Vi phạm sự đồng ý của chủ thể dữ liệu cá nhân thì bị xử phạt thế nào

Trong quá trình thu thập và xử lý thông tin, việc lấy được sự đồng ý hợp lệ từ người dùng là nguyên tắc quan trọng đối với mọi doanh nghiệp. Tuy nhiên, tình trạng sử dụng các thiết lập mặc định sẵn có, mập mờ giữa đồng ý và không đồng ý, hoặc không tách bạch mục đích xử lý vẫn diễn ra rất phổ biến. 

Bài viết sau đây VPDC sẽ tổng hợp và phân tích các quy định của pháp luật về hành vi vi phạm sự sồng ý của chủ thể dữ liệu cá nhân thì bị xử phạt như thế nào. 

Căn cứ pháp lý:

• Điều 6 Nghị định 356/2025/NĐ-CP
• Điều 2, 4, 9, 11 Luật Bảo vệ dữ liệu cá nhân 2025

1. Quy định chung

• Chủ thể dữ liệu cá nhân: là người được dữ liệu cá nhân phản ánh.
• Dữ liệu cá nhân (“DLCN”): là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, gồm: Họ, tên, ngày tháng năm sinh, địa chỉ (nơi ở thường trú, nơi ở tạm trú, địa chỉ liên hệ), tình trạng hôn nhân, giới tính, quốc tịch, thông tin gia đình (cha, mẹ, con, vợ, chồng), hình ảnh cá nhân, điện thoại, số định danh cá nhân, Căn cước công dân, tôn giáo tín ngưỡng, tình trạng sức khỏe, sinh trắc học, v.v. 
• Xử lý dữ liệu cá nhân: là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân. 
• Bên Kiểm soát dữ liệu cá nhân: là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân. 
• Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.
• Bên kiểm soát và xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.

2. Sự đồng ý của chủ thể DLCN

(i) Bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm xin sự đồng ý của chủ thể DLCN về việc xử lý DLCN theo quy định tại Điều 9 Luật Bảo vệ DLCN; Điều 5, Điều 6 Nghị định 356/2025/NĐ-CP.

(ii) Sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi dựa trên sự tự nguyện và phải đảm bảo các nguyên tắc sau:

• Thể hiện sự đồng ý đối với từng mục đích;
• Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.

(iii) Các phương thức xin sự đồng ý của chủ thể dữ liệu cá nhân không bị giới hạn bằng văn bản. Các phương thức được mở rộng phải bảo đảm khả năng kiểm chứng được về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý như: Ghi âm, nền tảng, ứng dụng có thiết lập kỹ thuật xin sự đồng ý,…

(iii) Tuy nhiên, Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không được thiết lập phương thức mặc định đồng ý hoặc tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu. Các thiết lập mặc định sẵn có phải đảm bảo nguyên tắc bảo vệ dữ liệu cá nhân, tôn trọng các quyền của chủ thể dữ liệu cá nhân.

4. Chế tài xử lý vi phạm

Kết luận

Việc tuân thủ đúng các nguyên tắc khi xin sự đồng ý của chủ thể dữ liệu cá nhân – đặc biệt là việc loại bỏ các thiết lập mặc định đồng ý hay mập mờ mục đích – là tấm lá chắn quan trọng giúp doanh nghiệp tránh khỏi các mức phạt nặng nề.

Trên đây là Vi phạm sự đồng ý của chủ thể dữ liệu cá nhân thì bị xử phạt thế nào. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: