Hướng dẫn · 17 tháng 6, 2026
Khách hàng yêu cầu xóa dữ liệu cá nhân: Doanh nghiệp xử lý thế nào theo PDPL?
Hướng dẫn xử lý yêu cầu của chủ thể dữ liệu (DSAR) theo PDPL: quyền truy cập, xóa, rút đồng ý; quy trình phản hồi và mẫu email.
Trả lời nhanh
Quyền của chủ thể dữ liệu theo PDPL gồm những gì?
Chủ thể dữ liệu có các quyền: được biết, đồng ý, truy cập, rút lại đồng ý, xóa dữ liệu, hạn chế xử lý, phản đối xử lý, yêu cầu cung cấp/chuyển dữ liệu, và khiếu nại. Doanh nghiệp phải có cơ chế tiếp nhận và đáp ứng các yêu cầu này.
Quy trình xử lý yêu cầu xóa dữ liệu (DSAR)
Tiếp nhận yêu cầu:
Cung cấp kênh rõ ràng (email, biểu mẫu) để người dùng gửi yêu cầu.
Xác minh danh tính:
Đảm bảo người yêu cầu đúng là chủ thể dữ liệu để tránh lộ dữ liệu sai người.
Xác định phạm vi:
Tìm tất cả nơi lưu dữ liệu — database, CRM, email marketing, bên thứ ba.
Thực hiện trong thời hạn:
Xóa hoặc cung cấp dữ liệu theo thời hạn luật định; nếu từ chối phải nêu căn cứ hợp pháp.
Xử lý ngoại lệ:
Giữ lại dữ liệu khi có nghĩa vụ pháp lý (kế toán, thuế) và giải thích cho người dùng.
Lưu bằng chứng:
Ghi nhận thời điểm và nội dung xử lý để chứng minh tuân thủ.
Khi nào doanh nghiệp được phép từ chối yêu cầu xóa?
Doanh nghiệp có thể giữ lại dữ liệu khi việc xử lý là cần thiết để thực hiện nghĩa vụ pháp lý, bảo vệ quyền lợi hợp pháp, hoặc theo yêu cầu của cơ quan nhà nước có thẩm quyền. Khi từ chối, phải nêu rõ căn cứ pháp lý cho chủ thể dữ liệu.
- Phải xử lý trong thời hạn luật định; doanh nghiệp nên đáp ứng sớm nhất có thể và lưu bằng chứng thời điểm xử lý.
- Có. Doanh nghiệp phải chuyển yêu cầu xóa đến các bên xử lý dữ liệu thay mặt mình (CRM, email marketing, đối tác).
- Chỉ khi có nghĩa vụ pháp lý (ví dụ chứng từ kế toán/thuế); phần còn lại phải được xóa và thông báo cho người dùng.
consent.vn cung cấp công cụ tiếp nhận và quản lý DSAR, lưu nhật ký xử lý làm bằng chứng tuân thủ.
Nguồn: Luật 91/2025/QH15; Nghị định 13/2023/NĐ-CP — thuvienphapluat.vn
Bắt đầu ngay — cài đặt trong 5 phút.
Cần hỗ trợ tuân thủ PDPL?