Quyền của chủ thể dữ liệu

Quyền của chủ thể dữ liệu là những gì một người được đòi hỏi đối với bất kỳ ai đang xử lý dữ liệu cá nhân của mình: được biết ai đang dùng dữ liệu vào việc gì, đồng ý hay rút lại đồng ý, xem và sửa, yêu cầu cung cấp, xóa, hạn chế hoặc phản đối xử lý, khiếu nại, khởi kiện. Từ năm 2026, mỗi yêu cầu đều có thời hạn đáp ứng tính bằng ngày, và chậm là bị phạt.

Định nghĩa theo văn bản pháp luật

1. Quyền của chủ thể dữ liệu cá nhân bao gồm:
a) Được biết về hoạt động xử lý dữ liệu cá nhân;
b) Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;
c) Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
d) Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;
đ) Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật;
e) Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật.

Khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026); thời hạn thực hiện tại Điều 5 Nghị định 356/2025/NĐ-CP.

Giải nghĩa dễ hiểu

Thời hạn bên xử lý phải đáp ứng

Mọi yêu cầu gửi đúng thủ tục đều phải được phản hồi trong 02 ngày làm việc (thông báo đã nhận, hướng dẫn thủ tục). Sau đó là hạn thực hiện:

Muốn gia hạn, bên kiểm soát phải báo lý do và tự chứng minh việc gia hạn là cần thiết (Điều 5 NĐ 356).

Gửi yêu cầu thế nào cho "đúng thủ tục"

Yêu cầu rút đồng ý, hạn chế xử lý phải bằng văn bản, kể cả dạng điện tử hoặc định dạng kiểm chứng được (khoản 2 Điều 10 Luật 91). Bên kiểm soát phải công bố quy trình, biểu mẫu (khoản 1 Điều 5 NĐ 356). Trên thực tế: dùng đúng kênh doanh nghiệp công bố trong chính sách bảo mật; nếu không có, gửi email tới địa chỉ chính thức và lưu lại thư đi. Giữ bằng chứng ngày gửi — đó là mốc tính hạn.

Giới hạn của quyền

• Không đòi xóa, rút đồng ý được với các trường hợp xử lý không cần đồng ý ở Điều 19 Luật 91: bảo vệ tính mạng trong tình huống cấp bách, phòng chống tội phạm, hoạt động quản lý nhà nước, thực hiện thỏa thuận theo luật.
• Rút đồng ý không có hiệu lực ngược: việc xử lý trước thời điểm rút vẫn hợp pháp (khoản 4 Điều 10).
• Xóa dữ liệu theo yêu cầu đồng nghĩa người yêu cầu chấp nhận rủi ro có thể xảy ra (điểm a khoản 1 Điều 14), ví dụ mất lịch sử giao dịch.
• Không được lạm quyền để cản trở hoạt động hợp pháp của doanh nghiệp (khoản 3 Điều 4); lạm quyền có thể bị phạt theo điểm c khoản 2 Điều 42 NĐ 330/2026.

Phân biệt quyền của chủ thể dữ liệu với quyền về đời sống riêng tư

Ví dụ tình huống

Ngày 02/3/2026 (thứ Hai), anh Trịnh Quốc Bảo ở phường Ngô Quyền, Hải Phòng gửi email tới địa chỉ bảo mật của một chuỗi siêu thị điện máy, yêu cầu xóa tài khoản thành viên và ngừng nhắn tin khuyến mãi. Siêu thị không trả lời; tin nhắn vẫn đến.

Phân tích: hạn phản hồi 02 ngày làm việc hết ngày 04/3/2026. Yêu cầu xóa phải thực hiện trong 20 ngày, tức đến 22/3/2026; nếu dữ liệu còn nằm ở công ty nhắn tin thuê ngoài thì tối đa 30 ngày. Phần ngừng nhắn quảng cáo là phản đối xử lý, hạn 15 ngày — ngoài ra khoản 5 Điều 28 Luật 91 buộc bên quảng cáo phải ngừng khi người nhận yêu cầu. Quá hạn, anh Bảo gửi phản ánh kèm email đã gửi, ảnh chụp tin nhắn tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Siêu thị có thể bị phạt: không phản hồi đúng 02 ngày làm việc 10–20 triệu đồng (điểm d khoản 1 Điều 44 NĐ 330/2026); không xóa đúng hạn 30–40 triệu đồng (điểm c khoản 3 Điều 44); và bị buộc thực hiện yêu cầu. Lưu ý: hóa đơn bán hàng siêu thị phải lưu theo pháp luật kế toán, thuế — phần dữ liệu đó không bị xóa.

