Các quyền của chủ thể dữ liệu PDPL gồm những gì?

Các quyền của chủ thể dữ liệu PDPL gồm những gì?

Câu trả lời ngắn: theo Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15, chủ thể dữ liệu có một nhóm quyền cốt lõi để kiểm soát việc thu thập, sử dụng, chia sẻ và xóa dữ liệu cá nhân của mình. Với doanh nghiệp, đây không chỉ là vấn đề pháp lý mà còn là yêu cầu vận hành: phải biết ai nhận yêu cầu, xử lý ở đâu, ghi nhận ra sao.

Dưới đây là cách hiểu thực tế từng quyền:

• Quyền được biết: cá nhân có quyền biết doanh nghiệp thu thập dữ liệu gì, dùng vào mục đích nào, ai là bên xử lý, lưu bao lâu, chia sẻ cho ai.
• Quyền đồng ý: việc xử lý dữ liệu phải dựa trên căn cứ phù hợp; với nhiều hoạt động, doanh nghiệp cần cơ chế xin và lưu bằng chứng đồng ý rõ ràng.
• Quyền truy cập/xem dữ liệu: cá nhân có thể yêu cầu doanh nghiệp cho biết đang giữ dữ liệu nào về họ, ở hệ thống nào, và đang xử lý ra sao.
• Quyền chỉnh sửa/cập nhật: nếu dữ liệu sai, thiếu hoặc lỗi thời, chủ thể dữ liệu có thể yêu cầu sửa.
• Quyền xóa dữ liệu: cá nhân có thể yêu cầu xóa trong các trường hợp theo quy định, ví dụ khi dữ liệu không còn cần cho mục đích đã nêu hoặc khi có căn cứ pháp lý phù hợp.
• Quyền rút lại sự đồng ý: nếu trước đó đã đồng ý, cá nhân có thể rút lại; doanh nghiệp phải dừng xử lý tương ứng, trừ trường hợp pháp luật cho phép tiếp tục.
• Quyền phản đối xử lý: cá nhân có thể phản đối một số hoạt động xử lý, nhất là khi doanh nghiệp dùng dữ liệu cho mục đích nhất định theo quy định.
• Quyền hạn chế xử lý: thay vì xóa ngay, cá nhân có thể yêu cầu tạm dừng xử lý trong một số tình huống.
• Quyền yêu cầu cung cấp/chuyển dữ liệu: cá nhân có thể đề nghị cung cấp dữ liệu ở định dạng phù hợp hoặc chuyển sang bên khác theo quy định.
• Quyền khiếu nại, tố cáo, khởi kiện: nếu doanh nghiệp không xử lý đúng yêu cầu, cá nhân có thể dùng các cơ chế bảo vệ quyền của mình.

Ví dụ thực tế: một khách hàng đăng ký tài khoản app giao đồ ăn và sau đó yêu cầu xóa tài khoản, rút đồng ý nhận marketing, đồng thời hỏi doanh nghiệp đang lưu lịch sử đơn hàng ở đâu. Đây là một yêu cầu có thể chạm đến nhiều quyền cùng lúc: xóa, rút đồng ý, truy cập và cung cấp thông tin.

Mỗi quyền có ý nghĩa gì với doanh nghiệp?

Hiểu đúng quyền của chủ thể dữ liệu giúp doanh nghiệp tránh xử lý cảm tính. Không phải yêu cầu nào cũng “xóa ngay”, và cũng không phải mọi dữ liệu đều có thể xóa tức thì nếu còn nghĩa vụ lưu trữ theo quy định.

1) Quyền truy cập

Doanh nghiệp phải chuẩn bị khả năng tra cứu dữ liệu theo định danh hợp lý: số điện thoại, email, mã khách hàng, thiết bị, log liên quan. Nếu hệ thống phân tán, đây là lúc cần mapping dữ liệu giữa CRM, billing, marketing và helpdesk.

