Theo Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân nhạy cảm gồm những loại nào?

Mười ba nhóm dữ liệu được Nghị định 356/2025/NĐ-CP xếp vào loại nhạy cảm. Trong đó có vài nhóm mà doanh nghiệp thương mại điện tử và ngân hàng chạm vào hằng ngày mà không để ý.

Dữ liệu nhạy cảm là nhóm mà pháp luật siết chặt hơn hẳn. Xác định nhầm một cột dữ liệu từ nhạy cảm thành cơ bản có thể kéo theo cả chuỗi sai sót phía sau: xin đồng ý sai cách, phân quyền quá rộng, lưu trữ quá lâu.

Định nghĩa và danh mục

Điều 2 Luật 91/2025/QH15 định nghĩa dữ liệu cá nhân nhạy cảm là dữ liệu gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp, thuộc danh mục do Chính phủ ban hành. Danh mục đó là Điều 4 Nghị định 356/2025/NĐ-CP.

Mười ba nhóm

• Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;
• Quan điểm về chính trị, tôn giáo, tín ngưỡng;
• Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;
• Tình trạng sức khỏe;
• Dữ liệu sinh trắc học, đặc điểm di truyền;
• Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục;
• Dữ liệu về tội phạm, vi phạm pháp luật do cơ quan thực thi pháp luật thu thập, lưu trữ;
• Vị trí của cá nhân được xác định qua dịch vụ định vị;
• Tên đăng nhập và mật khẩu tài khoản định danh điện tử; hình ảnh thẻ căn cước, căn cước công dân, chứng minh nhân dân;
• Tên đăng nhập, mật khẩu tài khoản ngân hàng; thông tin thẻ ngân hàng; lịch sử giao dịch tài khoản; thông tin tài chính, tín dụng và lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, trung gian thanh toán, chứng khoán, bảo hiểm và tổ chức được phép khác;
• Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và dịch vụ khác trên không gian mạng;
• Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần biện pháp bảo mật chặt chẽ.

Ba nhóm doanh nghiệp hay bỏ sót

Ảnh chụp căn cước. Rất nhiều quy trình đăng ký dịch vụ yêu cầu khách chụp hai mặt căn cước rồi gửi qua Zalo hoặc email. Ảnh đó là dữ liệu nhạy cảm, và Zalo hay hộp thư nhân viên không phải nơi lưu trữ phù hợp cho loại này.

Lịch sử giao dịch. Với sàn thương mại điện tử hoặc ứng dụng ví, lịch sử giao dịch tài chính của khách nằm trong nhóm nhạy cảm. Đây là điểm khiến nhiều đội kỹ thuật bất ngờ vì họ vẫn coi đó là dữ liệu vận hành bình thường.

Dữ liệu theo dõi hành vi. Nhật ký người dùng bấm gì, xem gì, ở lại trang bao lâu — thứ mà mọi công cụ phân tích đều thu — được liệt kê thẳng ở gạch đầu dòng về dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng.

Nghĩa vụ đi kèm

Điều 4 Nghị định 356/2025/NĐ-CP không dừng ở việc liệt kê. Điều này còn yêu cầu trong quá trình xử lý dữ liệu cá nhân nhạy cảm, cơ quan và tổ chức phải thiết lập quy định phân quyền giới hạn truy cập. Nói cách khác, không thể để cả phòng kinh doanh cùng mở được thư mục chứa ảnh căn cước khách hàng.

Việc cần làm ngay

Rà lại ba thứ: ai đang có quyền đọc dữ liệu nhạy cảm, dữ liệu đó nằm ở đâu, và giữ trong bao lâu. Nếu câu trả lời cho câu đầu tiên là "cả team", đó là chỗ phải sửa trước. Thu hẹp quyền truy cập là biện pháp rẻ nhất và có hiệu lực ngay, không cần chờ dự án hay ngân sách.

Đọc thêm cùng chủ đề

• Dữ liệu cá nhân cơ bản gồm những thông tin nào?
• Bên kiểm soát dữ liệu có những trách nhiệm gì?
• Bên thứ ba trong xử lý dữ liệu cá nhân là ai?

Căn cứ pháp lý

• Nghị định 356/2025/NĐ-CP Điều 4
• Luật 91/2025/QH15 Điều 2

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.