Điều kiện có hiệu lực của sự đồng ý xử lý dữ liệu

Sự đồng ý xử lý dữ liệu được hiểu như thế nào?

Theo Điều 9 Luật Bảo vệ dữ liệu cá nhân, sự đồng ý là việc chủ thể dữ liệu cá nhân cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác. Như vậy, sự đồng ý là một căn cứ để xử lý dữ liệu nhưng không phải trong mọi trường hợp xử lý dữ liệu đều bắt buộc phải dựa trên sự đồng ý.

Điểm quan trọng là pháp luật không chỉ yêu cầu có một hành động thể hiện sự đồng ý. Sự đồng ý đó phải đáp ứng các điều kiện về nội dung, ý chí tự nguyện, hình thức và phạm vi thì mới có hiệu lực.

Điều kiện có hiệu lực của sự đồng ý xử lý dữ liệu là gì?

1. Phải được đưa ra trên cơ sở tự nguyện

Điều kiện đầu tiên là sự đồng ý phải dựa trên sự tự nguyện của chủ thể dữ liệu cá nhân. Nếu việc đồng ý không phản ánh đúng ý chí tự do của chủ thể dữ liệu thì không đáp ứng điều kiện hiệu lực theo Điều 9.

Điều này có ý nghĩa thực tế là bên xử lý dữ liệu không nên thiết kế cơ chế khiến người dùng bị buộc phải chấp nhận những mục đích xử lý không thực sự thuộc thỏa thuận ban đầu chỉ để tiếp tục sử dụng một dịch vụ.

2. Chủ thể dữ liệu phải biết rõ dữ liệu và mục đích xử lý

Trước khi đồng ý, chủ thể dữ liệu phải biết rõ:

·         Loại dữ liệu cá nhân được xử lý và mục đích xử lý

·         Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân

·         Các quyền và nghĩa vụ của chủ thể dữ liệu cá nhân

Đây là phần cốt lõi của yêu cầu “biết rõ”. Một cơ chế đồng ý chỉ nêu chung chung rằng người dùng “đồng ý với chính sách dữ liệu” mà không làm rõ những thông tin pháp luật yêu cầu sẽ khó đáp ứng đầy đủ điều kiện này.

Sự đồng ý phải được thể hiện bằng hình thức nào?

Luật yêu cầu sự đồng ý phải được thể hiện rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dạng điện tử hoặc định dạng kiểm chứng được.

Do đó, pháp luật không giới hạn sự đồng ý ở văn bản giấy. Một cơ chế điện tử vẫn có thể đáp ứng yêu cầu nếu có khả năng thể hiện rõ sự đồng ý và có thể kiểm chứng.

Điểm cần phân biệt là khả năng kiểm chứng. Bên kiểm soát dữ liệu cần có cơ sở để xác định chủ thể dữ liệu đã đồng ý nội dung nào, vào mục đích nào, thay vì chỉ dựa vào một trạng thái không thể xác định hoặc không thể truy xuất.

Sự đồng ý phải gắn với từng mục đích xử lý

Một trong những yêu cầu quan trọng nhất là sự đồng ý phải được thể hiện đối với từng mục đích. Đồng thời, không được kèm theo điều kiện bắt buộc chủ thể dữ liệu phải đồng ý với những mục đích khác với nội dung thỏa thuận.

Ví dụ, nếu doanh nghiệp cần dữ liệu để thực hiện hợp đồng nhưng đồng thời muốn sử dụng dữ liệu cho hoạt động tiếp thị, hai mục đích này không nên được gộp thành một sự lựa chọn duy nhất khiến người dùng buộc phải đồng ý cả hai.

Cách tiếp cận này giúp xác định chính xác phạm vi của sự đồng ý và hạn chế việc sử dụng một sự đồng ý cho những mục đích xử lý khác với những gì chủ thể dữ liệu đã chấp thuận.

