Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, khách hàng được yêu cầu xóa dữ liệu khi nào?

05/07/2026
4 lượt xem
0 bình luận

Sáu trường hợp phải xóa, hủy. Điểm đáng chú ý: khi chủ thể dữ liệu yêu cầu, họ phải chấp nhận các rủi ro, thiệt hại có thể xảy ra với mình.

Quyền yêu cầu xóa dữ liệu được nêu tại điểm d khoản 1 Điều 4 Luật 91/2025/QH15. Điều 14 quy định chi tiết việc xóa, hủy diễn ra trong những trường hợp nào.

Sáu trường hợp xóa, hủy

Khoản 1 Điều 14 quy định việc xóa, hủy dữ liệu cá nhân được thực hiện trong các trường hợp:

Chủ thể dữ liệu cá nhân có yêu cầu và chấp nhận các rủi ro, thiệt hại có thể xảy ra đối với mình; yêu cầu này phải tuân thủ đầy đủ các nguyên tắc quy định tại khoản 3 Điều 4 của Luật;
Đã hoàn thành mục đích xử lý dữ liệu cá nhân;
Hết thời hạn lưu trữ theo quy định của pháp luật;
Thực hiện theo quyết định của cơ quan nhà nước có thẩm quyền;
Thực hiện theo thỏa thuận;
Trường hợp khác theo quy định của pháp luật.

Hai trường hợp không cần ai yêu cầu

Trường hợp thứ hai và thứ ba là nghĩa vụ chủ động của doanh nghiệp. Khi mục đích xử lý đã hoàn thành, hoặc khi hết thời hạn lưu trữ, việc xóa phải diễn ra mà không cần chờ khách hàng lên tiếng.

Đây là điểm mà phần lớn doanh nghiệp chưa làm. Dữ liệu thường được giữ mãi vì "biết đâu sau này cần". Điều 14 không cho phép cách tiếp cận đó.

Điều kiện kèm theo yêu cầu của khách hàng

Điểm a khoản 1 Điều 14 có hai điều kiện: khách hàng phải chấp nhận các rủi ro, thiệt hại có thể xảy ra đối với mình; và yêu cầu phải tuân thủ các nguyên tắc tại khoản 3 Điều 4 — thực hiện theo quy định pháp luật và nghĩa vụ hợp đồng, không gây khó khăn cản trở việc thực hiện quyền và nghĩa vụ pháp lý của bên kiểm soát, không xâm phạm quyền lợi hợp pháp của Nhà nước và của người khác.

Về mặt vận hành, điều này có nghĩa doanh nghiệp nên giải thích rõ hậu quả trước khi thực hiện: xóa dữ liệu có thể khiến khách mất lịch sử giao dịch, mất quyền bảo hành, không truy xuất lại được thông tin. Ghi nhận việc khách hàng đã được thông báo và vẫn yêu cầu xóa là bước bảo vệ cho cả hai bên.

Xóa phải an toàn

Khoản 3 Điều 14 quy định bên kiểm soát và bên kiểm soát và xử lý xóa, hủy dữ liệu trong các trường hợp tại khoản 1, hoặc yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba xóa, hủy. Việc xóa, hủy phải được thực hiện bằng các biện pháp an toàn; ngăn chặn hoạt động xâm nhập và khôi phục trái phép dữ liệu cá nhân đã bị xóa, hủy.

Khoản 4 Điều 14 quy định cơ quan, tổ chức, cá nhân không được cố ý khôi phục trái phép dữ liệu cá nhân đã bị xóa, hủy.

Đừng quên bản sao lưu

Trong thực tế, dữ liệu thường tồn tại ở nhiều nơi: cơ sở dữ liệu chính, bản sao lưu, kho phân tích, hệ thống của nhà cung cấp, tệp xuất ra trong các báo cáo cũ. Xóa ở hệ thống chính mà bỏ qua các nơi còn lại chưa hoàn thành nghĩa vụ, và cũng dễ dẫn tới việc dữ liệu quay trở lại sau một lần khôi phục hệ thống.

Thời hạn thực hiện

Điều 5 Nghị định 356/2025/NĐ-CP quy định thời hạn xử lý các yêu cầu của chủ thể dữ liệu, trong đó có nghĩa vụ phản hồi trong 02 ngày làm việc. Đây là mốc cần bảo đảm ngay cả khi việc xóa cần thời gian dài hơn để hoàn tất trên mọi hệ thống.

Việc nên chuẩn bị

Danh sách tất cả nơi lưu dữ liệu, gồm cả bản sao lưu và hệ thống của bên thứ ba;
Quy trình xóa có bước kiểm tra lại từng nơi;
Chính sách thời hạn lưu trữ cho từng loại dữ liệu, kèm cơ chế tự động xóa khi hết hạn;
Mẫu thông báo giải thích hậu quả cho khách hàng trước khi thực hiện;
Nhật ký ghi nhận đã xóa những gì, khi nào, ở đâu.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 14
Luật 91/2025/QH15 Điều 4

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.