6 Quyền của chủ thể dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 2026
Tìm hiểu quyền của chủ thể dữ liệu là gì ? 6 quyền của chủ quản dữ liệu theo luật bảo vệ dữ liệu cá nhân năm 2026
6 Quyền của chủ thể dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 2026
Việc nắm rõ quyền của chủ thể dữ liệu (chủ quản dữ liệu) chính là "vũ khí" giúp bạn làm chủ hoàn toàn thông tin cá nhân của mình, ngăn chặn triệt để nguy cơ bị rò rỉ, lừa đảo tài chính hay bị các doanh nghiệp mua bán data trái phép. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) chính thức có hiệu lực, mang đến cho bạn 6 quyền lợi bảo vệ cốt lõi. Trong bài viết này, Getfly sẽ giúp bạn hiểu rõ từng quyền và cách áp dụng ngay vào thực tế để tự bảo vệ mình trên không gian số.
1. "Chủ thể dữ liệu" thực ra là ai? Phân biệt 3 chủ thể pháp lý
Trước khi đi sâu vào quyền của chủ thể dữ liệu, bạn cần phân định rõ ba chủ thể pháp lý thường bị sử dụng lẫn lộn trong văn nói và truyền thông. Việc nhầm lẫn các thuật ngữ này khiến nhiều cá nhân không biết mình có quyền gì, còn doanh nghiệp lại lúng túng trong việc xác định nghĩa vụ tuân thủ. Luật Bảo vệ dữ liệu cá nhân 2025 cùng các văn bản hướng dẫn đã quy định ba vai trò pháp lý độc lập, mỗi vai trò có quyền và trách nhiệm riêng biệt.
Trong thực tế tìm kiếm, cụm từ "chủ thể dữ liệu" được người dùng dùng phổ biến để chỉ chính bản thân họ – tức "chủ thể dữ liệu cá nhân" theo định nghĩa pháp luật. Bài viết dựa trên các quy định mới nhất của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (thường được gọi là Luật Bảo vệ dữ liệu cá nhân 2025) và chính thức có hiệu lực thi hành từ ngày 01/01/2026.
|
Thuật ngữ pháp lý |
Vai trò |
Ví dụ thực tế |
|
Chủ thể dữ liệu cá nhân |
Cá nhân mà dữ liệu phản ánh thông tin về họ |
Bạn khi đăng ký tài khoản ngân hàng, mua sắm online |
|
Bên kiểm soát dữ liệu cá nhân |
Tổ chức quyết định mục đích, phương thức xử lý |
Ngân hàng, sàn thương mại điện tử, công ty bảo hiểm |
|
Bên xử lý dữ liệu cá nhân |
Đơn vị xử lý dữ liệu thay mặt bên kiểm soát |
Công ty cung cấp CRM, đối tác outsource, dịch vụ cloud |
Như vậy, khi bạn tìm hiểu về "quyền của chủ thể dữ liệu", bản chất bạn đang tìm hiểu các quyền dành cho chính mình – cá nhân có thông tin bị thu thập – chứ không phải quyền của doanh nghiệp vận hành hệ thống dữ liệu.
2. 6 quyền cốt lõi của chủ quản dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 2026
Dưới đây là 6 quyền lợi hợp pháp mà Luật số 91/2025/QH15 trao cho bạn, đi kèm là hướng dẫn chi tiết cơ chế thực thi để bạn có thể chủ động áp dụng ngay lúc này:
2.1. Quyền 1: Được biết về hoạt động xử lý dữ liệu cá nhân
Trước khi thu thập bất cứ thông tin cá nhân (tên tuổi, số điện thoại, email...), doanh nghiệp bắt buộc phải thông báo rõ ràng: Họ lấy dữ liệu để làm gì và sử dụng như thế nào? Người dùng có quyền được biết mọi thứ một cách minh bạch. Tuyệt đối không có chuyện doanh nghiệp được phép "âm thầm thu thập" hay mặc định rằng "người dùng cung cấp nghĩa là đã biết".
Các thông tin bắt buộc phải được thông báo bao gồm:
-
Loại dữ liệu cá nhân được thu thập (cơ bản, nhạy cảm).
-
Mục đích xử lý dữ liệu cá nhân.
