Quyền Của Chủ Thể Dữ Liệu Theo Luật 91/2025: 6 Nhóm Quyền Tại Khoản 1 Điều 4, Thời Hạn Phản Hồi & Chế Tài Nghị Định 330/2026

1. Đặt vấn đề: Vai trò của quyền chủ thể dữ liệu và ranh giới với các trường hợp ngoại lệ#

Luật Bảo vệ Dữ liệu Cá nhân 2025 (Luật số 91/2025/QH15, có hiệu lực từ 01/01/2026) thiết lập các nguyên tắc pháp lý toàn diện về quyền riêng tư tại Việt Nam. Trọng tâm của Luật là thiết lập nguyên tắc bảo vệ quyền tự quyết thông tin của "chủ thể dữ liệu" (Data Subject) - bao gồm khách hàng, người dùng ứng dụng và người lao động của doanh nghiệp.

Mặc dù sự đồng ý (Consent) là một trong những căn cứ pháp lý quan trọng hàng đầu trong hoạt động xử lý dữ liệu, doanh nghiệp cần lưu ý rằng Luật 91/2025/QH15 không quy định "mọi hành động xử lý đều bắt buộc phải có sự đồng ý". Khoản quy định của Luật và Nghị định hướng dẫn đã nêu rõ các trường hợp ngoại lệ được phép xử lý dữ liệu mà KHÔNG CẦN sự đồng ý của chủ thể dữ liệu (như trường hợp khẩn cấp bảo vệ tính mạng, thực hiện hợp đồng mà cá nhân là một bên giao kết, hoặc phục vụ an ninh quốc gia theo luật định).

Về chế tài xử lý vi phạm, Nghị định số 330/2026/NĐ-CP (ban hành và có hiệu lực từ ngày 19/08/2026) phân định rõ:

• Các hành vi không thực hiện, cản trở hoặc chậm trễ phản hồi các quyền của chủ thể dữ liệu (như quyền truy cập, chỉnh sửa, xóa dữ liệu, quyền rút lại sự đồng ý) có thể bị xử phạt vi phạm hành chính theo khung xử phạt lĩnh vực bảo vệ dữ liệu cá nhân của Nghị định 330/2026/NĐ-CP, với mức phạt tiền tối đa áp dụng cho tổ chức lên tới 3 tỷ đồng (Điều 7).
• Mức phạt tính theo tỷ lệ doanh thu (1–5% doanh thu năm liền trước tại thị trường Việt Nam, kèm hình phạt bổ sung là đình chỉ hoạt động 06–12 tháng) CHỈ áp dụng đối với nhóm hành vi làm lộ hoặc đưa dữ liệu cá nhân ra nước ngoài trái phép. Riêng hành vi mua bán trái phép dữ liệu cá nhân bị xử phạt bằng biện pháp hoàn trả thu nhập bất hợp pháp từ 2 đến 10 lần khoản thu có được.

2. Sáu nhóm quyền của chủ thể dữ liệu theo khoản 1 Điều 4 Luật 91/2025/QH15#

Khoản 1 Điều 4 Luật số 91/2025/QH15 liệt kê quyền của chủ thể dữ liệu theo 6 nhóm quyền (từ điểm a đến điểm e) thay vì danh sách các quyền riêng lẻ như thời Nghị định 13/2023/NĐ-CP (đã hết hiệu lực từ 01/01/2026, từng liệt kê các quyền dạng danh sách phẳng). Bên Kiểm soát và Bên Xử lý dữ liệu có nghĩa vụ thiết lập cơ chế tiếp nhận và thực thi thuận tiện cho toàn bộ 6 nhóm quyền này:

