Bài viết · 17 tháng 6, 2026
Quyền được biết của chủ thể dữ liệu theo PDPL là gì?
Tìm hiểu quyền được biết theo PDPL: phải thông báo gì, khi nào, và cách doanh nghiệp Việt Nam đáp ứng đúng quy định.
Trả lời nhanh
Quyền được biết của chủ thể dữ liệu PDPL là gì?
Quyền được biết là quyền nền tảng trong Luật Bảo vệ Dữ liệu Cá nhân. Nói đơn giản: trước khi lấy dữ liệu của một người, doanh nghiệp phải cho họ biết dữ liệu sẽ được dùng như thế nào để họ có thể quyết định có cung cấp hay không, và sau đó còn theo dõi được dữ liệu của mình đang đi đâu.
Với doanh nghiệp Việt Nam, quyền này không chỉ là một câu “chúng tôi tôn trọng quyền riêng tư” trong chính sách. Nó phải được thể hiện bằng thông báo cụ thể, dễ hiểu, đúng thời điểm, và có thể kiểm chứng được trong thực tế vận hành.
Doanh nghiệp phải thông báo gì cho chủ thể dữ liệu?
Doanh nghiệp cần cung cấp tối thiểu các nhóm thông tin sau theo quy định:
- Mục đích xử lý dữ liệu cá nhân.
- Loại dữ liệu được thu thập.
- Cách thức xử lý, phạm vi xử lý và thời hạn lưu trữ.
- Bên nhận dữ liệu hoặc nhóm bên nhận dữ liệu.
- Hậu quả, tác động có thể xảy ra nếu chủ thể không cung cấp dữ liệu.
- Quyền của chủ thể dữ liệu và cách họ thực hiện các quyền đó.
- Thông tin liên hệ của tổ chức/cá nhân phụ trách tiếp nhận yêu cầu.
Ví dụ thực tế: một app thương mại điện tử ở Việt Nam thu thập họ tên, số điện thoại, địa chỉ giao hàng và lịch sử mua hàng. Khi người dùng đăng ký, app cần nói rõ dữ liệu này dùng để tạo tài khoản, giao hàng, chăm sóc khách hàng, phân tích hành vi mua sắm hay chạy quảng cáo; có chia sẻ cho đơn vị vận chuyển, cổng thanh toán hay nền tảng quảng cáo hay không.
Khi nào doanh nghiệp phải thông báo?
Thông báo phải được thực hiện trước hoặc tại thời điểm thu thập dữ liệu, trừ trường hợp luật cho phép ngoại lệ theo quy định.
Điểm quan trọng là “thông báo sau khi đã thu thập” thường không đủ. Nếu người dùng điền form nhưng chỉ thấy chính sách riêng tư ở chân trang sau khi bấm gửi, doanh nghiệp có rủi ro không chứng minh được họ đã được biết đầy đủ trước khi cung cấp dữ liệu.
Các tình huống dễ bị bỏ sót:
- Form đăng ký nhận báo giá.
- Tài khoản nhân sự, chấm công, ERP nội bộ.
- Chatbot, live chat, form hỗ trợ khách hàng.
- Trang tuyển dụng thu hồ sơ ứng viên.
- SDK/tracker thu hành vi người dùng trên website hoặc app.
Doanh nghiệp đáp ứng quyền được biết ra sao?
Lập danh mục dữ liệu và luồng xử lý:
Xác định bạn đang thu gì, từ đâu, lưu ở đâu, ai xem được, có chia sẻ cho bên thứ ba không.
Viết thông báo ngắn, rõ, đúng điểm chạm:
Đưa nội dung cốt lõi ngay tại form, banner cookie, màn hình đăng ký hoặc app onboarding; đừng bắt người dùng đọc tài liệu quá dài mới biết.
Tách thông báo theo mục đích:
Mỗi mục đích xử lý nên tách riêng để người dùng hiểu phần nào là bắt buộc, phần nào là tùy chọn, phần nào liên quan đến tiếp thị.
Lưu bằng chứng đã thông báo:
Ghi nhận version chính sách, thời điểm hiển thị, log đồng ý nếu có, và cấu hình của từng kênh thu thập.
