Dữ liệu cá nhân là mọi thông tin gắn với một con người cụ thể hoặc giúp xác định được người đó: họ tên, số căn cước, số điện thoại, địa chỉ, hình ảnh, vị trí, lịch sử mua sắm, cho tới dữ liệu sức khoẻ, sinh trắc học hay tài chính. Pháp luật nhiều nước, trong đó có Việt Nam, chia dữ liệu cá nhân thành loại cơ bản và loại nhạy cảm, với yêu cầu bảo vệ cao hơn cho loại sau.
Ở Việt Nam, khung pháp lý được thiết lập bằng Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 1/7/2023, và được nâng lên thành Luật Bảo vệ dữ liệu cá nhân do Quốc hội thông qua năm 2025, có hiệu lực từ ngày 1/1/2026. Về nguyên lý, các văn bản này đi theo hướng chung của thế giới mà quy định GDPR của Liên minh châu Âu (áp dụng từ năm 2018) là hình mẫu được nhắc nhiều nhất: dữ liệu chỉ được xử lý khi có cơ sở hợp pháp, đúng mục đích, và người có dữ liệu có các quyền cụ thể.
Bài này trình bày các khái niệm và nguyên lý chung để bạn hiểu quyền của mình và biết phải làm gì khi dữ liệu bị lộ. Chi tiết điều khoản, thủ tục và mức xử phạt có thể thay đổi; hãy kiểm tra văn bản hiện hành trên cổng thông tin chính thức và hỏi luật sư khi cần áp dụng vào trường hợp cụ thể.
Dữ liệu cơ bản và dữ liệu nhạy cảm
Ranh giới giữa hai nhóm quan trọng vì dữ liệu nhạy cảm đòi hỏi biện pháp bảo vệ chặt hơn và thường cần thông báo rõ cho người có dữ liệu. Bảng dưới liệt kê các ví dụ điển hình theo cách phân loại phổ biến; danh mục chính xác cần đối chiếu văn bản hiện hành.
| Nhóm | Ví dụ điển hình | Vì sao cần chú ý |
|---|---|---|
| Dữ liệu cơ bản | Họ tên, ngày sinh, giới tính, quốc tịch, số điện thoại, email, địa chỉ, số giấy tờ tuỳ thân, hình ảnh | Là nguyên liệu chính cho lừa đảo giả danh và mạo danh mở tài khoản |
| Dữ liệu nhạy cảm: sức khoẻ | Hồ sơ bệnh án, kết quả xét nghiệm, thông tin di truyền | Có thể dẫn tới phân biệt đối xử khi tuyển dụng, bảo hiểm |
| Dữ liệu nhạy cảm: sinh trắc | Vân tay, khuôn mặt dùng để xác thực, mống mắt, giọng nói | Không thể "đổi" như mật khẩu khi đã lộ |
| Dữ liệu nhạy cảm: tài chính | Số tài khoản, lịch sử giao dịch, thông tin tín dụng | Liên quan trực tiếp tới tiền và khả năng vay vốn |
| Dữ liệu nhạy cảm: vị trí | Vị trí thời gian thực, lịch sử di chuyển | Tiết lộ nơi ở, thói quen, các mối quan hệ |
| Dữ liệu nhạy cảm: đời sống riêng | Xu hướng tính dục, tiền án, quan điểm cá nhân | Nguy cơ kỳ thị, tống tiền |
Một điểm hay bị bỏ qua: dữ liệu suy luận cũng có thể là dữ liệu cá nhân. Một hệ thống đoán bạn đang mang thai từ lịch sử mua sắm đang tạo ra dữ liệu sức khoẻ, dù bạn chưa từng khai báo.
Các nguyên tắc xử lý dữ liệu: thước đo để đánh giá một tổ chức
Hợp pháp và minh bạch. Tổ chức phải có cơ sở hợp pháp để xử lý dữ liệu, phổ biến nhất là sự đồng ý của bạn, và phải cho bạn biết họ thu thập gì, để làm gì. Theo hướng của pháp luật Việt Nam, sự đồng ý phải rõ ràng, tự nguyện, cho từng mục đích; im lặng hay không phản hồi không được coi là đồng ý.
