Quyền của chủ thể dữ liệu là gì? 6 nhóm quyền doanh nghiệp cần biết
Tìm hiểu quyền của chủ thể dữ liệu là gì ? 6 quyền của chủ quản dữ liệu theo luật bảo vệ dữ liệu cá nhân năm 2026
Quyền của chủ thể dữ liệu là những quyền giúp cá nhân kiểm soát thông tin liên quan đến mình. Đối với doanh nghiệp, mỗi quyền này đều gắn với trách nhiệm khi thu thập, lưu trữ và sử dụng dữ liệu. Nếu không có quy trình phù hợp, doanh nghiệp có thể gặp rủi ro khiếu nại, mất uy tín hoặc vi phạm quy định. Bài viết dưới đây Getfly CRM sẽ giúp chủ doanh nghiệp hiểu rõ các quyền và cách triển khai trong thực tế.
1. Quyền của chủ thể dữ liệu là gì?
Quyền của chủ thể dữ liệu là tập hợp các quyền cho phép cá nhân tham gia kiểm soát quá trình thu thập, sử dụng, lưu trữ, chỉnh sửa, chia sẻ và xóa dữ liệu liên quan đến mình.
Theo Luật Bảo vệ dữ liệu cá nhân, chủ thể dữ liệu cá nhân là người được dữ liệu cá nhân phản ánh. Nói cách khác, dữ liệu đang mô tả hoặc giúp xác định ai thì người đó là chủ thể dữ liệu.
Ví dụ, một khách hàng để lại họ tên và số điện thoại trên website để nhận tư vấn. Khách hàng đó là chủ thể dữ liệu, còn doanh nghiệp tiếp nhận và quyết định mục đích sử dụng thông tin thường giữ vai trò bên kiểm soát dữ liệu cá nhân.
Quyền của chủ thể dữ liệu được áp dụng trong toàn bộ vòng đời của dữ liệu, từ lúc thông tin được thu thập cho đến khi được xóa, hủy hoặc khử nhận dạng. Doanh nghiệp vì thế phải xem xét quyền của cá nhân ở nhiều điểm tiếp xúc khác nhau, không chỉ tại thời điểm khách hàng điền biểu mẫu.
Quyền của chủ thể dữ liệu giúp cá nhân kiểm soát thông tin liên quan đến mình
>>> Xem thêm:
- Hệ thống CRM bảo mật dữ liệu: Giải pháp an toàn cho doanh nghiệp
- CRM kiểm soát truy cập dữ liệu như thế nào để hạn chế rò rỉ?
2. Phân biệt chủ thể dữ liệu với các bên tham gia xử lý dữ liệu
Người mới tìm hiểu thường nhầm chủ thể dữ liệu với bên sở hữu hoặc quản lý hệ thống. Có thể phân biệt các vai trò cơ bản như sau:
|
Vai trò |
Cách hiểu đơn giản |
Ví dụ |
|
Chủ thể dữ liệu |
Cá nhân được thông tin phản ánh |
Khách hàng để lại số điện thoại |
|
Bên kiểm soát dữ liệu |
Bên quyết định mục đích và cách xử lý |
Doanh nghiệp quyết định thu thập dữ liệu để tư vấn |
|
Bên xử lý dữ liệu |
Bên xử lý theo yêu cầu hoặc hợp đồng |
Đơn vị cung cấp hệ thống lưu trữ |
|
Bên kiểm soát và xử lý dữ liệu |
Vừa quyết định mục đích, vừa trực tiếp xử lý |
Doanh nghiệp tự xây dựng và vận hành hệ thống |
|
Bên thứ ba |
Bên tham gia ngoài các chủ thể chính |
Đối tác vận chuyển hoặc đối tác hỗ trợ marketing |
Luật hiện hành phân định các vai trò này dựa trên việc ai quyết định mục đích, phương tiện và trực tiếp thực hiện hoạt động xử lý dữ liệu.
Sự phân biệt này rất quan trọng. Doanh nghiệp sử dụng phần mềm của nhà cung cấp bên ngoài không đồng nghĩa với việc chuyển toàn bộ trách nhiệm bảo vệ dữ liệu cho nhà cung cấp đó.
3. Sáu nhóm quyền của chủ thể dữ liệu doanh nghiệp cần bảo đảm
Mỗi quyền của chủ thể dữ liệu đều tạo ra trách nhiệm tương ứng cho doanh nghiệp. Chủ doanh nghiệp cần hiểu khách hàng được yêu cầu điều gì và hệ thống nội bộ phải hỗ trợ như thế nào để xử lý đúng quy định.
3.1. Quyền được biết về hoạt động xử lý dữ liệu
Cá nhân có quyền biết doanh nghiệp đang thu thập thông tin nào, thu thập để làm gì, lưu trong bao lâu và có chia sẻ cho đơn vị khác hay không. Những nội dung này cần được thông báo rõ trước hoặc tại thời điểm doanh nghiệp nhận dữ liệu.
Ví dụ, khi yêu cầu khách hàng nhập số điện thoại, doanh nghiệp nên nói rõ số điện thoại được dùng để tư vấn, xác nhận đơn hàng hay gửi quảng cáo. Không nên thu thập cho một mục đích rồi tự ý sử dụng sang mục đích khác.
Doanh nghiệp phải thông báo rõ cách thu thập và sử dụng dữ liệu cá nhân
3.2. Quyền đồng ý, không đồng ý và rút lại sự đồng ý
Cá nhân có quyền quyết định cho phép hoặc không cho phép doanh nghiệp xử lý dữ liệu của mình. Sau khi đã đồng ý, họ vẫn có thể rút lại sự đồng ý đối với những hoạt động xử lý trong tương lai.
Doanh nghiệp nên tách riêng từng mục đích như tư vấn, nhận quảng cáo, chia sẻ cho đối tác hoặc sử dụng hình ảnh. Việc khách hàng để lại số điện thoại để nhận báo giá không có nghĩa doanh nghiệp được tự động dùng số đó cho mọi chiến dịch marketing.
3.3. Quyền xem và chỉnh sửa dữ liệu
Cá nhân có quyền xem thông tin doanh nghiệp đang lưu và yêu cầu chỉnh sửa nếu dữ liệu bị sai hoặc không còn phù hợp. Các lỗi thường gặp gồm sai số điện thoại, email, địa chỉ, lịch sử giao dịch hoặc trạng thái hợp đồng.
Sau khi xác minh yêu cầu, doanh nghiệp cần cập nhật dữ liệu trên tất cả hệ thống liên quan. Nếu số điện thoại đã được sửa trên CRM nhưng công cụ gửi tin nhắn vẫn dùng số cũ thì việc chỉnh sửa chưa hoàn tất.
Chủ thể dữ liệu có quyền yêu cầu xem và cập nhật thông tin chưa chính xác
3.4. Quyền yêu cầu cung cấp, xóa, hạn chế hoặc phản đối xử lý dữ liệu
Cá nhân có thể yêu cầu doanh nghiệp cung cấp dữ liệu đang lưu, xóa thông tin, hạn chế một số hoạt động hoặc ngừng sử dụng dữ liệu cho mục đích nhất định. Ví dụ, khách hàng có thể yêu cầu ngừng nhận quảng cáo nhưng vẫn giữ thông tin cần thiết để bảo hành.
Trước khi thực hiện, doanh nghiệp cần xác minh người yêu cầu và kiểm tra nghĩa vụ lưu trữ liên quan. Không phải yêu cầu xóa nào cũng dẫn đến việc xóa toàn bộ dữ liệu, vì một số thông tin vẫn có thể cần được giữ để thực hiện hợp đồng, kế toán hoặc giải quyết tranh chấp.
