Bảo vệ dữ liệu cá nhân: Hiểu đúng để bảo vệ tốt.
- Thứ ba - 28/10/2025 05:09
- In ra
- Đóng cửa sổ này
Trong điều kiện các nền tảng số phát triển như vũ bão, cùng với xu hướng vận hành kinh tế số, các dữ liệu cá nhân đang được khai thác và bị lạm dụng. Nhiều tổ chức, doanh nghiệp thu thập thừa dữ liệu cá nhân so với ngành nghề, sản phẩm, dịch vụ kinh doanh, thiếu cơ sở pháp lý khi thu thập dữ liệu cá nhân theo quy định của pháp luật, không xác định được các luồng xử lý dữ liệu (dữ liệu cá nhân được sử dụng như thế nào, vào mục đích gì, chuyển giao cho ai, tác động thế nào).
Các chuyên gia nghiên cứu đánh giá, nhiều hoạt động chưa lấy sự đồng ý của chủ thể dữ liệu (thu thập, xử lý dữ liệu cá nhân mà chưa có sự đồng ý của chủ thể dữ liệu), không thể lấy ý kiến về sự đồng ý đối với những dữ liệu cá nhân đã thu thập... Điều đó cho thấy, các quyền cơ bản của công dân đối với dữ liệu cá nhân chưa được bảo đảm, công dân chưa biết cách tự bảo vệ, chưa biết cách khiếu kiện, phản đối, yêu cầu bồi thường thiệt hại khi có hành vi vi phạm pháp luật, xâm hại tới quyền và lợi ích hợp pháp của mình.
Với mục tiêu hoàn thiện, thống nhất hệ thống pháp luật về bảo vệ dữ liệu cá nhân, tạo hành lang pháp lý cho công tác bảo vệ dữ liệu cá nhân, nâng cao năng lực bảo vệ dữ liệu cá nhân cho các tổ chức, cá nhân trong nước tiếp cận trình độ quốc tế, khu vực; đẩy mạnh sử dụng dữ liệu cá nhân đúng pháp luật phục vụ phát triển kinh tế, xã hội, ngày 26/6/2025, tại kỳ họp thứ 9, Quốc hội khóa XV đã thông qua Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Luật đã cơ bản thể chế hóa quan điểm chỉ đạo của Đảng về bảo vệ quyền con người, quyền công dân, quyền và lợi ích hợp pháp của cá nhân; tạo sự đồng bộ, thống nhất, xuyên suốt của hệ thống pháp luật, phục vụ cuộc cách mạng đột phá phát triển khoa học công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia theo tinh thần Nghị quyết 57-NQ/TW của Bộ Chính trị; góp phần bảo đảm an ninh con người, chủ quyền dữ liệu trong kỷ nguyên mới của dân tộc.
Có hiệu lực thi hành kể từ ngày 01/01/2026, Luật điều chỉnh về dữ liệu cá nhân, bảo vệ dữ liệu cá nhân và quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan.
Tuy nhiên, như đã đề cập, trong một thời gian dài, đại đa số chúng ta – các cá nhân cũng chưa có nhận thức đầy đủ về dữ liệu cá nhân và cách thức để bảo vệ dữ liệu cá nhân của mình. Do đó, việc tìm hiểu các quy định của Luật là cần thiết để tuân thủ pháp luật và bảo vệ quyền lợi của mỗi cá nhân.
Dữ liệu cá nhân là gì?
Trước hết, Luật số 91/2025/QH15 đã pháp lý hóa khái niệm dữ liệu cá nhân, xác định đó “là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm”[1]. Điều kiện để những dữ liệu này trở thành dữ liệu cá nhân chính là việc “xác định” một con người cụ thể (có thể hiểu là định danh con người đó) hoặc các dữ liệu, thông tin khi kết hợp lại với nhau thì “giúp xác định” một con người cụ thể.
