Dữ liệu cá nhân là gì? Định nghĩa chuẩn theo Luật 91/2025/QH15

Dữ liệu cá nhân là gì theo quy định Luật 91/2025/QH15?

Mọi chương trình quản trị tuân thủ đều bắt đầu từ câu hỏi dữ liệu cá nhân là gì. Theo quy định tại Khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể. Khái niệm này bao quát cả môi trường kỹ thuật số lẫn các tài liệu lưu trữ vật lý.

Để trả lời đầy đủ dữ liệu cá nhân là gì, Nghị định số 356/2025/NĐ-CP hướng dẫn chi tiết hai phân nhóm dữ liệu cá nhân, trình bày ở hai mục dưới đây.

Dữ liệu cá nhân cơ bản gồm những thông tin nào theo Điều 3 Nghị định 356/2025/NĐ-CP?

Dữ liệu cá nhân cơ bản bao gồm 11 nhóm thông tin:

1. Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có);
2. Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích;
3. Giới tính;
4. Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ;
5. Quốc tịch;
6. Hình ảnh của cá nhân;
7. Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe;
8. Tình trạng hôn nhân;
9. Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ, chồng);
10. Thông tin về tài khoản số của cá nhân;
11. Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc quy định tại Điều 4 Nghị định này.

Dữ liệu cá nhân nhạy cảm gồm những thông tin nào theo Điều 4 Nghị định 356/2025/NĐ-CP?

Dữ liệu cá nhân nhạy cảm bao gồm 12 nhóm thông tin:

1. Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;
2. Quan điểm về chính trị, tôn giáo, tín ngưỡng;
3. Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;
4. Tình trạng sức khỏe;
5. Dữ liệu sinh trắc học, đặc điểm di truyền;
6. Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;
7. Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;
8. Vị trí của cá nhân được xác định qua dịch vụ định vị;
9. Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;
10. Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;
11. Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;
12. Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.

Dữ liệu cá nhân là gì trên thực tế: cơ bản và nhạy cảm khác nhau thế nào?

Bảng dưới đây so sánh hai phân nhóm theo căn cứ pháp lý, phạm vi danh mục, mức độ rủi ro, yêu cầu về sự đồng ý, hồ sơ DPIA và biện pháp bảo vệ.

Doanh nghiệp cần làm gì để quản trị dữ liệu cá nhân đúng luật?

Để quản trị dữ liệu cá nhân đúng chuẩn pháp luật và phòng ngừa rủi ro vi phạm, doanh nghiệp cần triển khai ngay các bước sau:

• Lập Bản đồ luồng dữ liệu (Data Mapping): Rà soát và kiểm kê toàn diện các luồng thông tin thu thập từ khách hàng, người dùng ứng dụng và nhân sự nội bộ để bóc tách rõ ràng nhóm cơ bản và nhóm nhạy cảm.
• Chuẩn hóa cơ chế lấy sự đồng ý: Thiết lập các ô chọn (checkbox) riêng biệt cho từng mục đích xử lý, tuyệt đối không tích chọn sẵn; bảo đảm có thông báo riêng cho người dùng khi thu thập dữ liệu nhạy cảm.
• Hoàn thiện hồ sơ DPIA đúng hạn: Khẩn trương xây dựng hồ sơ đánh giá tác động và nộp về cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo đúng thời hạn 60 ngày kể từ ngày bắt đầu xử lý, trừ khi doanh nghiệp thuộc diện được lựa chọn hoặc không phải thực hiện theo Khoản 2, 3 Điều 38 Luật 91/2025.