Khi nào được xử lý dữ liệu không cần sự đồng ý?

Điểm quan trọng là “không cần sự đồng ý” không có nghĩa bên xử lý được tự do thu thập hoặc sử dụng dữ liệu cho bất kỳ mục đích nào. Căn cứ miễn sự đồng ý phải thực sự phù hợp với hoàn cảnh xử lý; đồng thời cơ quan, tổ chức hoặc cá nhân liên quan vẫn phải thực hiện các nghĩa vụ bảo vệ và giám sát dữ liệu.

5 trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý

Bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm hoặc quyền và lợi ích hợp pháp trong trường hợp cần thiết

Dữ liệu cá nhân có thể được xử lý mà không cần lấy sự đồng ý khi việc xử lý cần thiết để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền hoặc lợi ích hợp pháp của chính chủ thể dữ liệu hoặc của người khác trong trường hợp cấp bách.

Ngoại lệ này còn áp dụng khi cần thiết để bảo vệ quyền hoặc lợi ích chính đáng của mình, của người khác, của Nhà nước hoặc của cơ quan, tổ chức trước hành vi xâm phạm các lợi ích đó. Tuy nhiên, bên kiểm soát dữ liệu, bên xử lý dữ liệu, bên kiểm soát và xử lý dữ liệu hoặc bên thứ ba phải có khả năng chứng minh trường hợp ngoại lệ thực sự tồn tại.

Vì vậy, chỉ viện dẫn chung rằng việc xử lý “nhằm bảo vệ quyền lợi” là chưa đủ. Phải tồn tại mối liên hệ cần thiết giữa dữ liệu được xử lý, lợi ích cần bảo vệ và hoàn cảnh cụ thể làm phát sinh việc xử lý.

Giải quyết tình trạng khẩn cấp, bảo vệ an ninh quốc gia và phòng, chống vi phạm pháp luật

Sự đồng ý cũng không phải điều kiện bắt buộc khi dữ liệu được xử lý để:

·         Giải quyết tình trạng khẩn cấp

·         Xử lý nguy cơ đe dọa an ninh quốc gia dù chưa đến mức ban bố tình trạng khẩn cấp

·         Phòng, chống bạo loạn hoặc khủng bố

·         Phòng, chống tội phạm và các hành vi vi phạm pháp luật

Đây là nhóm trường hợp mà yêu cầu phải chờ sự đồng ý của từng chủ thể dữ liệu có thể cản trở hoặc làm giảm hiệu quả của hoạt động bảo vệ an ninh, trật tự và xử lý tình huống cấp thiết. Căn cứ xử lý vì vậy xuất phát trực tiếp từ mục đích được pháp luật công nhận, thay vì ý chí chấp thuận riêng của từng cá nhân.

Phạm vi ngoại lệ vẫn gắn với chính mục đích này. Một dữ liệu được thu thập hợp pháp để phục vụ phòng, chống tội phạm không đương nhiên có thể được chuyển sang một mục đích hoàn toàn khác mà không có căn cứ pháp luật tương ứng.

Phục vụ hoạt động của cơ quan nhà nước và hoạt động quản lý nhà nước

Dữ liệu cá nhân được phép xử lý không cần sự đồng ý khi việc xử lý nhằm phục vụ hoạt động của cơ quan nhà nước hoặc hoạt động quản lý nhà nước theo quy định của pháp luật.

Điều kiện “theo quy định của pháp luật” tạo ra giới hạn quan trọng: không phải mọi hoạt động của một cơ quan nhà nước đều mặc nhiên trở thành căn cứ để xử lý mọi loại dữ liệu. Hoạt động xử lý phải gắn với chức năng, nhiệm vụ, quyền hạn và căn cứ pháp lý tương ứng.

Chẳng hạn, dữ liệu được cơ quan có thẩm quyền khai thác để thực hiện một thủ tục hoặc nhiệm vụ quản lý được pháp luật giao có cơ sở khác với việc một đơn vị sử dụng dữ liệu đó cho một mục đích không liên quan tới nhiệm vụ công. Trường hợp thứ hai vẫn phải được xem xét căn cứ xử lý riêng.

Thực hiện thỏa thuận của chủ thể dữ liệu với cơ quan, tổ chức hoặc cá nhân có liên quan

Điều 19 còn cho phép xử lý dữ liệu không cần sự đồng ý riêng khi việc xử lý nhằm thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức hoặc cá nhân có liên quan theo quy định của pháp luật.

Căn cứ này cần được hiểu theo phạm vi của thỏa thuận. Nếu một số hoạt động xử lý dữ liệu là cần thiết để thực hiện nội dung mà các bên đã thỏa thuận hợp pháp, pháp luật không bắt buộc phải thiết lập thêm một cơ chế đồng ý độc lập cho chính hoạt động đó.

Tuy nhiên, thỏa thuận không tạo ra quyền xử lý vô hạn. Nếu dữ liệu được sử dụng cho một mục đích khác, vượt ra ngoài việc thực hiện thỏa thuận và không thuộc một căn cứ miễn sự đồng ý khác, bên xử lý phải xác định lại căn cứ pháp lý phù hợp.

