Trả lời ngắn
GDPR lawful basis là 1 trong 6 cơ sở ở Điều 6(1) mà mỗi mục đích xử lý dữ liệu cá nhân phải có trước khi bắt đầu; cách chọn, ghi vào RoPA và làm LIA.
GDPR lawful basis là cơ sở pháp lý mà mỗi mục đích xử lý dữ liệu cá nhân phải có, chọn từ 6 cơ sở ở Điều 6(1) GDPR: consent, contract, legal obligation, vital interests, public task, legitimate interests. Cơ sở được xác định trước khi xử lý, ghi vào RoPA và thông báo cho data subject. Không có cơ sở phù hợp thì việc xử lý không hợp pháp, dù bảo mật tốt đến đâu.
Sáu lawful basis của GDPR là gì?
| Cơ sở (Điều 6(1)) | Dùng khi nào | Ví dụ thường gặp | Lưu ý |
|---|---|---|---|
| (a) Consent | Việc xử lý thực sự là tùy chọn và người dùng có lựa chọn thật | Email marketing cho người chưa là khách hàng, cookie analytics không thiết yếu | Phải tự nguyện, cụ thể, có thông tin, rõ ràng; rút lại dễ như khi đồng ý (Điều 7) |
| (b) Contract | Cần thiết để thực hiện hợp đồng với chính data subject, hoặc bước họ yêu cầu trước khi ký | Tạo tài khoản, xử lý thanh toán, giao dịch vụ đã mua | "Cần thiết" được hiểu hẹp; không dùng để biện minh cho quảng cáo hay phân tích hành vi |
| (c) Legal obligation | Luật EU hoặc luật quốc gia thành viên buộc phải xử lý | Lưu chứng từ kế toán, thuế, nghĩa vụ chống rửa tiền | Luật của nước ngoài EU (ví dụ Việt Nam) không tạo cơ sở (c) theo GDPR |
| (d) Vital interests | Bảo vệ tính mạng của data subject hoặc người khác | Cấp cứu y tế khi không thể xin đồng ý | Rất hẹp, hiếm dùng trong doanh nghiệp |
| (e) Public task | Thực hiện nhiệm vụ công hoặc quyền lực nhà nước có cơ sở trong luật | Cơ quan công quyền | Hầu như không áp dụng cho doanh nghiệp tư nhân |
| (f) Legitimate interests | Lợi ích hợp pháp của controller hoặc bên thứ ba, không bị quyền của data subject lấn át | Phòng chống gian lận, bảo mật mạng, một số hoạt động marketing với khách hàng hiện tại | Cần đánh giá và ghi lại (LIA); cơ quan công quyền không dùng được khi thực hiện nhiệm vụ của mình |
Dữ liệu thuộc nhóm đặc biệt (sức khỏe, sinh trắc học, dân tộc, tôn giáo…) cần thêm một điều kiện ở Điều 9(2) ngoài cơ sở ở Điều 6. Đồng ý cho dữ liệu nhóm đặc biệt phải là đồng ý rõ ràng (explicit consent).
Chọn lawful basis cho từng mục đích thế nào?
- Liệt kê mục đích xử lý, không liệt kê loại dữ liệu: "gửi hóa đơn", "phát hiện đăng nhập bất thường", "gửi newsletter".
- Hỏi việc xử lý có cần thiết cho hợp đồng hoặc nghĩa vụ luật không. Nếu có, dùng (b) hoặc (c).
- Nếu không, cân nhắc legitimate interests và làm đánh giá ba bước ở phần dưới.
- Dùng consent khi người dùng thực sự có quyền nói không mà không mất dịch vụ cốt lõi; xem consent management đúng GDPR.
- Ghi cơ sở đã chọn vào RoPA và vào privacy notice (Điều 13(1)(c)).
Không chọn một cơ sở "dự phòng": nếu đã dùng consent mà người dùng rút lại, bạn không thể chuyển sang cơ sở khác cho cùng mục đích một cách hồi tố.
Legitimate interests được đánh giá thế nào?
Theo Hướng dẫn 1/2024 của EDPB về Điều 6(1)(f) (bản tham vấn công bố tháng 10/2024) và án lệ của Tòa án Công lý EU, controller phải đáp ứng ba điều kiện cùng lúc:
- Lợi ích hợp pháp: lợi ích cụ thể, có thật, hiện hữu và không trái luật.
- Cần thiết: không có cách ít xâm phạm hơn để đạt cùng mục đích, và chỉ xử lý dữ liệu tối thiểu.
- Cân bằng: quyền và lợi ích của data subject không lấn át lợi ích đó, có tính đến kỳ vọng hợp lý của họ và biện pháp bảo vệ bổ sung.
Kết quả ghi trong Legitimate Interests Assessment (LIA). Data subject có quyền phản đối việc xử lý dựa trên cơ sở (f) theo Điều 21, và với direct marketing, phản đối là tuyệt đối.
Ghi chép lawful basis ở đâu?
Nguyên tắc accountability (Điều 5(2)) yêu cầu bạn chứng minh được việc tuân thủ. Mỗi mục đích xử lý trong RoPA nên ghi cơ sở pháp lý, kèm LIA nếu dùng legitimate interests và bằng chứng consent nếu dùng consent. Cơ sở pháp lý cũng quyết định quyền nào áp dụng: ví dụ quyền portability chỉ áp dụng khi dựa trên consent hoặc contract; xem quyền của data subject.
pTrackly hỗ trợ quản lý lawful basis thế nào?
Trong module Privacy của pTrackly, mỗi processing activity trong RoPA có trường lawful basis chọn từ 6 cơ sở của Điều 6, cùng mục đích, loại dữ liệu và bên nhận. pTrackly không chọn lawful basis thay bạn, không soạn LIA và không đánh giá consent có hợp lệ hay không; quyết định đó thuộc về đội ngũ và DPO hoặc luật sư của bạn. Xem pTrackly cho GDPR.
Câu hỏi thường gặp
Có nên dùng consent cho mọi hoạt động cho đơn giản không?
Không. Consent chỉ hợp lệ khi người dùng thực sự có lựa chọn; dùng consent cho việc cần thiết để thực hiện hợp đồng sẽ gây rắc rối khi họ rút lại đồng ý.
Một mục đích xử lý có thể dùng nhiều lawful basis không?
Mỗi mục đích cần một cơ sở phù hợp được xác định từ đầu. Các mục đích khác nhau trong cùng một dịch vụ có thể dùng các cơ sở khác nhau, ví dụ contract cho thanh toán và consent cho newsletter.
Doanh nghiệp nhỏ có cần làm LIA không?
Có, nếu dựa vào legitimate interests. GDPR không miễn nghĩa vụ chứng minh việc cân bằng lợi ích theo quy mô doanh nghiệp.
Nghĩa vụ theo luật Việt Nam có phải là "legal obligation" theo GDPR không?
Không. Cơ sở (c) chỉ áp dụng cho nghĩa vụ theo luật EU hoặc luật của quốc gia thành viên EU, nên cần một cơ sở khác cho xử lý chỉ do luật nước ngoài yêu cầu.
Đọc thêm về GDPR
pTrackly giúp bạn triển khai GDPR nhanh hơn với templates và evidence collection tự động.
Đặt Demo Miễn Phí