Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân cơ bản gồm những thông tin nào?

09/06/2026
7 lượt xem
0 bình luận

Nghị định 356/2025/NĐ-CP liệt kê thẳng ra một danh sách. Biết chính xác danh sách đó gồm gì là bước đầu tiên để biết doanh nghiệp mình đang nắm giữ loại dữ liệu nào.

Câu hỏi này nghe có vẻ hàn lâm nhưng thực tế lại rất thiết thực. Trước khi bàn đến chuyện phải xin đồng ý ra sao, phải làm hồ sơ gì, doanh nghiệp cần trả lời được một câu đơn giản: những thứ mình đang lưu trong file Excel khách hàng kia có phải là dữ liệu cá nhân không, và nếu có thì thuộc loại nào.

Danh sách chính thức nằm ở đâu

Luật Bảo vệ dữ liệu cá nhân không tự liệt kê. Điều 2 của Luật chỉ định nghĩa dữ liệu cá nhân cơ bản là loại phản ánh yếu tố nhân thân, lai lịch phổ biến, thường xuyên dùng trong giao dịch và quan hệ xã hội, còn danh mục cụ thể thì giao cho Chính phủ ban hành. Danh mục đó chính là Điều 3 Nghị định 356/2025/NĐ-CP.

Mười một nhóm thông tin

Theo Điều 3, dữ liệu cá nhân cơ bản bao gồm:

Họ, chữ đệm và tên khai sinh, tên gọi khác nếu có;
Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích;
Giới tính;
Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ;
Quốc tịch;
Hình ảnh của cá nhân;
Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe;
Tình trạng hôn nhân;
Thông tin về mối quan hệ gia đình gồm cha mẹ, con, vợ, chồng;
Thông tin về tài khoản số của cá nhân;
Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể, miễn là không thuộc danh mục dữ liệu nhạy cảm ở Điều 4.

Gạch đầu dòng cuối cùng mới là điều đáng chú ý

Nhiều người đọc xong mười gạch đầu tiên rồi kết luận "công ty mình chỉ lưu tên và số điện thoại, vậy là hết". Nhưng gạch cuối là một quy định mở: bất kỳ thông tin nào gắn liền với một con người cụ thể, hoặc giúp xác định được một con người cụ thể, đều là dữ liệu cá nhân cơ bản nếu không rơi vào nhóm nhạy cảm.

Điều đó có nghĩa mã khách hàng nội bộ, mã số nhân viên, biệt danh dùng trong hệ thống chăm sóc khách hàng — nếu đối chiếu được về một người thật — vẫn nằm trong phạm vi điều chỉnh. Cách kiểm tra đơn giản: nếu bạn có thể lấy trường dữ liệu đó và tìm ra chính xác một con người, thì đó là dữ liệu cá nhân.

Phân biệt với dữ liệu nhạy cảm

Ranh giới rất quan trọng vì hai loại có chế độ bảo vệ khác nhau. Số điện thoại là cơ bản, nhưng lịch sử giao dịch ngân hàng lại là nhạy cảm. Hình ảnh của cá nhân là cơ bản, nhưng hình ảnh thẻ căn cước thì Điều 4 Nghị định 356/2025/NĐ-CP xếp vào nhạy cảm. Vị trí chung chung không có gì đặc biệt, nhưng vị trí xác định qua dịch vụ định vị lại thuộc nhóm nhạy cảm.

Khi dữ liệu được khử nhận dạng

Điều 2 của Luật có một câu ngắn nhưng rất có giá trị thực tiễn: dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân. Nếu doanh nghiệp thực sự làm cho bộ dữ liệu không còn xác định hay giúp xác định được người cụ thể nào, phần dữ liệu đó ra khỏi phạm vi điều chỉnh. Chỉ lưu ý rằng việc thay tên bằng mã rồi vẫn giữ bảng đối chiếu ở nơi khác thì chưa phải khử nhận dạng — vì vẫn xác định được người.

Nên làm gì với danh sách này

Cách dùng thực tế nhất là biến Điều 3 thành một bảng kiểm. Mở từng hệ thống đang chạy — CRM, phần mềm kế toán, biểu mẫu trên website, nhóm chat chăm sóc khách hàng, file chấm công — rồi đối chiếu từng cột dữ liệu với danh sách trên. Đánh dấu cột nào là cơ bản, cột nào rơi vào Điều 4.

Sau buổi rà soát đó, hầu hết doanh nghiệp đều nhận ra mình đang giữ nhiều hơn tưởng tượng, và một phần không nhỏ là dữ liệu chẳng bao giờ dùng đến. Đó cũng là lúc thích hợp để xóa bớt: dữ liệu không giữ thì không phải bảo vệ, và cũng không thể bị lộ.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 3
Luật 91/2025/QH15 Điều 2

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.