Bài viết · 17 tháng 6, 2026
Dữ liệu cá nhân là gì theo luật Việt Nam?
Giải thích dữ liệu cá nhân theo Luật 91/2025/QH15: cơ bản, nhạy cảm, ví dụ email, IP, cookie, sinh trắc học và nghĩa vụ doanh nghiệp.
Trả lời nhanh
Dữ liệu cá nhân là gì theo luật Việt Nam?
Dữ liệu cá nhân là mọi thông tin có thể nhận diện một người hoặc làm cho người đó có thể được nhận diện, trực tiếp hay gián tiếp. Trong thực tế SME và đội kỹ thuật thường gặp không chỉ họ tên, số điện thoại mà cả email công ty/cá nhân, địa chỉ IP, cookie định danh, vị trí, ảnh, giọng nói, log tài khoản và dữ liệu thiết bị.
Ví dụ: một địa chỉ email như [email protected] thường là dữ liệu cá nhân nếu nó gắn với một cá nhân cụ thể; một IP động có thể trở thành dữ liệu cá nhân khi doanh nghiệp có thể đối chiếu với log truy cập để nhận diện người dùng; cookie nhận diện phiên hoặc hành vi cũng có thể phát sinh nghĩa vụ bảo vệ nếu dùng để theo dõi hay định danh người dùng theo quy định.
Phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm như thế nào?
Dữ liệu cá nhân cơ bản là nhóm thông tin nhận diện thông thường, còn dữ liệu cá nhân nhạy cảm là nhóm có thể ảnh hưởng lớn hơn đến quyền, lợi ích hợp pháp, đời sống riêng tư hoặc dẫn tới rủi ro phân biệt đối xử nếu bị lộ. Việc phân loại đúng rất quan trọng vì nó quyết định mức độ kiểm soát, cơ sở xử lý và tài liệu nội bộ doanh nghiệp cần chuẩn bị.
| Tiêu chí | Dữ liệu cá nhân cơ bản | Dữ liệu cá nhân nhạy cảm | |
|---|---|---|---|
| Mức độ rủi ro | Thông thường | Cao hơn, dễ gây ảnh hưởng đáng kể | |
| Ví dụ | Họ tên, email, SĐT, IP, cookie định danh | Sinh trắc học, sức khỏe, tài chính, định danh đặc biệt theo quy định | |
| Cách xử lý | Vẫn phải có căn cứ và thông báo phù hợp | Cần kiểm soát chặt hơn, thường phải đánh giá rủi ro kỹ hơn | |
| Hệ quả nếu lộ | Ảnh hưởng riêng tư, tài khoản, liên hệ | Có thể gây thiệt hại lớn hơn, cần ứng phó khẩn cấp |
Một hiểu lầm phổ biến là “chỉ dữ liệu nhạy cảm mới được bảo vệ”. Thực tế không đúng: dữ liệu cơ bản vẫn là dữ liệu cá nhân và vẫn phải xử lý đúng mục đích, đúng phạm vi, đúng thông báo theo quy định.
Email, IP, cookie, sinh trắc học có phải dữ liệu cá nhân không?
Có, nhưng cần nhìn theo ngữ cảnh sử dụng. Email là dữ liệu cá nhân khi gắn với một người dùng cụ thể. IP là dữ liệu cá nhân khi doanh nghiệp có thể dùng nó để nhận diện, suy ra hành vi hoặc liên kết với tài khoản. Cookie cũng có thể là dữ liệu cá nhân nếu dùng để theo dõi, định danh, đo lường hành vi hoặc ghép với dữ liệu khác để nhận diện người dùng.
Sinh trắc học như vân tay, khuôn mặt, giọng nói thường được xem là dữ liệu có độ nhạy cảm cao vì nó liên quan trực tiếp đến đặc điểm nhận dạng của cá nhân. Nếu doanh nghiệp thu thập để chấm công, mở khóa ứng dụng, xác thực KYC hay chống gian lận, cần xác định rõ mục đích, thông báo minh bạch và bảo vệ theo quy định.