Trường hợp khác do pháp luật quy định

Nhóm cuối cùng là các trường hợp pháp luật có quy định riêng cho phép xử lý dữ liệu mà không cần sự đồng ý.

Điều này có nghĩa Điều 19 không phải nguồn duy nhất xác định ngoại lệ. Một quy định chuyên biệt trong chính Luật Bảo vệ dữ liệu cá nhân hoặc văn bản pháp luật khác có thể thiết lập căn cứ xử lý không cần sự đồng ý cho một hoàn cảnh cụ thể.

Một ví dụ trực tiếp là Điều 32 Luật Bảo vệ dữ liệu cá nhân. Cơ quan, tổ chức hoặc cá nhân có thể ghi âm, ghi hình và xử lý dữ liệu thu được tại nơi công cộng hoặc hoạt động công cộng mà không cần sự đồng ý trong một số trường hợp, như phục vụ quốc phòng, an ninh quốc gia, trật tự và an toàn xã hội, bảo vệ quyền và lợi ích hợp pháp; hoặc xử lý âm thanh, hình ảnh và thông tin nhận dạng từ các hoạt động công cộng với điều kiện không làm tổn hại danh dự, nhân phẩm, uy tín của chủ thể dữ liệu.

Không cần sự đồng ý vẫn phải tuân thủ nghĩa vụ bảo vệ dữ liệu

Ngoại lệ về sự đồng ý chỉ loại bỏ một điều kiện pháp lý trong hoạt động xử lý dữ liệu; nó không loại bỏ trách nhiệm bảo vệ dữ liệu cá nhân.

Khoản 2 Điều 19 yêu cầu cơ quan, tổ chức và cá nhân liên quan phải thiết lập cơ chế giám sát đối với hoạt động xử lý không cần sự đồng ý. Cơ chế này gồm bốn nhóm yêu cầu:

·         Thiết lập quy trình, quy định xử lý dữ liệu và xác định rõ trách nhiệm của các chủ thể tham gia

·         Áp dụng biện pháp bảo vệ phù hợp và thường xuyên đánh giá rủi ro trong quá trình xử lý

·         Kiểm tra, đánh giá định kỳ việc tuân thủ pháp luật cũng như quy trình xử lý nội bộ

·         Thiết lập cơ chế tiếp nhận và xử lý phản ánh, kiến nghị của cơ quan, tổ chức hoặc cá nhân có liên quan

Do đó, câu hỏi pháp lý không nên chỉ dừng ở “có phải xin đồng ý hay không”. Trước khi dựa vào một ngoại lệ, bên xử lý còn phải xác định mục đích xử lý, căn cứ pháp luật, phạm vi dữ liệu cần thiết, đối tượng được phép tiếp cận và biện pháp kiểm soát tương ứng.

Cách xác định một hoạt động có thuộc trường hợp không cần sự đồng ý hay không

Có thể kiểm tra hoạt động xử lý theo ba bước.

Trước hết, xác định mục đích thực tế của việc xử lý. Mục đích đó phải khớp với một trong các căn cứ mà pháp luật cho phép, chẳng hạn bảo vệ quyền lợi trong tình huống cấp bách, thực hiện nhiệm vụ quản lý nhà nước hoặc thực hiện một thỏa thuận hợp pháp.

Tiếp theo, kiểm tra phạm vi cần thiết của dữ liệu và hoạt động xử lý. Việc tồn tại một căn cứ miễn sự đồng ý không tự động hợp pháp hóa mọi thao tác hoặc mọi mục đích sử dụng tiếp theo. Đối với trường hợp bảo vệ quyền và lợi ích trong tình huống cần thiết, pháp luật còn đặt trách nhiệm chứng minh lên các bên tham gia xử lý.

Cuối cùng, phải xác định các nghĩa vụ vẫn tiếp tục áp dụng. Ví dụ, với ghi âm, ghi hình tại nơi công cộng theo Điều 32, dù không phải xin sự đồng ý trong các trường hợp luật định, chủ thể thực hiện về nguyên tắc vẫn phải thông báo hoặc có hình thức để cá nhân biết mình đang bị ghi âm, ghi hình, trừ khi pháp luật có quy định khác. Dữ liệu thu được cũng chỉ được sử dụng phù hợp với mục đích xử lý và phải được bảo vệ theo quy định.

Theo pháp luật đang có hiệu lực, xử lý dữ liệu không cần sự đồng ý được phép khi thuộc một trong 5 nhóm căn cứ tại Điều 19 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 hoặc thuộc trường hợp chuyên biệt khác mà pháp luật cho phép. Ngoại lệ này không phải quyền xử lý dữ liệu vô điều kiện: bên xử lý vẫn phải giới hạn hoạt động theo đúng căn cứ, mục đích và phạm vi cần thiết, đồng thời thực hiện các biện pháp bảo vệ, đánh giá rủi ro, kiểm tra tuân thủ và cơ chế giám sát theo luật.