Đúng mục đích. Dữ liệu thu thập để giao hàng không được tự ý dùng để bán cho bên khác làm quảng cáo. Mục đích mới cần cơ sở mới.
Giảm thiểu dữ liệu. Chỉ thu thập những gì cần cho mục đích. Một ứng dụng đèn pin xin quyền danh bạ và vị trí là ví dụ ngược của nguyên tắc này. Một cửa hàng giữ bản chụp căn cước của khách chỉ để làm thẻ thành viên cũng vậy.
Chính xác và có thời hạn lưu. Dữ liệu phải được cập nhật, sửa khi sai, và không lưu lâu hơn cần thiết. Dữ liệu cũ không ai dùng nhưng vẫn nằm trên máy chủ là nguồn rò rỉ phổ biến.
An toàn. Tổ chức phải áp dụng biện pháp kỹ thuật và quản lý phù hợp để bảo vệ dữ liệu khỏi truy cập trái phép, mất mát, rò rỉ, và có nghĩa vụ thông báo khi xảy ra vi phạm theo quy định.
Trách nhiệm giải trình. Tổ chức phải chứng minh được mình tuân thủ, không chỉ tuyên bố. Với doanh nghiệp, điều này thường dẫn tới yêu cầu lập hồ sơ đánh giá tác động xử lý dữ liệu theo quy định.
Quyền của bạn với dữ liệu cá nhân
Pháp luật bảo vệ dữ liệu hiện đại trao cho người có dữ liệu, thường gọi là chủ thể dữ liệu, một nhóm quyền tương đối giống nhau giữa các nước. Tên gọi và điều kiện cụ thể cần xem văn bản hiện hành:
- Quyền được biết: biết tổ chức nào đang xử lý dữ liệu của bạn, xử lý những gì, vì mục đích gì.
- Quyền đồng ý và rút lại sự đồng ý: đồng ý cho từng mục đích, và rút lại khi muốn; việc rút lại không làm mất hiệu lực của những gì đã xử lý hợp pháp trước đó.
- Quyền truy cập: yêu cầu được xem hoặc nhận bản sao dữ liệu của mình.
- Quyền chỉnh sửa: yêu cầu sửa dữ liệu sai hoặc cập nhật dữ liệu cũ.
- Quyền xoá: yêu cầu xoá dữ liệu trong những trường hợp luật cho phép, ví dụ khi không còn cần cho mục đích ban đầu.
- Quyền hạn chế và phản đối xử lý: đặc biệt với tiếp thị trực tiếp và quảng cáo.
- Quyền khiếu nại, khởi kiện và yêu cầu bồi thường khi quyền bị vi phạm.
Quyền có giới hạn: tổ chức có thể từ chối xoá khi luật khác buộc họ lưu (ví dụ chứng từ kế toán, hồ sơ giao dịch ngân hàng), hoặc khi dữ liệu cần cho việc bảo vệ quyền lợi hợp pháp. Khi bị từ chối, bạn có quyền được biết lý do.
Cách thực hiện quyền: gửi yêu cầu cho một tổ chức
Phần lớn người dùng không biết rằng có thể chính thức yêu cầu một doanh nghiệp cho biết họ giữ dữ liệu gì về mình. Quy trình chung như sau:
- Tìm chính sách quyền riêng tư hoặc thông báo xử lý dữ liệu của tổ chức. Thường có mục nêu đầu mối tiếp nhận yêu cầu về dữ liệu cá nhân: email, biểu mẫu hoặc bộ phận cụ thể.
- Gửi yêu cầu bằng văn bản qua kênh đó, nêu rõ bạn là ai (kèm thông tin đủ để họ xác định tài khoản, không gửi thừa giấy tờ), quyền bạn muốn thực hiện và phạm vi dữ liệu.
- Lưu bản sao yêu cầu và thời điểm gửi. Luật thường quy định thời hạn phản hồi; kiểm tra thời hạn trong văn bản hiện hành.
- Nếu tổ chức không phản hồi, phản hồi không đầy đủ hoặc từ chối không có lý do, gửi lại kèm nhắc nghĩa vụ, rồi cân nhắc khiếu nại tới cơ quan quản lý chuyên trách về bảo vệ dữ liệu cá nhân.
- Với yêu cầu ngừng tiếp thị, dùng thêm chức năng huỷ đăng ký trong thư hoặc ứng dụng, và kiểm tra cài đặt quảng cáo của tài khoản.