2) Quyền xóa

Xóa không chỉ là “bấm delete”. Với doanh nghiệp, còn có bản sao lưu, log, hệ thống bên thứ ba, cache, kho lưu trữ. Theo quy định, cần xác định phạm vi xóa, lý do giữ lại nếu có, và ai chịu trách nhiệm xác nhận hoàn tất.

3) Quyền rút đồng ý

Nếu doanh nghiệp dùng consent làm căn cứ xử lý, cần có cách rút consent tương đương với cách đã thu thập. Ví dụ: nếu đồng ý qua app thì rút cũng nên thực hiện trong app hoặc qua email hỗ trợ rõ ràng.

4) Quyền phản đối

Quyền này đặc biệt quan trọng với marketing, profiling, phân tích hành vi. Khi nhận phản đối, doanh nghiệp phải biết hoạt động nào dừng ngay, hoạt động nào vẫn tiếp tục vì lý do hợp pháp khác.

5) Quyền chuyển/cung cấp dữ liệu

Quyền này tác động trực tiếp đến thiết kế API, export dữ liệu, định dạng file, xác thực người yêu cầu. Nếu làm tốt, đây là một quy trình kỹ thuật hóa được; nếu không, dễ thành việc xử lý thủ công chậm và lỗi.

Doanh nghiệp nên xử lý yêu cầu quyền dữ liệu như thế nào?

Bạn nên coi đây là một quy trình DSAR (data subject access request) tối thiểu.

Trong vận hành thực tế, doanh nghiệp Việt Nam nên chuẩn bị sẵn: mẫu email phản hồi, checklist xác thực danh tính, danh mục dữ liệu theo hệ thống, và bảng phân quyền nội bộ cho CSKH/IT/pháp chế. Nếu dùng cookie banner hoặc form đăng ký, hãy lưu bằng chứng đồng ý và thiết kế đường dẫn rút đồng ý rõ ràng; consent.vn có thể hỗ trợ phần này ở mức vận hành.

Khi nào doanh nghiệp có thể từ chối một yêu cầu?

Không phải mọi yêu cầu đều phải đáp ứng toàn bộ. Theo quy định, doanh nghiệp có thể cần từ chối một phần hoặc toàn bộ yêu cầu nếu việc đáp ứng xung đột với nghĩa vụ pháp lý khác, yêu cầu bảo mật, hoặc căn cứ xử lý hợp pháp còn tồn tại. Điểm quan trọng là: phải giải thích rõ, hợp lý và có hồ sơ chứng minh.

Ví dụ, khách hàng yêu cầu xóa hóa đơn đã phát hành ngay lập tức. Doanh nghiệp có thể phải giữ một số dữ liệu phục vụ nghĩa vụ kế toán, thuế, kiểm toán hoặc giải quyết tranh chấp. Khi đó, thay vì xóa toàn bộ, doanh nghiệp chỉ nên giới hạn xử lý ở mức cần thiết.

Doanh nghiệp cần lưu ý gì để không bị “kẹt” khi có yêu cầu?

Điểm nghẽn thường nằm ở kỹ thuật và tổ chức: dữ liệu nằm rải rác, không có owner, không có quy trình xác thực, không biết xóa ở đâu. Với SME, cách làm thực tế là lập một registry dữ liệu tối thiểu, gắn mỗi loại dữ liệu với mục đích, thời hạn lưu và người phụ trách.

Nếu doanh nghiệp của bạn đang xây form đăng ký, đặt cookie banner, hoặc cần luồng lưu bằng chứng đồng ý và xử lý DSAR, hãy thiết kế ngay từ đầu thay vì chờ đến khi có yêu cầu đầu tiên.

Nguồn: Luật 91/2025/QH15 trên thuvienphapluat.vn; Nghị định 13/2023/NĐ-CP trên thuvienphapluat.vn; cơ quan thực thi A05 trên bocongan.gov.vn