Áp dụng trong thực tế và ngoại lệ

• Người đại diện thực hiện thay: cha mẹ với con chưa thành niên, người giám hộ (khoản 2 Điều 24 Luật 91).
• Ngân hàng, tổ chức tín dụng: không được chấm điểm, xếp hạng tín dụng khi chưa có đồng ý (điểm b khoản 1 Điều 27); khách hàng có thể rút đồng ý với mục đích này mà vẫn giữ tài khoản.
• Đòi bồi thường: khởi kiện tại Tòa án nhân dân khu vực nơi bị đơn cư trú hoặc có trụ sở; thời hiệu 03 năm (Điều 588 Bộ luật Dân sự).

Những chỗ hay hiểu sai

• Sai: "Doanh nghiệp có 30 ngày để trả lời mọi yêu cầu." — Đúng: phải phản hồi trong 02 ngày làm việc; 30 ngày chỉ là hạn tối đa cho việc xóa khi phải nhờ bên thứ ba.
• Sai: "Rút đồng ý thì doanh nghiệp phải xóa luôn dữ liệu cũ." — Đúng: rút đồng ý chặn việc xử lý từ nay về sau; muốn xóa phải yêu cầu xóa riêng.
• Sai: "Gọi tổng đài là đủ." — Đúng: yêu cầu rút đồng ý, hạn chế xử lý phải ở dạng văn bản hoặc định dạng kiểm chứng được; giữ bằng chứng ngày gửi.
• Sai: "Có quyền xóa nên có thể đòi ngân hàng xóa lịch sử nợ xấu." — Đúng: dữ liệu tín dụng do luật chuyên ngành buộc lưu giữ thuộc ngoại lệ, không xóa theo yêu cầu.

Thuật ngữ tiếng Anh tương đương

Data subject rights là cụm chung; GDPR tách thành right of access, right to rectification, right to erasure, right to restriction of processing, right to object. Luật Việt Nam không có quyền di chuyển dữ liệu (data portability) như GDPR, nên không nên dịch "yêu cầu cung cấp" thành quyền đó. Tránh dịch "quyền xóa" là right to be forgotten trong văn bản pháp lý — cụm này gắn với án lệ châu Âu về công cụ tìm kiếm.

Thuật ngữ liên quan

• Chủ thể dữ liệu — người nắm các quyền này
• Sự đồng ý của chủ thể dữ liệu — quyền đồng ý và rút đồng ý
• Bên kiểm soát dữ liệu cá nhân — bên chịu nghĩa vụ đáp ứng yêu cầu
• Xử lý dữ liệu cá nhân — hoạt động mà các quyền tác động tới
• Quyền riêng tư — quyền nhân thân bổ trợ
• Bồi thường thiệt hại — chế tài dân sự khi quyền bị xâm phạm

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Điều 4, 10, 13, 14, 19, 24, 27, 28, 29; hiệu lực từ 01/01/2026.
• Nghị định 356/2025/NĐ-CP — Điều 5; hiệu lực từ 01/01/2026.
• Nghị định 330/2026/NĐ-CP — Điều 42, 44, 45, 46; hiệu lực từ 19/8/2026.
• Bộ luật Dân sự số 91/2015/QH13 — Điều 38, 588.

Hỏi đáp nhanh

Có mất phí khi yêu cầu doanh nghiệp cung cấp dữ liệu của mình không?

Luật 91/2025/QH15 và Nghị định 356/2025 không quy định khoản phí cho chủ thể khi thực hiện quyền. Từ chối cung cấp dữ liệu cho chính chủ thể khi có yêu cầu hợp lệ bị phạt 10–20 triệu đồng (khoản 1 Điều 49 Nghị định 330/2026). Doanh nghiệp đặt điều kiện thu phí để làm khó người yêu cầu dễ bị coi là cản trở.

Doanh nghiệp từ chối sửa thông tin sai về mình thì sao?

Bên kiểm soát chỉ được từ chối khi có lý do chính đáng và phải báo cho người yêu cầu biết (khoản 3 Điều 13 Luật 91). Cố ý trì hoãn sửa thông tin đã xác nhận là sai, gây ảnh hưởng danh dự, bị phạt 30–50 triệu đồng (khoản 2 Điều 46 Nghị định 330/2026). Có thể gửi phản ánh tới cơ quan chuyên trách hoặc khởi kiện yêu cầu bồi thường thiệt hại.

Yêu cầu xóa tài khoản mạng xã hội có được không?

Được. Điều 29 Luật 91 buộc nhà cung cấp mạng xã hội có cơ chế cho người dùng truy cập, chỉnh sửa, xóa dữ liệu. Một số dữ liệu như nhật ký truy cập có thể vẫn được lưu theo thời hạn luật an ninh mạng yêu cầu, nhưng không được dùng vào mục đích khác.