Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, xử lý dữ liệu cá nhân gồm những hoạt động nào?

19/07/2026
3 lượt xem
0 bình luận

Mười một hoạt động được liệt kê, cộng thêm một mệnh đề mở. Danh sách này quyết định phạm vi áp dụng của toàn bộ đạo luật.

Gần như mọi nghĩa vụ trong Luật đều gắn với cụm từ "xử lý dữ liệu cá nhân". Biết chính xác cụm này bao gồm những gì là điều kiện để xác định đúng phạm vi phải tuân thủ.

Định nghĩa

Khoản 6 Điều 2 Luật 91/2025/QH15 quy định: xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân.

Vế cuối là mệnh đề mở

"Và hoạt động khác tác động đến dữ liệu cá nhân" khiến danh sách trên không phải danh sách đóng. Bất kỳ thao tác nào tác động tới dữ liệu cá nhân đều thuộc phạm vi.

Mỗi hoạt động đều có điều riêng

Điểm đáng chú ý về cấu trúc của Luật: phần lớn các hoạt động trong danh sách đều được quy định chi tiết ở một điều riêng.

Thu thập, phân tích, tổng hợp — Điều 11;
Mã hóa, giải mã — Điều 12;
Chỉnh sửa — Điều 13;
Xóa, hủy, khử nhận dạng — Điều 14;
Cung cấp — Điều 15;
Công khai — Điều 16;
Chuyển giao — Điều 17;
Các hoạt động khác — Điều 18.

Cách sắp xếp này giúp tra cứu nhanh: xác định mình đang làm hoạt động nào, rồi mở đúng điều tương ứng.

Điều 18 gom phần còn lại

Khoản 1 Điều 18 quy định bên kiểm soát, bên kiểm soát và xử lý, bên xử lý, bên thứ ba lưu trữ dữ liệu cá nhân theo hình thức phù hợp với hoạt động của mình và có biện pháp bảo vệ dữ liệu cá nhân trong quá trình lưu trữ theo quy định của pháp luật.

Khoản 2 Điều 18 nêu việc lưu trữ, truy cập, truy xuất, kết nối, điều phối, xác nhận, xác thực dữ liệu cá nhân, hoạt động khác tác động đến dữ liệu cá nhân thực hiện theo quy định của Luật này, pháp luật về dữ liệu, các quy định khác của pháp luật có liên quan và theo thỏa thuận giữa các bên.

Lưu trữ cũng là xử lý

Đây là điểm nhiều doanh nghiệp bỏ qua. Chỉ giữ dữ liệu mà không làm gì với nó vẫn là hoạt động xử lý, vẫn cần cơ sở pháp lý và vẫn phát sinh nghĩa vụ bảo vệ.

Hệ quả thực tế: kho dữ liệu cũ không ai dùng đến không phải vùng ngoài phạm vi điều chỉnh. Nếu không còn mục đích, điểm b khoản 1 Điều 14 nêu việc xóa, hủy được thực hiện khi đã hoàn thành mục đích xử lý.

Danh sách này ảnh hưởng tới việc gì

Ba việc cụ thể:

Xác định thời điểm bắt đầu xử lý. Khoản 1 Điều 21 tính mốc 60 ngày từ ngày đầu tiên xử lý dữ liệu cá nhân — mà thu thập là hoạt động xử lý;
Mô tả trong báo cáo đánh giá tác động. Điều 19 Nghị định 356/2025/NĐ-CP yêu cầu mô tả chi tiết các hoạt động xử lý dữ liệu cá nhân và sơ đồ luồng dữ liệu;
Xác định phạm vi trong thỏa thuận chuyển giao. Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu nêu rõ mục đích, loại dữ liệu, thời hạn xử lý và yêu cầu xóa hủy sau khi hoàn thành mục đích.

Một điểm ưu tiên

Khoản 3 Điều 18 nêu ưu tiên khai thác, sử dụng dữ liệu cá nhân vào hoạt động phục vụ quản lý nhà nước, hoạt động của các đơn vị sự nghiệp công lập để phục vụ thí điểm một số cơ chế, chính sách đặc biệt tạo đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 2
Luật 91/2025/QH15 Điều 18

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.