Mẫu văn bản đồng ý xử lý dữ liệu cá nhân: cần ghi những gì?

Khi nào cần văn bản đồng ý

Trên website, sự đồng ý nằm ở ô đánh dấu của form: xem ô đồng ý trên form website. Văn bản trên giấy hoặc tệp dùng khi khách đến tận nơi hay ký hợp đồng: phòng khám, spa, phòng tập, trung tâm học, đăng ký thành viên tại quầy, sự kiện. Với nhân viên và ứng viên, dùng bộ mẫu riêng ở /mau-nguoi-lao-dong.

Luật 91/2025/QH15, Điều 19 có các trường hợp không cần đồng ý; bài này chưa đối chiếu chi tiết, nên không nói việc nào cần ký. Khi dựa vào sự đồng ý, văn bản cần các phần dưới đây.

Văn bản cần những phần nào

Mẫu tham khảo: phòng tập Bình Minh

Phòng tập Bình Minh (tưởng tượng) thu họ tên, ngày sinh, số điện thoại, ảnh chân dung để làm thẻ hội viên, và hỏi tình trạng sức khoẻ để huấn luyện viên lên bài tập an toàn. Phòng tập còn muốn gửi ưu đãi và đăng ảnh buổi tập lên trang Facebook.

Đây là mẫu tham khảo, cần sửa theo hoạt động thật và chờ luật sư duyệt:

PHIẾU ĐỒNG Ý XỬ LÝ DỮ LIỆU CÁ NHÂN
(phiên bản 1, ngày 23/10/2026)

Bên thu và quyết định việc dùng dữ liệu: Phòng tập Bình Minh,
địa chỉ [địa chỉ], điện thoại [số], email [email].

1. Dữ liệu chúng tôi thu
- Họ tên, ngày sinh, số điện thoại, ảnh chân dung.
- Tình trạng sức khoẻ anh/chị tự khai (tim mạch, huyết áp,
  chấn thương). Đây là DỮ LIỆU CÁ NHÂN NHẠY CẢM.

2. Mục đích (đánh dấu từng ô anh/chị đồng ý; ô để trống là
   không đồng ý)
[ ] a. Quản lý thẻ hội viên, xếp lịch tập, liên hệ khi cần.
[ ] b. Huấn luyện viên dùng thông tin sức khoẻ để lên bài tập
       an toàn. Chỉ huấn luyện viên phụ trách được xem.
[ ] c. Nhận tin nhắn, email về ưu đãi. Không bắt buộc.
[ ] d. Đăng ảnh buổi tập có anh/chị lên trang Facebook của
       phòng tập. Không bắt buộc.

3. Ai nhận dữ liệu
Phần mềm quản lý hội viên [tên nhà cung cấp] lưu dữ liệu
thay chúng tôi. Chúng tôi không bán, không trao đổi dữ liệu
của anh/chị.

4. Lưu bao lâu
Trong thời gian anh/chị là hội viên và [số] tháng sau khi
thẻ hết hạn, rồi xoá. Ảnh đã đăng được gỡ khi anh/chị yêu cầu.

5. Quyền và nghĩa vụ của anh/chị
Quyền: được biết về việc xử lý dữ liệu; đồng ý, không đồng ý,
rút lại đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; yêu cầu
cung cấp, xoá, hạn chế xử lý, phản đối xử lý; khiếu nại, tố
cáo, khởi kiện, yêu cầu bồi thường; yêu cầu áp dụng biện pháp
bảo vệ dữ liệu của mình.
Nghĩa vụ: tự bảo vệ dữ liệu của mình; tôn trọng, bảo vệ dữ liệu
của người khác; cung cấp dữ liệu đầy đủ, chính xác khi đồng ý;
chấp hành pháp luật về bảo vệ dữ liệu cá nhân.

6. Rút lại đồng ý, yêu cầu xoá
Gửi email tới [email] hoặc nhắn tin tới [số điện thoại].
Chúng tôi phản hồi trong 02 ngày làm việc. Rút lại đồng ý
không ảnh hưởng tới việc xử lý đã làm trước đó.

Họ tên: ..........................  Ngày: ..../..../........
Chữ ký: ..........................

Khi sửa mẫu, giữ bốn điểm:

• Mỗi mục đích một ô. Ô c và d "không bắt buộc": khách không đánh dấu vẫn được tập.
• Gọi tên dữ liệu nhạy cảm. Tình trạng sức khoẻ nằm trong danh mục dữ liệu nhạy cảm (Nghị định 356/2025/NĐ-CP, Điều 4). Không báo bị phạt 30–50 triệu đồng với tổ chức (Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm h).
• Nêu cả quyền lẫn nghĩa vụ (rút gọn từ Luật 91/2025/QH15, Điều 4), vì Điều 9 khoản 2 điểm c đòi khách biết cả hai.
• Ghi thời hạn phản hồi: 02 ngày làm việc (Nghị định 356/2025/NĐ-CP, Điều 5).

Lưu văn bản thế nào

• Giữ bản giấy hoặc bản scan có ngày ký, ở chỗ có khoá: phiếu này chứa dữ liệu sức khoẻ.
• Nhập lựa chọn từng ô vào phần mềm để nhân viên biết ai không nhận ưu đãi, không muốn bị đăng ảnh.
• Khi sửa câu chữ, tăng số phiên bản. Khi thêm mục đích mới, hỏi lại khách cũ.
• Khi khách rút lại đồng ý, ghi ngày rút và ngừng việc đó.

Không lưu, không chứng minh được sự đồng ý, hay đặt sẵn mặc định đồng ý bị phạt 30–50 triệu đồng với tổ chức; coi im lặng là đồng ý bị phạt 50–70 triệu đồng (Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm c, g và khoản 2 điểm b). Cá nhân bị phạt một nửa.

Những lỗi hay gặp

Bạn cần làm gì

• Liệt kê nơi bạn thu dữ liệu trực tiếp; với mỗi nơi, viết rõ thu gì, để làm gì, ai nhận, lưu bao lâu.
• Tách mỗi mục đích thành một ô; ô quảng cáo, đăng ảnh không bắt buộc.
• Thêm câu báo dữ liệu nhạy cảm (nếu có), quyền, nghĩa vụ và cách rút lại đồng ý.
• Lưu phiếu có ngày, phiên bản; nhập lựa chọn vào phần mềm.
• Nhờ luật sư xem bản cuối.

Phiếu đồng ý nên dẫn tới một chính sách đầy đủ hơn. Chưa có thì dùng công cụ tạo chính sách. Phần cho website xem chính sách bảo vệ dữ liệu cá nhân cho website.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 3, 4, 9, 10, 14, 19.
• Nghị định 356/2025/NĐ-CP: Điều 4 (dữ liệu nhạy cảm), Điều 5 (thời hạn phản hồi), Điều 6 (phương thức thể hiện sự đồng ý).
• Nghị định 330/2026/NĐ-CP, Điều 43: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.