Liên quan đến nội hàm khái niệm dữ liệu cá nhân, Luật cũng quy định khái niệm Khử nhận dạng dữ liệu cá nhân[2]. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân. Điều 14 quy định cụ thể về trách nhiệm của cơ quan, tổ chức, cá nhân khi khử nhận dạng phải kiểm soát và giám sát chặt chẽ quá trình khử nhận dạng dữ liệu cá nhân…; đặc biệt, việc khử nhận dạng phải đảm bảo tạo ra kết quả cuối cùng không còn là dữ liệu cá nhân và sau đó không tái nhận dạng dữ liệu đó.
Khác với khử nhận dạng dữ liệu cá nhân, Điều 12 quy định mã hóa dữ liệu cá nhân[3] và được hiểu là một biện pháp để bảo vệ dữ liệu cá nhân.
Dữ liệu cá nhân gồm những loại gì?
Có 2 loại được quy định theo Luật, đó là:
Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành.
Ví dụ như: họ và tên, ngày tháng năm sinh, số điện thoại, dân tộc, giới tính…
Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành.
Ví dụ như: đặc điểm sinh trắc học, xu hướng tính dục, thông tin tài chính tín dụng, thông tin sức khỏe, dữ liệu vị trí…
Như vậy, sự khác biệt căn bản giữa dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm là tính chất phản ánh sự riêng tư và mức độ ảnh hưởng, hậu quả, thiệt hại có thể xảy ra khi dữ liệu cá nhân đó bị xâm phạm. Luật giao Chính phủ ban hành tại Nghị định hướng dẫn và Danh mục chi tiết hiện đang được Chính phủ giao cho Bộ Công an chủ trì xây dựng.
Bảo vệ dữ liệu cá nhân như thế nào?
Bảo vệ dữ liệu cá nhân là việc cơ quan, tổ chức, cá nhân sử dụng lực lượng, phương tiện, biện pháp để phòng, chống hoạt động xâm phạm dữ liệu cá nhân. Luật quy định 06 nguyên tắc bảo vệ dữ liệu cá nhân, trong đó có 03 nguyên tắc quan trọng trong quá trình xử lý dữ liệu cá nhân, đó là:
Thứ nhất, chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật.
Thứ hai, bảo đảm tính chính xác của dữ liệu cá nhân và được chỉnh sửa, cập nhật, bổ sung khi cần thiết; được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.
Thứ ba, thực hiện đồng bộ có hiệu quả các biện pháp, giải pháp về thể chế, kỹ thuật, con người phù hợp để bảo vệ dữ liệu cá nhân.
Ngoài ra là các nguyên tắc tuân thủ; phòng, chống vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân; bảo vệ dữ liệu cá nhân gắn với bảo vệ lợi ích quốc gia, dân tộc, phục vụ phát triển kinh tế - xã hội, bảo đảm quốc phòng, an ninh và đối ngoại; bảo đảm hài hòa giữa bảo vệ dữ liệu cá nhân với bảo vệ quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.
Nhận thức rõ về quyền và nghĩa vụ
Trong đó có 06 quyền của chủ thể dữ liệu cá nhân bao gồm:
(1) Được biết về hoạt động xử lý dữ liệu cá nhân;
(2) Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;
(3) Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
(4) Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;
(5) Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật;
(6) Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật.
Song song đó, chủ thể dữ liệu cá nhân cần thực hiện tốt 04 nghĩa vụ sau:
(1) Tự bảo vệ dữ liệu cá nhân của mình;
(2) Tôn trọng, bảo vệ dữ liệu cá nhân của người khác;
(3) Cung cấp đầy đủ, chính xác dữ liệu cá nhân của mình theo quy định của pháp luật, theo hợp đồng hoặc khi đồng ý cho phép xử lý dữ liệu cá nhân của mình;
(4) Chấp hành pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng, chống hoạt động xâm phạm dữ liệu cá nhân.