3.5. Quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường
Khi cho rằng dữ liệu bị sử dụng sai, cá nhân có quyền khiếu nại, tố cáo, khởi kiện hoặc yêu cầu bồi thường thiệt hại. Tranh chấp có thể phát sinh khi doanh nghiệp không chứng minh được sự đồng ý, tiếp tục quảng cáo sau khi khách hàng từ chối hoặc chia sẻ dữ liệu sai phạm vi.
Để bảo vệ mình, doanh nghiệp cần lưu lại lịch sử xem, sửa, xuất, chuyển và xóa dữ liệu. Nhật ký hệ thống cùng hồ sơ xử lý yêu cầu sẽ giúp xác định trách nhiệm và chứng minh quá trình tuân thủ khi có tranh chấp.
Chủ thể dữ liệu có quyền yêu cầu bảo vệ lợi ích khi phát sinh vi phạm
3.6. Quyền yêu cầu áp dụng biện pháp bảo vệ dữ liệu
Cá nhân có thể yêu cầu doanh nghiệp hoặc cơ quan có thẩm quyền áp dụng biện pháp bảo vệ khi phát hiện dữ liệu có nguy cơ bị lộ, sử dụng sai mục đích hoặc truy cập trái phép. Tình huống thường gặp là tài khoản bị xâm nhập, thông tin bị gửi nhầm hoặc nhân viên cũ vẫn còn quyền truy cập.
Khi tiếp nhận phản ánh, doanh nghiệp cần nhanh chóng đánh giá rủi ro và thực hiện biện pháp phù hợp như khóa tài khoản, đổi mật khẩu, thu hồi quyền truy cập hoặc dừng chia sẻ dữ liệu. Nếu sự cố thuộc trường hợp phải thông báo, doanh nghiệp cần thực hiện đúng thời hạn và quy trình pháp luật quy định.
>>> Xem thêm:
- Lưu dữ liệu trên CRM có an toàn không? Doanh nghiệp cần lưu ý gì?
- Phần mềm quản lý khách hàng an toàn cần đáp ứng những tiêu chí nào?
4. Chủ thể dữ liệu có nghĩa vụ gì?
Quyền của chủ thể dữ liệu không phải là quyền sử dụng không giới hạn. Cá nhân khi thực hiện quyền cũng phải tuân thủ pháp luật và không được gây cản trở trái quy định cho doanh nghiệp hoặc xâm phạm quyền của người khác.
Luật xác định một số nghĩa vụ cơ bản của chủ thể dữ liệu, gồm:
- Tự bảo vệ thông tin cá nhân của mình.
- Tôn trọng dữ liệu cá nhân của người khác.
- Cung cấp thông tin đầy đủ, chính xác khi pháp luật hoặc thỏa thuận yêu cầu.
- Tuân thủ quy định về bảo vệ dữ liệu cá nhân.
- Không lợi dụng quyền dữ liệu để gây ảnh hưởng đến quyền và lợi ích hợp pháp của tổ chức, cá nhân khác.
Ví dụ, một khách hàng không thể yêu cầu doanh nghiệp cung cấp dữ liệu riêng tư của nhân viên chỉ vì tên nhân viên xuất hiện trong lịch sử trao đổi. Doanh nghiệp phải cân bằng quyền của người yêu cầu với quyền của các cá nhân có liên quan.
Chủ thể dữ liệu cần thực hiện đầy đủ nghĩa vụ trong quá trình sử dụng dữ liệu
5. Trách nhiệm của các bên tham gia xử lý dữ liệu cá nhân
Theo Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025, trách nhiệm được phân định theo vai trò của từng bên trong quá trình thu thập, quản lý và sử dụng dữ liệu.
5.1. Trách nhiệm của bên kiểm soát dữ liệu cá nhân
Bên kiểm soát là đơn vị quyết định mục đích và phương thức xử lý dữ liệu. Các trách nhiệm chính gồm:
- Quy định rõ quyền, nghĩa vụ và trách nhiệm của các bên trong hợp đồng hoặc thỏa thuận xử lý dữ liệu.
- Xác định cụ thể mục đích, phương tiện và phạm vi xử lý dữ liệu cá nhân.