-
Tổ chức, cá nhân được phép tiếp cận hoặc nhận chuyển giao dữ liệu.
-
Thời gian lưu trữ và phương thức xử lý.
-
Quyền và nghĩa vụ của chủ thể dữ liệu.
Ví dụ thực tế: Khi ngân hàng chia sẻ dữ liệu khách hàng cho công ty thu hồi nợ hoặc đối tác bảo hiểm, ngân hàng phải thông báo trước cho khách hàng về việc chia sẻ này.
2.2. Quyền 2: Đồng ý, không đồng ý, rút lại sự đồng ý
Doanh nghiệp chỉ được phép xử lý dữ liệu khi có sự cho phép rõ ràng từ khách hàng (có thể bằng văn bản, thao tác bấm nút hoặc tick vào ô đồng ý trên màn hình). Luật quy định rất chặt: Nếu bạn im lặng, lướt qua hoặc không phản hồi, doanh nghiệp không được phép tự ý coi đó là "bạn đã đồng ý". Mọi mánh khóe như "tick sẵn vào ô đồng ý" đều là vi phạm pháp luật.
2.3. Quyền 3: Xem, chỉnh sửa, yêu cầu chỉnh sửa dữ liệu
Quyền truy cập cho phép bạn xem toàn bộ dữ liệu cá nhân mà tổ chức đang nắm giữ. Đây là quyền có sự tương đồng cao với GDPR của châu Âu, đảm bảo nguyên tắc minh bạch trong xử lý dữ liệu. Doanh nghiệp buộc phải xây dựng cơ chế self-service trên ứng dụng hoặc form yêu cầu chính thức để đáp ứng quyền này.
Khi phát hiện dữ liệu sai lệch, không chính xác hoặc đã lỗi thời, bạn có quyền yêu cầu chỉnh sửa hoặc tự chỉnh sửa nếu hệ thống cho phép. Bên kiểm soát dữ liệu phải xử lý yêu cầu trong thời hạn luật định, thường là 72 giờ kể từ khi nhận được yêu cầu.
Ví dụ minh họa: Khách hàng phát hiện số điện thoại đăng ký với ngân hàng đã sai 1 số. Khách hàng có quyền truy cập app, vào mục "Thông tin cá nhân" để xem và chỉnh sửa trực tiếp. Nếu app không hỗ trợ, ngân hàng phải tiếp nhận yêu cầu qua kênh khác và cập nhật kịp thời.
2.4. Quyền 4: Yêu cầu cung cấp, xóa, hạn chế xử lý, phản đối
Đây là nhóm quyền mạnh nhất trong 6 quyền của chủ quản dữ liệu, đặc biệt quyền "được lãng quên" là điểm mới quan trọng nhất so với pháp luật trước đây. Bất cứ lúc nào, người dùng có thể đề nghị doanh nghiệp thực thi những yêu cầu sau:
-
Yêu cầu cung cấp bản sao dữ liệu cá nhân ở định dạng có thể đọc được.
-
Yêu cầu xóa dữ liệu cá nhân khi không còn cần thiết cho mục đích đã thông báo.
-
Yêu cầu hạn chế xử lý dữ liệu trong các trường hợp đang khiếu nại hoặc tranh chấp.
-
Phản đối việc xử lý dữ liệu cho mục đích marketing trực tiếp.
Tuy nhiên, doanh nghiệp có quyền từ chối yêu cầu xóa trong một số trường hợp đặc biệt. Cụ thể, nếu dữ liệu cần lưu trữ theo quy định của luật chuyên ngành (luật kế toán, luật ngân hàng), dữ liệu phục vụ mục đích quốc phòng – an ninh quốc gia, hoặc dữ liệu đang cần thiết cho việc thực hiện hợp đồng đang còn hiệu lực, doanh nghiệp được phép giữ lại nhưng phải giải thích rõ căn cứ pháp lý cho bạn biết.
2.5. Quyền 5: Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường
Khi phát hiện doanh nghiệp dùng sai mục đích, làm rò rỉ hoặc bán dữ liệu của mình, bạn có quyền khiếu nại lên doanh nghiệp, tố cáo tới Cục An ninh mạng (A05) hoặc khởi kiện ra tòa để đòi bồi thường thiệt hại.