Doanh nghiệp vừa và nhỏ: những việc tối thiểu cần làm
Với chủ doanh nghiệp, câu hỏi thực tế thường là bắt đầu từ đâu. Danh mục dưới đây không thay thế tư vấn pháp lý, nhưng là khung công việc hợp lý để đưa vào cuộc họp nội bộ và làm việc với luật sư hoặc đơn vị tư vấn.
- Lập bản đồ dữ liệu. Liệt kê doanh nghiệp đang thu thập những dữ liệu cá nhân nào (khách hàng, nhân viên, ứng viên, đối tác), từ đâu, lưu ở đâu (phần mềm bán hàng, bảng tính, nhóm chat, giấy tờ), ai truy cập được, giữ bao lâu.
- Xác định mục đích và cơ sở. Với từng loại dữ liệu, ghi rõ dùng để làm gì và dựa trên cơ sở nào. Dữ liệu không gắn được với mục đích nào thì ngừng thu thập và xoá.
- Rà lại biểu mẫu và thông báo. Biểu mẫu đăng ký, phiếu thành viên, điều khoản ứng dụng phải nêu rõ mục đích, và tách phần đồng ý nhận tiếp thị khỏi phần bắt buộc để cung cấp dịch vụ.
- Siết quyền truy cập. Nhân viên chỉ thấy dữ liệu cần cho công việc; thu hồi quyền ngay khi nghỉ việc; không chia sẻ danh sách khách hàng qua nhóm chat cá nhân.
- Rà hợp đồng với bên xử lý dữ liệu thuê ngoài. Đơn vị vận chuyển, phần mềm quản lý khách hàng, đại lý quảng cáo đều tiếp cận dữ liệu; hợp đồng cần có điều khoản về bảo vệ dữ liệu.
- Chuẩn bị kịch bản sự cố. Ai chịu trách nhiệm, làm gì trong giờ đầu, khi nào phải thông báo cho cơ quan quản lý và người bị ảnh hưởng theo quy định hiện hành.
- Kiểm tra các nghĩa vụ hồ sơ như đánh giá tác động xử lý dữ liệu, chuyển dữ liệu ra nước ngoài, theo văn bản hiện hành và hướng dẫn của cơ quan quản lý.
Khi dữ liệu của bạn bị lộ: làm gì theo từng loại
Bạn có thể biết dữ liệu bị lộ qua thông báo của tổ chức, qua tin tức hoặc qua dịch vụ cảnh báo rò rỉ. Việc cần làm phụ thuộc vào loại dữ liệu, vì mỗi loại bị lợi dụng theo cách khác nhau.
Mật khẩu hoặc giá trị băm mật khẩu: đổi mật khẩu ở dịch vụ đó và mọi nơi dùng lại, bật xác thực hai lớp. Số điện thoại, email, họ tên, địa chỉ: không đổi được dễ dàng, nên tăng cảnh giác với lừa đảo nhắm đích dùng đúng thông tin này trong vài tháng sau. Ảnh giấy tờ tuỳ thân: rủi ro mạo danh mở tài khoản, vay tiền; theo dõi thông báo từ ngân hàng, kiểm tra thông tin tín dụng của bạn qua kênh chính thức nếu có, và trình báo khi phát hiện khoản vay lạ. Số thẻ thanh toán: gọi ngân hàng khoá và phát hành thẻ mới.
Dữ liệu sinh trắc học là trường hợp khó nhất, vì bạn không thể đổi khuôn mặt hay vân tay. Điểm an ủi là phần lớn hệ thống xác thực sinh trắc tốt có cơ chế phát hiện giả mạo và kết hợp với thiết bị đã đăng ký, nên dữ liệu sinh trắc bị lộ đơn lẻ khó dùng ngay. Dù vậy, đây là lý do nên thận trọng khi cung cấp ảnh chân dung, video khuôn mặt cho dịch vụ không rõ nguồn gốc.
