Chủ thể dữ liệu là người hoặc tổ chức mà dữ liệu nói về — người có tên trong danh sách, có khuôn mặt trong ảnh, có số dư trong sao kê. Với dữ liệu cá nhân, chủ thể luôn là một con người cụ thể, và đó là người nắm các quyền được biết, đồng ý, rút đồng ý, yêu cầu xóa — dù dữ liệu đang nằm trên máy chủ của ai.
Định nghĩa theo văn bản pháp luật
Hai luật định nghĩa ở hai phạm vi khác nhau:
Chủ thể dữ liệu là cơ quan, tổ chức, cá nhân được dữ liệu phản ánh.
Khoản 12 Điều 3 Luật Dữ liệu số 60/2024/QH15 (hiệu lực từ 01/7/2025).
Chủ thể dữ liệu cá nhân là người được dữ liệu cá nhân phản ánh.
Khoản 5 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026).
Giải nghĩa dễ hiểu
Hai tầng khái niệm
Luật Dữ liệu điều chỉnh mọi dữ liệu số, nên chủ thể có thể là doanh nghiệp (dữ liệu doanh thu), cơ quan nhà nước, hay cá nhân. Luật Bảo vệ dữ liệu cá nhân chỉ nói về dữ liệu cá nhân, nên chủ thể chỉ có thể là con người.
Chủ thể không đồng nghĩa với người sở hữu dữ liệu
Luật Dữ liệu tách ba vai: chủ thể (người dữ liệu nói về), chủ sở hữu dữ liệu (người có quyền quyết định xây dựng, khai thác, trao đổi giá trị dữ liệu — khoản 14 Điều 3) và chủ quản dữ liệu (người vận hành theo yêu cầu của chủ sở hữu — khoản 13). Ngân hàng là chủ sở hữu cơ sở dữ liệu khách hàng; khách hàng là chủ thể. Ngân hàng có quyền tài sản với kho dữ liệu, nhưng không vì thế mà được làm gì tùy ý với dữ liệu cá nhân của khách: mọi thao tác vẫn bị ràng buộc bởi quyền của chủ thể.
Ai thay mặt khi chủ thể không tự quyết được
- Trẻ em, người mất hoặc hạn chế năng lực hành vi dân sự, người khó khăn trong nhận thức: người đại diện theo pháp luật thực hiện quyền thay (khoản 2 Điều 24 Luật 91).
- Trẻ từ đủ 07 tuổi: công bố, tiết lộ đời sống riêng tư, bí mật cá nhân của trẻ cần cả trẻ và người đại diện đồng ý. Nghị định 330/2026 còn phạt 30–50 triệu đồng khi xử lý dữ liệu của trẻ dưới 07 tuổi thiếu đồng ý của người đại diện, hoặc của trẻ từ đủ 07 tuổi thiếu đồng thời sự đồng ý của trẻ và người đại diện (khoản 1 Điều 60).
Chủ thể cũng có nghĩa vụ
Khoản 2 Điều 4 Luật 91 đặt bốn nghĩa vụ: tự bảo vệ dữ liệu của mình; tôn trọng dữ liệu của người khác; cung cấp dữ liệu đầy đủ, chính xác khi luật hoặc hợp đồng đòi hỏi; tham gia phòng chống xâm phạm. Khoản 3 cấm lạm quyền: yêu cầu xóa, phản đối… phải nhằm bảo vệ quyền lợi của chính mình, không được dùng để gây khó cho doanh nghiệp. Nghị định 330/2026 xử phạt cả phía chủ thể (Điều 42).
Phân biệt chủ thể dữ liệu với chủ sở hữu dữ liệu và bên kiểm soát dữ liệu
| Tiêu chí | Chủ thể dữ liệu (cá nhân) | Chủ sở hữu dữ liệu | Bên kiểm soát dữ liệu cá nhân |
|---|---|---|---|
| Căn cứ | K5 Đ2 Luật 91/2025; K12 Đ3 Luật 60/2024 | K14 Đ3 Luật 60/2024 | K7 Đ2 Luật 91/2025 |
| Là ai | Người được dữ liệu phản ánh | Người có quyền quyết định khai thác, trao đổi giá trị dữ liệu | Người quyết định mục đích, phương tiện xử lý |
| Ví dụ | Khách hàng của ví điện tử | Công ty ví điện tử đối với kho dữ liệu | Công ty ví điện tử khi dùng dữ liệu để chấm điểm tín dụng |
| Quyền chủ yếu | Biết, đồng ý, rút đồng ý, xem, sửa, xóa, khiếu nại | Quyền tài sản theo pháp luật dân sự | Xử lý trong phạm vi được đồng ý hoặc luật cho phép |
Ví dụ tình huống
Anh Lò Văn Sáng, 24 tuổi, ở tỉnh Điện Biên, được một người quen trên mạng nhờ "cho mượn" căn cước và quét khuôn mặt để mở tài khoản ngân hàng, đổi lại 1,5 triệu đồng. Tháng 7/2026, tài khoản đó được dùng nhận tiền của 40 người bị lừa đầu tư tiền ảo; Công an tỉnh mời anh Sáng làm việc.
Phân tích: anh Sáng là chủ thể dữ liệu, nhưng đã vi phạm nghĩa vụ của chủ thể — khoản 5 Điều 7 Luật 91 cấm cho người khác dùng dữ liệu cá nhân của mình để thực hiện hành vi trái pháp luật. Mức xử phạt hành chính có thể áp: cố ý cho người khác dùng dữ liệu cá nhân của mình vào việc trái pháp luật (khung 10–20 triệu đồng ghi tại điểm b khoản 1 Điều 42 NĐ 330/2026) và bán, cho thuê, cho mượn tài khoản ngân hàng của mình (khoản 1 Điều 14, 5–10 triệu đồng). Nếu có căn cứ anh biết rõ tài khoản dùng để lừa đảo, anh có thể bị xem xét vai trò đồng phạm. Bài học: "chỉ cho mượn tên" không phải vô can; chủ thể dữ liệu không chỉ có quyền.
