Quyền được biết
Yêu cầu giải thích loại dữ liệu được xử lý, mục đích, chủ thể liên quan và những thông tin cần thiết để bạn hiểu hoạt động xử lý.
Cập nhật pháp luật đến 18/08/2026
Bảo vệ dữ liệu cá nhân là việc cơ quan, tổ chức và mỗi cá nhân sử dụng con người, phương tiện cùng các biện pháp phù hợp để ngăn chặn hành vi xâm phạm dữ liệu cá nhân. Với người dùng, điều này không chỉ là đặt mật khẩu mạnh: bạn còn có quyền biết dữ liệu nào đang được xử lý, đồng ý hoặc rút lại sự đồng ý, yêu cầu xem, sửa, cung cấp, xóa, hạn chế hoặc phản đối việc xử lý trong phạm vi pháp luật cho phép.
Nếu dữ liệu đã bị lộ hoặc bị sử dụng sai mục đích, ưu tiên là chặn thiệt hại đang xảy ra, lưu chứng cứ và gửi yêu cầu rõ ràng đến đơn vị đang xử lý dữ liệu. Bài viết này giúp bạn thực hiện từng bước đó theo Luật Bảo vệ dữ liệu cá nhân đang áp dụng từ ngày 01/01/2026.
Bảo vệ dữ liệu cá nhân là gì theo pháp luật năm 2026?
Khoản 4 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025 xác định đây là việc sử dụng lực lượng, phương tiện và biện pháp của cơ quan, tổ chức, cá nhân để phòng, chống hoạt động xâm phạm dữ liệu cá nhân. Hiểu theo cách thực tế, bảo vệ dữ liệu gồm hai lớp song song:
| Lớp bảo vệ | Nội dung chính | Ví dụ |
|---|---|---|
| Bảo vệ về pháp lý và quyền riêng tư | Kiểm soát dữ liệu được thu thập để làm gì, ai được sử dụng, chia sẻ cho ai, lưu bao lâu và người có dữ liệu thực hiện quyền bằng cách nào. | Thông báo mục đích xử lý; xin sự đồng ý hợp lệ; tiếp nhận yêu cầu xem, sửa hoặc xóa dữ liệu. |
| Bảo vệ về an toàn, bảo mật | Ngăn truy cập trái phép, thất thoát, sửa đổi hoặc phá hủy dữ liệu bằng biện pháp tổ chức và kỹ thuật. | Phân quyền truy cập, mã hóa, nhật ký hệ thống, sao lưu, xác thực nhiều lớp. |
Hai lớp này không thay thế cho nhau. Một hệ thống có bảo mật tốt vẫn có thể vi phạm nếu thu thập dữ liệu không có căn cứ hoặc dùng sai mục đích. Ngược lại, một chính sách quyền riêng tư đầy đủ không đủ bảo vệ người dùng nếu hệ thống để lộ dữ liệu.
Để hiểu rõ các thao tác nào được xem là thu thập, lưu trữ, sử dụng, chia sẻ hoặc xóa dữ liệu, bạn có thể xem bài xử lý dữ liệu cá nhân là gì.
Bạn có những quyền nào đối với dữ liệu cá nhân của mình?
Luật Bảo vệ dữ liệu cá nhân trao cho chủ thể dữ liệu một nhóm quyền có thể sử dụng trực tiếp. Khi làm việc với ngân hàng, sàn thương mại điện tử, ứng dụng, nhà tuyển dụng hoặc nhà cung cấp dịch vụ, bạn nên chuyển câu hỏi chung “hãy bảo vệ dữ liệu của tôi” thành một yêu cầu cụ thể dưới đây.
Quyền đồng ý hoặc không đồng ý
Quyết định cho phép xử lý khi sự đồng ý là căn cứ áp dụng. Sự im lặng hoặc không phản hồi không mặc nhiên là đồng ý.
Quyền rút lại sự đồng ý
Yêu cầu dừng việc xử lý dựa trên sự đồng ý cho thời gian tiếp theo; việc rút lại không tự động làm mất hiệu lực của hoạt động đã thực hiện hợp pháp trước đó.
Quyền xem và chỉnh sửa
Kiểm tra dữ liệu đang được lưu và yêu cầu sửa thông tin thiếu, sai hoặc không còn chính xác.
