Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, doanh nghiệp được từ chối xóa dữ liệu khi nào?

06/07/2026
4 lượt xem
0 bình luận

Khoản 2 Điều 14 nêu hai nhóm trường hợp không thực hiện yêu cầu xóa. Nhưng từ chối không đồng nghĩa với im lặng — vẫn phải thông báo lại.

Không phải yêu cầu xóa nào cũng phải đáp ứng. Nhưng ranh giới cần rõ ràng, vì từ chối sai là vi phạm, còn xóa sai cũng có thể gây hậu quả.

Hai nhóm trường hợp không thực hiện yêu cầu xóa

Khoản 2 Điều 14 Luật 91/2025/QH15 quy định không thực hiện yêu cầu của chủ thể dữ liệu cá nhân về việc xóa, hủy dữ liệu cá nhân trong các trường hợp:

Các trường hợp quy định tại Điều 19 của Luật — tức những trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý;
Việc xóa, hủy dữ liệu cá nhân vi phạm quy định tại khoản 3 Điều 4 của Luật.

Nhóm thứ nhất trong thực tế

Điều 19 gồm các trường hợp như: xử lý để bảo vệ tính mạng, sức khỏe, quyền và lợi ích hợp pháp trong trường hợp cấp bách; phục vụ hoạt động của cơ quan nhà nước theo quy định pháp luật; thực hiện thỏa thuận của chủ thể dữ liệu với bên liên quan theo quy định của pháp luật; và trường hợp khác theo quy định của pháp luật.

Trường hợp thực hiện thỏa thuận là căn cứ hay dùng nhất. Nếu hợp đồng dịch vụ còn hiệu lực và dữ liệu là thứ cần để thực hiện hợp đồng đó, doanh nghiệp không thể xóa mà vẫn tiếp tục cung cấp dịch vụ.

Nhóm thứ hai

Khoản 3 Điều 4 đặt ra ba nguyên tắc khi chủ thể dữ liệu thực hiện quyền: phải theo quy định pháp luật và tuân thủ nghĩa vụ theo hợp đồng, nhằm mục đích bảo vệ quyền và lợi ích hợp pháp của chính mình; không được gây khó khăn, cản trở việc thực hiện quyền và nghĩa vụ pháp lý của bên kiểm soát, bên kiểm soát và xử lý, bên xử lý; không được xâm phạm quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức, cá nhân khác.

Ví dụ dễ hình dung: một bên trong tranh chấp yêu cầu xóa dữ liệu là bằng chứng liên quan tới quyền lợi của bên kia. Việc xóa khi đó xâm phạm quyền lợi hợp pháp của người khác.

Còn dữ liệu phải giữ theo pháp luật khác

Điểm c khoản 1 Điều 14 nêu việc xóa, hủy được thực hiện khi hết thời hạn lưu trữ theo quy định của pháp luật. Suy ra, trong thời hạn mà pháp luật chuyên ngành buộc lưu giữ, việc xóa chưa đến hạn.

Đây là căn cứ thường gặp nhất khi doanh nghiệp phải giải thích với khách hàng vì sao không thể xóa toàn bộ ngay lập tức.

Từ chối vẫn phải thông báo

Khoản 5 Điều 14 quy định trường hợp không thể xóa, hủy dữ liệu cá nhân vì lý do chính đáng sau khi nhận được yêu cầu của chủ thể dữ liệu, bên kiểm soát và bên kiểm soát và xử lý phải thực hiện nghĩa vụ thông báo tương ứng.

Quy định tương tự cũng có ở Điều 13 với việc chỉnh sửa: khoản 3 Điều 13 nêu trường hợp không thể chỉnh sửa vì lý do chính đáng thì phải thông báo để cơ quan, tổ chức, cá nhân yêu cầu biết.

Nói cách khác, im lặng không phải một phương án. Khoản 4 Điều 4 cũng buộc cơ quan, tổ chức, cá nhân tạo điều kiện thuận lợi, không được gây khó khăn cản trở việc thực hiện quyền của chủ thể dữ liệu.

Cách trả lời một yêu cầu xóa mà chỉ đáp ứng được một phần

Cách làm hợp lý là tách yêu cầu thành từng nhóm dữ liệu và trả lời riêng cho từng nhóm:

Nhóm đã hoàn thành mục đích, không thuộc diện phải giữ — xóa và xác nhận đã xóa;
Nhóm phải giữ theo pháp luật chuyên ngành — nêu rõ loại dữ liệu, căn cứ, và thời điểm sẽ xóa;
Nhóm cần để thực hiện hợp đồng đang có hiệu lực — nêu rõ và cho biết sẽ xử lý ra sao khi hợp đồng kết thúc;
Nhóm bị hạn chế vì liên quan tới quyền lợi của bên khác — giải thích căn cứ.

Cách trả lời này vừa đáp ứng nghĩa vụ thông báo, vừa giảm khả năng phát sinh khiếu nại, vì khách hàng thấy được lý do cụ thể thay vì một lời từ chối chung chung.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 14
Luật 91/2025/QH15 Điều 19
Luật 91/2025/QH15 Điều 4

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.