Theo Luật Bảo vệ dữ liệu cá nhân 2025, khách yêu cầu cung cấp dữ liệu thì làm thế nào?

Phải cung cấp, nhưng Điều 15 nêu một ngoại lệ đáng chú ý — và Nghị định đặt mốc thực hiện trong 10 ngày.

Điểm d khoản 1 Điều 4 Luật 91/2025/QH15 trao cho chủ thể dữ liệu quyền yêu cầu cung cấp dữ liệu cá nhân của mình. Điều 15 quy định cách thực hiện.

Hai chiều của việc cung cấp

Khoản 1 Điều 15 nói về chiều từ cá nhân ra: chủ thể dữ liệu cá nhân cung cấp dữ liệu cá nhân cho cơ quan, tổ chức, cá nhân theo quy định của pháp luật hoặc theo thỏa thuận với cơ quan, tổ chức, cá nhân đó.

Khoản 2 Điều 15 nói về chiều ngược lại, tức nghĩa vụ của doanh nghiệp.

Hai trường hợp doanh nghiệp cung cấp dữ liệu

Khoản 2 Điều 15 quy định bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân cung cấp dữ liệu cá nhân trong các trường hợp:

• Cung cấp cho chủ thể dữ liệu cá nhân theo yêu cầu của chính họ, phù hợp quy định của pháp luật và thỏa thuận với chủ thể dữ liệu — trừ trường hợp việc cung cấp đó có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, tài sản của người khác;
• Cung cấp cho cơ quan, tổ chức, cá nhân khác khi được chủ thể dữ liệu cá nhân đồng ý, trừ trường hợp pháp luật có quy định khác.

Ngoại lệ của trường hợp thứ nhất

Vế "xâm phạm đến tính mạng, sức khỏe, tài sản của người khác" có ý nghĩa thực tiễn cụ thể. Dữ liệu về một người thường có lẫn thông tin của người khác — nhật ký hội thoại có tên và nội dung của bên còn lại, hồ sơ giao dịch có thông tin đối tác, ghi âm cuộc gọi có giọng của nhân viên.

Khi cung cấp, doanh nghiệp cần cân nhắc tách hoặc che phần thuộc về người thứ ba, thay vì xuất nguyên khối hoặc từ chối toàn bộ.

Thời hạn

Điều 5 Nghị định 356/2025/NĐ-CP quy định khi nhận được yêu cầu xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân, cung cấp dữ liệu cá nhân theo đúng thủ tục của chủ thể dữ liệu, bên kiểm soát và bên kiểm soát và xử lý phải phản hồi trong thời hạn 02 ngày làm việc, cung cấp đầy đủ thông tin về thủ tục và thực hiện trong thời hạn 10 ngày.

Điều 5 cũng cho phép gia hạn tối đa 01 lần trong thời hạn không quá 15 ngày, kèm nghĩa vụ thông báo lý do và chứng minh việc gia hạn là cần thiết, hợp lý.

Bước xác minh danh tính là bắt buộc trên thực tế

Quy định không nêu chi tiết cách xác minh, nhưng đây là bước không thể bỏ. Nếu doanh nghiệp cung cấp toàn bộ dữ liệu của một khách hàng cho kẻ mạo danh, chính hành động tuân thủ lại trở thành sự cố lộ lọt dữ liệu — với hậu quả nặng hơn nhiều so với việc chậm trả lời vài ngày.

Cách xác minh hợp lý là dựa trên kênh đã được xác thực từ trước: gửi mã xác nhận tới số điện thoại hoặc thư điện tử đã đăng ký, hoặc yêu cầu đăng nhập vào tài khoản.

Cung cấp ở định dạng nào

Luật không ấn định định dạng. Trong thực tế, cách phục vụ tốt nhất là kết hợp một bản tóm tắt dễ đọc — dữ liệu nào đang được lưu, phục vụ mục đích gì, chia sẻ với ai — và một tệp dữ liệu chi tiết cho người muốn xem đầy đủ.

Tự động hóa để đỡ tốn công

Với doanh nghiệp có nhiều khách hàng, xử lý thủ công từng yêu cầu trong 10 ngày là gánh nặng. Một tính năng cho phép người dùng tự tải dữ liệu của mình trong tài khoản vừa giải quyết được phần lớn yêu cầu, vừa phù hợp với tinh thần khoản 4 Điều 4 về việc tạo điều kiện thuận lợi cho chủ thể dữ liệu thực hiện quyền.

Đọc thêm cùng chủ đề

• Phải trả lời yêu cầu của khách hàng trong bao lâu?
• Chủ thể dữ liệu cá nhân có những quyền gì?
• Khách hàng được yêu cầu xóa dữ liệu khi nào?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 15
• Nghị định 356/2025/NĐ-CP Điều 5
• Luật 91/2025/QH15 Điều 4

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.