Nguyên tắc giới hạn mục đích theo PDPL: dùng đúng mục đích đã thông báo, khi nào được dùng cho mục đích khác?

"Nguyên tắc giới hạn mục đích xử lý dữ liệu" là gì theo PDPL?

Nguyên tắc: chỉ thu thập và xử lý dữ liệu đúng, đủ cho mục đích đã nêu minh bạch với chủ thể dữ liệu. Không được tự ý mở rộng hoặc chuyển mục đích nếu chưa đáp ứng điều kiện pháp lý tương ứng (thông báo, đồng ý bổ sung, hoặc thuộc trường hợp ngoại lệ theo quy định). Điều này áp dụng cho cả dữ liệu do bạn trực tiếp thu thập hoặc nhận từ bên thứ ba.

• Mục đích phải cụ thể, hợp pháp, dễ hiểu (tránh các cụm mơ hồ như "nâng cao trải nghiệm" nếu phía sau là quảng cáo hành vi).
• Phạm vi xử lý phải cần thiết cho mục đích đó; tránh gom dữ liệu phòng hờ.
• Khi thay đổi mục đích, phải đánh giá tương thích và cập nhật tài liệu, giao diện xin phép, cũng như hệ thống kỹ thuật.

Khi nào được dùng dữ liệu cho mục đích khác (further processing)?

Có ba tình huống phổ biến:

• Cùng mục đích hoặc mục đích phụ tương thích đã thông báo: có thể tiếp tục nếu chứng minh được sự tương thích (bản chất mối quan hệ, kỳ vọng hợp lý của người dùng, tác động quyền riêng tư, loại dữ liệu, biện pháp bảo vệ bổ sung).
• Mục đích khác: thường phải thông báo lại và xin đồng ý rõ ràng, tách bạch trước khi xử lý mới.
• Ngoại lệ theo quy định: không cần thêm đồng ý trong một số trường hợp luật định, ví dụ để thực hiện nghĩa vụ pháp luật; bảo vệ tính mạng, sức khỏe trong tình huống khẩn cấp; phục vụ yêu cầu hợp pháp của cơ quan nhà nước có thẩm quyền; nghiên cứu, thống kê với dữ liệu đã được ẩn danh. Cần đối chiếu nghị định hướng dẫn và luật chuyên ngành; nên tham vấn luật sư cho các claim chưa chắc chắn.

Làm sao đánh giá “tương thích” với mục đích ban đầu?

Bạn cần chứng minh hợp lý rằng chủ thể dữ liệu có thể kỳ vọng việc xử lý mới từ mục đích ban đầu. Các tiêu chí gợi ý:

• Quan hệ và bối cảnh thu thập (B2C, B2B, nội bộ).
• Loại dữ liệu (nhạy cảm hay không), mức độ tác động đến quyền riêng tư.
• Liên hệ hợp lý giữa mục đích cũ và mới (ví dụ chống gian lận so với bán chéo sản phẩm).
• Biện pháp bảo vệ bổ sung: ẩn danh/giả danh, giới hạn truy cập, thời hạn lưu trữ ngắn hơn.

Nếu còn nghi ngờ, hãy coi là mục đích khác và xin đồng ý bổ sung.

Dev/SME cần làm gì để tuân thủ khi mở rộng mục đích?

Bạn nên thiết kế “mục đích” như một thuộc tính kỹ thuật có thể kiểm soát, không chỉ là văn bản chính sách.

Ví dụ Việt Nam:

• Sàn TMĐT muốn dùng dữ liệu đơn hàng để chạy quảng cáo lookalike: cần đồng ý marketing riêng; nếu không, chỉ dùng dữ liệu đã ẩn danh cho phân tích thống kê.
• Fintech phát hiện gian lận: có thể là mục đích tương thích với an toàn hệ thống; áp dụng giảm thiểu dữ liệu và log đánh giá tương thích.
• HR nội bộ muốn tái sử dụng hồ sơ ứng viên cho chiến dịch bán hàng: mục đích khác; cần đồng ý mới trước khi chuyển hệ thống.

Không tuân thủ thì sao? Có phải báo cáo vi phạm?

• Theo PDPL, mức phạt hành chính sẽ theo nghị định hướng dẫn; vi phạm nghiêm trọng có thể bị xử lý hình sự. Không nên chờ tới khi có nghị định phạt mới chỉnh hệ thống.
• Nếu xảy ra vi phạm dữ liệu (ví dụ rò rỉ do mở rộng mục đích thiếu kiểm soát), doanh nghiệp phải thông báo trong 72 giờ kể từ khi phát hiện theo quy định.
• Cơ quan thực thi là Bộ Công an (A05). Hãy chuẩn bị sẵn hồ sơ mục đích, bằng chứng đồng ý, log truy cập để sẵn sàng kiểm tra.

Cần lưu ý gì khi dựa vào “ngoại lệ theo quy định”?

• Chỉ áp dụng đúng phạm vi và có căn cứ: văn bản pháp luật, yêu cầu hợp pháp của cơ quan có thẩm quyền, tình huống khẩn cấp có chứng cứ, hoặc dữ liệu đã được ẩn danh cho nghiên cứu–thống kê.
• Ghi nhận quyết định, thời gian, người phê duyệt, căn cứ pháp lý.
• Xem lại ngay sau khi hết điều kiện ngoại lệ; quay lại quy trình đồng ý bình thường nếu muốn tiếp tục.
• Khi chưa chắc, nên xin ý kiến pháp lý độc lập.

Một dòng cho đội sản phẩm/dev: Gia tăng mục đích luôn đi kèm chi phí vận hành (UI xin phép, tách dữ liệu, log, DSAR). Tối ưu sớm từ kiến trúc giúp giảm rủi ro và thời gian sửa sau này.

Cần công cụ quản lý banner cookie, lưu bằng chứng đồng ý và cổng DSAR? consent.vn hỗ trợ đội SME/dev triển khai nhanh, đúng tinh thần PDPL.

Nguồn: Luật 91/2025/QH15 (Luật Bảo vệ Dữ liệu Cá nhân) – https://thuvienphapluat.vn; Nghị định 13/2023/NĐ-CP – https://thuvienphapluat.vn; Cục A05, Bộ Công an – https://bocongan.gov.vn