Rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân được không?

Trong lý thuyết về quyền riêng tư hiện đại, sự đồng ý của chủ thể dữ liệu không phải là một "văn bản đóng khung" hay một sự ủy quyền vĩnh viễn không thể đảo ngược. Ngược lại, đó là một trạng thái ý chí có điều kiện và mang tính thời điểm. Khi cá nhân cho phép một tổ chức xử lý thông tin của mình, họ không từ bỏ quyền sở hữu mà chỉ đang thiết lập một "giấy phép sử dụng" tạm thời dựa trên niềm tin và mục đích cụ thể. Câu hỏi đặt ra là: Liệu chủ thể dữ liệu có quyền đơn phương chấm dứt "giấy phép" này khi mục đích sử dụng thay đổi hoặc niềm tin không còn hiện hữu?

Pháp luật Việt Nam, với bước tiến dài trong việc nội hóa các tiêu chuẩn bảo vệ dữ liệu quốc tế (như GDPR), đã khẳng định rõ ràng rằng: Rút lại sự đồng ý là một quyền năng định đoạt không thể tách rời của chủ thể dữ liệu. Quy định này tạo ra một cơ chế "phanh khẩn cấp", cho phép cá nhân can thiệp vào vòng đời xử lý dữ liệu bất cứ lúc nào để bảo vệ lợi ích hợp pháp của mình. Việc tìm hiểu trình tự, thủ tục và hệ quả pháp lý của việc rút lại sự đồng ý không chỉ giúp cá nhân tự chủ trên không gian số, mà còn buộc các bên kiểm soát dữ liệu phải duy trì một chuẩn mực ứng xử minh bạch, trách nhiệm và thượng tôn quyền con người. 

1. Quyền rút lại sự đồng ý và hạn chế xử lý dữ liệu cá nhân là gì?

Trong cấu trúc pháp lý về bảo vệ dữ liệu, quyền của chủ thể không chỉ là những tuyên bố mang tính hình thức mà là những quyền năng thực tế. Theo quy định tại Khoản 1 Điều 10 của Luật Bảo vệ dữ liệu cá nhân 2025 (Luật 2025), hệ thống pháp luật khẳng định quyền rút lại sự đồng ý và yêu cầu hạn chế xử lý dữ liệu là những quyền không thể tách rời của cá nhân đối với thông tin thuộc quyền sở hữu của mình.

Bản chất của việc xử lý dữ liệu cá nhân phần lớn dựa trên sự đồng ý tự nguyện của chủ thể dữ liệu. Do đó, khi sự đồng ý này bị rút lại, nền tảng pháp lý cho hoạt động xử lý dữ liệu của doanh nghiệp đối với các mục đích dựa trên sự đồng ý đó sẽ bị triệt tiêu. Quyền rút lại sự đồng ý được hiểu là khả năng của một cá nhân trong việc hủy bỏ sự cho phép đã cấp trước đó cho Bên Kiểm soát dữ liệu hoặc Bên Kiểm soát và xử lý dữ liệu cá nhân để thực hiện các thao tác như thu thập, lưu trữ, phân tích hoặc chuyển giao thông tin. Điều này phản ánh nguyên tắc quyền tự quyết thông tin, nơi cá nhân có toàn quyền quyết định ai, khi nào và cho mục đích gì mà dữ liệu của họ được sử dụng.

Song hành với quyền rút lại sự đồng ý là quyền hạn chế xử lý dữ liệu. Đây là một trạng thái pháp lý đặc biệt, cho phép chủ thể dữ liệu yêu cầu tổ chức tạm ngừng mọi hoạt động xử lý khác ngoại trừ việc lưu trữ dữ liệu. Hạn chế xử lý thường là bước đệm cần thiết trong các trường hợp chủ thể dữ liệu đang tranh chấp về tính chính xác của dữ liệu hoặc đang trong quá trình khiếu nại về tính hợp pháp của hoạt động xử lý. Việc khẳng định các quyền này tại Khoản 1 Điều 10 của luật mới không chỉ tạo ra một sự bảo vệ mang tính lý thuyết mà còn buộc các doanh nghiệp phải thiết lập các quy trình kỹ thuật để đáp ứng yêu cầu của người dân một cách nhanh chóng và hiệu quả.

Dưới đây là bảng so sánh các đặc tính pháp lý cơ bản của hai quyền năng này dựa trên các quy định hiện hành:

Cần nhấn mạnh rằng, việc thực hiện các quyền này là hoàn toàn miễn phí đối với chủ thể dữ liệu. Các tổ chức không được phép thu bất kỳ khoản phí nào liên quan đến việc xử lý các yêu cầu rút lại sự đồng ý hoặc hạn chế xử lý dữ liệu, nhằm đảm bảo rằng rào cản tài chính không ngăn cản người dân thực thi quyền riêng tư của mình.

2. Điều kiện để thực hiện yêu cầu rút lại sự đồng ý

Quyền rút lại sự đồng ý và yêu cầu ngừng xử lý dữ liệu không xuất hiện một cách ngẫu nhiên mà thường gắn liền với những bối cảnh cụ thể khi niềm tin của người dân vào hệ sinh thái dữ liệu bị sụt giảm.  Điều kiện để thực hiện yêu cầu rút lại sự đồng ý như sau:

2.1. Nghi ngờ về phạm vi và mục đích xử lý dữ liệu

Trong quá trình sử dụng dịch vụ, người dân thường cung cấp dữ liệu cho một mục đích cụ thể, chẳng hạn như mở tài khoản ngân hàng hoặc mua hàng trực tuyến. Tuy nhiên, sự phát triển của các mô hình kinh doanh dựa trên quảng cáo và tiếp thị liên kết dẫn đến việc dữ liệu bị chia sẻ với các đối tác thứ ba mà chủ thể không hề hay biết.

Khi nhận thấy dữ liệu của mình được sử dụng cho các mục đích nằm ngoài thỏa thuận ban đầu, chẳng hạn như nhận được các cuộc gọi chào mời bảo hiểm sau khi đăng ký dịch vụ viễn thông, người dân có quyền nghi ngờ về phạm vi xử lý và yêu cầu rút lại sự đồng ý ngay lập tức. Sự đồng ý chỉ có hiệu lực khi chủ thể dữ liệu biết rõ loại dữ liệu, mục đích xử lý và các bên tiếp nhận; do đó, bất kỳ sự thay đổi nào về các yếu tố này mà không có sự thông báo đều cấu thành điều kiện để thực hiện quyền phản đối và rút lại đồng ý.

2.2. Nghi ngờ về tính chính xác của dữ liệu cá nhân

Tính chính xác là một trong những nguyên tắc cốt lõi của bảo vệ dữ liệu cá nhân quy định tại NĐ 13 và Luật 2025. Khi chủ thể dữ liệu phát hiện thông tin về mình đang bị sai lệch trong hệ thống của doanh nghiệp — ví dụ như sai sót trong hồ sơ tín dụng, hồ sơ y tế hoặc thông tin nhân thân — họ có quyền yêu cầu hạn chế xử lý để tránh các hệ lụy tiêu cực phát sinh từ dữ liệu sai. Trong trường hợp này, việc hạn chế xử lý đóng vai trò là một biện pháp khẩn cấp để "đóng băng" dữ liệu cho đến khi thông tin được đính chính hoặc cập nhật đầy đủ, đảm bảo rằng các quyết định tự động hoặc các giao dịch dựa trên dữ liệu đó không gây thiệt hại cho cá nhân.

2.3. Mất niềm tin vào khả năng bảo mật của bên kiểm soát dữ liệu

Sau những sự cố rò rỉ dữ liệu hoặc khi một doanh nghiệp bị cơ quan chức năng cảnh báo về các hành vi vi phạm bảo vệ dữ liệu, người dân có quyền chủ động yêu cầu ngừng xử lý dữ liệu để tự bảo vệ mình. Quyền rút lại sự đồng ý lúc này trở thành một phản ứng phòng vệ hợp pháp, ngăn chặn dữ liệu tiếp tục bị lưu giữ bởi những đơn vị không đủ năng lực đảm bảo an toàn thông tin. Pháp luật Việt Nam trao cho người dân quyền tự bảo vệ và yêu cầu các tổ chức khác bảo vệ dữ liệu của mình; do đó, khi cảm thấy rủi ro đối với bí mật cá nhân là hiện hữu, việc rút lại sự đồng ý là quyền năng tối cao để chấm dứt rủi ro đó.

