"Tiếp tục sử dụng là đồng ý" có hợp lệ không?

"Tiếp tục sử dụng là đồng ý" xuất hiện ở đâu?

Câu này quen thuộc trên website Việt Nam:

• Thanh dưới cùng: "Website sử dụng cookie. Bằng việc tiếp tục truy cập, bạn đồng ý với chính sách của chúng tôi."
• Cuối form: "Khi bấm Gửi, bạn đồng ý để chúng tôi liên hệ quảng cáo."
• Tin nhắn Zalo: "Nếu không phản hồi trước ngày 20, chúng tôi hiểu bạn đồng ý nhận ưu đãi."
• Điều khoản dài: "Việc đặt hàng đồng nghĩa với việc bạn chấp thuận mọi điều khoản".

Cả bốn đều dựa vào một ý: khách không làm gì thì coi như đồng ý. Đây là điều luật mới muốn chấm dứt.

Luật nói gì về đồng ý?

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, Điều 9 nói về sự đồng ý. Điều 4 cho chủ thể dữ liệu các quyền đồng ý, không đồng ý và rút lại đồng ý. Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026 và báo chí) nêu thêm ba ý:

• đồng ý phải rõ ràng;
• phải lưu trữ và kiểm chứng được thời điểm và nội dung đồng ý;
• cấm mặc định là đồng ý, và cấm chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý.

Còn xử phạt: Nghị định 330/2026/NĐ-CP (hiệu lực từ 19/8/2026) có toàn văn trên Công báo. Điều 43 phạt 50–70 triệu đồng với hành vi coi im lặng là đồng ý (khoản 2 điểm b), và 30–50 triệu đồng với hành vi xử lý dữ liệu khi chưa có đồng ý (trừ trường hợp pháp luật có quy định khác), thiết lập mặc định đồng ý, xin đồng ý không rõ ràng hoặc không kiểm chứng được, không lưu nhật ký đồng ý (khoản 1 điểm a, c, d, g). Mức này áp cho tổ chức, cá nhân bị phạt một nửa. Doanh nghiệp còn có thể bị buộc huỷ, xoá tới mức không thể khôi phục dữ liệu đã thu khi không có đồng ý hợp lệ (khoản 4 điểm a). Các mức nặng hơn nằm ở hai nhóm khác. Mua bán trái phép dữ liệu cá nhân bị phạt từ 02 đến 10 lần khoản thu, hoặc từ 70 triệu đến 3 tỷ đồng nếu không có khoản thu (Điều 53). Chuyển dữ liệu ra nước ngoài có thể bị phạt 1–5% doanh thu năm trước tại Việt Nam, nhưng chỉ khi không lập hồ sơ, che giấu hoặc khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, hoặc (mức 3–5%) khi tiếp tục chuyển sau quyết định yêu cầu ngừng gây tổn hại quốc phòng, an ninh quốc gia (Điều 56 khoản 3). Về trần phạt tối đa theo luật (3 tỷ đồng với tổ chức và một nửa với cá nhân cho nhóm vi phạm khác) xem Điều 8 Luật 91. Bảng tổng hợp: mức phạt vi phạm dữ liệu cá nhân.

Vì sao im lặng không phải đồng ý?

Đồng ý là một quyết định. Muốn có quyết định thì khách phải biết đang được hỏi việc gì và có lựa chọn "không". Khi khách chỉ lướt web, bạn không biết họ có đọc dòng chữ bé xíu ở cuối trang hay không. Khi khách không trả lời tin nhắn, có thể họ chưa đọc, chưa rảnh, hoặc không muốn mà lười từ chối.

Hai lý do thực tế nữa:

1. Không có bằng chứng. Bạn phải lưu được thời điểm và nội dung. "Khách đã ở lại trang" không phải bản ghi nào cả.
2. Khách không thể rút lại một thứ họ chưa từng cho. Quyền rút lại đồng ý chỉ có nghĩa khi đồng ý ban đầu là thật.

Ví dụ: shop gốm Hà Linh

Shop gốm Hà Linh (shop tưởng tượng) có một dòng ở chân trang website: "Tiếp tục truy cập là đồng ý cookie quảng cáo". Pixel quảng cáo chạy ngay khi trang mở.

Có ba chỗ sai:

1. Pixel chạy trước khi khách có cơ hội trả lời.
2. Khách không có nút từ chối.
3. Shop không có bản ghi nào chứng minh khách nào đã đồng ý lúc nào.

Cách sửa: dùng banner đồng ý chặn Pixel tới khi khách bấm Đồng ý, có nút Từ chối ngang hàng, và lưu nhật ký đồng ý. Xem bài về cookie banner.

Đồng ý hợp lệ khác "tiếp tục sử dụng" thế nào?

Khi nào không cần hỏi đồng ý?

Luật có những trường hợp xử lý dữ liệu không cần đồng ý (Điều 19). Chi tiết điều này chưa được đối chiếu trong bài viết, nên đừng tự suy ra là bạn thuộc diện đó. Nếu bạn muốn dựa vào Điều 19, hãy hỏi luật sư để biết cụ thể. Với Pixel quảng cáo, hiện chưa có hướng dẫn chi tiết cho thấy được miễn đồng ý, nên đừng mặc định là thuộc diện đó.

Bạn cần làm gì

• Tìm và bỏ mọi câu "tiếp tục sử dụng là đồng ý", "không phản hồi là đồng ý" trên website, form, tin nhắn và hợp đồng mẫu.
• Bỏ tích sẵn ở mọi ô đồng ý. Tách ô đồng ý quảng cáo khỏi ô đồng ý mua hàng.
• Với cookie và Pixel: cài banner chặn thật, có nút Từ chối.
• Ghi lại thời điểm và nội dung đồng ý của từng khách.
• Cho khách cách rút lại đồng ý, và xử lý trong thời hạn (phản hồi trong 2 ngày làm việc theo Nghị định 356/2025/NĐ-CP).

Dán địa chỉ website vào máy quét miễn phí để xem có mã theo dõi nào chạy khi khách chưa đồng ý, rồi dùng công cụ tạo chính sách để viết lại phần đồng ý.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 4, Điều 8, Điều 9, Điều 10, Điều 19.
• Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026): đồng ý rõ ràng, lưu trữ và kiểm chứng được; cấm mặc định là đồng ý.
• Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026), Điều 43: phạt 50–70 triệu đồng với hành vi coi im lặng là đồng ý, 30–50 triệu đồng với các hành vi mặc định đồng ý, đồng ý không rõ ràng, không lưu nhật ký; buộc xoá dữ liệu đã thu khi không có đồng ý hợp lệ: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.