Khách hàng đòi rút lại đồng ý xử lý dữ liệu, doanh nghiệp có bao nhiêu ngày để xử lý?

Có — và luật quy định thời hạn cụ thể theo từng bước, không phải một con số chung chung mơ hồ. Về quyền của khách hàng: khoản 1 Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định "Chủ thể dữ liệu cá nhân có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, yêu cầu hạn chế xử lý dữ liệu cá nhân của mình khi có nghi ngờ về phạm vi, mục đích xử lý dữ liệu cá nhân hoặc tính chính xác của dữ liệu cá nhân, trừ trường hợp quy định tại Điều 19 của Luật này." Yêu cầu này phải được thể hiện bằng văn bản (bao gồm cả dạng điện tử như email, tin nhắn — miễn có thể kiểm chứng được) và gửi cho bên kiểm soát dữ liệu — đúng như tình huống công ty bạn đang gặp. Về thời hạn xử lý cụ thể, đây là phần quan trọng nhất mà nhiều doanh nghiệp bỏ sót vì bản thân Luật chỉ nói chung chung "theo thời hạn quy định của pháp luật" — thời hạn chính xác nằm ở khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP, quy định theo hai bước rõ ràng: Bước 1 — phản hồi ban đầu: "Khi nhận được yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, hạn chế xử lý dữ liệu cá nhân, phản đối xử lý dữ liệu cá nhân theo đúng thủ tục... bên kiểm soát dữ liệu cá nhân... phải phản hồi trong thời hạn 02 NGÀY LÀM VIỆC, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục ngừng xử lý dữ liệu cá nhân..." Bước 2 — thực hiện thực tế: "...và thực hiện trong thời hạn 15 NGÀY." Đây là thời hạn để công ty thực sự ngừng xử lý dữ liệu theo yêu cầu, không chỉ dừng ở việc phản hồi bằng lời. Bước 3 — nếu có bên thứ ba liên quan: "Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba ngừng xử lý dữ liệu cá nhân... thì thực hiện trong thời hạn 20 NGÀY." Tức nếu công ty bạn có chia sẻ dữ liệu của khách hàng này cho một đơn vị xử lý dữ liệu bên ngoài (ví dụ nhà cung cấp dịch vụ CRM, đối tác marketing), thời hạn để đảm bảo cả bên thứ ba đó cũng ngừng xử lý là 20 ngày, dài hơn so với trường hợp chỉ xử lý nội bộ. Về gia hạn: nếu có lý do chính đáng, công ty được phép gia hạn thêm tối đa 15 ngày so với các mốc trên, nhưng phải thông báo rõ lý do cho khách hàng biết trong quá trình xử lý — không được im lặng kéo dài quá thời hạn mà không giải thích. Một điểm quan trọng khác cần lưu ý: theo khoản 4 Điều 10 Luật, việc rút lại đồng ý KHÔNG có hiệu lực hồi tố — nghĩa là việc công ty đã xử lý dữ liệu hợp pháp TRƯỚC thời điểm nhận được yêu cầu rút lại vẫn được coi là hợp pháp, công ty không phải "xóa dấu vết" toàn bộ lịch sử xử lý trước đó, chỉ cần ngừng các hoạt động xử lý MỚI kể từ khi nhận yêu cầu. Cũng cần lưu ý về ngoại lệ tại Điều 19 Luật (được dẫn chiếu ở trên) — có một số trường hợp bên kiểm soát dữ liệu có thể tiếp tục xử lý dữ liệu dù chủ thể dữ liệu đã yêu cầu rút lại đồng ý/hạn chế xử lý, ví dụ khi việc xử lý là cần thiết để thực hiện nghĩa vụ theo hợp đồng đang có hiệu lực với chính chủ thể dữ liệu đó, hoặc theo yêu cầu của pháp luật — công ty nên rà soát kỹ trường hợp cụ thể của mình trước khi từ chối yêu cầu của khách hàng dựa trên ngoại lệ này, tránh viện dẫn sai. Doanh nghiệp nên làm gì khi nhận được yêu cầu như trên: 1) Trong vòng 2 ngày làm việc, phản hồi xác nhận đã nhận được yêu cầu và cung cấp thông tin về thủ tục ngừng xử lý sẽ thực hiện. 2) Rà soát xem dữ liệu của khách hàng này có đang được chia sẻ với bên thứ ba nào không, để tính đúng thời hạn áp dụng (15 ngày nếu chỉ nội bộ, 20 ngày nếu có bên thứ ba). 3) Thực hiện việc ngừng xử lý đúng thời hạn, lưu lại bằng chứng đã hoàn thành (thời điểm, phạm vi đã ngừng xử lý) để có thể chứng minh nếu sau này có khiếu nại. 4) Nếu công ty có lý do để tiếp tục xử lý một phần dữ liệu theo ngoại lệ Điều 19, cần nêu rõ căn cứ pháp lý cụ thể trong phản hồi gửi khách hàng, không nên từ chối chung chung mà không giải thích.Nguồn: Điều 10, Điều 19 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 Nghị định 356/2025/NĐ-CP