Dưới đây là các tình huống điển hình mà người dân thường thực hiện quyền rút lại sự đồng ý và hạn chế xử lý:

3. Hình thức và thủ tục gửi yêu cầu rút lại sự đồng ý hợp lệ

Việc rút lại sự đồng ý không chỉ là một hành động miệng mà phải tuân thủ các quy định nghiêm ngặt về hình thức và thủ tục để có giá trị pháp lý ràng buộc. Dựa trên phân tích Khoản 2 Điều 10, các yêu cầu này phải được thể hiện qua những định dạng cụ thể.

Mọi yêu cầu rút lại sự đồng ý phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản. Điều này bao gồm văn bản giấy truyền thống hoặc định dạng điện tử như email có xác thực, tin nhắn SMS từ số điện thoại đã đăng ký, hoặc việc thao tác trên giao diện cài đặt của ứng dụng/website. Quan trọng nhất, hình thức này phải là "định dạng kiểm chứng được", nghĩa là Bên Kiểm soát dữ liệu phải có khả năng lưu trữ lại bằng chứng về việc chủ thể dữ liệu đã thực hiện quyền của mình để phục vụ công tác thanh tra hoặc giải quyết tranh chấp sau này. Việc im lặng hoặc không phản hồi của chủ thể dữ liệu không bao giờ được coi là sự đồng ý, và tương tự, hành động rút lại sự đồng ý cũng phải là một hành vi rõ ràng, mang tính khẳng định.

Pháp luật khuyến khích các bên tự thỏa thuận về hình thức gửi yêu cầu thông qua các Chính sách bảo vệ dữ liệu cá nhân hoặc Thỏa thuận sử dụng dịch vụ. Doanh nghiệp có trách nhiệm công bố công khai các kênh tiếp nhận yêu cầu, ví dụ như một địa chỉ email chuyên dụng hoặc một biểu mẫu trực tuyến. Tuy nhiên, các tổ chức không được phép đặt ra những thủ tục quá phức tạp nhằm gây khó khăn cho người dân. Một nguyên tắc vàng trong bảo vệ dữ liệu là: việc rút lại sự đồng ý phải dễ dàng như khi cấp sự đồng ý ban đầu.

Để một văn bản yêu cầu rút lại sự đồng ý được coi là hợp lệ và có thể xử lý được, chủ thể dữ liệu cần cung cấp các thông tin thiết yếu sau :

Chủ thể dữ liệu có quyền rút lại sự đồng ý cho một hoặc một vài mục đích cụ thể trong khi vẫn duy trì sự đồng ý cho các mục đích khác. Ví dụ, một khách hàng có thể rút lại sự đồng ý cho việc "sử dụng dữ liệu để quảng cáo" nhưng vẫn giữ lại sự đồng ý cho việc "xử lý dữ liệu để thực hiện giao dịch thanh toán". Điều này đòi hỏi hệ thống kỹ thuật của doanh nghiệp phải có khả năng phân tách dữ liệu theo từng mục đích xử lý riêng biệt.

4. Trách nhiệm của bên kiểm soát và xử lý dữ liệu cá nhân

Khi nhận được yêu cầu rút lại sự đồng ý, doanh nghiệp không chỉ đơn thuần là ngừng xử lý mà phải tuân thủ một quy trình trách nhiệm được quy định chặt chẽ tại Khoản 3 Điều 10 của luật (tương ứng với các mốc thời gian tại Nghị định 356/2025/NĐ-CP (Nghị định 356) hướng dẫn Luật 2025).

Quy trình chuẩn mà một doanh nghiệp cần thực hiện bao gồm các bước:

• Tiếp nhận và xác nhận: Gửi thông báo xác nhận đã nhận được yêu cầu của chủ thể dữ liệu trong vòng 02 ngày làm việc.
• Xác minh danh tính: Đảm bảo người gửi yêu cầu chính là chủ thể dữ liệu hoặc người đại diện hợp pháp để tránh rủi ro rò rỉ thông tin cho bên thứ ba.
• Thông báo hậu quả: Đây là một nghĩa vụ bắt buộc. Doanh nghiệp phải thông báo cho chủ thể dữ liệu về các hậu quả, thiệt hại có thể xảy ra khi rút lại sự đồng ý, chẳng hạn như việc ngừng cung cấp dịch vụ hoặc mất các quyền lợi ưu đãi.
• Thực thi ngừng xử lý: Sau khi chủ thể dữ liệu xác nhận vẫn muốn rút lại đồng ý, doanh nghiệp phải ngừng xử lý và đồng thời yêu cầu các Bên xử lý dữ liệu, Bên thứ ba có liên quan cũng phải ngừng xử lý.

