5 hình thức lấy sự đồng ý của khách hàng hợp lệ

5 hình thức lấy sự đồng ý của khách hàng hợp lệ là chìa khóa quan trọng giúp doanh nghiệp tuân thủ pháp luật về bảo vệ dữ liệu cá nhân, xây dựng niềm tin và tránh các rủi ro pháp lý nghiêm trọng. Tại DPO.VN, chúng tôi cung cấp giải pháp tư vấn chuyên sâu, giúp doanh nghiệp áp dụng chính xác các quy định này vào thực tế hoạt động kinh doanh một cách hiệu quả nhất.

Tại sao việc chọn đúng hình thức lấy sự đồng ý lại quan trọng?

Việc chọn đúng hình thức lấy sự đồng ý không chỉ là yêu cầu bắt buộc của pháp luật mà còn là bằng chứng pháp lý quan trọng nhất để bảo vệ doanh nghiệp khi có tranh chấp xảy ra, đồng thời thể hiện sự tôn trọng đối với quyền riêng tư của khách hàng.

Trong kỷ nguyên số, dữ liệu cá nhân là tài sản quý giá. Tuy nhiên, việc thu thập và xử lý dữ liệu này phải dựa trên nền tảng pháp lý vững chắc, đó chính là sự đồng ý của chủ thể dữ liệu. Nghị định 356/2025/NĐ-CP và sắp tới là Luật Bảo vệ dữ liệu cá nhân 2025 đã đặt ra những tiêu chuẩn rất cao về vấn đề này. Một sự đồng ý không hợp lệ sẽ khiến toàn bộ quá trình xử lý dữ liệu trở nên bất hợp pháp, dẫn đến nguy cơ bị xử phạt hành chính lên đến 3 tỷ đồng (theo dự thảo Luật mới), thậm chí là trách nhiệm hình sự.

Điều 6 của Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân quy định rõ ràng các phương thức thể hiện sự đồng ý. Điểm chung cốt lõi là sự đồng ý phải rõ ràng, cụ thể, tự nguyện và đặc biệt là có thể kiểm chứng được. Điều này có nghĩa là doanh nghiệp phải lưu trữ được bằng chứng về việc khách hàng đã đồng ý vào thời điểm nào, với nội dung gì.

1. Lấy sự đồng ý bằng văn bản có phải là phương thức an toàn nhất?

Đúng vậy, văn bản giấy với chữ ký trực tiếp luôn là hình thức có giá trị chứng minh cao nhất, đặc biệt phù hợp cho các giao dịch trực tiếp tại quầy, hợp đồng dịch vụ lớn hoặc khi xử lý dữ liệu nhạy cảm.

Đây là hình thức truyền thống nhưng chưa bao giờ lỗi thời. Trong các lĩnh vực như ngân hàng, bảo hiểm, y tế, việc khách hàng ký tên vào văn bản chấp thuận xử lý dữ liệu cá nhân mang lại sự chắc chắn về mặt pháp lý. Văn bản này cần tách biệt hoặc làm nổi bật so với các điều khoản hợp đồng khác để đảm bảo khách hàng nhận thức rõ ràng.

2. Sự đồng ý qua tin nhắn điện thoại được thực hiện như thế nào?

Doanh nghiệp có thể gửi tin nhắn SMS chứa nội dung yêu cầu đồng ý và khách hàng phản hồi bằng một cú pháp xác nhận (ví dụ: “DY” hoặc “Y”). Hệ thống cần lưu trữ log tin nhắn này làm bằng chứng.

Hình thức này thường được áp dụng trong các chiến dịch marketing, đăng ký dịch vụ giá trị gia tăng trên điện thoại. Ưu điểm là nhanh chóng, tiện lợi. Tuy nhiên, doanh nghiệp cần đảm bảo nội dung tin nhắn yêu cầu phải rõ ràng, dễ hiểu và không gây nhầm lẫn.

3. Có thể lấy sự đồng ý bằng cuộc gọi ghi âm không?

Có, nhưng quy trình phải chặt chẽ. Nhân viên tổng đài cần đọc rõ thông báo xử lý dữ liệu và ghi nhận câu trả lời “Đồng ý” bằng lời nói của khách hàng. File ghi âm cuộc gọi phải được lưu trữ an toàn và dễ dàng truy xuất.

Phương thức này phù hợp với các dịch vụ tư vấn qua điện thoại (telesales, chăm sóc khách hàng). Lưu ý quan trọng là trước khi ghi âm, doanh nghiệp cũng phải thông báo cho khách hàng biết cuộc gọi đang được ghi âm vì mục đích chất lượng và bằng chứng pháp lý.

