Chủ thể dữ liệu cá nhân là ai? Khái niệm và ví dụ

Một người có thể là nhân viên xử lý hồ sơ khách hàng trong công việc, đồng thời là chủ thể đối với hồ sơ nhân sự của chính mình. Vì vậy, vai trò phải gắn với tập thông tin và hoạt động đang xét. Xem thêm phân biệt bên kiểm soát và bên xử lý dữ liệu.

Công ty có phải chủ thể dữ liệu cá nhân không?

Theo cách xác định tại khoản 5 Điều 2, khái niệm này hướng đến con người được phản ánh, không phải pháp nhân. Cần phân biệt thông tin về một công ty với thông tin về cá nhân làm việc tại công ty đó. Tên doanh nghiệp trên hợp đồng khác với họ tên, chữ ký hoặc số điện thoại của người đại diện.

Chẳng hạn, một hợp đồng B2B có thể chứa thông tin cá nhân của người ký ở mỗi bên. Việc hợp đồng được ký giữa hai tổ chức không làm mất tính chất cá nhân của các thông tin này. Cũng không nên gọi công ty là “chủ thể dữ liệu cá nhân” chỉ vì công ty trả tiền xây dựng hoặc đang quản lý cơ sở dữ liệu.

Người đại diện có thay thế chủ thể dữ liệu cá nhân không?

Cần phân biệt người được thông tin phản ánh với người có quyền hành động thay. Khoản 2 Điều 24 Luật 91/2025/QH15 quy định người đại diện theo pháp luật thay mặt thực hiện quyền đối với các nhóm được nêu tại điều này, gồm trẻ em và một số trường hợp liên quan đến năng lực hành vi dân sự, với ngoại lệ được dẫn chiếu tại khoản 1 Điều 19.

Ví dụ, khi người đại diện thực hiện quyền đối với hồ sơ của trẻ, người trẻ vẫn là người mà thông tin phản ánh. Quan hệ đại diện không biến thông tin học tập hoặc sức khỏe của trẻ thành thông tin của người đại diện. Không thể suy ra cứ là người thân hoặc người điền biểu mẫu thì được quyền thay mặt trong mọi trường hợp.

Quyền và nghĩa vụ của chủ thể dữ liệu cá nhân được quy định ở đâu?

Khoản 1 Điều 4 Luật 91/2025/QH15 quy định sáu nhóm quyền: được biết; quyết định về sự đồng ý; xem và chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế hoặc phản đối xử lý; sử dụng cơ chế khiếu nại, tố cáo, khởi kiện, bồi thường; yêu cầu biện pháp bảo vệ. Đây là tóm lược, cần đọc điều luật để xác định đầy đủ nội dung.

Khoản 2 và khoản 3 Điều 4 đồng thời quy định nghĩa vụ và nguyên tắc thực hiện. Có quyền đối với thông tin của mình không đồng nghĩa được yêu cầu bất kỳ hành động nào mà bỏ qua pháp luật, hợp đồng hoặc quyền hợp pháp của người khác. Tìm hiểu riêng tại cẩm nang quyền của chủ thể dữ liệu.

Điều 5 Nghị định 356/2025/NĐ-CP cụ thể hóa thủ tục và thời hạn theo từng nhóm yêu cầu. Cần phân biệt phản hồi yêu cầu với hoàn thành yêu cầu; không áp dụng một thời hạn chung cho mọi quyền. Phần này giúp đặt khái niệm vào hệ thống pháp luật, không phải quy trình vận hành chi tiết.

Những cách hiểu dễ nhầm về chủ thể dữ liệu

• Nhầm với người cung cấp: người gửi một danh sách có thể đang gửi thông tin về nhiều người khác.
• Nhầm với người giữ hồ sơ: quyền truy cập tệp không quyết định người mà nội dung tệp phản ánh.
• Chỉ tính khách hàng: ví dụ có thể gồm người nhận hàng, ứng viên, nhân viên hoặc người liên hệ.
• Mỗi hồ sơ chỉ có một người: một đơn hàng hoặc hợp đồng có thể chứa nhiều nhóm thông tin gắn với các cá nhân khác nhau.

Khi dùng thuật ngữ trong tài liệu, nên nêu rõ nhóm người đang được nói đến, thay vì chỉ viết “người dùng” cho toàn bộ dữ liệu. Doanh nghiệp cần xác định các nhóm này trên nhiều hệ thống có thể tham khảo dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.