Dữ liệu cá nhân nhạy cảm là phần dữ liệu cá nhân gắn chặt với đời tư — sức khỏe, khuôn mặt và vân tay, vị trí đang đứng, tài khoản ngân hàng, xu hướng tình dục, tiền án tiền sự… Lộ những thông tin này gây hại trực tiếp cho người đó, nên luật buộc bên xử lý phải báo rõ cho người đó biết, phân quyền truy cập chặt và chịu mức phạt cao hơn hẳn dữ liệu thông thường.
Định nghĩa theo văn bản pháp luật
Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành.
Khoản 3 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026); danh mục tại Điều 4 Nghị định 356/2025/NĐ-CP (hiệu lực từ 01/01/2026).
Giải nghĩa dễ hiểu
12 nhóm của khoản 1 Điều 4 Nghị định 356
- Dữ liệu tiết lộ nguồn gốc chủng tộc, dân tộc.
- Quan điểm chính trị, tôn giáo, tín ngưỡng.
- Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình.
- Tình trạng sức khỏe.
- Dữ liệu sinh trắc học, đặc điểm di truyền.
- Đời sống tình dục, xu hướng tình dục.
- Dữ liệu về tội phạm, vi phạm pháp luật do cơ quan thực thi pháp luật thu thập, lưu trữ.
- Vị trí của cá nhân xác định qua dịch vụ định vị.
- Tên đăng nhập, mật khẩu tài khoản định danh điện tử; hình ảnh thẻ căn cước, căn cước công dân, chứng minh nhân dân.
- Mật khẩu tài khoản ngân hàng, thông tin thẻ, lịch sử giao dịch; thông tin tài chính, tín dụng, chứng khoán, bảo hiểm của khách hàng.
- Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ trực tuyến.
- Dữ liệu khác mà pháp luật quy định phải giữ bí mật hoặc bảo mật chặt chẽ.
Hai mục hay bị bỏ qua: ảnh chụp căn cước (khách sạn, tiệm cầm đồ vẫn chụp lưu hàng loạt) và dữ liệu theo dõi hành vi trên mạng (cookie, lịch sử xem, tìm kiếm dùng để phân loại người dùng).
Lưu ý: số căn cước là dữ liệu cơ bản, ảnh thẻ căn cước là dữ liệu nhạy cảm
Số định danh cá nhân thuộc danh mục cơ bản, nhưng hình ảnh tấm thẻ — có ảnh mặt, đặc điểm nhận dạng, mã QR — thuộc nhóm nhạy cảm. Ứng dụng chỉ cần số căn cước thì không nên đòi chụp hai mặt thẻ.
Nghĩa vụ đi kèm
- Khi xin đồng ý phải nói rõ dữ liệu cần xử lý là dữ liệu nhạy cảm (khoản 4 Điều 6 NĐ 356). Không thông báo bị phạt 30–50 triệu đồng (điểm h khoản 1 Điều 43 NĐ 330/2026).
- Phải thiết lập phân quyền giới hạn truy cập, quy trình xử lý, biện pháp bảo mật (khoản 2 Điều 4 NĐ 356).
- Chuyển giao phải có bảo mật vật lý thiết bị, mã hóa hoặc ẩn danh (khoản 2 Điều 7 NĐ 356).
Phân biệt dữ liệu nhạy cảm với dữ liệu cá nhân cơ bản
| Tiêu chí | Dữ liệu nhạy cảm | Dữ liệu cơ bản |
|---|---|---|
| Căn cứ | Điều 4 NĐ 356/2025 | Điều 3 NĐ 356/2025 |
| Thông báo khi xin đồng ý | Bắt buộc nói rõ là dữ liệu nhạy cảm | Không có yêu cầu riêng |
| Phạt thu thập trái phép bằng công nghệ (tổ chức) | Từ 100–200 triệu đồng khi dưới 100 người; từ 1.000 người trở lên 500–800 triệu đồng | Từ 100–200 triệu đồng khi dưới 500 người; từ 5.000 người trở lên 500–800 triệu đồng |
| Cung cấp trái phép cho người khác | Phạt gấp 02 lần (khoản 3 Điều 49 NĐ 330) | 20–30 triệu đồng |
Ví dụ tình huống
Chị Phan Thị Hồng đi xét nghiệm tại một phòng khám tư ở phường Bến Thành, TP. Hồ Chí Minh ngày 06/5/2026. Hai tuần sau, chị liên tục nhận cuộc gọi chào bảo hiểm sức khỏe từ người biết rõ chị vừa xét nghiệm gan.
Phân tích: kết quả xét nghiệm là tình trạng sức khỏe — dữ liệu nhạy cảm. Khoản 2 Điều 26 Luật 91 cấm cơ sở y tế cung cấp dữ liệu cá nhân cho bên thứ ba là tổ chức bảo hiểm sức khỏe, bảo hiểm nhân thọ nếu không có yêu cầu bằng văn bản của chính người bệnh. Chị Hồng nên: (1) gửi văn bản cho phòng khám đề nghị cung cấp dữ liệu của mình đang lưu và cho biết đã chuyển cho ai — với yêu cầu cung cấp dữ liệu, phòng khám phải phản hồi trong 02 ngày làm việc và thực hiện trong 10 ngày (khoản 3 Điều 5 NĐ 356); (2) gửi phản ánh tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) kèm ghi âm cuộc gọi, số điện thoại gọi đến. Nếu xác định được vi phạm, mức phạt cung cấp dữ liệu nhạy cảm là gấp đôi khung 20–30 triệu đồng tức 40–60 triệu đồng với tổ chức. Chị còn có thể khởi kiện đòi bồi thường tại Tòa án nhân dân khu vực.
