được trình bày riêng biệt, dễ tiếp cận và rõ ràng, không lẫn với điều khoản chung về dịch vụ hay các nội dung quảng cáo. Doanh nghiệp phải xác định cụ thể từng mục đích xử lý, vì mỗi mục đích kéo theo nghĩa vụ thông báo và đồng ý tương ứng. Nếu dùng dữ liệu cho nhiều mục đích khác nhau, thông báo phải tách bạch để khách hàng có thể nhận biết và kiểm soát từng mục đích một cách thực chất.

Nội dung tối thiểu của thông báo

• Mục đích xử lý dữ liệu cá nhân.
• Loại dữ liệu cá nhân được thu thập và sử dụng.
• Cách thức xử lý dữ liệu.
• Tổ chức, cá nhân có liên quan đến hoạt động xử lý.
• Hậu quả, rủi ro phát sinh nếu khách hàng không đồng ý trong những trường hợp pháp luật yêu cầu đồng ý.

Điều kiện để sự đồng ý có giá trị pháp lý

Sự đồng ý không được suy đoán từ hành vi im lặng hay từ việc khách hàng không phản đối. Theo khoản 8 Điều 3 và khoản 2, khoản 3, khoản 4, khoản 5, khoản 6 Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý phải là sự thể hiện rõ ràng, tự nguyện và khẳng định của chủ thể dữ liệu. Đồng ý chỉ hợp lệ khi khách hàng biết rõ nội dung cần biết, bao gồm mục đích xử lý, loại dữ liệu, tổ chức liên quan và quyền, nghĩa vụ của mình.

Pháp luật cũng yêu cầu đồng ý phải được thể hiện cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, tin nhắn, lựa chọn thiết lập kỹ thuật hoặc hành vi rõ ràng khác. Sự đồng ý phải gắn với cùng một mục đích xử lý; không được gom nhiều mục đích vào một cơ chế đồng ý duy nhất nếu điều đó làm giảm khả năng kiểm soát của khách hàng. Đồng thời, sự đồng ý phải có thể được in, sao chép hoặc kiểm chứng dưới dạng điện tử.

Những điểm doanh nghiệp phải lưu ý khi xin đồng ý

• Không mặc định đồng ý bằng ô đã được tích sẵn.
• Không coi việc tiếp tục sử dụng dịch vụ là đồng ý cho mọi mục đích.
• Không gộp chung đồng ý cho tiếp thị, chia sẻ dữ liệu và cung cấp dịch vụ.
• Không dùng ngôn ngữ mơ hồ, khó hiểu hoặc cài cắm trong điều khoản dài.
• Phải ghi nhận được thời điểm, nội dung và phạm vi đồng ý.

Quan hệ giữa thông báo và đồng ý

Thông báo và đồng ý là hai cơ chế độc lập nhưng gắn bó chặt chẽ. Thông báo cung cấp thông tin để khách hàng hiểu việc xử lý dữ liệu, còn đồng ý là biểu hiện ý chí chấp thuận sau khi đã được cung cấp đầy đủ thông tin. Nếu thiếu thông báo đầy đủ, sự đồng ý khó được xem là tự nguyện và có hiểu biết. Ngược lại, nếu có thông báo nhưng không có cơ chế ghi nhận đồng ý hợp lệ khi pháp luật yêu cầu, việc xử lý dữ liệu vẫn không đáp ứng điều kiện hợp pháp.

Trong môi trường số, nhiều doanh nghiệp có xu hướng thiết kế các luồng thu thập dữ liệu rất ngắn để tăng tỷ lệ chuyển đổi. Tuy nhiên, rút gọn quy trình không đồng nghĩa với giản lược nghĩa vụ pháp lý. Mỗi điểm thu thập dữ liệu phải được gắn với thông báo phù hợp, và mỗi mục đích xử lý phải có căn cứ pháp lý rõ ràng; nếu căn cứ là đồng ý thì phải có công cụ thể hiện đồng ý riêng biệt, minh bạch và có thể lưu vết.

Các ngoại lệ và giới hạn trong việc yêu cầu đồng ý

Pháp luật không tuyệt đối hóa yêu cầu đồng ý trong mọi trường hợp. Theo khoản 1 Điều 17 Nghị định 13/2023/NĐ-CP, sự đồng ý được áp dụng đối với tất cả các hoạt động trong quy trình xử lý dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Điều này có nghĩa là khi có căn cứ pháp luật khác cho phép xử lý dữ liệu, doanh nghiệp không được áp dụng máy móc cơ chế đồng ý thay cho đánh giá căn cứ pháp lý thực sự.

Luật Bảo vệ dữ liệu cá nhân năm 2025, có hiệu lực từ ngày 01/01/2026, tiếp tục định hình các trường hợp xử lý dữ liệu theo căn cứ khác ngoài sự đồng ý và mở rộng cơ chế bảo vệ quyền của chủ thể dữ liệu. Doanh nghiệp vì vậy cần đối chiếu từng hoạt động cụ thể với căn cứ pháp lý tương ứng, tránh tình trạng xin đồng ý tràn lan hoặc sử dụng đồng ý như một hình thức thay thế cho nghĩa vụ thông báo và giải trình.

Hàm ý tuân thủ đối với doanh nghiệp

Để bảo đảm tính hợp pháp, doanh nghiệp cần xây dựng bản đồ dữ liệu khách hàng theo từng mục đích xử lý, từng nhóm dữ liệu và từng bên nhận dữ liệu. Mỗi biểu mẫu thu thập phải kèm nội dung thông báo ngắn gọn, dễ hiểu và tách riêng phần xin đồng ý nếu hoạt động đó yêu cầu đồng ý. Hệ thống lưu trữ cần ghi nhận được bằng chứng về việc khách hàng đã được thông báo và đã bày tỏ ý chí rõ ràng.

Đối với hoạt động tiếp thị, phân tích hành vi, chia sẻ dữ liệu trong hệ sinh thái doanh nghiệp hoặc với đối tác, nên thiết kế cơ chế đồng ý theo từng lớp mục đích. Đồng thời, quy trình phải cho phép khách hàng rút lại sự đồng ý một cách thuận tiện như cách họ đã đồng ý. Khi khách hàng rút lại đồng ý, doanh nghiệp phải dừng xử lý đối với mục đích tương ứng và đánh giá nghĩa vụ tiếp tục lưu giữ dữ liệu theo quy định pháp luật chuyên ngành nếu có.

Kết luận

Thu thập và xử lý dữ liệu khách hàng chỉ hợp pháp khi được đặt trên nền tảng thông báo đầy đủ và sự đồng ý hợp lệ, trừ các trường hợp pháp luật quy định khác. Nghị định 13/2023/NĐ-CP đã thiết lập cấu trúc nghĩa vụ rõ ràng về nội dung thông báo, hình thức đồng ý và giá trị pháp lý của sự đồng ý; Luật Bảo vệ dữ liệu cá nhân năm 2025 tiếp tục củng cố các chuẩn mực này từ năm 2026. Trong bối cảnh chuyển đổi số và tăng cường quản trị dữ liệu, tuân thủ không chỉ là yêu cầu pháp lý mà còn là yếu tố quyết định mức độ tin cậy của doanh nghiệp đối với khách hàng.

Tài liệu tham khảo

• Nghị định số 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân.
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
• Cổng thông tin pháp luật của Bộ Công an về Luật Bảo vệ dữ liệu cá nhân.
• Cổng Công báo Chính phủ về Luật số 91/2025/QH15.
• Tài liệu giới thiệu Luật Bảo vệ dữ liệu cá nhân của cơ quan nhà nước có thẩm quyền.