Quyền yêu cầu hành động
Yêu cầu cung cấp, xóa, hạn chế xử lý hoặc phản đối xử lý dữ liệu trong điều kiện và phạm vi pháp luật cho phép.
Quyền yêu cầu bảo vệ
Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường hoặc đề nghị cơ quan có thẩm quyền và bên liên quan bảo vệ quyền, lợi ích hợp pháp.
Quan trọng: quyền đối với dữ liệu không phải lúc nào cũng dẫn đến kết quả “xóa ngay toàn bộ”. Một tổ chức có thể phải tiếp tục lưu hoặc xử lý một phần dữ liệu khi pháp luật yêu cầu, để thực hiện nghĩa vụ hợp đồng, giải quyết tranh chấp hoặc trong trường hợp xử lý không cần sự đồng ý. Đơn vị tiếp nhận cần đánh giá đúng căn cứ và phản hồi yêu cầu cụ thể.
Cách bảo vệ dữ liệu cá nhân trước khi có sự cố
Với người dùng, cách hiệu quả nhất là kết hợp giảm dữ liệu phải cung cấp, kiểm soát quyền truy cập và bảo vệ tài khoản. Không cần bắt đầu bằng công cụ phức tạp; hãy ưu tiên những điểm có thể làm ngay.
Chỉ cung cấp dữ liệu thật sự cần cho giao dịch; hỏi rõ mục đích nếu biểu mẫu yêu cầu thêm.
Dùng mật khẩu riêng cho từng tài khoản quan trọng và bật xác thực nhiều lớp.
Kiểm tra phiên đăng nhập, thiết bị đã liên kết và quyền truy cập của ứng dụng.
Giới hạn người xem số điện thoại, ngày sinh, vị trí và hình ảnh trên mạng xã hội.
Không gửi ảnh giấy tờ tùy thân đầy đủ qua kênh không xác minh được người nhận.
Đọc thông báo quyền riêng tư trước khi đồng ý cho quảng cáo, định vị hoặc chia sẻ cho đối tác.
Cập nhật thiết bị, ứng dụng và sao lưu dữ liệu quan trọng theo định kỳ.
Kiểm tra biến động tài khoản ngân hàng, ví điện tử và cảnh báo đăng nhập bất thường.
Danh sách kỹ thuật chi tiết đã được tách sang bài 12 biện pháp bảo vệ dữ liệu an toàn để bài viết này không lặp lại nội dung bảo mật chung.
Quyền riêng tư trên mạng xã hội: theo Luật Bảo vệ dữ liệu cá nhân, nền tảng phải thông báo rõ dữ liệu được thu thập; cung cấp lựa chọn từ chối thu thập, chia sẻ cookie và lựa chọn “không theo dõi” theo quy định. Nền tảng cũng không được yêu cầu hình ảnh hoặc video chứa toàn bộ hay một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản.
Dữ liệu cá nhân bị lộ hoặc dùng sai mục đích: nên làm gì trước?
Khi phát hiện sự cố, đừng bắt đầu bằng việc xóa hết tin nhắn hoặc chỉ đăng cảnh báo trên mạng xã hội. Một trình tự có kiểm soát sẽ vừa giảm thiệt hại, vừa giữ được chứng cứ nếu cần yêu cầu bảo vệ quyền lợi.
Chặn rủi ro đang xảy ra
Đổi mật khẩu từ thiết bị an toàn, đăng xuất các phiên lạ, bật xác thực nhiều lớp, khóa thẻ hoặc ví khi có dấu hiệu liên quan đến tài chính. Nếu nghi bị chiếm SIM, liên hệ nhà mạng ngay.
Xác định dữ liệu nào bị ảnh hưởng
Ghi lại loại dữ liệu đã lộ, tài khoản liên quan, nơi phát hiện, thời điểm và phạm vi người có thể tiếp cận. Điều này quyết định cơ quan hoặc đơn vị cần liên hệ trước.
Lưu chứng cứ
Chụp màn hình có thời gian, lưu URL, email, tin nhắn, lịch sử giao dịch, số điện thoại, tên tài khoản và thông báo của nền tảng. Không chỉnh sửa file gốc nếu có khả năng dùng làm chứng cứ.
