Khi nào được thực hiện quyền phản đối xử lý dữ liệu?

Điểm cần lưu ý là quy định hiện hành không còn giới hạn quyền phản đối vào riêng hoạt động quảng cáo, tiếp thị hoặc ngăn chặn tiết lộ dữ liệu như cơ chế tại Nghị định 13/2023/NĐ-CP trước đây. Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ ngày 01/01/2026 và được thay thế bởi Nghị định 356/2025/NĐ-CP.

Quyền phản đối xử lý dữ liệu được áp dụng như thế nào?

Khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 xác định việc “gửi yêu cầu phản đối xử lý dữ liệu cá nhân” là một trong các quyền của chủ thể dữ liệu. “Xử lý dữ liệu cá nhân” được hiểu rộng, gồm một hoặc nhiều hoạt động tác động đến dữ liệu như thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai hoặc chuyển giao dữ liệu.

Vì vậy, quyền phản đối không nên được hiểu là quyền chỉ dùng khi doanh nghiệp gửi quảng cáo. Về nguyên tắc, chủ thể dữ liệu có thể gửi yêu cầu phản đối đối với hoạt động xử lý dữ liệu cá nhân đang liên quan đến mình và yêu cầu bên kiểm soát xem xét ngừng việc xử lý đó theo thủ tục pháp luật.

Tuy nhiên, quyền phản đối không đồng nghĩa với việc mọi hoạt động xử lý đều bắt buộc phải dừng ngay khi có yêu cầu. Phạm vi thực hiện quyền còn chịu giới hạn bởi các trường hợp pháp luật cho phép xử lý dữ liệu mà không cần sự đồng ý của chủ thể dữ liệu.

Trường hợp nào yêu cầu phản đối có thể dẫn đến ngừng xử lý dữ liệu?

Điều 5 Nghị định 356/2025/NĐ-CP quy định rằng khi nhận được yêu cầu phản đối xử lý dữ liệu cá nhân đúng thủ tục, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải phản hồi và cung cấp thông tin về thủ tục ngừng xử lý dữ liệu. Quy định này cho thấy mục đích trực tiếp của việc thực hiện quyền phản đối là yêu cầu chấm dứt hoạt động xử lý dữ liệu thuộc phạm vi có thể ngừng theo pháp luật.

Ví dụ, một cá nhân có thể sử dụng quyền phản đối khi dữ liệu của mình đang tiếp tục được một tổ chức xử lý nhưng cá nhân không muốn hoạt động xử lý đó tiếp diễn. Bên tiếp nhận yêu cầu phải xác định hoạt động đang thực hiện, căn cứ pháp lý của việc xử lý và liệu trường hợp đó có thuộc ngoại lệ mà pháp luật cho phép tiếp tục xử lý hay không.

Do đó, không phải chỉ cần tuyên bố “phản đối” là toàn bộ dữ liệu phải được xóa hoặc mọi hoạt động liên quan lập tức chấm dứt. Quyền phản đối trước hết tác động đến việc tiếp tục xử lý; còn việc xóa dữ liệu là một quyền khác và có điều kiện thực hiện riêng.

Khi nào quyền phản đối không làm phát sinh nghĩa vụ ngừng xử lý?

Nghị định 356/2025/NĐ-CP loại trừ trường hợp dữ liệu được xử lý không cần sự đồng ý theo Điều 19 Luật Bảo vệ dữ liệu cá nhân. Trong những trường hợp này, việc chủ thể gửi yêu cầu phản đối không đương nhiên buộc bên xử lý phải ngừng hoạt động xử lý đang có căn cứ pháp luật để tiếp tục.

Khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân quy định các nhóm trường hợp xử lý không cần sự đồng ý, gồm:

·         Bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền hoặc lợi ích hợp pháp của chủ thể dữ liệu hay người khác trong trường hợp cấp bách; hoặc bảo vệ quyền, lợi ích chính đáng trước hành vi xâm phạm

·         Giải quyết tình trạng khẩn cấp, nguy cơ đe dọa an ninh quốc gia; phòng, chống bạo loạn, khủng bố, tội phạm và vi phạm pháp luật

·         Phục vụ hoạt động của cơ quan nhà nước hoặc hoạt động quản lý nhà nước theo quy định của pháp luật

·         Thực hiện thỏa thuận của chủ thể dữ liệu với cơ quan, tổ chức hoặc cá nhân có liên quan theo quy định của pháp luật

·         Các trường hợp khác do pháp luật quy định

Đây là giới hạn quan trọng của quyền phản đối. Chẳng hạn, nếu cơ quan có thẩm quyền xử lý dữ liệu theo đúng quy định để phục vụ hoạt động quản lý nhà nước, chủ thể dữ liệu không thể chỉ dựa vào việc mình không muốn dữ liệu tiếp tục được xử lý để yêu cầu chấm dứt một hoạt động mà pháp luật cho phép thực hiện không cần sự đồng ý.

Yêu cầu phản đối xử lý dữ liệu được giải quyết trong bao lâu?

Theo Điều 5 Nghị định 356/2025/NĐ-CP, khi nhận được yêu cầu phản đối đúng thủ tục, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải phản hồi trong vòng 02 ngày làm việc và cung cấp thông tin về thủ tục ngừng xử lý.

Việc ngừng xử lý phải được thực hiện trong thời hạn 15 ngày. Nếu cần yêu cầu bên xử lý dữ liệu cá nhân hoặc bên thứ ba cùng ngừng xử lý thì thời hạn thực hiện là 20 ngày. Trường hợp yêu cầu có tính chất phức tạp, thời gian xử lý có thể được gia hạn một lần nhưng không quá 15 ngày; bên xử lý yêu cầu phải thông báo lý do và chứng minh việc gia hạn là cần thiết, hợp lý.

Các thời hạn trên không áp dụng theo cơ chế này đối với hoạt động xử lý thuộc Điều 19 Luật Bảo vệ dữ liệu cá nhân, tức các trường hợp được phép xử lý không cần sự đồng ý của chủ thể dữ liệu.

Quyền phản đối khác gì rút lại sự đồng ý và hạn chế xử lý?

Ba quyền này có liên quan nhưng không đồng nhất.

Rút lại sự đồng ý được sử dụng khi hoạt động xử lý dựa trên sự đồng ý mà chủ thể đã cung cấp trước đó và nay chủ thể muốn thay đổi quyết định của mình.

Hạn chế xử lý cho phép chủ thể yêu cầu thu hẹp việc xử lý, đặc biệt khi có nghi ngờ về phạm vi, mục đích xử lý hoặc tính chính xác của dữ liệu. Điều 10 Luật Bảo vệ dữ liệu cá nhân quy định cụ thể căn cứ này và cũng loại trừ các trường hợp thuộc Điều 19 hoặc trường hợp pháp luật có quy định khác.

Phản đối xử lý dữ liệu hướng trực tiếp tới việc phản đối hoạt động xử lý đang diễn ra và kích hoạt thủ tục xem xét ngừng xử lý theo Nghị định 356/2025/NĐ-CP.

Vì vậy, việc lựa chọn quyền nào cần dựa vào mục tiêu thực tế của chủ thể dữ liệu: không còn đồng ý, chỉ muốn giới hạn phạm vi xử lý hay muốn phản đối việc tiếp tục xử lý.

Quyền phản đối xử lý dữ liệu hiện là một quyền độc lập của chủ thể dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân 2025. Chủ thể có thể gửi yêu cầu phản đối đối với hoạt động xử lý dữ liệu cá nhân của mình và, nếu yêu cầu thuộc trường hợp pháp luật cho phép, yêu cầu đó có thể dẫn đến việc ngừng xử lý.

Giới hạn quan trọng nhất là các trường hợp xử lý dữ liệu không cần sự đồng ý theo Điều 19 của Luật. Do đó, để xác định một yêu cầu phản đối có buộc bên kiểm soát phải ngừng xử lý hay không, cần xem xét cả hoạt động xử lý cụ thể và căn cứ pháp lý mà bên kiểm soát đang sử dụng.