Im lặng hoặc không phản hồi có được xem là đồng ý không?

Không. Luật Bảo vệ dữ liệu cá nhân quy định rõ rằng sự im lặng hoặc không phản hồi không được coi là sự đồng ý.

Vì vậy, việc bên xử lý dữ liệu mặc định rằng người dùng “không phản đối nên được xem là đã đồng ý” không phù hợp với nguyên tắc này.

Cơ chế đồng ý cần có hành vi thể hiện ý chí rõ ràng của chủ thể dữ liệu, thay vì suy đoán sự đồng ý từ việc họ không thực hiện hành động phản đối.

Sự đồng ý có hiệu lực trong bao lâu và có thể rút lại không?

Theo Điều 9, sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc pháp luật có quy định khác. Đồng thời, chủ thể dữ liệu có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, trừ những trường hợp pháp luật quy định khác.

Điều này cho thấy sự đồng ý không phải là một sự cho phép bất biến. Chủ thể dữ liệu vẫn có quyền thay đổi quyết định của mình theo cơ chế pháp luật quy định.

Tuy nhiên, cần phân biệt rút lại sự đồng ý với việc ngay từ đầu sự đồng ý đã không hợp lệ. Một sự đồng ý không tự nguyện, không rõ thông tin hoặc không được thể hiện đúng hình thức thì vấn đề nằm ở điều kiện hiệu lực ban đầu; còn rút lại sự đồng ý là việc chủ thể dữ liệu thay đổi quyết định sau khi đã có sự đồng ý hợp lệ.

Khi nào không cần sự đồng ý để xử lý dữ liệu cá nhân?

Không phải mọi hoạt động xử lý dữ liệu cá nhân đều bắt buộc phải có sự đồng ý. Điều 19 Luật Bảo vệ dữ liệu cá nhân quy định một số trường hợp được xử lý dữ liệu mà không cần sự đồng ý, chẳng hạn trường hợp cấp bách nhằm bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền và lợi ích hợp pháp; xử lý để giải quyết tình trạng khẩn cấp, phòng chống tội phạm; phục vụ hoạt động của cơ quan nhà nước và một số trường hợp khác theo luật.

Vì vậy, khi đánh giá một hoạt động xử lý dữ liệu, cần xác định trước căn cứ pháp lý của việc xử lý. Nếu thuộc trường hợp pháp luật cho phép xử lý không cần sự đồng ý thì không thể chỉ dựa vào câu hỏi “sự đồng ý có hợp lệ hay không” để đánh giá toàn bộ tính hợp pháp của hoạt động đó.

Có thể khái quát điều kiện có hiệu lực của sự đồng ý xử lý dữ liệu thành 5 điểm chính:

1.    Tự nguyện — Chủ thể dữ liệu thực sự tự nguyện đồng ý

2.    Biết rõ — Biết loại dữ liệu, mục đích xử lý, bên kiểm soát và quyền, nghĩa vụ của mình

3.    Rõ ràng, cụ thể và kiểm chứng được — Sự đồng ý được thể hiện bằng hình thức phù hợp, kể cả điện tử

4.    Theo từng mục đích — Không gộp hoặc ép đồng ý với mục đích khác ngoài thỏa thuận

5.    Có khả năng thay đổi — Chủ thể dữ liệu có quyền thay đổi hoặc rút lại sự đồng ý theo quy định

Đặc biệt, im lặng hoặc không phản hồi không được xem là đồng ý.

Như vậy, một biểu mẫu hoặc cơ chế “đồng ý xử lý dữ liệu” chỉ có giá trị khi không chỉ ghi nhận việc người dùng bấm “Đồng ý”, mà còn bảo đảm toàn bộ điều kiện về ý chí tự nguyện, thông tin được cung cấp, hình thức thể hiện và phạm vi mục đích xử lý theo Điều 9 Luật Bảo vệ dữ liệu cá nhân.