Hậu quả rút lại sự đồng ý xử lý dữ liệu

Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026, chủ thể dữ liệu có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân. Tuy nhiên, việc thực hiện yêu cầu rút lại không áp dụng đối với hoạt động xử lý đã diễn ra trước thời điểm yêu cầu được đưa ra.

Rút lại sự đồng ý tác động đến dữ liệu đang được xử lý như thế nào?

Hậu quả quan trọng nhất là cơ sở đồng ý cho hoạt động xử lý trong tương lai bị thay đổi. Khi yêu cầu rút lại được thực hiện hợp lệ, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải tiếp nhận và thực hiện yêu cầu, đồng thời yêu cầu bên xử lý dữ liệu thực hiện tương ứng.

Điều này không có nghĩa mọi dữ liệu đã từng được xử lý phải bị xóa ngay. Luật tách biệt giữa quyền rút lại sự đồng ý và quyền yêu cầu xóa, hủy dữ liệu. Vì vậy, nếu mục tiêu của chủ thể dữ liệu là loại bỏ dữ liệu đang được lưu giữ, việc rút lại sự đồng ý không nên được hiểu mặc nhiên là một yêu cầu xóa dữ liệu.

Hoạt động xử lý trước thời điểm rút lại

Hoạt động xử lý đã diễn ra trước khi chủ thể dữ liệu yêu cầu rút lại sự đồng ý không bị làm mất hiệu lực chỉ vì có yêu cầu rút lại sau đó. Nói cách khác, rút lại sự đồng ý không có hiệu lực hồi tố đối với phần xử lý đã được thực hiện trước thời điểm yêu cầu.

Hoạt động xử lý sau thời điểm rút lại

Đối với hoạt động tiếp tục xử lý dựa trên sự đồng ý, việc rút lại làm thay đổi căn cứ để tiếp tục xử lý. Bên kiểm soát phải thực hiện yêu cầu theo thời hạn và thủ tục pháp luật quy định, thay vì tiếp tục mặc nhiên coi sự đồng ý cũ vẫn còn hiệu lực.

Rút lại sự đồng ý có làm dữ liệu phải bị xóa ngay không?

Không nhất thiết.

Hai quyền này có mục đích khác nhau:

·         Rút lại sự đồng ý: tác động đến việc tiếp tục xử lý dựa trên sự đồng ý

·         Yêu cầu xóa, hủy dữ liệu: hướng đến việc loại bỏ dữ liệu theo điều kiện pháp luật tương ứng

Do đó, một tổ chức có thể phải ngừng một hoạt động xử lý dựa trên sự đồng ý nhưng vẫn có thể phải lưu giữ dữ liệu trong trường hợp có căn cứ pháp lý khác hoặc nghĩa vụ lưu trữ áp dụng.

Điểm này đặc biệt quan trọng vì pháp luật cũng quy định những trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý. Luật Bảo vệ dữ liệu cá nhân quy định các trường hợp ngoại lệ tại Điều 19, nên việc rút lại sự đồng ý không đồng nghĩa với việc mọi hoạt động xử lý dữ liệu trong mọi hoàn cảnh đều phải chấm dứt.

Doanh nghiệp phải xử lý yêu cầu rút lại trong bao lâu?

Theo Nghị định 356/2025/NĐ-CP, khi nhận được yêu cầu rút lại sự đồng ý đúng thủ tục, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải phản hồi trong 02 ngày làm việc, cung cấp thông tin về thủ tục ngừng xử lý và thực hiện trong thời hạn 15 ngày, trừ trường hợp xử lý không cần sự đồng ý theo Điều 19 Luật Bảo vệ dữ liệu cá nhân.

Nếu cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba ngừng xử lý, thời hạn thực hiện có thể là 20 ngày. Với yêu cầu phức tạp cần gia hạn, thời gian có thể được kéo dài thêm tối đa một lần và không quá 15 ngày, kèm yêu cầu thông báo lý do gia hạn cho chủ thể dữ liệu.

