Định nghĩa gồm ba yếu tố: thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định, dùng để xác định một người. Kèm theo là chế độ bảo vệ nghiêm ngặt hơn.
Máy chấm công vân tay, cổng ra vào nhận diện khuôn mặt, xác thực bằng giọng nói — những công nghệ này đang phổ biến ở doanh nghiệp Việt Nam, và tất cả đều xử lý dữ liệu sinh trắc học.
Định nghĩa
Khoản 2 Điều 31 Luật 91/2025/QH15 quy định: dữ liệu sinh trắc học là dữ liệu về thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định của một người để xác định người đó.
Ba yếu tố trong định nghĩa
Thuộc tính vật lý, đặc điểm sinh học — loại trừ các đặc điểm hành vi thuần túy.
Cá biệt và ổn định — hai điều kiện đi kèm. Đặc điểm phải khác nhau giữa từng người, và phải ít thay đổi theo thời gian.
Để xác định người đó — mục đích sử dụng cũng là một phần của định nghĩa.
Theo ba yếu tố này, vân tay, khuôn mặt, mống mắt, giọng nói, đặc điểm di truyền đều thuộc phạm vi.
Thuộc danh mục nhạy cảm
Điều 4 Nghị định 356/2025/NĐ-CP xếp dữ liệu sinh trắc học, đặc điểm di truyền vào danh mục dữ liệu cá nhân nhạy cảm. Cùng điều này yêu cầu trong quá trình xử lý dữ liệu nhạy cảm, cơ quan, tổ chức phải thiết lập quy định phân quyền giới hạn truy cập.
Điều 6 Nghị định 356/2025/NĐ-CP cũng quy định khi xin đồng ý xử lý dữ liệu nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.
Bốn nghĩa vụ bảo vệ
Điểm a khoản 4 Điều 31 Luật 91/2025/QH15 quy định cơ quan, tổ chức, cá nhân thu thập và xử lý dữ liệu sinh trắc học phải:
- Có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải dữ liệu sinh trắc học của mình;
- Hạn chế quyền truy cập vào dữ liệu sinh trắc học;
- Có hệ thống theo dõi để phòng ngừa, phát hiện hành vi xâm phạm dữ liệu sinh trắc học;
- Tuân thủ quy định của pháp luật và tiêu chuẩn quốc tế có liên quan.
Yêu cầu bảo mật vật lý là điểm ít gặp trong các quy định khác. Nó có nghĩa: chiếc máy chấm công đặt ở hành lang, ai cũng tiếp cận được, là một vấn đề cần xử lý.
Nghĩa vụ thông báo khi gây thiệt hại
Điểm b khoản 4 Điều 31 quy định trường hợp xử lý dữ liệu sinh trắc học gây thiệt hại cho chủ thể dữ liệu cá nhân thì tổ chức, cá nhân thu thập và xử lý phải thông báo cho chủ thể dữ liệu đó theo quy định của Chính phủ.
Điều 29 Nghị định 356/2025/NĐ-CP quy định chi tiết: khi xảy ra sự cố vi phạm liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, phải thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện, báo cáo cho cơ quan nhà nước có thẩm quyền, và lưu hồ sơ vi phạm tối thiểu 5 năm kể từ ngày khắc phục xong sự cố.
Dữ liệu vị trí cá nhân được quy định cùng điều
Khoản 1 Điều 31 định nghĩa dữ liệu vị trí cá nhân là dữ liệu được xác định thông qua công nghệ định vị để biết vị trí và giúp xác định con người cụ thể. Khoản 3 Điều 31 đặt ra các nghĩa vụ tương ứng, trong đó có việc không áp dụng theo dõi định vị qua thẻ nhận dạng tần số vô tuyến và các công nghệ khác, trừ khi có sự đồng ý hoặc theo yêu cầu của cơ quan có thẩm quyền hoặc trường hợp pháp luật có quy định khác.
Vì sao rủi ro với dữ liệu sinh trắc học cao hơn
Chính yếu tố "ổn định" trong định nghĩa tạo ra rủi ro. Mật khẩu bị lộ thì đổi được; vân tay và khuôn mặt thì không. Một lần lộ là hậu quả kéo dài suốt đời của người bị ảnh hưởng.
Vì vậy, câu hỏi nên đặt trước khi triển khai hệ thống sinh trắc học là: có phương án nào đạt cùng mục tiêu mà không cần thu thập loại dữ liệu này không. Thẻ từ và mã số cá nhân giải quyết được phần lớn nhu cầu chấm công và kiểm soát ra vào, với rủi ro thấp hơn hẳn.
Đọc thêm cùng chủ đề
- Ứng dụng thu thập vị trí người dùng cần điều kiện gì?
- Lộ dữ liệu sinh trắc học phải báo trong bao lâu?
- Cửa hàng lắp camera nhận diện khách hàng có hợp pháp không?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 31
- Nghị định 356/2025/NĐ-CP Điều 4
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.