Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu cá nhân có những quyền gì?

11/06/2026
5 lượt xem
0 bình luận

Sáu nhóm quyền, kèm theo cả nghĩa vụ và ba nguyên tắc giới hạn. Phần giới hạn này khiến quy định của Việt Nam khác đáng kể so với khuôn mẫu quen thuộc.

Điều 4 Luật 91/2025/QH15 là điều mà bộ phận chăm sóc khách hàng nên đọc kỹ nhất, vì đây là những yêu cầu mà khách hàng có quyền gửi tới và doanh nghiệp buộc phải xử lý.

Sáu nhóm quyền

Khoản 1 Điều 4 quy định chủ thể dữ liệu cá nhân có quyền:

Được biết về hoạt động xử lý dữ liệu cá nhân của mình;
Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;
Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;
Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật;
Yêu cầu cơ quan có thẩm quyền hoặc bên liên quan thực hiện các biện pháp bảo vệ dữ liệu cá nhân của mình.

Quyền phản đối là điểm mới đáng chú ý

Trong nhóm thứ tư có "gửi yêu cầu phản đối xử lý dữ liệu cá nhân". Đây là quyền độc lập với quyền rút lại đồng ý: khách hàng có thể không rút đồng ý toàn bộ mà chỉ phản đối một hoạt động xử lý cụ thể. Doanh nghiệp cần có cách ghi nhận riêng cho loại yêu cầu này, không gộp chung với nút hủy đăng ký nhận tin.

Chủ thể dữ liệu cũng có nghĩa vụ

Khoản 2 Điều 4 liệt kê nghĩa vụ: tự bảo vệ dữ liệu của mình; tôn trọng, bảo vệ dữ liệu cá nhân của người khác; cung cấp đầy đủ, chính xác dữ liệu của mình theo quy định pháp luật, theo hợp đồng hoặc khi đã đồng ý; và chấp hành pháp luật về bảo vệ dữ liệu cá nhân.

Nghĩa vụ cung cấp chính xác có ý nghĩa thực tiễn: nếu khách hàng khai sai thông tin rồi phát sinh hậu quả, trách nhiệm không hoàn toàn thuộc về doanh nghiệp.

Ba giới hạn khi thực hiện quyền

Khoản 3 Điều 4 đặt ra nguyên tắc mà bên bị yêu cầu nên nắm. Việc thực hiện quyền phải theo quy định pháp luật và tuân thủ nghĩa vụ theo hợp đồng, nhằm mục đích bảo vệ quyền và lợi ích hợp pháp của chính chủ thể đó. Chủ thể dữ liệu không được gây khó khăn, cản trở việc thực hiện quyền và nghĩa vụ pháp lý của bên kiểm soát, bên xử lý. Và không được xâm phạm quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức, cá nhân khác.

Điều này cho phép doanh nghiệp từ chối những yêu cầu mang tính quấy rối hoặc nhằm mục đích khác — nhưng phải giải thích được lý do dựa trên chính ba nguyên tắc trên, chứ không phải từ chối tùy tiện.

Ở chiều ngược lại

Khoản 4 Điều 4 buộc cơ quan, tổ chức, cá nhân phải tạo điều kiện thuận lợi, không được gây khó khăn, cản trở việc thực hiện quyền của chủ thể dữ liệu. Thiết kế một quy trình rườm rà cố ý để khách bỏ cuộc là đi ngược quy định này.

Thời hạn trả lời

Khoản 5 Điều 4 yêu cầu khi nhận được yêu cầu, bên kiểm soát và bên kiểm soát và xử lý phải kịp thời thực hiện trong thời hạn theo quy định của pháp luật, và giao Chính phủ quy định chi tiết. Trình tự thực hiện quyền được cụ thể hóa tại Điều 5 Nghị định 356/2025/NĐ-CP — đây là văn bản cần tra khi xây dựng quy trình tiếp nhận nội bộ.

Việc nên chuẩn bị

Tối thiểu cần ba thứ: một đầu mối tiếp nhận công khai, một sổ ghi nhận yêu cầu kèm mốc thời gian, và một quy trình xác minh danh tính người gửi. Thiếu bước xác minh là rủi ro thật — kẻ mạo danh gửi yêu cầu "cung cấp dữ liệu của tôi" và được đáp ứng thì chính việc tuân thủ lại trở thành sự cố lộ lọt.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 4
Nghị định 356/2025/NĐ-CP Điều 5

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.