• 1. Nhóm quyền được biết: Được thông báo rõ ràng, minh bạch về loại dữ liệu thu thập, mục đích, tổ chức xử lý, thời gian lưu trữ và các bên thứ ba tiếp nhận thông qua Thông báo bảo mật (Privacy Notice).
• 2. Nhóm quyền đồng ý hoặc không đồng ý: Tự nguyện thể hiện sự đồng ý bằng hành động khẳng định (Opt-in), yêu cầu rút lại sự đồng ý đã cấp. Sự đồng ý không được mặc định đánh dấu sẵn hoặc gộp chung với điều khoản dịch vụ khác.
• 3. Nhóm quyền xem, chỉnh sửa: Yêu cầu xem hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình đang được lưu trữ.
• 4. Nhóm quyền yêu cầu cung cấp, xóa, hạn chế xử lý và phản đối xử lý: Yêu cầu cung cấp dữ liệu của mình, yêu cầu xóa dữ liệu, yêu cầu hạn chế xử lý hoặc gửi yêu cầu phản đối việc xử lý dữ liệu cá nhân.
• Trong nhóm này, quyền xóa dữ liệu (Right to be Forgotten) cho phép yêu cầu xóa vĩnh viễn hoặc hủy dữ liệu cá nhân khi không còn cần thiết cho mục đích ban đầu hoặc khi rút lại đồng ý (trừ các dữ liệu bắt buộc lưu trữ theo luật thuế, kế toán, ngân hàng).
• Quyền hạn chế xử lý cho phép chủ thể dữ liệu yêu cầu giới hạn phạm vi xử lý (ví dụ: chỉ lưu trữ, không dùng để phân tích hành vi hay chia sẻ cho bên thứ ba).
• Quyền cung cấp dữ liệu (Data Portability) cho phép chủ thể dữ liệu yêu cầu doanh nghiệp cung cấp dữ liệu cá nhân của mình ở định dạng có cấu trúc, thông dụng và có thể đọc được bằng máy.
• Quyền phản đối xử lý dữ liệu cho phép phản đối việc xử lý cho mục đích tiếp thị trực tiếp (Direct Marketing), quảng cáo mục tiêu hoặc lập hồ sơ hành vi. Kết thúc nhóm 4, nhóm quyền thứ 5 là nhóm quyền khiếu nại, tố cáo, khởi kiện:
• 5. Nhóm quyền khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại: Gửi đơn khiếu nại, tố cáo tới cơ quan có thẩm quyền (như Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - A05, Bộ Công an), khởi kiện ra Tòa án có thẩm quyền khi quyền riêng tư bị xâm hại.
• Quyền yêu cầu bồi thường thiệt hại cho phép đòi bồi thường tổn thất vật chất và tinh thần khi quyền riêng tư hoặc dữ liệu bị xâm hại do hành vi vi phạm của doanh nghiệp.
• 6. Nhóm quyền yêu cầu thực hiện biện pháp bảo vệ: Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật. Bên cạnh 6 nhóm quyền, khoản 2 Điều 4 còn quy định nghĩa vụ tự bảo vệ dữ liệu cá nhân của chính chủ thể dữ liệu.

3. Các trường hợp xử lý dữ liệu cá nhân KHÔNG CẦN sự đồng ý của chủ thể dữ liệu#

Căn cứ theo quy định của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP (kế thừa và hoàn thiện từ Điều 17 Nghị định 13/2023/NĐ-CP), các cơ quan, tổ chức, doanh nghiệp ĐƯỢC PHÉP xử lý dữ liệu cá nhân mà KHÔNG CẦN sự đồng ý trong các trường hợp cụ thể sau:

• Trường hợp khẩn cấp bảo vệ tính mạng, sức khỏe: Cần xử lý ngay dữ liệu cá nhân để bảo vệ tính mạng, sức khỏe của chính chủ thể dữ liệu hoặc của người khác trong tình huống nguy cấp (ví dụ: cấp cứu y tế, cứu nạn cứu hộ).
• Dữ liệu cá nhân đã được công khai theo quy định của luật: Việc công khai dữ liệu cá nhân đã được thực hiện hợp pháp theo quy định của văn bản luật chuyên ngành.
• Thực hiện nghĩa vụ theo hợp đồng: Xử lý dữ liệu cá nhân của chủ thể dữ liệu khi chủ thể dữ liệu là một bên của hợp đồng với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật (ví dụ: giao hàng theo địa chỉ hợp đồng mua bán, thực hiện nghĩa vụ chi trả lương cho người lao động).
• Phục vụ tình trạng khẩn cấp quốc gia & phòng chống tội phạm: Trong trường hợp tình trạng khẩn cấp về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa thiên tai lớn, dịch bệnh nguy hiểm; phòng chống khủng bố, phòng ngừa và điều tra tội phạm theo luật định.
• Phục vụ hoạt động của cơ quan nhà nước có thẩm quyền: Xử lý dữ liệu phục vụ hoạt động quản lý nhà nước đã được quy định cụ thể bởi luật chuyên ngành.

