Dữ liệu cá nhân

Dữ liệu cá nhân là mọi thông tin, ở dạng số hay dạng khác, cho phép nhận ra hoặc giúp nhận ra một con người cụ thể — từ họ tên, số điện thoại, ảnh chân dung cho tới lịch sử định vị hay mật khẩu tài khoản. Luật chia dữ liệu cá nhân thành hai nhóm: dữ liệu cơ bản và dữ liệu nhạy cảm, mỗi nhóm có danh mục do Chính phủ ban hành.

Định nghĩa theo văn bản pháp luật

Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.

Khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026); danh mục tại Điều 3, Điều 4 Nghị định 356/2025/NĐ-CP (hiệu lực từ 01/01/2026).

Giải nghĩa dễ hiểu

"Xác định" hay "giúp xác định" — vế sau mới là vế rộng

Số căn cước tự nó đã xác định một người. Luật còn tính cả thông tin chỉ giúp xác định: biển số xe, địa chỉ nhà, chức danh "kế toán trưởng công ty X". Câu hỏi đúng không phải "có ghi tên không" mà là "ghép lại có lần ra ai đó được không".

Danh mục dữ liệu cơ bản (Điều 3 Nghị định 356/2025)

• Họ, chữ đệm và tên khai sinh, tên gọi khác; ngày sinh, ngày chết hoặc mất tích; giới tính; quốc tịch.
• Nơi sinh, nơi đăng ký khai sinh, thường trú, tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ.
• Hình ảnh của cá nhân.
• Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, biển số xe.
• Tình trạng hôn nhân; quan hệ gia đình (cha mẹ, con, vợ, chồng); thông tin tài khoản số.
• Thông tin khác gắn với hoặc giúp xác định một người, không thuộc nhóm nhạy cảm.

Nhóm nhạy cảm gồm 12 loại (sức khỏe, sinh trắc học, vị trí, thông tin ngân hàng, ảnh thẻ căn cước…) — xem Dữ liệu cá nhân nhạy cảm; nhóm này kéo theo nghĩa vụ chặt hơn và mức phạt thường gấp đôi.

Ba giới hạn của khái niệm

• Chỉ của con người. Mã số thuế, doanh thu của doanh nghiệp không phải dữ liệu cá nhân; số điện thoại riêng của giám đốc thì có.
• Khử nhận dạng thì ra khỏi phạm vi. Bảng thống kê "35% khách hàng nữ, 25–34 tuổi" không còn là dữ liệu cá nhân, với điều kiện không thể lần ngược ra từng người. Tái nhận dạng dữ liệu đã khử là hành vi bị cấm (điểm b khoản 6 Điều 14 Luật).
• Mã hóa thì vẫn là dữ liệu cá nhân. Khoản 1 Điều 12 nói rõ: dữ liệu đã mã hóa vẫn là dữ liệu cá nhân.

Phân biệt dữ liệu cá nhân với thông tin về đời sống riêng tư

Ví dụ tình huống

Tháng 3/2026, một trung tâm tiếng Anh ở phường Hải Châu, Đà Nẵng thu phiếu đăng ký học thử của 1.800 phụ huynh, ghi tên, số điện thoại, tên và năm sinh con. Nhân viên kinh doanh nghỉ việc mang danh sách bán cho một công ty bảo hiểm với giá 9 triệu đồng.

Phân tích: cả danh sách là dữ liệu cá nhân cơ bản của phụ huynh lẫn trẻ em. Hành vi bán vi phạm khoản 6 Điều 7 Luật 91 (cấm mua, bán dữ liệu cá nhân). Theo Điều 53 Nghị định 330/2026/NĐ-CP, người bán bị phạt từ 02 đến 10 lần khoản thu; vì 10 lần khoản thu thấp hơn 03 tỷ đồng nên trần phạt là 03 tỷ đồng — mức của tổ chức, cá nhân chịu một nửa. Công ty bảo hiểm mua cũng là bên vi phạm, còn bị buộc xóa toàn bộ danh sách. Trung tâm cũng có thể bị phạt riêng nếu không có quy trình chặn nhân sự chia sẻ trái phép (khoản 4 Điều 7 NĐ 356). Thu lợi từ 50 triệu đồng trở lên thì có thể bị xem xét theo Điều 288 Bộ luật Hình sự.

Áp dụng trong thực tế và ngoại lệ

• Ai phải tuân thủ: mọi tổ chức, cá nhân Việt Nam và cả tổ chức nước ngoài có xử lý dữ liệu của công dân Việt Nam (khoản 2 Điều 1 Luật 91).
• Hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn lập hồ sơ đánh giá tác động và chỉ định nhân sự bảo vệ dữ liệu; doanh nghiệp nhỏ, khởi nghiệp được chọn miễn trong 05 năm — trừ khi kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm, hoặc xử lý từ 100.000 người trở lên (Điều 41 NĐ 356). Nghĩa vụ xin đồng ý, bảo mật vẫn áp dụng.
• Chuyển tiếp: sự đồng ý đã xin hợp lệ theo Nghị định 13/2023 trước 01/01/2026 vẫn dùng tiếp, không phải xin lại (khoản 1 Điều 39 Luật 91).
• Thời hiệu: xử phạt 01 năm (Điều 3 NĐ 330/2026); khởi kiện đòi bồi thường 03 năm (Điều 588 Bộ luật Dân sự).