4. Tick box trên website/ứng dụng: Làm sao để hợp lệ?

Đây là hình thức phổ biến nhất trên môi trường số. Để hợp lệ, ô tick box (hộp kiểm) KHÔNG ĐƯỢC đánh dấu sẵn (pre-ticked). Khách hàng phải chủ động thực hiện hành động tích vào ô để thể hiện sự đồng ý.

Điều 6.3 của Nghị định 356/2025/NĐ-CP quy định rõ: “Bên kiểm soát dữ liệu cá nhân… không được thiết lập phương thức mặc định đồng ý”. Do đó, các hành động như cuộn trang, không phản hồi, hoặc để mặc định ô đồng ý đều không được coi là sự đồng ý hợp lệ. Bên cạnh ô tick box, cần có đường dẫn đến nội dung thu thập sự đồng ý chi tiết.

5. Sự đồng ý qua xác thực điện tử (OTP, chữ ký số) có giá trị như thế nào?

Đây là hình thức có độ bảo mật và xác thực cao nhất trên môi trường điện tử. Việc nhập mã OTP hoặc sử dụng chữ ký số để xác nhận một giao dịch đồng nghĩa với việc khách hàng đã đồng ý với các điều khoản xử lý dữ liệu đi kèm.

Hình thức này thường được sử dụng trong các giao dịch tài chính, ngân hàng điện tử, ví điện tử. Nó đảm bảo tính “chính chủ” và rất khó để chối bỏ (non-repudiation), giúp doanh nghiệp an tâm tối đa về mặt pháp lý.

Làm thế nào để quản lý và lưu trữ bằng chứng sự đồng ý hiệu quả?

Doanh nghiệp cần xây dựng một hệ thống quản lý sự đồng ý (Consent Management Platform – CMP) tập trung, cho phép lưu trữ, tra cứu và cập nhật trạng thái đồng ý của từng khách hàng theo thời gian thực.

Thu thập được sự đồng ý mới chỉ là bước đầu. Chứng minh sự đồng ý của chủ thể dữ liệu khi có thanh tra hoặc khiếu nại mới là thách thức thực sự. Hệ thống của doanh nghiệp cần ghi nhận được: Ai đã đồng ý? Đồng ý khi nào? Đồng ý qua kênh nào? Và quan trọng nhất là Khách hàng đã đồng ý với phiên bản thông báo nào?.

Ngoài ra, doanh nghiệp cũng cần tôn trọng quyền rút lại sự đồng ý của khách hàng. Quy trình này phải đơn giản và thuận tiện tương đương với lúc họ đưa ra sự đồng ý. Ví dụ, nếu khách hàng đồng ý nhận email marketing qua một cú click chuột, họ cũng phải có thể hủy đăng ký (unsubscribe) dễ dàng qua một đường link trong email.

Những sai lầm thường gặp khi lấy sự đồng ý mà doanh nghiệp cần tránh

Các sai lầm phổ biến bao gồm: sử dụng ô đánh dấu sẵn, gộp nhiều mục đích vào một lần đồng ý, không thông báo rõ về xử lý dữ liệu nhạy cảm, và coi sự im lặng là đồng ý.

• Gộp chung mục đích (Bundled consent): Yêu cầu khách hàng đồng ý với điều khoản sử dụng dịch vụ VÀ đồng ý nhận quảng cáo trong cùng một cú click là không hợp lệ. Sự đồng ý cho mục đích marketing phải tách biệt.
• Thiếu thông tin về dữ liệu nhạy cảm: Theo Điều 6.4 Nghị định 356/2025/NĐ-CP, khi xử lý dữ liệu cá nhân nhạy cảm (như thông tin sức khỏe, tài chính, vị trí), doanh nghiệp PHẢI thông báo rõ ràng cho khách hàng biết đây là dữ liệu nhạy cảm.
• Ngôn ngữ khó hiểu: Sử dụng thuật ngữ pháp lý phức tạp, dài dòng nhằm “đánh lừa” khách hàng đồng ý là vi phạm nguyên tắc minh bạch.

5 Câu Hỏi Thường Gặp Về Hình Thức Lấy Sự Đồng Ý

Tài liệu tham khảo

• Quốc hội (2025), Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. (Văn bản luật mới nhất về bảo vệ dữ liệu cá nhân).
• Chính phủ (2025), Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
• DPO.VN, Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân mới nhất. Có tại: https://dpo.vn/ho-so-danh-gia-tac-dong-xu-ly-du-lieu-ca-nhan-moi-nhat/
• Information Commissioner’s Office (UK), Consent. Có tại: https://ico.org.uk/