Áp dụng trong thực tế và ngoại lệ
- Tài chính, ngân hàng: lộ, mất dữ liệu nhạy cảm phải báo cơ quan chuyên trách và chính khách hàng trong 72 giờ (khoản 3 Điều 8 NĐ 356); chậm bị phạt 50–70 triệu đồng (Điều 64 NĐ 330/2026).
- Sinh trắc học, vị trí: sự cố phải báo người bị ảnh hưởng trong 72 giờ, lưu hồ sơ vi phạm ít nhất 05 năm (Điều 29 NĐ 356).
- Không cần đồng ý vẫn xử lý được trong các trường hợp của khoản 1 Điều 19 Luật 91: cấp cứu, phòng chống tội phạm, hoạt động quản lý nhà nước, thực hiện thỏa thuận với chủ thể theo luật — nhưng phải chứng minh được căn cứ.
- Dữ liệu về tội phạm, vi phạm được liệt kê là nhạy cảm khi do cơ quan thực thi pháp luật thu thập, lưu trữ; danh sách "bùng nợ" do cá nhân tự lập rồi đăng lên nhóm mạng xã hội không được miễn trừ nhờ điều này — vẫn là công khai dữ liệu cá nhân trái phép.
Những chỗ hay hiểu sai
- Sai: "Chụp căn cước khách thuê phòng là bình thường." — Đúng: ảnh thẻ căn cước là dữ liệu nhạy cảm; chỉ được thu khi có căn cứ pháp luật hoặc đồng ý hợp lệ, phải bảo mật và xóa khi hết mục đích.
- Sai: "Mạng xã hội được yêu cầu chụp căn cước để xác thực tài khoản." — Đúng: khoản 2 Điều 29 Luật 91 cấm yêu cầu ảnh, video chứa giấy tờ tùy thân làm yếu tố xác thực; vi phạm bị phạt 70–150 triệu đồng (Điều 65 NĐ 330).
- Sai: "Vân tay chấm công là dữ liệu nội bộ, không cần hỏi nhân viên." — Đúng: là dữ liệu sinh trắc học; người lao động phải biết rõ biện pháp này (khoản 3 Điều 25 Luật 91).
- Sai: "Lịch sử duyệt web không gắn tên nên không nhạy cảm." — Đúng: dữ liệu theo dõi hành vi trên mạng nằm trong danh mục nhạy cảm (điểm l).
Thuật ngữ tiếng Anh tương đương
Dịch là sensitive personal data. GDPR dùng special categories of personal data (Điều 9), danh mục hẹp hơn Việt Nam: không có vị trí, thông tin ngân hàng, mật khẩu hay lịch sử duyệt web; dữ liệu tiền án xếp riêng ở Điều 10.
Thuật ngữ liên quan
- Dữ liệu cá nhân — khái niệm gốc chứa hai nhóm cơ bản và nhạy cảm
- Sự đồng ý của chủ thể dữ liệu — với dữ liệu nhạy cảm phải báo rõ khi xin
- Bí mật thông tin người bệnh — lớp bảo vệ riêng của pháp luật khám chữa bệnh
- Thông tin tín dụng — nhóm dữ liệu tài chính được liệt kê là nhạy cảm
- Quyền riêng tư — đời tư, bí mật cá nhân là một nhóm nhạy cảm
- Bảo vệ dữ liệu cá nhân — nghĩa vụ chung áp cho mọi dữ liệu
Căn cứ pháp lý
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Điều 2, 19, 25, 26, 27, 29, 31, 38; hiệu lực từ 01/01/2026.
- Nghị định 356/2025/NĐ-CP — Điều 4, 5, 6, 7, 8, 29; hiệu lực từ 01/01/2026.
- Nghị định 330/2026/NĐ-CP xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân — Điều 43, 48, 49, 64, 65; hiệu lực từ 19/8/2026.
Hỏi đáp nhanh
Ảnh chân dung có phải dữ liệu nhạy cảm không?
Không. Hình ảnh của cá nhân nằm trong danh mục dữ liệu cơ bản (khoản 6 Điều 3 Nghị định 356/2025). Nhưng ảnh dùng để nhận diện khuôn mặt tự động là dữ liệu sinh trắc học, và ảnh chụp thẻ căn cước thì thuộc nhóm nhạy cảm. Dùng ảnh người khác vẫn phải theo quyền đối với hình ảnh của Bộ luật Dân sự.
Cửa hàng điện thoại giữ bản chụp căn cước khi bán trả góp có sai không?
Nếu việc chụp phục vụ hợp đồng trả góp và người mua được thông báo rõ đây là dữ liệu nhạy cảm, cửa hàng có căn cứ xử lý. Sai khi chụp mà không nói mục đích, lưu vô thời hạn, hoặc dùng bản chụp vào việc khác. Người mua có quyền yêu cầu xóa khi hợp đồng đã tất toán.
Hộ kinh doanh nhỏ xử lý dữ liệu sức khỏe có được miễn nghĩa vụ không?
Không được miễn hồ sơ đánh giá tác động và nhân sự bảo vệ dữ liệu. Khoản 3 Điều 38 Luật 91/2025/QH15 loại trừ hộ kinh doanh, doanh nghiệp siêu nhỏ trực tiếp xử lý dữ liệu nhạy cảm khỏi diện miễn — ví dụ phòng khám, nhà thuốc có lưu đơn thuốc, spa lưu tình trạng da của khách.
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.