- Áp dụng, rà soát và cập nhật các biện pháp quản lý, kỹ thuật để bảo vệ dữ liệu.
- Bảo đảm chủ thể dữ liệu có thể thực hiện đầy đủ các quyền theo quy định.
- Lựa chọn bên xử lý dữ liệu có đủ năng lực và điều kiện phù hợp.
- Ngăn chặn việc thu thập trái phép dữ liệu từ hệ thống, thiết bị hoặc dịch vụ do mình quản lý.
- Thông báo hành vi vi phạm và phối hợp với cơ quan có thẩm quyền khi được yêu cầu.
- Chịu trách nhiệm đối với thiệt hại phát sinh từ hoạt động xử lý dữ liệu thuộc phạm vi quản lý.
Bên kiểm soát quyết định mục đích và bảo đảm an toàn cho dữ liệu cá nhân
5.2. Trách nhiệm của bên xử lý dữ liệu cá nhân
Bên xử lý chỉ được tiếp nhận và sử dụng dữ liệu trên cơ sở hợp đồng hoặc thỏa thuận với bên kiểm soát. Đơn vị này có trách nhiệm:
- Chỉ xử lý dữ liệu theo đúng nội dung, mục đích và phạm vi đã được giao.
- Triển khai đầy đủ các biện pháp bảo vệ dữ liệu theo quy định.
- Không tự ý sử dụng, chuyển giao hoặc mở rộng mục đích xử lý.
- Ngăn chặn việc truy cập, thu thập dữ liệu trái phép từ hệ thống của mình.
- Chịu trách nhiệm với bên kiểm soát về thiệt hại do hoạt động xử lý gây ra.
- Phối hợp cung cấp thông tin cho cơ quan có thẩm quyền khi phục vụ điều tra, xử lý vi phạm.
5.3. Trách nhiệm của bên kiểm soát và xử lý dữ liệu cá nhân
Bên vừa quyết định mục đích, phương thức xử lý, vừa trực tiếp thực hiện hoạt động xử lý phải tuân thủ đầy đủ trách nhiệm của cả bên kiểm soát và bên xử lý dữ liệu cá nhân.
Các quy định trên được áp dụng theo Luật Bảo vệ dữ liệu cá nhân 2025, có hiệu lực từ ngày 01/01/2026.
Bên kiểm soát và xử lý phải thực hiện đầy đủ trách nhiệm của cả hai vai trò
Bài viết liên quan:
- Quyền của chủ quản dữ liệu là gì? Vai trò và trách nhiệm cần biết
- Bảo mật cho server: Những lớp phòng vệ doanh nghiệp không nên bỏ qua
- Bảo mật SQL Server: Cách kiểm soát truy cập và bảo vệ dữ liệu
- Chủ quyền sở hữu dữ liệu là gì? Vì sao doanh nghiệp cần quan tâm?
Hiểu rõ quyền của chủ thể dữ liệu giúp doanh nghiệp sử dụng thông tin khách hàng đúng mục đích và minh bạch hơn. Doanh nghiệp cần kết hợp chính sách rõ ràng, quy trình xử lý thống nhất và hệ thống quản lý dữ liệu phù hợp. Việc chủ động đáp ứng các yêu cầu xem, sửa, hạn chế hoặc xóa dữ liệu sẽ giúp giảm rủi ro trong vận hành. Đây cũng là nền tảng để xây dựng lòng tin bền vững với khách hàng, nhân viên và đối tác.
Don’t miss out
Getfly CRM is an all-in-one platform built for SMEs with the mission: “Get Simple - Fly Different.” Our ecosystem of solutions includes CRM, Marketing Automation, Customer Care, Social CRM, HRM, Finance - Accounting... Getfly CRM is an all-in-one platform built for SMEs with the mission: “Get Simple - Fly Different.” Our ecosystem of solutions includes CRM, Marketing Automation, Customer Care, Social CRM, HRM, Finance - Accounting... All are integrated into a single platform, helping businesses streamline operations and maximize efficiency.
Just for you
