Theo pháp luật Việt Nam, dữ liệu cá nhân là thông tin gắn với một con người cụ thể hoặc giúp xác định được một con người cụ thể: họ tên, ngày sinh, số định danh, số điện thoại, ảnh khuôn mặt, vị trí, lịch sử khám bệnh… Dữ liệu chia thành dữ liệu cơ bản và dữ liệu nhạy cảm. Người có dữ liệu (pháp luật gọi là "chủ thể dữ liệu") có các quyền như được biết, đồng ý hoặc không, xem, yêu cầu sửa, xoá, rút lại sự đồng ý và khiếu nại. Khung pháp lý chính là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 01/01/2026, nối tiếp Nghị định 13/2023/NĐ-CP (tính tới 11/2026).
Vài mốc pháp luật về dữ liệu cá nhân
| Thời điểm | Văn bản / sự kiện | Ý nghĩa |
|---|---|---|
| 1995 – 2018 | Liên minh châu Âu: Chỉ thị bảo vệ dữ liệu 1995, rồi Quy định chung về bảo vệ dữ liệu (GDPR) áp dụng từ 25/5/2018 | Hình mẫu được nhiều nước tham khảo |
| Trước 2023 | Quy định rải rác trong Bộ luật Dân sự, Luật An toàn thông tin mạng, Luật An ninh mạng | Có quyền bí mật đời tư nhưng chưa có văn bản riêng |
| 01/7/2023 | Nghị định 13/2023/NĐ-CP có hiệu lực | Văn bản riêng đầu tiên về bảo vệ dữ liệu cá nhân |
| 26/6/2025 | Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15) | Nâng lên tầm luật, có chế tài mạnh hơn |
| 01/01/2026 | Luật có hiệu lực | Khung pháp lý chính hiện hành |
Bộ luật Dân sự 2015 đã có quy định về quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình. Nhưng "đời tư" là khái niệm rộng; dữ liệu cá nhân là thứ cụ thể hơn, gắn với việc thu thập, lưu trữ, chia sẻ bằng máy tính ở quy mô lớn. Vì vậy cần văn bản riêng.
Dữ liệu cơ bản và dữ liệu nhạy cảm
Pháp luật phân hai nhóm vì mức nguy hại khi bị lộ khác nhau:
| Nhóm | Ví dụ | Vì sao phân biệt |
|---|---|---|
| Dữ liệu cá nhân cơ bản | Họ tên, ngày sinh, giới tính, nơi sinh, quốc tịch, ảnh, số điện thoại, số định danh, địa chỉ, tình trạng hôn nhân, tài khoản số | Dùng hằng ngày trong giao dịch; lộ thì có thể bị mạo danh |
| Dữ liệu cá nhân nhạy cảm | Sức khoẻ, đặc điểm di truyền, sinh trắc học, quan điểm chính trị, tôn giáo, đời sống tình dục, tiền án, thông tin tài khoản ngân hàng, vị trí định vị | Lộ ra có thể gây hại nghiêm trọng, bị phân biệt đối xử, không sửa được |
Danh sách chi tiết được quy định trong văn bản luật và hướng dẫn; bảng trên chỉ là ví dụ phổ thông. Điểm đáng nhớ: dữ liệu sinh trắc học (khuôn mặt, vân tay, mống mắt, giọng nói) thuộc nhóm nhạy cảm. Đây chính là những dữ liệu ngân hàng và cơ quan căn cước đang thu thập, nên cũng là nhóm được bảo vệ chặt hơn.
Quyền của người có dữ liệu
Nghị định 13/2023 liệt kê các quyền của chủ thể dữ liệu, và Luật Bảo vệ dữ liệu cá nhân 2025 tiếp tục ghi nhận theo hướng tương tự. Có thể gom thành những nhóm dễ nhớ:
- Được biết: dữ liệu của mình bị thu thập để làm gì, ai xử lý, lưu bao lâu.
- Đồng ý hoặc không đồng ý: trừ các trường hợp luật cho phép xử lý không cần đồng ý (ví dụ phục vụ việc khẩn cấp đe doạ tính mạng, thực hiện nghĩa vụ theo luật).
- Rút lại sự đồng ý: đã đồng ý trước đó vẫn có thể rút.
- Truy cập và chỉnh sửa: xem dữ liệu của mình, yêu cầu sửa khi sai.
- Yêu cầu xoá, hạn chế xử lý: khi không còn mục đích hợp lệ, trừ trường hợp luật bắt phải lưu.
- Phản đối việc xử lý, nhất là cho quảng cáo, tiếp thị.
- Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường khi bị vi phạm.
- Tự bảo vệ theo quy định của pháp luật.
Đi kèm với quyền là nghĩa vụ: tự bảo vệ dữ liệu của mình, tôn trọng dữ liệu của người khác, cung cấp đúng thông tin khi đồng ý xử lý.
Những điều luật cấm đáng chú ý với người dùng
Mua bán dữ liệu cá nhân
Luật Bảo vệ dữ liệu cá nhân 2025 cấm mua bán dữ liệu cá nhân dưới mọi hình thức. Các "danh sách khách hàng", "data số điện thoại theo ngành" rao bán trên mạng là hàng phạm pháp. Người nhận những cuộc gọi tiếp thị biết rõ tên tuổi mình nên hiểu: dữ liệu ấy đến từ đâu đó, và có thể phản ánh.