Thói quen giảm thiểu dữ liệu ở phía người dùng
Nguyên tắc giảm thiểu dữ liệu không chỉ dành cho doanh nghiệp. Dữ liệu bạn không đưa ra thì không thể bị lộ. Một số thói quen cụ thể giúp giảm bề mặt rủi ro mà không làm cuộc sống bất tiện:
Hỏi "vì sao cần" trước khi đưa căn cước. Nhiều nơi xin chụp giấy tờ tuỳ thân theo thói quen, không phải theo yêu cầu bắt buộc. Khi buộc phải cung cấp bản chụp, có thể ghi chú mục đích sử dụng và ngày lên bản chụp để hạn chế việc bị dùng lại cho mục đích khác. Dùng địa chỉ email phụ cho đăng ký khuyến mãi, wifi công cộng, khảo sát. Từ chối quyền ứng dụng không cần thiết, đặc biệt danh bạ, vị trí luôn bật, micro. Không điền đủ mọi trường không bắt buộc trong biểu mẫu trực tuyến.
Cẩn thận khi vứt giấy tờ. Hoá đơn, phiếu giao hàng có họ tên, số điện thoại, địa chỉ là nguồn dữ liệu không cần hack. Xé hoặc bôi mực trước khi bỏ. Xoá tài khoản không còn dùng thay vì bỏ hoang, vì dịch vụ cũ ít được bảo trì là nơi rò rỉ thường xảy ra. Mỗi tài khoản đóng lại là một nơi ít đi có thể làm lộ dữ liệu của bạn.
Câu hỏi thường gặp
Doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ luật bảo vệ dữ liệu cá nhân không?
Về nguyên tắc, mọi tổ chức, cá nhân xử lý dữ liệu cá nhân đều thuộc phạm vi điều chỉnh, dù có thể có cơ chế áp dụng khác nhau theo quy mô và loại dữ liệu. Danh sách khách hàng, số điện thoại giao hàng, ảnh căn cước nhân viên đều là dữ liệu cá nhân. Nên kiểm tra văn bản hiện hành và hướng dẫn của cơ quan quản lý.
Mua bán danh sách khách hàng có hợp pháp không?
Việc mua bán dữ liệu cá nhân khi không có cơ sở hợp pháp, đặc biệt không có sự đồng ý của người có dữ liệu, bị pháp luật Việt Nam cấm và có thể bị xử lý nghiêm. Doanh nghiệp mua danh sách để gọi điện chào hàng cũng có thể phải chịu trách nhiệm. Chi tiết chế tài cần tra văn bản hiện hành.
Đồng ý điều khoản khi cài ứng dụng có phải là đồng ý mọi thứ không?
Theo hướng của pháp luật bảo vệ dữ liệu hiện đại, sự đồng ý phải cụ thể cho từng mục đích và người dùng phải được thông báo rõ. Một điều khoản chung chung không nên được hiểu là đồng ý cho mọi việc. Bạn có thể rút lại sự đồng ý và yêu cầu ngừng xử lý cho các mục đích không cần thiết.
Camera an ninh ở nhà quay cả lối đi chung có liên quan dữ liệu cá nhân không?
Hình ảnh người khác là dữ liệu cá nhân. Camera trong nhà phục vụ an ninh gia đình thường được chấp nhận, nhưng khi quay ra không gian chung, quay sang nhà hàng xóm hay đăng đoạn ghi hình lên mạng, vấn đề quyền riêng tư và quyền hình ảnh phát sinh. Nên hạn chế góc quay trong phạm vi của mình.
GDPR có áp dụng với người dùng Việt Nam không?
GDPR áp dụng khi tổ chức xử lý dữ liệu của người đang ở Liên minh châu Âu, hoặc tổ chức có cơ sở tại đó. Người dùng ở Việt Nam dùng dịch vụ của doanh nghiệp châu Âu có thể được hưởng một số bảo vệ theo chính sách của doanh nghiệp, nhưng khung pháp lý chính áp dụng cho bạn là pháp luật Việt Nam.
Có nên gửi ảnh căn cước qua ứng dụng nhắn tin cho người bán hàng không?
Nên tránh. Ứng dụng nhắn tin lưu ảnh trên nhiều thiết bị, tài khoản người nhận có thể bị chiếm, và ảnh căn cước là nguyên liệu mạo danh. Nếu buộc phải xác minh danh tính, dùng kênh định danh điện tử chính thức của tổ chức có uy tín, và ghi chú mục đích lên ảnh nếu phải gửi.