Quyền của chủ thể dữ liệu: 6 nhóm quyền theo Điều 4 Luật 91/2025
Chủ thể dữ liệu là cá nhân được dữ liệu cá nhân phản ánh. Khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định 6 nhóm quyền của chủ thể dữ liệu để kiểm soát và bảo vệ thông tin cá nhân của chính mình.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15
Nguồn văn bản chính thức
3 Điểm cốt lõi doanh nghiệp cần nhớ
- Khoản 1 Điều 4 Luật 91/2025 quy định 6 nhóm quyền: được biết; đồng ý hoặc cho phép xử lý và rút lại sự đồng ý; truy cập, xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; được cung cấp, xóa, hạn chế xử lý, phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường; yêu cầu các biện pháp bảo vệ.
- Doanh nghiệp phải thiết lập kênh tiếp nhận và phản hồi yêu cầu của chủ thể dữ liệu (DSR) trong thời hạn quy định.
- Từ chối thực hiện quyền của người dùng mà không có lý do chính đáng là hành vi vi phạm pháp luật.
Quyền của chủ thể dữ liệu theo Luật 91/2025/QH15 gồm những gì?
Quyền của chủ thể dữ liệu là nhóm quyền pháp định tối thượng nhằm bảo vệ quyền riêng tư và quyền tự quyết thông tin cá nhân. Căn cứ Khoản 1 Điều 4 Luật 91/2025/QH15, chủ thể dữ liệu có 6 nhóm quyền cốt lõi.
Với quyền được biết, doanh nghiệp có thể tham khảo cách trình bày thông báo xử lý dữ liệu cá nhân để người đọc hiểu mục đích, đơn vị chịu trách nhiệm và thông tin liên quan.
Danh mục 6 nhóm quyền của chủ thể dữ liệu doanh nghiệp cần bảo đảm
- Quyền được biết: Được thông báo về hoạt động xử lý dữ liệu của mình.
- Đồng ý hoặc cho phép xử lý và rút lại sự đồng ý: Tự nguyện đồng ý, không đồng ý và hủy bỏ sự đồng ý đã cấp bất kỳ lúc nào.
- Truy cập, xem, chỉnh sửa hoặc yêu cầu chỉnh sửa: Xem, yêu cầu chỉnh sửa dữ liệu cá nhân của mình.
- Được cung cấp, xóa, hạn chế xử lý, phản đối xử lý: Yêu cầu nhận bản sao dữ liệu, xóa dữ liệu, giới hạn hoặc phản đối việc xử lý dữ liệu cá nhân của mình.
- Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường: Tố cáo, khởi kiện hoặc đòi bồi thường khi quyền riêng tư bị xâm hại.
- Yêu cầu các biện pháp bảo vệ: Yêu cầu áp dụng các biện pháp cần thiết để bảo vệ dữ liệu cá nhân của mình.
Lưu ý: ngoài 6 nhóm quyền trên, khoản 2 Điều 4 Luật 91/2025 còn quy định nghĩa vụ tự bảo vệ dữ liệu cá nhân của chính mình — đây là nghĩa vụ của chủ thể dữ liệu, không phải là một quyền.
Nghĩa vụ của doanh nghiệp khi tiếp nhận yêu cầu thực hiện quyền
Để đưa các quyền này vào hoạt động hằng ngày, doanh nghiệp cần đầu mối theo dõi yêu cầu và nhân viên hiểu cách phối hợp. LexData cung cấp DPO thuê ngoài hỗ trợ tiếp nhận và theo dõi yêu cầu chủ thể dữ liệu, cùng đào tạo DPO và đội ngũ xử lý yêu cầu theo phạm vi được thống nhất.
Câu hỏi thường gặp (FAQ)
Khách hàng yêu cầu xóa dữ liệu thì doanh nghiệp có bắt buộc phải xóa ngay không?
Doanh nghiệp phải thực hiện xóa dữ liệu trong thời hạn quy định, trừ trường hợp pháp luật có quy định bắt buộc phải lưu trữ (ví dụ: hóa đơn chứng từ thuế lưu 10 năm, dữ liệu giao dịch ngân hàng theo luật phòng chống rửa tiền).
Thời hạn tối đa để doanh nghiệp phản hồi yêu cầu của khách hàng là bao lâu?
Theo Điều 5 Nghị định 356/2025/NĐ-CP, doanh nghiệp luôn phải phản hồi yêu cầu của chủ thể dữ liệu trong 02 ngày làm việc. Thời hạn thực hiện theo từng loại yêu cầu: 15 ngày với rút lại đồng ý, hạn chế xử lý, phản đối xử lý (20 ngày nếu phải yêu cầu bên xử lý/bên thứ ba ngừng xử lý); 10 ngày với xem, chỉnh sửa, cung cấp dữ liệu (15 ngày nếu liên quan bên xử lý/bên thứ ba); 20 ngày với xóa dữ liệu (30 ngày nếu liên quan bên xử lý/bên thứ ba); 15 ngày với yêu cầu thực hiện biện pháp bảo vệ dữ liệu. Thời hạn được gia hạn tối đa 01 lần, không quá 15 ngày, phải thông báo lý do và chịu trách nhiệm chứng minh gia hạn là cần thiết, hợp lý.
Nội dung bài viết được rà soát và kiểm chứng tính chuẩn xác pháp lý theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và các văn bản quy phạm pháp luật hiện hành.
Xem hồ sơ năng lực chuyên gia & đội ngũ LexDataKhám phá chuyên sâu & Giải pháp từ LexData
Đào tạo Chuyên gia Bảo vệ Dữ liệu Cá nhân (DPO) cho Doanh nghiệp
Đồng hành cùng luật sư và chuyên gia DPO thiết lập lộ trình chuẩn hóa trọn gói.
Tìm hiểu dịch vụ