Như vậy, hậu quả thực tế của việc rút lại sự đồng ý không phải lúc nào cũng là “dừng ngay trong cùng thời điểm”, mà còn phụ thuộc vào thủ tục tiếp nhận, phạm vi xử lý và việc có bên xử lý hoặc bên thứ ba tham gia hay không.

Khi nào rút lại sự đồng ý không làm hoạt động xử lý chấm dứt?

Có một giới hạn quan trọng: nếu hoạt động xử lý thuộc trường hợp pháp luật cho phép thực hiện không cần sự đồng ý, việc rút lại sự đồng ý không nhất thiết làm mất căn cứ pháp lý để tiếp tục xử lý.

Điều 19 Luật Bảo vệ dữ liệu cá nhân quy định các trường hợp xử lý không cần sự đồng ý, bao gồm một số tình huống liên quan đến bảo vệ tính mạng, sức khỏe, quyền và lợi ích hợp pháp hoặc lợi ích của Nhà nước và các trường hợp khác theo luật.

Vì vậy, để xác định hậu quả của một yêu cầu rút lại sự đồng ý, cần kiểm tra căn cứ pháp lý thực tế của hoạt động xử lý, thay vì chỉ kiểm tra xem trước đó người dùng đã đồng ý hay chưa.

Rút lại sự đồng ý ảnh hưởng thế nào đến dữ liệu đã chia sẻ cho bên khác?

Khi hoạt động xử lý có sự tham gia của bên xử lý dữ liệu hoặc bên thứ ba, việc thực hiện yêu cầu không chỉ dừng ở hệ thống của bên tiếp nhận yêu cầu. Nghị định 356/2025/NĐ-CP quy định trường hợp cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba ngừng xử lý thì thời hạn thực hiện có thể kéo dài đến 20 ngày.

Điều này cho thấy tác động của việc rút lại sự đồng ý có thể lan theo chuỗi xử lý dữ liệu, tùy vào việc dữ liệu đã được chuyển giao cho những chủ thể nào và mỗi chủ thể đang thực hiện hoạt động xử lý nào.

Tuy nhiên, rút lại sự đồng ý cũng không tự động biến các hoạt động xử lý hợp pháp đã hoàn thành trước đó thành bất hợp pháp. Phạm vi tác động cần được xác định theo thời điểm xử lý và căn cứ pháp lý tương ứng.

Cần phân biệt rút lại sự đồng ý với yêu cầu xóa dữ liệu

Đây là điểm dễ gây hiểu nhầm nhất.

Rút lại sự đồng ý trả lời câu hỏi: “Tôi không còn cho phép tiếp tục xử lý dữ liệu trên cơ sở sự đồng ý này.”

Yêu cầu xóa dữ liệu trả lời câu hỏi: “Tôi muốn dữ liệu của mình được xóa, hủy hoặc xử lý theo cơ chế xóa tương ứng.”

Hai yêu cầu có thể liên quan nhưng không phải là một. Vì vậy, nếu chỉ gửi yêu cầu rút lại sự đồng ý, không nên mặc định rằng toàn bộ dữ liệu đã lưu sẽ được xóa ngay.

Ngược lại, nếu mục tiêu thực tế là vừa ngừng xử lý vừa yêu cầu loại bỏ dữ liệu, cần xem xét và thực hiện đúng quyền tương ứng theo quy định pháp luật.

Việc rút lại sự đồng ý chủ yếu làm thay đổi khả năng tiếp tục xử lý dữ liệu dựa trên sự đồng ý, chứ không xóa ngược hiệu lực của hoạt động xử lý đã thực hiện trước đó. Theo Luật Bảo vệ dữ liệu cá nhân hiện hành, yêu cầu này còn có ngoại lệ đối với các hoạt động xử lý không cần sự đồng ý và có thể cần thời gian để tổ chức phối hợp với bên xử lý hoặc bên thứ ba.

Vì vậy, khi đánh giá hậu quả rút lại sự đồng ý xử lý dữ liệu, cần xem đồng thời ba yếu tố: thời điểm xử lý, căn cứ pháp lý của việc xử lý và phạm vi dữ liệu đang được các bên tiếp tục xử lý.