Thời hạn là một yếu tố then chốt để đánh giá sự tuân thủ. Các quy định pháp luật Việt Nam đặt ra những cột mốc thời gian rất nghiêm ngặt, buộc doanh nghiệp phải tự động hóa quy trình xử lý dữ liệu.

Mặc dù Luật 2025 và Nghị định 356 có xu hướng nới lỏng thời gian xử lý so với mốc 72 giờ tuyệt đối của NĐ 13 để phù hợp với độ phức tạp của các hệ thống Big Data, các doanh nghiệp vẫn được khuyến cáo nên duy trì mục tiêu xử lý nhanh nhất có thể. Việc chậm trễ không có lý do chính đáng hoặc không thông báo về việc gia hạn (tối đa một lần) có thể dẫn đến các chế tài xử phạt hành chính nghiêm khắc.

5. Các trường hợp ngoại lệ không được rút lại sự đồng ý

Quyền rút lại sự đồng ý không phải là một quyền năng tuyệt đối trong mọi hoàn cảnh. Để đảm bảo sự cân bằng giữa quyền riêng tư cá nhân và lợi ích chung của xã hội, Điều 19 của Luật 2025 đã quy định các trường hợp ngoại lệ mà doanh nghiệp có quyền tiếp tục xử lý dữ liệu dù chủ thể có phản đối, bao gồm:

- Bảo vệ lợi ích cấp bách và tình trạng khẩn cấp: Trong các tình huống đe dọa trực tiếp đến tính mạng, sức khỏe, danh dự và nhân phẩm của chủ thể dữ liệu hoặc người khác, việc xử lý dữ liệu cá nhân là bắt buộc và không cần sự đồng ý. Ví dụ, trong một vụ tai nạn giao thông, bệnh viện có quyền truy cập hồ sơ y tế của nạn nhân để xác định nhóm máu và tiền sử dị ứng mà không cần chờ sự đồng ý của họ hoặc người thân. Trong bối cảnh này, quyền rút lại sự đồng ý bị tạm đình chỉ để phục vụ mục tiêu cao nhất là bảo toàn mạng sống.

- Phục vụ hoạt động của cơ quan nhà nước và an ninh quốc gia: Dữ liệu cá nhân được xử lý nhằm phục vụ hoạt động quản lý nhà nước, quốc phòng, an ninh quốc gia, trật tự an toàn xã hội hoặc trong các tình trạng khẩn cấp về dịch bệnh, thảm họa sẽ không thuộc phạm vi điều chỉnh của quyền rút lại sự đồng ý. Các cơ quan thực thi pháp luật khi thu thập dữ liệu phục vụ điều tra tội phạm hoặc phòng chống khủng bố có quyền xử lý dữ liệu dựa trên chức năng, nhiệm vụ được luật chuyên ngành quy định.

- Thực hiện nghĩa vụ theo hợp đồng và quy định luật định: Nếu việc xử lý dữ liệu là cần thiết để thực hiện các thỏa thuận pháp lý mà chủ thể dữ liệu là một bên tham gia, hoặc để thực hiện các nghĩa vụ thuế, bảo hiểm xã hội, báo cáo tài chính theo quy định của pháp luật, thì chủ thể dữ liệu không thể yêu cầu rút lại sự đồng ý để chấm dứt các hoạt động này. Điều này đảm bảo rằng các giao dịch kinh tế và nghĩa vụ công dân được thực hiện một cách ổn định, tránh việc lợi dụng quyền riêng tư để trốn tránh trách nhiệm pháp lý.

Dưới đây là danh mục các trường hợp ngoại lệ điển hình theo Điều 19 Luật 2025:

Khi xử lý dữ liệu trong các trường hợp ngoại lệ này, Bên Kiểm soát dữ liệu có trách nhiệm chứng minh tính cần thiết và phải thiết lập các cơ chế giám sát định kỳ để đảm bảo không lạm dụng quyền hạn, xâm phạm đến các quyền lợi hợp pháp khác của cá nhân.

6. Hiệu lực của việc rút lại sự đồng ý đối với dữ liệu quá khứ

Một câu hỏi quan trọng thường được các doanh nghiệp và người dân đặt ra là: Liệu việc rút lại sự đồng ý có làm cho các hoạt động xử lý dữ liệu trong quá khứ trở thành bất hợp pháp hay không? Khoản 4 Điều 10 Luật 2025 đã khẳng định nguyên tắc không hồi tố trong bảo vệ dữ liệu.