Với mục tiêu tạo hành lang pháp lý cho công tác bảo vệ dữ liệu cá nhân, nâng cao năng lực bảo vệ dữ liệu cá nhân cho các tổ chức, cá nhân trong nước tiếp cận trình độ quốc tế, khu vực. Mục tiêu đó chỉ có thể đạt được khi mỗi cá nhân có ý thức và nhận thức đầy đủ, phù hợp các quy định pháp luật để có thể tự bảo vệ dữ liệu của bản thân trước khi các cơ quan, tổ chức, đơn vị có liên quan sử dụng dữ liệu cá nhân của mình./.
Với mục tiêu hoàn thiện, thống nhất hệ thống pháp luật về bảo vệ dữ liệu cá nhân, tạo hành lang pháp lý cho công tác bảo vệ dữ liệu cá nhân, nâng cao năng lực bảo vệ dữ liệu cá nhân cho các tổ chức, cá nhân trong nước tiếp cận trình độ quốc tế, khu vực; đẩy mạnh sử dụng dữ liệu cá nhân đúng pháp luật phục vụ phát triển kinh tế, xã hội, ngày 26/6/2025, tại kỳ họp thứ 9, Quốc hội khóa XV đã thông qua Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Luật đã cơ bản thể chế hóa quan điểm chỉ đạo của Đảng về bảo vệ quyền con người, quyền công dân, quyền và lợi ích hợp pháp của cá nhân; tạo sự đồng bộ, thống nhất, xuyên suốt của hệ thống pháp luật, phục vụ cuộc cách mạng đột phá phát triển khoa học công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia theo tinh thần Nghị quyết 57-NQ/TW của Bộ Chính trị; góp phần bảo đảm an ninh con người, chủ quyền dữ liệu trong kỷ nguyên mới của dân tộc.
Có hiệu lực thi hành kể từ ngày 01/01/2026, Luật điều chỉnh về dữ liệu cá nhân, bảo vệ dữ liệu cá nhân và quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan.
Tuy nhiên, như đã đề cập, trong một thời gian dài, đại đa số chúng ta – các cá nhân cũng chưa có nhận thức đầy đủ về dữ liệu cá nhân và cách thức để bảo vệ dữ liệu cá nhân của mình. Do đó, việc tìm hiểu các quy định của Luật là cần thiết để tuân thủ pháp luật và bảo vệ quyền lợi của mỗi cá nhân.
Dữ liệu cá nhân là gì?
Trước hết, Luật số 91/2025/QH15 đã pháp lý hóa khái niệm dữ liệu cá nhân, xác định đó “là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm”[1]. Điều kiện để những dữ liệu này trở thành dữ liệu cá nhân chính là việc “xác định” một con người cụ thể (có thể hiểu là định danh con người đó) hoặc các dữ liệu, thông tin khi kết hợp lại với nhau thì “giúp xác định” một con người cụ thể.
Liên quan đến nội hàm khái niệm dữ liệu cá nhân, Luật cũng quy định khái niệm Khử nhận dạng dữ liệu cá nhân[2]. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân. Điều 14 quy định cụ thể về trách nhiệm của cơ quan, tổ chức, cá nhân khi khử nhận dạng phải kiểm soát và giám sát chặt chẽ quá trình khử nhận dạng dữ liệu cá nhân…; đặc biệt, việc khử nhận dạng phải đảm bảo tạo ra kết quả cuối cùng không còn là dữ liệu cá nhân và sau đó không tái nhận dạng dữ liệu đó.
Khác với khử nhận dạng dữ liệu cá nhân, Điều 12 quy định mã hóa dữ liệu cá nhân[3] và được hiểu là một biện pháp để bảo vệ dữ liệu cá nhân.
Dữ liệu cá nhân gồm những loại gì?
Có 2 loại được quy định theo Luật, đó là:
Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành.
Ví dụ như: họ và tên, ngày tháng năm sinh, số điện thoại, dân tộc, giới tính…
Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành.