Ví dụ thực tế ở Việt Nam: một công ty thương mại điện tử lưu email, số điện thoại, IP truy cập, lịch sử mua hàng và cookie quảng cáo của khách; nếu tích hợp nhận diện khuôn mặt để đăng nhập nhanh, phần sinh trắc học sẽ làm nghĩa vụ tuân thủ nặng hơn nhiều so với chỉ lưu email và số điện thoại.
Doanh nghiệp cần làm gì khi xác định dữ liệu cá nhân?
Lập danh mục dữ liệu:
Liệt kê từng trường dữ liệu trong form, database, log, CRM, CDP, cookie, SDK và hệ thống bên thứ ba.
Phân loại theo mức độ:
Đánh dấu dữ liệu cơ bản, dữ liệu nhạy cảm và dữ liệu có thể định danh gián tiếp như IP, device ID, cookie.
Xác định mục đích xử lý:
Ghi rõ dùng để đăng ký, giao hàng, CSKH, phân tích hành vi, marketing, chống gian lận hay xác thực.
Rà soát thông báo và đồng ý:
Kiểm tra banner cookie, privacy notice, checkbox đồng ý, log chứng cứ đồng ý và cơ chế rút lại.
Thiết lập kiểm soát kỹ thuật:
Phân quyền truy cập, mã hóa, giới hạn lưu trữ, ẩn/mask dữ liệu, ghi nhật ký truy cập.
Chuẩn bị ứng phó sự cố:
Có quy trình phát hiện, cô lập và thông báo vi phạm dữ liệu trong 72 giờ kể từ khi phát hiện theo quy định.
Nếu doanh nghiệp dùng cookie, tracking hay biometric thì có nghĩa vụ gì?
Khi dùng cookie, tracker hoặc sinh trắc học, doanh nghiệp thường phát sinh nghĩa vụ minh bạch về mục đích, thông báo rõ cho người dùng, quản lý consent và chỉ xử lý trong phạm vi phù hợp theo quy định. Không nên mặc định rằng chỉ cần “đã có điều khoản” là đủ; quan trọng là nội dung thông báo, bằng chứng đồng ý và cách vận hành thực tế có khớp hay không.
Nếu bạn đang xây form đăng ký, banner cookie hoặc luồng DSAR, consent.vn có thể giúp bạn chuẩn hóa nội dung thông báo, lưu bằng chứng đồng ý và quy trình phản hồi yêu cầu dữ liệu theo cách dễ triển khai cho team sản phẩm.
- Là thông tin dưới dạng ký hiệu, chữ viết, số, hình ảnh, âm thanh hoặc điện tử khác gắn với một người cụ thể hoặc giúp xác định người đó theo Luật 91/2025/QH15.
- Có, nếu email gắn với một cá nhân cụ thể hoặc có thể dùng để nhận diện người đó trong hệ thống của doanh nghiệp.
- Có thể có, nếu IP hoặc cookie được dùng để định danh, theo dõi hành vi, hoặc có thể ghép với dữ liệu khác để nhận diện người dùng theo quy định.
- Thường là có mức độ nhạy cảm cao và doanh nghiệp phải kiểm soát chặt hơn, nhất là khi dùng cho xác thực, chấm công hoặc KYC.
Phân loại đúng dữ liệu cá nhân có giúp doanh nghiệp tránh rủi ro gì không?
Có. Phân loại đúng giúp doanh nghiệp biết dữ liệu nào cần banner cookie, dữ liệu nào cần log consent, dữ liệu nào cần đánh giá rủi ro kỹ hơn, và dữ liệu nào phải ưu tiên bảo mật. Sai từ bước định nghĩa thường kéo theo sai toàn bộ phần thông báo, lưu chứng cứ và phản ứng sự cố sau này.
Nguồn: Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15 và Nghị định 13/2023/NĐ-CP tại thuvienphapluat.vn; cơ quan thực thi A05 tại bocongan.gov.vn.
Bắt đầu ngay — không cần tài khoản.
Sẵn sàng tuân thủ PDPL?