Thu thập dữ liệu cá nhân nhạy cảm cần đồng ý như thế nào theo luật mới?

Rất có thể là có — và nếu đúng, quy trình xin đồng ý phải chặt chẽ hơn dữ liệu cá nhân thông thường một bước quan trọng. Danh mục dữ liệu cá nhân nhạy cảm được quy định cụ thể tại khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP, bao gồm (tóm lược): dữ liệu về chủng tộc/dân tộc; quan điểm chính trị/tôn giáo; đời sống riêng tư/bí mật gia đình; tình trạng sức khỏe; dữ liệu sinh trắc học (vân tay, khuôn mặt, mống mắt...); dữ liệu di truyền; xu hướng tính dục; tiền án/tiền sự; dữ liệu vị trí; và đáng chú ý — thông tin xác thực định danh điện tử, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, cùng dữ liệu hành vi trên mạng viễn thông/mạng xã hội. Với tình huống bạn nêu: số CCCD (gắn với định danh), thông tin tài khoản ngân hàng, và dữ liệu sinh trắc học ĐỀU thuộc danh mục dữ liệu nhạy cảm theo quy định này. Về nguyên tắc chung, khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định: "Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác." Đây là nguyên tắc áp dụng cho MỌI loại dữ liệu cá nhân. Nhưng với dữ liệu NHẠY CẢM, có thêm một yêu cầu riêng tại khoản 4 Điều 6 Nghị định 356: "Đối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm." Nói ngắn gọn: không đủ nếu chỉ xin đồng ý chung chung "cho phép xử lý dữ liệu cá nhân của tôi" — với dữ liệu nhạy cảm, phải nói RÕ với khách hàng rằng loại dữ liệu sắp thu thập được xếp vào diện nhạy cảm, để họ hiểu đúng mức độ và quyết định có đồng ý hay không. Về hình thức thể hiện sự đồng ý (áp dụng chung cho cả dữ liệu thường và nhạy cảm), khoản 1-3 Điều 6 Nghị định 356 đặt ra các nguyên tắc: sự đồng ý phải được thể hiện rõ ràng, cụ thể, tự nguyện và có thể kiểm chứng được — có thể dưới dạng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn/email/trang thông tin điện tử/ứng dụng hoặc hình thức khác thể hiện được; bên kiểm soát dữ liệu có trách nhiệm CHỨNG MINH được sự đồng ý của chủ thể dữ liệu khi có tranh chấp, khiếu nại; và đặc biệt — không được thiết kế giao diện đồng ý/không đồng ý theo hướng mặc định đồng ý (default opt-in) hay gây hiểu lầm về việc chủ thể dữ liệu đã đồng ý. Một điểm quan trọng khác cần biết: dù đã có đồng ý, chủ thể dữ liệu vẫn giữ quyền rút lại sự đồng ý bất cứ lúc nào theo Điều 10 Luật (xem thêm bài viết riêng về quyền rút lại đồng ý) — việc thu thập dữ liệu nhạy cảm hợp lệ ban đầu không có nghĩa doanh nghiệp được xử lý dữ liệu đó vĩnh viễn không cần quan tâm ý chí sau này của khách hàng. Doanh nghiệp nên làm gì: 1) Rà soát lại toàn bộ các trường dữ liệu đang thu thập từ khách hàng, đối chiếu với danh mục tại khoản 1 Điều 4 Nghị định 356 để xác định chính xác đâu là dữ liệu nhạy cảm. 2) Sửa lại mẫu/giao diện xin đồng ý (form đăng ký, điều khoản sử dụng, checkbox...) để có thông báo rõ ràng, riêng biệt cho các trường dữ liệu nhạy cảm, thay vì gộp chung vào một dòng đồng ý tổng quát. 3) Đảm bảo hệ thống lưu vết được bằng chứng đồng ý (thời điểm, nội dung đã đồng ý, hình thức đồng ý) để có thể chứng minh khi cần, vì nghĩa vụ chứng minh thuộc về bên kiểm soát dữ liệu, không phải khách hàng. 4) Rà soát lại toàn bộ giao diện đồng ý hiện tại xem có đang mặc định tick sẵn ô đồng ý hay không — nếu có, đây là điểm cần sửa ngay vì trái với quy định cấm mặc định đồng ý.Nguồn: Điều 11, Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 4, Điều 6 Nghị định 356/2025/NĐ-CP