Ví dụ như: đặc điểm sinh trắc học, xu hướng tính dục, thông tin tài chính tín dụng, thông tin sức khỏe, dữ liệu vị trí…
Như vậy, sự khác biệt căn bản giữa dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm là tính chất phản ánh sự riêng tư và mức độ ảnh hưởng, hậu quả, thiệt hại có thể xảy ra khi dữ liệu cá nhân đó bị xâm phạm. Luật giao Chính phủ ban hành tại Nghị định hướng dẫn và Danh mục chi tiết hiện đang được Chính phủ giao cho Bộ Công an chủ trì xây dựng.
Bảo vệ dữ liệu cá nhân như thế nào?
Bảo vệ dữ liệu cá nhân là việc cơ quan, tổ chức, cá nhân sử dụng lực lượng, phương tiện, biện pháp để phòng, chống hoạt động xâm phạm dữ liệu cá nhân. Luật quy định 06 nguyên tắc bảo vệ dữ liệu cá nhân, trong đó có 03 nguyên tắc quan trọng trong quá trình xử lý dữ liệu cá nhân, đó là:
Thứ nhất, chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật.
Thứ hai, bảo đảm tính chính xác của dữ liệu cá nhân và được chỉnh sửa, cập nhật, bổ sung khi cần thiết; được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.
Thứ ba, thực hiện đồng bộ có hiệu quả các biện pháp, giải pháp về thể chế, kỹ thuật, con người phù hợp để bảo vệ dữ liệu cá nhân.
Ngoài ra là các nguyên tắc tuân thủ; phòng, chống vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân; bảo vệ dữ liệu cá nhân gắn với bảo vệ lợi ích quốc gia, dân tộc, phục vụ phát triển kinh tế - xã hội, bảo đảm quốc phòng, an ninh và đối ngoại; bảo đảm hài hòa giữa bảo vệ dữ liệu cá nhân với bảo vệ quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.
Nhận thức rõ về quyền và nghĩa vụ
Trong đó có 06 quyền của chủ thể dữ liệu cá nhân bao gồm:
(1) Được biết về hoạt động xử lý dữ liệu cá nhân;
(2) Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;
(3) Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
(4) Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;
(5) Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật;
(6) Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật.
Song song đó, chủ thể dữ liệu cá nhân cần thực hiện tốt 04 nghĩa vụ sau:
(1) Tự bảo vệ dữ liệu cá nhân của mình;
(2) Tôn trọng, bảo vệ dữ liệu cá nhân của người khác;
(3) Cung cấp đầy đủ, chính xác dữ liệu cá nhân của mình theo quy định của pháp luật, theo hợp đồng hoặc khi đồng ý cho phép xử lý dữ liệu cá nhân của mình;
(4) Chấp hành pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng, chống hoạt động xâm phạm dữ liệu cá nhân.
Với mục tiêu tạo hành lang pháp lý cho công tác bảo vệ dữ liệu cá nhân, nâng cao năng lực bảo vệ dữ liệu cá nhân cho các tổ chức, cá nhân trong nước tiếp cận trình độ quốc tế, khu vực. Mục tiêu đó chỉ có thể đạt được khi mỗi cá nhân có ý thức và nhận thức đầy đủ, phù hợp các quy định pháp luật để có thể tự bảo vệ dữ liệu của bản thân trước khi các cơ quan, tổ chức, đơn vị có liên quan sử dụng dữ liệu cá nhân của mình./.
[1] Khoản 1 Điều 3 Luật Dữ liệu quy định” “Dữ liệu số là dữ liệu về sự vật, hiện tượng, sự kiện, bao gồm một hoặc kết hợp các dạng âm thanh, hình ảnh, chữ số, chữ viết, ký hiệu được thể hiện dưới dạng kỹ thuật số”.
[2] Là quá trình thay đổi hoặc xóa thông tin để tạo ra dữ liệu mới không thể xác định hoặc không thể giúp xác định được một con người cụ thể.
[3] Là việc chuyển đổi dữ liệu cá nhân sang dạng không nhận biết được dữ liệu cá nhân nếu không được giải mã.