Cập nhật khi thay đổi:
Nếu thêm đối tác quảng cáo, đổi hệ thống CRM, chuyển dữ liệu ra nước ngoài hoặc mở mục đích mới, phải cập nhật thông báo trước khi áp dụng.
Mẫu thông báo ngắn dùng được ngay cho website/app
Dưới đây là mẫu nội dung tối giản cho form thu thập dữ liệu:
| Trường | Nội dung mẫu |
|---|---|
| Mục đích | Chúng tôi thu thập họ tên, email và số điện thoại để tạo tài khoản, liên hệ hỗ trợ và gửi thông tin đơn hàng. |
| Chia sẻ dữ liệu | Dữ liệu có thể được chia sẻ với đơn vị vận chuyển, nhà cung cấp lưu trữ và cổng thanh toán theo quy định. |
| Thời hạn lưu | Dữ liệu được lưu trong thời gian cần thiết để cung cấp dịch vụ và theo thời hạn pháp luật liên quan. |
| Quyền của bạn | Bạn có quyền được biết, truy cập, chỉnh sửa, rút lại sự đồng ý, yêu cầu xóa hoặc hạn chế xử lý theo quy định. |
| Liên hệ | Gửi yêu cầu tới privacy@[tencongty].vn hoặc bộ phận phụ trách dữ liệu cá nhân. |
Nếu dùng banner cookie, có thể rút gọn: “Chúng tôi dùng cookie để vận hành website, đo lường và cá nhân hóa nội dung. Xem chi tiết và quản lý tùy chọn tại Chính sách Cookie.”
Nếu không thông báo đúng thì sao?
Theo Luật 91/2025/QH15, nghĩa vụ thông báo là một phần của tuân thủ PDPL. Vi phạm nghĩa vụ này có thể dẫn đến chế tài theo nghị định hướng dẫn của Chính phủ; với vi phạm nghiêm trọng, doanh nghiệp hoặc cá nhân liên quan còn có thể bị xem xét trách nhiệm hình sự.
Với SME, rủi ro thường không nằm ở “ý định xấu” mà ở quy trình kém: form thu data không có notice, HR giữ CV ứng viên quá lâu, marketing gắn tracker mà không giải thích, hoặc CSKH lưu cuộc gọi nhưng không nói rõ mục đích.
Làm sao kiểm tra doanh nghiệp đã đáp ứng quyền được biết?
Bạn có thể tự rà soát bằng 5 câu hỏi:
- Người dùng có thấy thông báo trước khi gửi dữ liệu không?
- Thông báo có nêu rõ mục đích, bên nhận, thời hạn lưu và quyền của họ không?
- Có tách riêng mục đích bắt buộc và tùy chọn không?
- Có log hoặc bằng chứng về phiên bản thông báo đã hiển thị không?
- Khi thay đổi nhà cung cấp hoặc thêm mục đích mới, doanh nghiệp có cập nhật thông báo không?
Nếu câu trả lời là “không chắc”, nên xử lý như một hạng mục PDPL cần sửa ngay, thay vì chờ đến khi có yêu cầu từ khách hàng, đối tác hoặc cơ quan có thẩm quyền.
- Là quyền được thông báo rõ ràng về dữ liệu đang được thu thập, mục đích xử lý, bên nhận, thời hạn lưu và quyền của chính họ trước hoặc khi dữ liệu được thu thập.
- Thường là chưa đủ nếu người dùng không được thông báo đủ ngay tại điểm thu thập. Theo quy định, thông tin cần dễ thấy, dễ hiểu và đúng thời điểm.
- Nếu cookie hoặc tracker dùng để đo lường, cá nhân hóa hoặc quảng cáo, doanh nghiệp nên thông báo rõ mục đích và cơ chế quản lý tùy chọn, theo quy định áp dụng cho từng trường hợp.
- Cơ quan thực thi là Bộ Công an, cụ thể là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), theo chức năng được giao.
Nếu bạn đang xây form, banner cookie hoặc luồng DSAR cho website/app, consent.vn có thể giúp chuẩn hóa nội dung thông báo và lưu bằng chứng đồng ý để dễ audit hơn.
Nguồn: Luật 91/2025/QH15; Nghị định 13/2023/NĐ-CP — thuvienphapluat.vn; Bộ Công an — bocongan.gov.vn
Bắt đầu ngay — không cần tài khoản.
Sẵn sàng tuân thủ PDPL?