-
Thời gian xử lý: Theo quy định, tổ chức/doanh nghiệp bắt buộc phải tiếp nhận và có phương án giải quyết khiếu nại của bạn trong thời hạn tối đa là 72 giờ kể từ khi nhận được yêu cầu hợp lệ.
-
Lưu ý khi khởi kiện: Để việc khiếu nại/khởi kiện có lợi cho bạn, hãy chủ động lưu lại mọi bằng chứng ngay khi phát hiện sự việc (ảnh chụp màn hình tin nhắn spam, email quảng cáo rác, lịch sử cuộc gọi, hoặc các thay đổi bất thường trong tài khoản).
2.6. Quyền 6: Yêu cầu cơ quan, tổ chức thực hiện biện pháp bảo vệ
Quyền cuối cùng trong nhóm quyền của chủ quản dữ liệu mang tính chất chủ động "cầu cứu". Bạn có quyền yêu cầu bên kiểm soát triển khai các biện pháp bảo vệ cụ thể nhằm hạn chế rủi ro lộ lọt thông tin cá nhân của mình. Đây là quyền mới mà nhiều người chưa biết để khai thác.
Các biện pháp bảo vệ thường được yêu cầu bao gồm:
-
Mã hóa dữ liệu nhạy cảm (định danh cá nhân, sinh trắc học, tài chính).
-
Xác thực 2 lớp (2FA) cho mọi giao dịch quan trọng.
-
Cảnh báo bất thường khi có đăng nhập từ thiết bị lạ.
-
Phân quyền truy cập nội bộ, hạn chế nhân viên xem được dữ liệu khách hàng không thuộc phạm vi công việc.
-
Ghi log truy cập và lưu trữ tối thiểu 24 tháng để phục vụ truy vết khi có sự cố.
Doanh nghiệp có nghĩa vụ xem xét và phản hồi yêu cầu hợp lý trong thời gian luật định.
3. 04 nghĩa vụ tương ứng – bạn phải làm gì khi dùng quyền?
Khi thực thi quyền của chủ quản dữ liệu, bạn không đứng ngoài hệ thống nghĩa vụ. Luật Bảo vệ dữ liệu cá nhân 2025 thiết lập 4 nhóm nghĩa vụ tương ứng nhằm đảm bảo cân bằng giữa quyền cá nhân và lợi ích xã hội. Phần này chuyển hóa các nghĩa vụ luật định thành hành động cụ thể bạn nên làm trong đời sống hàng ngày.
3.1. Tự bảo vệ dữ liệu và tôn trọng dữ liệu người khác
Trách nhiệm đầu tiên của chủ thể dữ liệu là tự bảo vệ thông tin cá nhân của mình và không xâm phạm dữ liệu của người khác. Pháp luật không thể can thiệp nếu bạn chủ động đăng tải dữ liệu nhạy cảm lên mạng xã hội công khai. Dưới đây là checklist 7 hành động thiết thực theo khuyến cáo an toàn từ Cục An toàn thông tin và Bộ Công an, để tự bảo vệ mình, người dùng cần bạn nên thực hiện ngay:
-
Sử dụng mật khẩu mạnh, ít nhất 12 ký tự, kết hợp chữ – số – ký tự đặc biệt.
-
Bật xác thực 2 lớp (2FA) cho email, ngân hàng, mạng xã hội.
-
Không nhấp vào link lạ trong tin nhắn SMS, Zalo, email không rõ nguồn gốc.
-
Hạn chế công khai số CCCD, ngày sinh, địa chỉ trên mạng xã hội.
-
Kiểm tra quyền truy cập của các ứng dụng cài trên điện thoại định kỳ.
-
Không chia sẻ, mua bán, đăng tải dữ liệu cá nhân của người khác.
-
Lưu giữ bằng chứng giao dịch điện tử để phục vụ khiếu nại nếu cần.
Việc tôn trọng dữ liệu người khác cũng quan trọng không kém. Hành vi mua – bán – đăng tải thông tin cá nhân không có sự đồng ý của họ có thể bị xử phạt hành chính, thậm chí truy cứu trách nhiệm hình sự.