Nguyên tắc không hồi tố: Việc rút lại sự đồng ý không ảnh hưởng đến tính hợp pháp của các hoạt động xử lý dữ liệu đã được thực hiện trước thời điểm chủ thể dữ liệu đưa ra yêu cầu. Điều này có nghĩa là nếu một doanh nghiệp đã thu thập và phân tích dữ liệu dựa trên sự đồng ý hợp lệ vào năm 2024, thì việc khách hàng rút lại sự đồng ý vào năm 2025 không biến các hành vi trong năm 2024 thành vi phạm pháp luật. Nguyên tắc này bảo vệ các doanh nghiệp khỏi các rủi ro pháp lý không thể lường trước và đảm bảo tính ổn định của các kết quả xử lý dữ liệu đã được sử dụng cho các mục đích trước đó.

Mặc dù doanh nghiệp phải ngừng các hoạt động xử lý trong tương lai, nhưng điều đó không đồng nghĩa với việc họ phải xóa bỏ hoặc hủy bỏ mọi kết quả đã có từ hoạt động xử lý quá khứ, trừ khi có yêu cầu xóa dữ liệu cụ thể và yêu cầu đó đáp ứng các điều kiện tại Điều 14 Luật 2025. Ví dụ, các báo cáo tổng hợp, dữ liệu đã được ẩn danh hóa hoặc các kết quả phân tích thống kê từ dữ liệu quá khứ vẫn có thể được lưu giữ và sử dụng nếu chúng không còn khả năng xác định danh tính cụ thể của cá nhân.

Tuy nhiên, doanh nghiệp cần lưu ý rằng việc rút lại sự đồng ý đặt ra một giới hạn đỏ cho mọi hành vi tái sử dụng dữ liệu đó cho các mục đích mới. Ngay cả khi dữ liệu đã có sẵn trong hệ thống từ trước, mọi thao tác xử lý mới dựa trên dữ liệu đó sau thời điểm rút lại đồng ý đều bị coi là vi phạm, trừ khi có căn cứ pháp lý khác.

Kết luận

Quyền rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân không chỉ là một quy định mang tính hình thức, mà là biểu tượng của quyền tự quyết cá nhân trong kỷ nguyên dữ liệu lớn. Khả năng "quay đầu" của chủ thể dữ liệu đã xóa bỏ tư duy chiếm hữu thông tin độc quyền của các doanh nghiệp, thúc đẩy một nền kinh tế dữ liệu dựa trên sự đồng thuận và minh bạch. Tuy nhiên, dưới góc độ pháp lý, quyền này không vận hành một cách tuyệt đối mà luôn có sự giao thoa với các nghĩa vụ hợp đồng và trật tự công cộng. Việc rút lại sự đồng ý không làm mất đi tính hợp pháp của các hành vi xử lý dữ liệu đã thực hiện trước đó, đồng thời chủ thể dữ liệu cũng phải sẵn sàng đối mặt với những hệ quả tất yếu như việc đình chỉ cung cấp dịch vụ hoặc các trách nhiệm dân sự phát sinh từ thỏa thuận giữa hai bên.

Trong bối cảnh công nghệ không ngừng biến đổi, quy trình rút lại sự đồng ý cần được các tổ chức thiết kế đơn giản, rõ ràng và hiệu quả tương đương với quy trình thu thập ban đầu. Điều này không chỉ giúp doanh nghiệp tuân thủ nghiêm ngặt các chế tài của pháp luật, mà còn là cách thức bền vững nhất để xây dựng lòng trung thành của khách hàng thông qua sự tôn trọng tuyệt đối đối với đời tư. Suy cho cùng, một môi trường số lành mạnh chỉ có thể tồn tại khi quyền tự do của mỗi cá nhân được bảo đảm bằng những cơ chế pháp lý linh hoạt, nơi mà sự đồng ý luôn đi kèm với quyền được từ bỏ để bảo vệ danh dự, nhân phẩm và bí mật đời tư của chính mình.

Mọi vướng mắc pháp lý vui lòng liên hệ Luật sư tư vấn pháp luật trực tuyến qua điện thoại gọi: 1900.6162 để được đội ngũ luật sư giàu kinh nghiệm của Công ty luật Minh Khuê tư vấn, giải đáp chi tiết.Chúng tôi rất hân hạnh khi nhận được sự hợp tác của quý khách hàng. Xin chân thành cảm ơn!