Lưu trữ dữ liệu cá nhân bao lâu theo PDPL?

Lưu trữ dữ liệu cá nhân bao lâu theo PDPL?

Câu trả lời ngắn: chỉ lưu trong thời hạn cần thiết cho mục đích đã thông báo và được phép xử lý. Luật Bảo vệ Dữ liệu Cá nhân là Luật 91/2025/QH15, dự kiến hiệu lực từ 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP. Luật đi theo hướng tối thiểu hóa: thu thập ít nhất, giữ ngắn nhất, dùng đúng mục đích.

Với SME, cách hiểu thực tế là: nếu bạn thu dữ liệu để giao hàng, bảo hành, chăm sóc khách hàng hoặc thực hiện hợp đồng, thì chỉ giữ đến khi hoàn tất nghĩa vụ đó và thêm một khoảng thời gian hợp lý để đối soát, xử lý khiếu nại hoặc chứng minh giao dịch — nhưng không giữ “cho chắc” vô thời hạn.

Ví dụ: một shop online giữ địa chỉ giao hàng sau khi đơn đã hoàn tất chỉ để xuất hóa đơn, xử lý đổi trả trong thời gian còn hiệu lực. Khi hết nhu cầu đó, thông tin nên được xóa hoặc ẩn danh theo quy trình nội bộ.

Khi nào phải xóa dữ liệu cá nhân?

Bạn phải xóa khi mục đích xử lý đã kết thúc, khi người dùng rút lại sự đồng ý nếu việc xử lý dựa trên consent, hoặc khi không còn căn cứ pháp lý hợp lệ để tiếp tục lưu.

Trong thực tế, các mốc thường gặp gồm:

• Hết thời gian cung cấp dịch vụ/hợp đồng.
• Hết thời hạn khiếu nại, bảo hành, đối soát mà doanh nghiệp đã công bố.
• Dữ liệu không còn cần cho mục đích gốc, ví dụ lead marketing cũ không phản hồi và không còn căn cứ tiếp thị.
• Người dùng yêu cầu xóa, và doanh nghiệp không có nghĩa vụ pháp lý khác buộc phải giữ.

Lưu ý: “xóa” không chỉ là bấm delete trên giao diện. Với hệ thống thật, bạn cần xác định dữ liệu nằm ở đâu: CSDL chính, backup, log, CRM, email, file export của đội kinh doanh, nhà cung cấp SaaS. Nếu còn bản sao ở nơi khác thì về mặt vận hành, bạn chưa thực sự kiểm soát được vòng đời dữ liệu.

Ngoại lệ kế toán, thuế có được giữ lâu hơn không?

Có. Nếu pháp luật về kế toán, thuế hoặc nghĩa vụ lưu trữ hồ sơ khác yêu cầu giữ chứng từ, hóa đơn, sổ sách hoặc tài liệu liên quan lâu hơn, doanh nghiệp có thể tiếp tục lưu trong phạm vi cần thiết để tuân thủ các nghĩa vụ đó.

Điểm quan trọng là “lưu lâu hơn” không đồng nghĩa với “lưu mọi thứ”. Bạn chỉ nên giữ phần dữ liệu phục vụ đúng nghĩa vụ pháp lý. Ví dụ, hồ sơ hóa đơn, chứng từ thanh toán, thông tin đối soát có thể cần lưu để phục vụ kiểm tra thuế; còn dữ liệu marketing, lịch sử duyệt web, hoặc ghi chú chăm sóc bán hàng không nhất thiết phải kéo dài cùng thời hạn.

Với SME, nên tách 2 lớp:

• Dữ liệu bắt buộc lưu: phục vụ kế toán, thuế, kiểm toán, tranh chấp.
• Dữ liệu phải xóa sớm: marketing, khảo sát, dữ liệu thử nghiệm, lead cũ.

Nếu bạn đang dùng CRM, ERP, phần mềm hóa đơn, hãy kiểm tra xem hệ thống có cho cấu hình retention theo từng loại dữ liệu hay không. Nhiều doanh nghiệp giữ “toàn bộ hồ sơ khách hàng” vì tiện vận hành, nhưng cách này thường làm tăng rủi ro PDPL và chi phí bảo mật.

Doanh nghiệp nên đặt chính sách lưu trữ thế nào?

Nên có policy theo từng nhóm dữ liệu, không dùng một con số chung cho mọi trường hợp. Ví dụ: dữ liệu đơn hàng 12–24 tháng để xử lý hậu mãi; dữ liệu kế toán, thuế theo thời hạn pháp luật chuyên ngành; dữ liệu marketing đến khi người dùng từ chối hoặc không còn tương tác theo quy định nội bộ.

Đây là phần nhiều doanh nghiệp Việt Nam hay thiếu: họ có privacy policy nhưng không có retention schedule. Nếu không có lịch lưu trữ, khi khách hỏi “lưu trữ dữ liệu cá nhân bao lâu”, team CSKH và kỹ thuật thường trả lời khác nhau.

Một policy tối thiểu nên trả lời được 4 câu:

• Lưu loại dữ liệu nào?
• Lưu để làm gì?
• Lưu bao lâu?
• Hết thời hạn thì xóa hay ẩn danh ở đâu?

Nếu giữ dữ liệu quá lâu thì có rủi ro gì?

Rủi ro không chỉ là bị khiếu nại. Khi dữ liệu được giữ lâu hơn cần thiết, doanh nghiệp tăng bề mặt tấn công, khó đáp ứng yêu cầu xóa, và khó giải trình nếu A05 kiểm tra việc tuân thủ theo quy định.

Mức phạt cụ thể sẽ do nghị định hướng dẫn của Chính phủ ban hành; vi phạm nghiêm trọng có thể bị xử lý hình sự. Với sự cố dữ liệu, doanh nghiệp còn phải thông báo vi phạm trong 72 giờ kể từ khi phát hiện.

Nếu bạn đang quản lý website/app, nên phối hợp giữa legal và dev: gắn tag dữ liệu theo mục đích, set retention tự động, và ghi nhận log xóa để phục vụ audit. Consent.vn có thể hữu ích cho banner cookie, lưu bằng chứng đồng ý và quản lý DSAR, nhưng vẫn cần bạn định nghĩa retention đúng ngay từ đầu.

Nguồn: Luật 91/2025/QH15: https://thuvienphapluat.vn ; Nghị định 13/2023/NĐ-CP: https://thuvienphapluat.vn ; Cơ quan thực thi A05: https://bocongan.gov.vn