Cách rút lại sự đồng ý xử lý dữ liệu

Điểm quan trọng là việc rút lại sự đồng ý tác động đến hoạt động xử lý từ thời điểm yêu cầu được thực hiện, chứ không làm mất hiệu lực đối với những hoạt động xử lý đã diễn ra trước đó trên cơ sở sự đồng ý hợp lệ. Đồng thời, quyền này có giới hạn khi dữ liệu được xử lý trong trường hợp pháp luật cho phép không cần sự đồng ý của chủ thể dữ liệu.

Chủ thể dữ liệu rút lại sự đồng ý bằng cách nào?

Khoản 2 Điều 10 Luật Bảo vệ dữ liệu cá nhân 2025 xác định hai yêu cầu cốt lõi đối với việc rút lại sự đồng ý: hình thức của yêu cầu phải có thể kiểm chứng và yêu cầu phải được gửi đúng chủ thể có trách nhiệm kiểm soát việc xử lý dữ liệu.

Về hình thức, chủ thể dữ liệu phải thể hiện yêu cầu bằng văn bản. Văn bản ở đây không chỉ giới hạn ở giấy tờ truyền thống mà bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được. Vì vậy, tùy quy trình mà bên kiểm soát dữ liệu đã công bố, yêu cầu có thể được thực hiện thông qua biểu mẫu điện tử, thư điện tử, chức năng quản lý quyền riêng tư trên nền tảng hoặc phương thức khác đáp ứng khả năng xác định và kiểm chứng yêu cầu.

Về nơi tiếp nhận, yêu cầu được gửi cho:

·         Bên kiểm soát dữ liệu cá nhân

·         Bên kiểm soát và xử lý dữ liệu cá nhân

Pháp luật yêu cầu các chủ thể này xây dựng quy trình, thủ tục và biểu mẫu rõ ràng để chủ thể dữ liệu biết cách thực hiện các quyền của mình. Do đó, khi một ứng dụng, website, ngân hàng hoặc doanh nghiệp đã cung cấp cơ chế rút lại sự đồng ý, chủ thể dữ liệu nên sử dụng đúng kênh được công bố để yêu cầu có thể được ghi nhận và xử lý theo quy trình.

Trong thực tế, để xác định chính xác phạm vi cần ngừng xử lý, yêu cầu nên thể hiện rõ dữ liệu hoặc mục đích xử lý mà chủ thể muốn rút lại sự đồng ý. Có thể nêu thông tin định danh cần thiết, nội dung đã từng đồng ý, mục đích muốn chấm dứt sự đồng ý và đề nghị xác nhận kết quả xử lý. Đây là cách giúp hạn chế trường hợp yêu cầu không đủ thông tin để xác định phạm vi, không phải là danh mục nội dung bắt buộc chung do Điều 10 ấn định.

Ví dụ, thay vì chỉ gửi nội dung “Tôi không đồng ý sử dụng dữ liệu nữa”, yêu cầu có thể xác định cụ thể rằng chủ thể rút lại sự đồng ý cho phép sử dụng số điện thoại và địa chỉ email cho mục đích quảng cáo, tiếp thị. Việc xác định phạm vi như vậy đặc biệt hữu ích khi trước đó chủ thể đã đồng ý với nhiều mục đích xử lý khác nhau.

Bên kiểm soát dữ liệu phải xử lý yêu cầu trong bao lâu?

Nghị định 356/2025/NĐ-CP đặt ra các mốc thời gian cụ thể đối với yêu cầu rút lại sự đồng ý.

Khi nhận được yêu cầu đúng thủ tục, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải phản hồi trong 02 ngày làm việc, đồng thời cung cấp đầy đủ thông tin cho chủ thể dữ liệu về thủ tục ngừng xử lý dữ liệu cá nhân. Việc thực hiện yêu cầu phải hoàn thành trong 15 ngày.

Nếu cần yêu cầu bên xử lý dữ liệu cá nhân hoặc bên thứ ba cùng ngừng xử lý dữ liệu của chủ thể, thời hạn thực hiện là 20 ngày. Quy định này có ý nghĩa khi dữ liệu không chỉ nằm trong hệ thống của bên trực tiếp thu thập mà đã được giao cho đơn vị xử lý hoặc bên thứ ba tham gia vào hoạt động xử lý.

Trong trường hợp yêu cầu có tính chất hoặc mức độ phức tạp cần thêm thời gian, thời hạn xử lý có thể được gia hạn tối đa một lần và không quá 15 ngày. Bên kiểm soát dữ liệu phải thông báo cho chủ thể dữ liệu về lý do gia hạn và có trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

Các mốc thời gian có thể hiểu theo trình tự:

1.    Trong 02 ngày làm việc: Phản hồi yêu cầu và thông tin về thủ tục ngừng xử lý

2.    Trong 15 ngày: Thực hiện yêu cầu rút lại sự đồng ý trong trường hợp thông thường

3.    Trong 20 ngày: Trường hợp cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba ngừng xử lý

4.    Gia hạn tối đa 01 lần, không quá 15 ngày: Chỉ khi có lý do cần thiết, hợp lý và phải thông báo cho chủ thể dữ liệu

Rút lại sự đồng ý có làm mất hiệu lực việc xử lý trước đó không?