Áp dụng trong thực tế và ngoại lệ
- Phạm vi chủ thể được bảo vệ: công dân Việt Nam và người gốc Việt chưa xác định quốc tịch đã có giấy chứng nhận căn cước — kể cả khi bên xử lý ở nước ngoài (điểm c khoản 2 Điều 1 Luật 91). Tổ chức tại Việt Nam xử lý dữ liệu của người nước ngoài cũng phải tuân thủ, vì đối tượng áp dụng còn xác định theo bên xử lý (điểm a, b khoản 2 Điều 1).
- Chủ thể là người lao động: khi nghỉ việc, dữ liệu phải bị xóa, hủy trừ khi thỏa thuận hoặc luật buộc lưu (điểm c khoản 2 Điều 25 Luật 91) — ví dụ hồ sơ bảo hiểm xã hội vẫn phải lưu theo luật chuyên ngành.
- Chủ thể đã chết: Luật 91 không có điều riêng; quyền nhân thân liên quan được bảo vệ qua khoản 2 Điều 25 Bộ luật Dân sự (vợ, chồng, con thành niên hoặc cha mẹ đồng ý).
Những chỗ hay hiểu sai
- Sai: "Dữ liệu của mình nằm trên máy chủ công ty thì thuộc về công ty." — Đúng: công ty có thể là chủ sở hữu cơ sở dữ liệu, nhưng người được dữ liệu phản ánh vẫn giữ nguyên quyền của chủ thể.
- Sai: "Chủ thể dữ liệu có quyền đòi xóa mọi thứ bất cứ lúc nào." — Đúng: không áp dụng với các trường hợp của Điều 19 Luật 91 (nghĩa vụ pháp luật, phòng chống tội phạm…) và không được lạm quyền gây cản trở (khoản 3 Điều 4).
- Sai: "Trẻ em thì cha mẹ đồng ý là đủ." — Đúng: với việc công bố đời tư của trẻ từ đủ 07 tuổi, phải có thêm sự đồng ý của chính trẻ.
- Sai: "Tự công khai số điện thoại trên trang bán hàng là hết quyền." — Đúng: chủ thể vẫn có quyền phản đối việc người khác gom số đó vào danh sách quảng cáo.
Thuật ngữ tiếng Anh tương đương
Data subject là thuật ngữ chuẩn trong GDPR, tương ứng với "chủ thể dữ liệu cá nhân" của Luật 91. GDPR chỉ dùng cho người tự nhiên; khi dịch khái niệm rộng của Luật Dữ liệu (gồm cả tổ chức) nên ghi chú để tránh hiểu nhầm. "Chủ sở hữu dữ liệu" dịch data owner, "chủ quản dữ liệu" gần với data custodian. Không dịch "chủ thể" là data holder — chữ này chỉ người đang nắm giữ dữ liệu.
Thuật ngữ liên quan
- Quyền của chủ thể dữ liệu — các quyền cụ thể và thời hạn phải đáp ứng
- Sự đồng ý của chủ thể dữ liệu — điều kiện hợp lệ của sự đồng ý
- Bên kiểm soát dữ liệu cá nhân — bên phải bảo đảm quyền của chủ thể
- Dữ liệu cá nhân — đối tượng phản ánh chủ thể
- Người đại diện theo pháp luật — người thay mặt trẻ em thực hiện quyền
- Đồng phạm — rủi ro khi cho mượn giấy tờ, tài khoản
Căn cứ pháp lý
- Luật Dữ liệu số 60/2024/QH15 — Điều 3; hiệu lực từ 01/7/2025.
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Điều 1, 2, 4, 7, 19, 24, 25; hiệu lực từ 01/01/2026.
- Nghị định 330/2026/NĐ-CP — Điều 14, 42, 60; hiệu lực từ 19/8/2026.
- Bộ luật Dân sự số 91/2015/QH13 — Điều 25.
Hỏi đáp nhanh
Một doanh nghiệp có thể là chủ thể dữ liệu không?
Theo Luật Dữ liệu 2024 thì có: chủ thể dữ liệu gồm cả cơ quan, tổ chức được dữ liệu phản ánh. Nhưng các quyền như rút đồng ý, yêu cầu xóa theo Luật Bảo vệ dữ liệu cá nhân chỉ dành cho con người. Dữ liệu của doanh nghiệp được bảo vệ bằng chế định khác như bí mật kinh doanh.
Cha mẹ có được tự ý đăng ảnh, thông tin của con lên mạng không?
Cha mẹ là người đại diện theo pháp luật nên thực hiện quyền thay con. Tuy vậy, với trẻ từ đủ 07 tuổi, việc công bố đời sống riêng tư, bí mật cá nhân của trẻ cần cả sự đồng ý của chính trẻ (khoản 2 Điều 24 Luật 91/2025/QH15). Luật Trẻ em cũng bảo vệ bí mật đời sống riêng tư của trẻ.
Lỡ cho người khác mượn căn cước thì làm gì để giảm rủi ro?
Báo ngay cho ngân hàng, nhà mạng nơi có thể đã bị mở tài khoản, yêu cầu khóa; trình báo Công an cấp xã để ghi nhận việc mất kiểm soát giấy tờ. Việc chủ động báo sớm là chứng cứ cho thấy không có ý thông đồng nếu sau đó tài khoản bị dùng vào việc phạm pháp.
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.