Gửi yêu cầu đến bên đang xử lý dữ liệu
Yêu cầu xác nhận dữ liệu, căn cứ xử lý và biện pháp cần thực hiện: sửa, xóa, hạn chế, phản đối hoặc ngừng sử dụng cho mục đích cụ thể.
Thông báo cho đơn vị có thể chặn thiệt hại
Liên hệ ngân hàng, ví điện tử, nhà mạng, nền tảng hoặc đơn vị tín dụng khi dữ liệu có thể bị dùng để chuyển tiền, mở tài khoản, vay hoặc chiếm quyền truy cập.
Yêu cầu cơ quan có thẩm quyền bảo vệ
Nếu có dấu hiệu lừa đảo, chiếm đoạt, đe dọa, phát tán trái phép hoặc thiệt hại thực tế, trình báo cơ quan công an có thẩm quyền và cung cấp bộ chứng cứ đã lưu. Tùy vụ việc, bạn có thể khiếu nại, khởi kiện hoặc yêu cầu bồi thường.
| Dữ liệu/rủi ro | Việc nên ưu tiên |
|---|---|
| Thông tin thẻ, tài khoản ngân hàng, mã OTP | Khóa phương tiện thanh toán, liên hệ ngân hàng qua kênh chính thức và kiểm tra giao dịch. |
| Mật khẩu hoặc phiên đăng nhập | Đổi mật khẩu, đăng xuất toàn bộ thiết bị, bật xác thực nhiều lớp và kiểm tra email/số điện thoại khôi phục. |
| SIM, số điện thoại | Liên hệ nhà mạng, kiểm tra tình trạng SIM và các tài khoản dùng số điện thoại để khôi phục. |
| Ảnh giấy tờ tùy thân, sinh trắc học | Lưu nguồn phát tán, theo dõi tài khoản/tín dụng bất thường và thông báo cho đơn vị đang nắm dữ liệu. |
| Hình ảnh, nội dung riêng tư | Lưu URL và bằng chứng trước khi yêu cầu gỡ; trình báo khi có đe dọa, tống tiền hoặc phát tán trái phép. |
Cách gửi yêu cầu về dữ liệu để dễ được xử lý
Một yêu cầu ngắn nhưng có đủ thông tin thường hữu ích hơn nhiều email rời rạc. Bạn nên gửi qua kênh quyền riêng tư, chăm sóc khách hàng hoặc địa chỉ được công bố trong chính sách bảo vệ dữ liệu của đơn vị.
Nội dung nên có: họ tên và thông tin liên hệ; cách xác minh bạn là chủ thể dữ liệu; loại dữ liệu hoặc tài khoản liên quan; sự việc và thời điểm phát hiện; quyền bạn muốn thực hiện; biện pháp cụ thể đề nghị; chứng cứ kèm theo; kênh nhận phản hồi. Chỉ cung cấp dữ liệu xác minh trong phạm vi cần thiết và kiểm tra đúng đầu mối trước khi gửi.
Ví dụ, thay vì viết “hãy xóa thông tin của tôi”, có thể nêu: “Tôi đề nghị xác nhận đơn vị đang lưu số điện thoại nào gắn với tài khoản…, dừng sử dụng số điện thoại cho mục đích quảng cáo và cho biết phần dữ liệu nào phải tiếp tục lưu theo quy định pháp luật.” Cách diễn đạt này giúp phạm vi yêu cầu rõ ràng và dễ kiểm tra kết quả.
Doanh nghiệp có trách nhiệm gì trong việc bảo vệ dữ liệu cá nhân?
Doanh nghiệp không chỉ cài phần mềm bảo mật. Trách nhiệm cần bao phủ toàn bộ vòng đời dữ liệu: xác định căn cứ và mục đích xử lý; thông báo minh bạch; quản lý sự đồng ý; phân quyền; bảo đảm an toàn; xử lý yêu cầu của cá nhân; quản lý nhà cung cấp; ứng phó sự cố; xóa hoặc hủy dữ liệu khi hết căn cứ lưu trữ.