3.2. Cung cấp dữ liệu chính xác và chấp hành pháp luật
Khi sử dụng dịch vụ, bạn có nghĩa vụ cung cấp thông tin cá nhân chính xác để đảm bảo giao dịch hợp lệ. Cung cấp thông tin sai lệch nhằm trục lợi (ví dụ khai gian thu nhập để vay vốn, mượn CCCD người khác đăng ký dịch vụ) sẽ làm mất hiệu lực hợp đồng và có thể bị truy cứu trách nhiệm pháp lý.
Việc thực thi quyền của chủ thể dữ liệu phải tuân thủ nguyên tắc không cản trở hoạt động hợp pháp của bên kiểm soát, không xâm phạm lợi ích chính đáng của bên thứ ba. Một số tình huống minh họa cụ thể:
-
Yêu cầu xóa dữ liệu giao dịch ngân hàng đang trong thời hạn lưu trữ 10 năm theo Luật Kế toán: doanh nghiệp được phép từ chối.
-
Yêu cầu xóa hồ sơ bệnh án đang phục vụ điều trị: không hợp lý, sẽ bị từ chối.
-
Lạm dụng quyền yêu cầu cung cấp dữ liệu nhằm gây phiền hà cho doanh nghiệp: có thể bị xem xét trách nhiệm.
Tại các doanh nghiệp đang ứng dụng nền tảng CRM như Getfly CRM, việc tuân thủ và phối hợp giữa chủ thể dữ liệu và bên kiểm soát được hỗ trợ thông qua quy trình quản lý đồng ý số hóa, minh bạch và có thể truy vết.
4. Các trường hợp xử lý dữ liệu KHÔNG cần sự đồng ý của bạn
Mặc dù quyền của chủ thể dữ liệu được bảo vệ rộng rãi, Luật Bảo vệ dữ liệu cá nhân 2025 vẫn quy định một số trường hợp ngoại lệ. Đây là phần thông tin nhiều người không biết, dẫn đến hiểu lầm rằng mọi hoạt động xử lý dữ liệu đều cần có sự đồng ý của cá nhân. Hiểu rõ các ngoại lệ giúp bạn tránh khiếu nại sai địa chỉ.
4.1. 5 trường hợp ngoại lệ theo Luật Bảo vệ dữ liệu cá nhân 2025
Luật quy định cụ thể 5 nhóm tình huống mà bên kiểm soát dữ liệu được phép xử lý dữ liệu cá nhân mà không cần xin phép chủ thể trước:
-
Bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu trong tình huống cấp bách (cấp cứu, tai nạn).
-
Tình trạng khẩn cấp về quốc phòng – an ninh quốc gia, trật tự an toàn xã hội, thiên tai, dịch bệnh.
-
Phục vụ hoạt động của cơ quan nhà nước theo quy định pháp luật (điều tra, thuế, hải quan).
-
Thực hiện nghĩa vụ theo hợp đồng đã ký kết với chủ thể dữ liệu.
-
Theo quy định bắt buộc của các luật chuyên ngành (luật kế toán, luật phòng chống rửa tiền).
|
Trường hợp ngoại lệ |
Ví dụ thực tế |
|
Cấp cứu y tế |
Bệnh viện truy xuất tiền sử bệnh nhân hôn mê |
|
An ninh quốc gia |
Cơ quan an ninh truy cập dữ liệu nghi can |
|
Cơ quan nhà nước |
Cục Thuế đối chiếu thu nhập kê khai |
|
Nghĩa vụ hợp đồng |
Sàn TMĐT chia sẻ địa chỉ cho đơn vị giao hàng |
|
Luật chuyên ngành |
Ngân hàng lưu giao dịch 10 năm theo luật kế toán |
4.2. Ai có trách nhiệm chứng minh ngoại lệ là hợp pháp?
Theo nguyên tắc minh bạch, trách nhiệm chứng minh tính hợp pháp của ngoại lệ thuộc về bên kiểm soát dữ liệu cá nhân, không thuộc về bạn. Doanh nghiệp phải lưu giữ đầy đủ bằng chứng pháp lý cho mỗi lần áp dụng ngoại lệ – văn bản yêu cầu từ cơ quan có thẩm quyền, điều khoản luật chuyên ngành, hoặc nội dung hợp đồng cụ thể.
