Khi nào việc thu thập dữ liệu hợp pháp?

Trước hết, cần xác định đúng phạm vi của vấn đề. Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026, “xử lý dữ liệu cá nhân” bao gồm nhiều hoạt động, trong đó có thu thập dữ liệu. Vì vậy, việc xác định một hoạt động thu thập có hợp pháp hay không phải được xem xét trong khuôn khổ pháp luật về bảo vệ dữ liệu cá nhân.

Điểm quan trọng là không thể chỉ dựa vào việc dữ liệu có thể thu thập được hay không. Cần xem xét ai thu thập, thu thập dữ liệu gì, để làm gì, dựa trên căn cứ nào và sau khi thu thập sẽ xử lý dữ liệu ra sao.

Căn cứ quan trọng nhất là mục đích, phạm vi và căn cứ pháp lý của việc thu thập

Điều 3 Luật Bảo vệ dữ liệu cá nhân quy định nguyên tắc chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng và bảo đảm tuân thủ pháp luật. Dữ liệu cũng phải được bảo đảm tính chính xác và chỉ lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ trường hợp pháp luật có quy định khác.

Do đó, khi đánh giá tính hợp pháp, có thể kiểm tra theo chuỗi:

Mục đích hợp pháp → phạm vi dữ liệu phù hợp → căn cứ xử lý hợp lệ → thực hiện đúng mục đích → bảo vệ dữ liệu trong quá trình xử lý

Nếu một tổ chức thu thập nhiều dữ liệu hơn mức cần thiết hoặc sử dụng dữ liệu cho một mục đích khác với mục đích đã xác lập, thì việc “đã thu thập được dữ liệu” không đồng nghĩa với việc hoạt động đó hợp pháp.

Sự đồng ý là một căn cứ, nhưng không phải trường hợp duy nhất

Luật Bảo vệ dữ liệu cá nhân quy định sự đồng ý của chủ thể dữ liệu là việc cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác. Sự đồng ý chỉ có hiệu lực khi được đưa ra một cách tự nguyện và chủ thể dữ liệu biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu, cùng các quyền và nghĩa vụ liên quan.

Sự đồng ý còn phải đáp ứng những điều kiện đáng chú ý:

·         Đồng ý cho từng mục đích

·         Không bị buộc phải đồng ý với những mục đích khác ngoài thỏa thuận

·         Có thể được thay đổi theo quy định

·         Sự im lặng hoặc không phản hồi không được xem là đồng ý

Tuy nhiên, không nên hiểu rằng mọi hoạt động thu thập dữ liệu đều bắt buộc phải có sự đồng ý. Điều 19 của Luật 91/2025/QH15 quy định một số trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý, chẳng hạn trường hợp cấp bách để bảo vệ tính mạng, sức khỏe hoặc quyền, lợi ích hợp pháp; phục vụ giải quyết tình trạng khẩn cấp, phòng chống tội phạm và vi phạm pháp luật; phục vụ hoạt động của cơ quan nhà nước theo quy định pháp luật; hoặc thực hiện thỏa thuận của chủ thể dữ liệu theo quy định.

Vì vậy, câu hỏi đúng không phải chỉ là “đã có sự đồng ý chưa?”, mà là “hoạt động thu thập này đang dựa trên căn cứ pháp lý nào?”

Tính minh bạch và quyền của chủ thể dữ liệu cũng là căn cứ để đánh giá

Tính hợp pháp không chỉ nằm ở thời điểm thu thập. Chủ thể dữ liệu có các quyền như được biết về hoạt động xử lý dữ liệu, đồng ý hoặc không đồng ý, rút lại sự đồng ý, xem và chỉnh sửa dữ liệu, yêu cầu xóa hoặc hạn chế xử lý và thực hiện các quyền pháp lý khác theo luật.

Vì vậy, một hoạt động thu thập hợp pháp phải được tổ chức trong một quy trình cho phép xác định rõ:

·         Dữ liệu nào đang được thu thập

·         Mục đích thu thập là gì

·         Ai quyết định mục đích và phương tiện xử lý

·         Dữ liệu sẽ được xử lý như thế nào

·         Chủ thể dữ liệu có những quyền gì

·         Dữ liệu được lưu trữ và bảo vệ ra sao

Luật cũng phân biệt các vai trò như bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân và bên thứ ba. Việc xác định đúng vai trò giúp xác định trách nhiệm pháp lý của từng bên trong quá trình xử lý.