Mạng xã hội không được bắt gửi ảnh giấy tờ để xác thực
Theo luật mới, nền tảng mạng xã hội không được yêu cầu người dùng cung cấp hình ảnh giấy tờ tuỳ thân như một yếu tố xác thực tài khoản (tính tới 11/2026). Quy định này nhằm giảm việc ảnh căn cước nằm rải rác ở máy chủ của rất nhiều bên.
Thu thập quá mức
Nguyên tắc chung là chỉ thu thập dữ liệu cần thiết cho mục đích đã nêu. Một ứng dụng đèn pin đòi quyền đọc danh bạ, một quán cà phê đòi số định danh để cho dùng Wi-Fi là ví dụ thu thập vượt mục đích.
Dùng quyền của mình trong đời thường
Luật chỉ có ý nghĩa khi người dân biết dùng. Vài tình huống quen thuộc:
- Ứng dụng đòi quá nhiều quyền: từ chối các quyền không liên quan (danh bạ, vị trí, micro). Ứng dụng vẫn chạy được thì quyền đó vốn không cần.
- Cửa hàng xin số điện thoại để tích điểm: hỏi họ dùng số đó vào việc gì, có gửi quảng cáo không. Có thể từ chối.
- Nhận tin nhắn quảng cáo không mong muốn: yêu cầu ngừng, và dùng kênh phản ánh tin nhắn rác của nhà mạng.
- Hết dùng dịch vụ: yêu cầu xoá tài khoản và dữ liệu thay vì chỉ gỡ ứng dụng khỏi điện thoại.
- Thấy dữ liệu mình bị dùng sai: khiếu nại với tổ chức trước, rồi đến cơ quan chuyên trách về bảo vệ dữ liệu cá nhân thuộc Bộ Công an.
Bài này chỉ trình bày kiến thức phổ thông, không thay cho tư vấn pháp lý. Muốn đọc nguyên văn, có thể tìm Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và các văn bản hướng dẫn trên Cơ sở dữ liệu quốc gia về văn bản pháp luật (vbpl.vn).
So với GDPR của châu Âu
Luật Việt Nam có nhiều điểm gần với GDPR: nguyên tắc giới hạn mục đích, tối thiểu hoá dữ liệu, quyền truy cập, quyền xoá, phân biệt dữ liệu nhạy cảm. Khác biệt nằm ở cơ chế thực thi và các quy định đặc thù (chuyển dữ liệu ra nước ngoài, vai trò của cơ quan chuyên trách). GDPR từng gây chú ý với các khoản phạt hàng trăm triệu euro đối với các công ty công nghệ lớn; luật Việt Nam cũng đặt ra mức phạt có thể tính theo doanh thu đối với một số vi phạm như mua bán dữ liệu. Điều này cho thấy dữ liệu cá nhân đã được coi là thứ có giá trị thật, không còn là "thông tin vô hại".
Góc nhìn hôm nay: dữ liệu là của mình
Thay đổi lớn nhất mà luật mang lại có lẽ không nằm ở điều khoản, mà ở cách nghĩ: thông tin về một người là của người đó, tổ chức chỉ được giữ hộ cho một mục đích đã nói rõ. Khi mỗi người quen hỏi "dùng để làm gì, lưu bao lâu, có chia cho ai không", các tổ chức cũng sẽ phải quen trả lời. Muốn tìm hiểu thêm, có thể tìm các tài liệu giới thiệu luật do cơ quan nhà nước, trường đại học luật phát hành, hoặc đọc phần câu hỏi thường gặp về GDPR trên trang của Uỷ ban châu Âu để so sánh.
Câu hỏi thường gặp
Dữ liệu cá nhân là gì?
Là thông tin gắn với một người cụ thể hoặc giúp xác định được một người cụ thể, như họ tên, ngày sinh, số định danh, số điện thoại, ảnh, vị trí, thông tin sức khoẻ. Pháp luật Việt Nam chia thành dữ liệu cơ bản và dữ liệu nhạy cảm.
Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ khi nào?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026. Trước đó, Nghị định 13/2023/NĐ-CP là văn bản chính, có hiệu lực từ 01/7/2023.
Dữ liệu cá nhân nhạy cảm gồm những gì?
Gồm các thông tin như sức khoẻ, di truyền, sinh trắc học, quan điểm chính trị, tôn giáo, đời sống tình dục, tiền án, tài khoản ngân hàng, vị trí định vị. Lộ các dữ liệu này có thể gây hại nghiêm trọng nên được bảo vệ chặt hơn.
Có quyền yêu cầu công ty xoá dữ liệu của mình không?
Có. Người có dữ liệu có quyền yêu cầu xoá khi không còn mục đích hợp lệ hoặc khi rút lại sự đồng ý, trừ các trường hợp pháp luật bắt buộc lưu giữ (tính tới 11/2026).
Mua bán danh sách số điện thoại có phạm luật không?
Có. Luật Bảo vệ dữ liệu cá nhân 2025 cấm mua bán dữ liệu cá nhân dưới mọi hình thức, và vi phạm có thể bị phạt nặng, kể cả mức phạt tính theo doanh thu thu được từ hành vi vi phạm.