4. Thời hạn pháp lý (SLA) và Quy trình phản hồi chuẩn cho doanh nghiệp#

Theo Luật số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, thời hạn thực hiện nghĩa vụ đối với các yêu cầu của chủ thể dữ liệu được quy định cụ thể như sau:

• Thời hạn thực hiện quyền truy cập, chỉnh sửa, cung cấp, xóa dữ liệu: Doanh nghiệp phải phản hồi chủ thể dữ liệu trong 02 ngày làm việc kể từ khi nhận được yêu cầu. Về thời hạn thực hiện: quyền xem, chỉnh sửa, cung cấp dữ liệu là 10 ngày (15 ngày nếu liên quan đến bên xử lý hoặc bên thứ ba); quyền xóa dữ liệu là 20 ngày (30 ngày nếu liên quan đến bên xử lý hoặc bên thứ ba). Trường hợp chưa giải quyết được, doanh nghiệp chỉ được gia hạn tối đa 01 lần và không quá 15 ngày, kèm thông báo lý do cho chủ thể dữ liệu (Điều 5 Nghị định 356/2025/NĐ-CP).
• Thời hạn ngừng xử lý khi chủ thể dữ liệu rút lại sự đồng ý: Doanh nghiệp phải ghi nhận và thực hiện việc ngừng hoạt động xử lý dữ liệu tương ứng trong thời hạn 15 ngày kể từ khi nhận được thông báo rút lại consent hợp lệ (20 ngày nếu liên quan đến bên xử lý hoặc bên thứ ba, trừ trường hợp việc xử lý thuộc các trường hợp ngoại lệ theo luật định).

5. Quy trình 4 bước tiếp nhận & phản hồi yêu cầu của chủ thể dữ liệu#

Bước 1: Tiếp nhận và Xác thực danh tính (Authentication). Khi nhận được yêu cầu, bộ phận DPO/Compliance phải xác thực danh tính người gửi (qua OTP email/SMS hoặc chữ ký số) nhằm ngăn chặn kẻ gian giả mạo để chiếm đoạt hoặc xóa dữ liệu của người khác.

Bước 2: Phân loại yêu cầu & Đối chiếu nghĩa vụ pháp lý. DPO đối chiếu yêu cầu với các nghĩa vụ lưu trữ bắt buộc (ví dụ: hóa đơn thuế lưu trữ 10 năm theo Luật Kế toán, dữ liệu phòng chống rửa tiền AML). Phân tách phần dữ liệu được xóa/chỉnh sửa ngay với phần dữ liệu phải giữ lại kèm biện pháp khử nhận dạng.

Bước 3: Thực thi kỹ thuật trên toàn bộ hệ thống (Internal & Vendor). Bộ phận IT kích hoạt lệnh xóa/trích xuất trên database nội bộ (CRM, ERP) và đồng thời gửi yêu cầu API/văn bản sang các bên thứ ba (Email Marketing, Cloud SaaS) căn cứ theo Phụ lục hợp đồng DPA.

Bước 4: Phát hành văn bản phản hồi & Lưu vết chứng từ tuân thủ (Audit Trail). Gửi email/văn bản thông báo kết quả cho chủ thể dữ liệu trong thời hạn luật định. Lưu trữ toàn bộ lịch sử ticket, log hệ thống để làm bằng chứng giải trình khi Cục A05 thanh tra.

6. Khuyến nghị giải pháp cho doanh nghiệp từ Chuyên gia LexData#

Để đáp ứng các thời hạn phản hồi và thực hiện quyền theo Điều 5 Nghị định 356/2025/NĐ-CP và tránh khung xử phạt của Nghị định 330/2026/NĐ-CP (mức phạt tiền tối đa áp dụng cho tổ chức lên tới 3 tỷ đồng), doanh nghiệp cần sớm xây dựng Cổng quản lý quyền riêng tư tự động (Privacy Preference Center), số hóa biểu mẫu tiếp nhận và đào tạo nhận thức tuân thủ dữ liệu cho nhân viên CSKH/IT. LexData cung cấp dịch vụ DPO thuê ngoài chuyên trách và tư vấn rà soát hồ sơ tuân thủ toàn diện giúp doanh nghiệp vận hành an toàn và chuẩn mực theo Luật PDPD.