Những chỗ hay hiểu sai

• Sai: "Số điện thoại ai cũng có, không phải dữ liệu cá nhân." — Đúng: số điện thoại nằm ngay trong danh mục dữ liệu cơ bản tại khoản 7 Điều 3 NĐ 356.
• Sai: "Thông tin đã đăng công khai trên mạng xã hội thì ai cũng thu thập được." — Đúng: tự công khai không phải là đồng ý cho người khác thu thập, gom thành danh sách để bán hay gọi điện quảng cáo.
• Sai: "Bán dữ liệu thì cấm, nhưng 'chia sẻ có phí' cho đối tác thì được." — Đúng: chuyển giao có thu phí chỉ hợp pháp khi thuộc trường hợp của khoản 1 Điều 17 Luật 91 và làm đủ điều kiện ở khoản 3 Điều 7 NĐ 356 (đồng ý theo từng lần, đúng mục đích); thiếu là bị coi là mua bán.
• Sai: "Dữ liệu đã mã hóa thì không còn là dữ liệu cá nhân." — Đúng: chỉ dữ liệu đã khử nhận dạng mới ra khỏi phạm vi; mã hóa vẫn giải được nên vẫn là dữ liệu cá nhân.

Thuật ngữ tiếng Anh tương đương

Personal data là cách dịch sát và được dùng trong GDPR của Liên minh châu Âu. Văn bản Mỹ hay dùng personally identifiable information (PII), hẹp hơn vì thiên về thông tin định danh trực tiếp. Tránh dịch là private data — chữ "private" gợi bí mật, trong khi dữ liệu cá nhân gồm cả thông tin công khai.

Thuật ngữ liên quan

• Dữ liệu cá nhân nhạy cảm — nhóm dữ liệu chịu nghĩa vụ chặt hơn
• Chủ thể dữ liệu — người được dữ liệu phản ánh
• Xử lý dữ liệu cá nhân — mọi thao tác tác động tới dữ liệu
• Bảo vệ dữ liệu cá nhân — hệ thống nghĩa vụ và chế tài
• Quyền đối với hình ảnh — hình ảnh cá nhân vừa là quyền nhân thân vừa là dữ liệu cơ bản
• Quyền riêng tư — quyền nhân thân theo Điều 38 Bộ luật Dân sự
• Chuyển dữ liệu cá nhân ra nước ngoài — trường hợp có mức phạt tới 5% doanh thu

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Điều 1, 2, 7, 8, 12, 14, 17, 39; hiệu lực từ 01/01/2026.
• Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân — Điều 3, 4, 7, 41; hiệu lực từ 01/01/2026, thay Nghị định 13/2023/NĐ-CP.
• Nghị định 330/2026/NĐ-CP xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân — Điều 3, 7, 53; hiệu lực từ 19/8/2026.
• Bộ luật Dân sự số 91/2015/QH13 — Điều 38, 588 (đang có hiệu lực).
• Bộ luật Hình sự 2015 (sửa đổi 2017, 2025) — Điều 288.

Hỏi đáp nhanh

Biển số xe có phải là dữ liệu cá nhân không?

Có. Khoản 7 Điều 3 Nghị định 356/2025/NĐ-CP liệt kê số biển số xe trong danh mục dữ liệu cá nhân cơ bản, cùng với số điện thoại, số định danh cá nhân, số hộ chiếu và số giấy phép lái xe. Đăng ảnh xe kèm biển số để bêu riếu chủ xe vì vậy cũng đụng tới quy định về bảo vệ dữ liệu cá nhân.

Dữ liệu của người đã chết có được bảo vệ không?

Danh mục dữ liệu cơ bản có cả ngày chết hoặc mất tích, nên dữ liệu gắn với người đã mất vẫn được tính. Về quyền nhân thân, khoản 2 Điều 25 Bộ luật Dân sự yêu cầu việc xác lập quan hệ liên quan đến quyền nhân thân của người đã chết phải được vợ, chồng hoặc con thành niên đồng ý; không có những người này thì cha, mẹ.

Công ty có được giữ hồ sơ ứng viên không trúng tuyển không?

Không, trừ khi ứng viên đồng ý. Điểm c khoản 1 Điều 25 Luật 91/2025/QH15 buộc xóa, hủy thông tin của người dự tuyển nếu không tuyển, trừ khi có thỏa thuận khác. Giữ lại để "dành cho đợt sau" mà không hỏi ý kiến có thể bị phạt 20–50 triệu đồng theo Điều 61 Nghị định 330/2026.

Lộ dữ liệu cá nhân thì báo ở đâu?

Người dân có thể phản ánh qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc gửi tới Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) — cơ quan chuyên trách. Nếu có dấu hiệu lừa đảo, chiếm đoạt tài sản thì trình báo Công an cấp xã nơi gần nhất để chuyển cơ quan điều tra.