Để tránh trùng với các bài dành cho doanh nghiệp, nội dung quản trị chi tiết được trình bày riêng tại quy chế bảo vệ dữ liệu cá nhân và hướng dẫn về hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
Căn cứ pháp lý áp dụng
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, ban hành ngày 26/06/2025 và có hiệu lực từ ngày 01/01/2026. Có thể xem văn bản chính thức trên Cổng Thông tin điện tử Chính phủ.
- Nghị định 356/2025/NĐ-CP, có hiệu lực từ ngày 01/01/2026, quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
Lưu ý khi đọc tài liệu cũ: từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP là nền tảng pháp lý trực tiếp. Không nên tiếp tục dùng Nghị định 13/2023/NĐ-CP như căn cứ hiện hành duy nhất.
Câu hỏi thường gặp về bảo vệ dữ liệu cá nhân
1. Số điện thoại và địa chỉ email có phải dữ liệu cá nhân không?
Có thể là dữ liệu cá nhân khi gắn với hoặc giúp xác định một người cụ thể. Việc đánh giá không chỉ dựa trên từng trường thông tin đứng riêng mà còn dựa vào khả năng kết hợp với dữ liệu khác.
2. Doanh nghiệp có luôn phải xin sự đồng ý trước khi xử lý dữ liệu không?
Không. Sự đồng ý là một căn cứ quan trọng nhưng Luật quy định một số trường hợp xử lý không cần sự đồng ý. Doanh nghiệp vẫn phải xác định đúng căn cứ, mục đích, phạm vi và thực hiện biện pháp bảo vệ phù hợp.
3. Rút lại sự đồng ý có làm mất hiệu lực toàn bộ việc xử lý trước đó không?
Không mặc nhiên. Việc rút lại chủ yếu tác động đến hoạt động dựa trên sự đồng ý trong thời gian tiếp theo; phần xử lý đã được thực hiện hợp pháp trước khi rút lại không tự động trở thành trái pháp luật.
4. Tôi có quyền yêu cầu xóa mọi dữ liệu ngay lập tức không?
Quyền yêu cầu xóa được thực hiện trong phạm vi luật cho phép. Một phần dữ liệu có thể phải tiếp tục lưu vì nghĩa vụ pháp lý, hợp đồng, giải quyết tranh chấp hoặc căn cứ hợp pháp khác. Bạn nên yêu cầu đơn vị nêu rõ phần dữ liệu giữ lại và căn cứ tương ứng.
5. Bật xác thực hai lớp có bảo đảm tài khoản không bao giờ bị chiếm không?
Không có biện pháp đơn lẻ nào bảo đảm tuyệt đối. Xác thực nhiều lớp giảm đáng kể rủi ro nhưng vẫn cần mật khẩu riêng, thiết bị an toàn, cảnh giác với trang giả mạo và kiểm soát phiên đăng nhập.
6. Ảnh căn cước bị lộ thì nên làm gì?
Lưu bằng chứng về nơi bị lộ, yêu cầu nguồn đăng hoặc đơn vị đang xử lý dữ liệu gỡ/hạn chế, theo dõi tài khoản và giao dịch bất thường. Nếu có dấu hiệu sử dụng giấy tờ để lừa đảo, vay, mở tài khoản hoặc chiếm đoạt, cần liên hệ đơn vị có thể chặn giao dịch và trình báo cơ quan công an.
7. Khi nào nên nhờ luật sư hỗ trợ?
Khi không xác định được đơn vị đang kiểm soát dữ liệu, yêu cầu bị từ chối không rõ căn cứ, dữ liệu bị phát tán gây thiệt hại, hoặc vụ việc liên quan đồng thời đến ngân hàng, nền tảng, người vi phạm và cơ quan nhà nước.
Nội dung liên quan
Bạn cần xử lý một vụ việc dữ liệu cụ thể?
Hãy chuẩn bị nguồn phát hiện, loại dữ liệu bị ảnh hưởng, mốc thời gian, đơn vị đang nắm dữ liệu, yêu cầu đã gửi và thiệt hại đã phát sinh. Luật Dương Trí có thể hỗ trợ xác định quyền cần thực hiện, sắp xếp chứng cứ và lựa chọn cách làm việc phù hợp với bên xử lý dữ liệu hoặc cơ quan có thẩm quyền.