Dữ liệu nhạy cảm và các trường hợp đặc thù cần được kiểm tra chặt hơn

Không phải mọi loại dữ liệu cá nhân đều có mức độ rủi ro giống nhau. Đối với dữ liệu cá nhân nhạy cảm, việc thu thập và xử lý phải được xem xét cùng các yêu cầu bảo vệ dữ liệu tương ứng và pháp luật chuyên ngành.

Ví dụ, quy định hiện hành về thông tin sức khỏe yêu cầu có sự đồng ý của chủ thể dữ liệu trong quá trình thu thập, xử lý, trừ trường hợp thuộc Điều 19 của Luật Bảo vệ dữ liệu cá nhân; đồng thời phải tuân thủ các quy định pháp luật liên quan.

Ngoài Luật Bảo vệ dữ liệu cá nhân, tùy hoạt động cụ thể còn phải kiểm tra các quy định chuyên ngành liên quan. Đây là điểm quan trọng vì tính hợp pháp của việc thu thập không chỉ phụ thuộc vào một văn bản duy nhất.

Từ ngày 01/01/2026, Luật 91/2025/QH15 là căn cứ pháp lý trọng tâm về bảo vệ dữ liệu cá nhân; Chính phủ đồng thời ban hành Nghị định 356/2025/NĐ-CP để quy định chi tiết và biện pháp thi hành Luật. Nghị định này có hiệu lực cùng ngày.

Có thể kiểm tra tính hợp pháp của hoạt động thu thập dữ liệu theo 6 câu hỏi

Trong thực tế, có thể sử dụng một trình tự kiểm tra ngắn:

1.    Dữ liệu được thu thập có phải là dữ liệu cá nhân không?

2.    Nếu có, hoạt động thu thập thuộc phạm vi xử lý dữ liệu cá nhân theo Luật 91/2025/QH15.

3.    Mục đích thu thập có cụ thể, rõ ràng và hợp pháp không?

4.    Mục đích phải phù hợp với nguyên tắc xử lý dữ liệu và phạm vi dữ liệu được thu thập.

5.    Có căn cứ pháp lý cho việc xử lý không?

6.    Cần xác định sự đồng ý có hợp lệ hay hoạt động thuộc trường hợp pháp luật cho phép xử lý không cần sự đồng ý.

7.    Chủ thể dữ liệu có được biết và thực hiện các quyền của mình không?

8.    Cần xem xét yêu cầu về thông tin, sự đồng ý, rút lại sự đồng ý, truy cập, chỉnh sửa, xóa hoặc hạn chế xử lý theo trường hợp áp dụng.

9.    Dữ liệu có được thu thập, lưu trữ và bảo vệ đúng phạm vi cần thiết không?

10.  Luật yêu cầu dữ liệu được bảo đảm tính chính xác, lưu trữ phù hợp với mục đích và áp dụng biện pháp bảo vệ thích hợp.

11.  Có quy định chuyên ngành hoặc trường hợp đặc biệt cần áp dụng không?

12.  Với dữ liệu nhạy cảm, thông tin sức khỏe, hoạt động của cơ quan nhà nước hoặc các lĩnh vực đặc thù, cần kiểm tra thêm quy định tương ứng.

Như vậy, thu thập dữ liệu hợp pháp không được xác định chỉ bằng việc có hay không có sự đồng ý. Căn cứ cốt lõi là sự phù hợp với pháp luật, mục đích và phạm vi thu thập, căn cứ xử lý hợp lệ, tính minh bạch, quyền của chủ thể dữ liệu và các yêu cầu bảo vệ dữ liệu trong suốt quá trình xử lý.

Nếu không có căn cứ pháp lý phù hợp, việc thu thập có thể trở thành hành vi xử lý dữ liệu trái quy định. Luật 91/2025/QH15 cũng nghiêm cấm xử lý dữ liệu cá nhân trái quy định của pháp luật, mua bán dữ liệu cá nhân và một số hành vi xâm phạm dữ liệu khác.