Ví dụ minh họa: Cơ quan công an gửi văn bản yêu cầu ngân hàng cung cấp lịch sử giao dịch của khách hàng nghi vấn rửa tiền. Ngân hàng phải lưu lại văn bản yêu cầu kèm số hiệu, ngày tháng, người ký, đồng thời chỉ cung cấp dữ liệu trong phạm vi yêu cầu. Nếu khách hàng khiếu nại sau này, ngân hàng dùng chính văn bản này để chứng minh ngoại lệ hợp pháp. Việc cung cấp vượt phạm vi yêu cầu sẽ làm mất căn cứ ngoại lệ.
5. Mức xử phạt khi doanh nghiệp vi phạm quyền kiểm soát dữ liệu cá nhân
Quyền của chủ quản dữ liệu chỉ thực sự có hiệu lực khi đi kèm chế tài đủ mạnh. Luật Bảo vệ dữ liệu cá nhân 2025 và nghị định hướng dẫn quy định mức xử phạt nặng đối với doanh nghiệp vi phạm, áp dụng song song trách nhiệm hành chính – dân sự – hình sự.
5.1. Bảng mức phạt theo nhóm hành vi
Mức phạt được phân loại theo tính chất và mức độ nghiêm trọng của hành vi vi phạm. Đặc biệt, các hành vi mua bán dữ liệu trái phép có thể bị phạt theo bội số của khoản thu lợi bất chính, làm tăng tính răn đe.
|
Nhóm hành vi vi phạm |
Mức xử phạt |
|
Mua, bán dữ liệu cá nhân trái phép |
Phạt tiền đến 10 lần khoản thu lợi |
|
Chuyển dữ liệu xuyên biên giới sai quy định |
Phạt tiền đến 5% doanh thu năm liền trước |
|
Không thông báo sự cố lộ lọt dữ liệu trong 72 giờ |
Phạt tiền đến 3 tỷ đồng |
|
Không thực hiện yêu cầu xóa, chỉnh sửa của chủ thể |
Phạt tiền và buộc khắc phục hậu quả |
|
Thu thập dữ liệu vượt phạm vi đã thông báo |
Phạt tiền và buộc tiêu hủy dữ liệu |
Ngoài hình thức phạt tiền, doanh nghiệp vi phạm còn có thể bị đình chỉ hoạt động xử lý dữ liệu, công khai thông tin vi phạm trên cổng thông tin của Bộ Công an. Đây là chế tài uy tín có sức răn đe rất lớn với doanh nghiệp dịch vụ.
5.2. Trách nhiệm hình sự trong trường hợp nghiêm trọng
Khi hành vi vi phạm quyền của chủ quản dữ liệu gây hậu quả nghiêm trọng, cá nhân thực hiện có thể bị truy cứu trách nhiệm hình sự theo Điều 288 Bộ luật Hình sự về tội đưa hoặc sử dụng trái phép thông tin trên mạng máy tính, mạng viễn thông. Khung hình phạt lên đến 7 năm tù giam tùy mức độ thiệt hại gây ra cho nạn nhân và xã hội. Bên cạnh đó, người vi phạm còn có thể bị phạt tiền bổ sung, cấm đảm nhiệm chức vụ, cấm hành nghề trong thời hạn 1 đến 5 năm.
6. Câu hỏi thường gặp về quyền của chủ thể dữ liệu
Thời gian doanh nghiệp phải tiếp nhận và xử lý yêu cầu quyền dữ liệu của tôi là bao lâu? Căn cứ theo Nghị định 356/2025/NĐ-CP (hướng dẫn thi hành Luật Bảo vệ dữ liệu cá nhân), đối với các yêu cầu như cung cấp bản sao dữ liệu, chỉnh sửa hay xóa bỏ thông tin, doanh nghiệp/tổ chức có trách nhiệm phải thực hiện và phản hồi lại cho bạn trong thời gian tối đa là 72 giờ kể từ lúc nhận được yêu cầu hợp lệ.
Tôi gửi yêu cầu xóa dữ liệu mà doanh nghiệp im lặng 30 ngày, phải làm gì?