Không. Đây là giới hạn quan trọng của quyền rút lại sự đồng ý.

Khoản 4 Điều 10 Luật Bảo vệ dữ liệu cá nhân quy định việc thực hiện yêu cầu rút lại sự đồng ý không áp dụng đối với hoạt động xử lý dữ liệu cá nhân trước thời điểm chủ thể dữ liệu yêu cầu rút lại.

Điều đó có nghĩa rằng nếu một tổ chức đã xử lý dữ liệu trên cơ sở sự đồng ý hợp lệ trước khi chủ thể rút lại sự đồng ý, việc rút lại sau đó không tự động biến hoạt động xử lý trước đó thành trái pháp luật. Tác dụng của yêu cầu chủ yếu nằm ở việc kiểm soát hoạt động xử lý tiếp theo dựa trên sự đồng ý đã bị rút.

Cũng cần phân biệt rút lại sự đồng ý với yêu cầu xóa dữ liệu. Luật Bảo vệ dữ liệu cá nhân xác định đây là các quyền riêng biệt của chủ thể dữ liệu. Vì vậy, việc rút lại sự đồng ý không nên được hiểu mặc nhiên rằng toàn bộ dữ liệu đã thu thập trước đó phải lập tức bị xóa trong mọi trường hợp. Nếu mục tiêu của chủ thể đồng thời là yêu cầu xóa dữ liệu, quyền yêu cầu xóa cần được thực hiện theo điều kiện và thủ tục tương ứng.

Khi nào rút lại sự đồng ý không làm chấm dứt việc xử lý dữ liệu?

Quyền rút lại sự đồng ý không đồng nghĩa với quyền ngăn chặn mọi hoạt động xử lý dữ liệu trong mọi hoàn cảnh. Điều 10 loại trừ trường hợp quy định tại Điều 19 Luật Bảo vệ dữ liệu cá nhân hoặc trường hợp pháp luật có quy định khác.

Điều 19 quy định một số hoạt động xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu, gồm trường hợp cần thiết để bảo vệ tính mạng, sức khỏe hoặc quyền và lợi ích hợp pháp trong tình huống cấp bách; giải quyết tình trạng khẩn cấp, bảo đảm an ninh và phòng, chống tội phạm; phục vụ hoạt động của cơ quan nhà nước, quản lý nhà nước theo quy định; thực hiện thỏa thuận của chủ thể dữ liệu với cơ quan, tổ chức hoặc cá nhân có liên quan; và các trường hợp khác do pháp luật quy định.

Cơ chế này tạo ra một ranh giới quan trọng: rút lại sự đồng ý chỉ trực tiếp loại bỏ căn cứ xử lý là sự đồng ý. Nếu một hoạt động xử lý cụ thể được pháp luật cho phép thực hiện mà không cần sự đồng ý, việc chủ thể rút lại sự đồng ý không tự động làm mất căn cứ pháp lý đó.

Vì vậy, khi nhận thấy dữ liệu vẫn tiếp tục được xử lý sau khi đã gửi yêu cầu, cần xác định hoạt động đó đang tiếp tục dựa trên sự đồng ý đã rút hay thuộc một căn cứ xử lý không cần sự đồng ý theo Điều 19 hoặc quy định pháp luật khác. Đây là yếu tố quyết định việc tiếp tục xử lý có phù hợp hay không.

Làm gì để yêu cầu rút lại sự đồng ý có thể được kiểm chứng?

Khả năng kiểm chứng có ý nghĩa quan trọng vì nó giúp xác định ai là người gửi yêu cầu, thời điểm gửi, phạm vi đồng ý được rút lại và bên nào đã tiếp nhận.

Chủ thể dữ liệu nên giữ lại bằng chứng về quá trình thực hiện yêu cầu, chẳng hạn bản sao văn bản đã gửi, email xác nhận, mã yêu cầu trên ứng dụng hoặc thông báo tiếp nhận từ doanh nghiệp. Nếu thực hiện qua một chức năng điện tử, nên lưu thông tin đủ để chứng minh thời điểm và nội dung đã lựa chọn.

Cách thực hiện này phù hợp với nguyên tắc của pháp luật hiện hành khi cả việc thể hiện sự đồng ý lẫn việc thực hiện quyền của chủ thể dữ liệu đều phải hướng tới khả năng xác định, lưu trữ và kiểm chứng. Nghị định 356/2025/NĐ-CP cũng yêu cầu bên kiểm soát dữ liệu xây dựng thủ tục, biểu mẫu rõ ràng để các quyền này có thể được thực hiện trên thực tế.

Chủ thể dữ liệu cá nhân có thể rút lại sự đồng ý xử lý dữ liệu bằng yêu cầu bằng văn bản, bao gồm dạng điện tử hoặc định dạng kiểm chứng được, gửi cho bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân. Bên tiếp nhận phải phản hồi trong 02 ngày làm việc và thông thường thực hiện yêu cầu trong 15 ngày; nếu phải yêu cầu bên xử lý hoặc bên thứ ba ngừng xử lý thì thời hạn là 20 ngày. Việc rút lại không tác động ngược trở lại các hoạt động xử lý đã diễn ra trước thời điểm yêu cầu và không ngăn cản những hoạt động mà pháp luật cho phép xử lý không cần sự đồng ý.