Quá thời hạn luật định mà bên kiểm soát không phản hồi được coi là từ chối thực hiện quyền. Bạn có thể gửi đơn tố cáo đến Cục An ninh mạng (A05 – Bộ Công an), đồng thời chuẩn bị hồ sơ khởi kiện dân sự yêu cầu bồi thường thiệt hại. Lưu giữ bằng chứng đã gửi yêu cầu (email, công văn, dấu xác nhận) là rất quan trọng.
Trẻ em dưới 18 tuổi có những quyền nào?
Trẻ em có đầy đủ quyền của chủ quản dữ liệu như người lớn, nhưng việc thực thi do người đại diện theo pháp luật (cha mẹ, người giám hộ) thực hiện. Với trẻ từ 7 tuổi trở lên, sự đồng ý cần có cả của trẻ và người đại diện. Dữ liệu nhạy cảm của trẻ em được áp dụng cơ chế bảo vệ đặc biệt nghiêm ngặt hơn.
Quyền của tôi có áp dụng với công ty nước ngoài không có văn phòng ở Việt Nam?
Luật Bảo vệ dữ liệu cá nhân 2025 áp dụng nguyên tắc ngoài lãnh thổ. Mọi tổ chức nước ngoài xử lý dữ liệu của công dân Việt Nam đều thuộc phạm vi điều chỉnh, kể cả không có văn phòng đại diện. Họ phải chỉ định đại diện pháp lý tại Việt Nam và đăng ký với cơ quan có thẩm quyền để chịu trách nhiệm.
Mạng xã hội có được dùng dữ liệu tôi để huấn luyện AI?
Việc sử dụng dữ liệu cá nhân để huấn luyện trí tuệ nhân tạo phải có sự đồng ý riêng biệt, không được gộp chung với đồng ý sử dụng dịch vụ thông thường. Bạn có quyền từ chối hoặc rút đồng ý đối với mục đích huấn luyện AI mà không ảnh hưởng đến quyền sử dụng dịch vụ cơ bản.
Tôi được bồi thường bao nhiêu khi dữ liệu bị lộ?
Mức bồi thường được tính dựa trên thiệt hại vật chất thực tế (tiền mất do lừa đảo, chi phí khắc phục) cộng tổn thất tinh thần. Tòa án sẽ xác định mức cụ thể tùy mức độ nghiêm trọng, thường dao động từ vài triệu đến vài trăm triệu đồng. Bạn nên thu thập đầy đủ bằng chứng thiệt hại để bảo vệ quyền lợi.
Quyền của chủ thể dữ liệu lần đầu được luật hóa toàn diện qua Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 01/01/2026. Sáu nhóm quyền cốt lõi cùng cơ chế khiếu nại – tố cáo – khởi kiện đã trao cho mỗi cá nhân công cụ pháp lý đủ mạnh để kiểm soát thông tin của chính mình trong môi trường số. Nắm vững các quyền này không chỉ giúp bạn tự bảo vệ mà còn buộc doanh nghiệp nâng cao chuẩn mực tuân thủ. Truy cập getfly.vn để cập nhật thêm thông tin về quản trị dữ liệu khách hàng và CRM tuân thủ pháp luật Việt Nam.
Tại sao bạn nên ở lại trang web này?
Bạn không nên bỏ lỡ
Getfly CRM là nền tảng CRM toàn diện dành riêng cho SMEs, với sứ mệnh "Quản trị đơn giản - Thành công khác biệt". Hệ thống giải pháp của Getfly bao gồm: Marketing: CRM, Marketing Automation, Chăm sóc khách hàng, Social CRM, Quản trị Nhân sự, Tài chính - Kế toán… Getfly CRM là nền tảng CRM toàn diện dành riêng cho SMEs, với sứ mệnh "Quản trị đơn giản - Thành công khác biệt". Hệ thống giải pháp của Getfly bao gồm: Marketing: CRM, Marketing Automation, Chăm sóc khách hàng, Social CRM, Quản trị Nhân sự, Tài chính - Kế toán… tất cả tích hợp trên một nền tảng duy nhất, giúp doanh nghiệp tinh gọn và vận hành hiệu quả.