Quyền của chủ thể dữ liệu: 6 nhóm quyền theo Điều 4 Luật 91/2025
Chủ thể dữ liệu là cá nhân được dữ liệu cá nhân phản ánh. Khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định 6 nhóm quyền của chủ thể dữ liệu để kiểm soát và bảo vệ thông tin cá nhân của chính mình.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15
Nguồn văn bản chính thức
3 Điểm cốt lõi doanh nghiệp cần nhớ
- Khoản 1 Điều 4 Luật 91/2025 quy định 6 nhóm quyền: được biết; đồng ý hoặc cho phép xử lý và rút lại sự đồng ý; truy cập, xem, chỉnh sửa hoặc yêu cầu chỉnh sửa; được cung cấp, xóa, hạn chế xử lý, phản đối xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường; yêu cầu các biện pháp bảo vệ.
- Doanh nghiệp phải thiết lập kênh tiếp nhận và phản hồi yêu cầu của chủ thể dữ liệu (DSR) trong thời hạn quy định.
- Từ chối thực hiện quyền của người dùng mà không có lý do chính đáng là hành vi vi phạm pháp luật.
Quyền của chủ thể dữ liệu theo Luật 91/2025/QH15 gồm những gì?
Theo pháp luật Việt Nam, quyền của chủ thể dữ liệu là nhóm quyền pháp định tối thượng nhằm bảo vệ quyền riêng tư và quyền tự quyết thông tin cá nhân. Căn cứ Khoản 1 Điều 4 Luật 91/2025/QH15, chủ thể dữ liệu có 6 nhóm quyền cốt lõi.
Với quyền được biết, doanh nghiệp có thể tham khảo cách trình bày thông báo xử lý dữ liệu cá nhân để người đọc hiểu mục đích, đơn vị chịu trách nhiệm và thông tin liên quan.
Danh mục 6 nhóm quyền của chủ thể dữ liệu doanh nghiệp cần bảo đảm
- Quyền được biết: Được thông báo về hoạt động xử lý dữ liệu của mình.
- Đồng ý hoặc cho phép xử lý và rút lại sự đồng ý: Tự nguyện đồng ý, không đồng ý và yêu cầu rút lại sự đồng ý đã cấp, trừ các trường hợp tại Điều 19 hoặc pháp luật có quy định khác (khoản 1 Điều 10).
- Truy cập, xem, chỉnh sửa hoặc yêu cầu chỉnh sửa: Xem, yêu cầu chỉnh sửa dữ liệu cá nhân của mình.
- Được cung cấp, xóa, hạn chế xử lý, phản đối xử lý: Yêu cầu nhận bản sao dữ liệu, xóa dữ liệu, giới hạn hoặc phản đối việc xử lý dữ liệu cá nhân của mình.
- Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường: Tố cáo, khởi kiện hoặc đòi bồi thường khi quyền riêng tư bị xâm hại.
- Yêu cầu các biện pháp bảo vệ: Yêu cầu áp dụng các biện pháp cần thiết để bảo vệ dữ liệu cá nhân của mình.
Lưu ý: ngoài 6 nhóm quyền trên, khoản 2 Điều 4 Luật 91/2025 còn quy định nghĩa vụ tự bảo vệ dữ liệu cá nhân của chính mình — đây là nghĩa vụ của chủ thể dữ liệu, không phải là một quyền.
Nghĩa vụ của doanh nghiệp khi tiếp nhận yêu cầu thực hiện quyền
Để đưa các quyền này vào hoạt động hằng ngày, doanh nghiệp cần đầu mối theo dõi yêu cầu và nhân viên hiểu cách phối hợp. LexData cung cấp DPO thuê ngoài hỗ trợ tiếp nhận và theo dõi yêu cầu chủ thể dữ liệu, cùng đào tạo DPO và đội ngũ xử lý yêu cầu theo phạm vi được thống nhất.
Câu hỏi thường gặp (FAQ)
Khách hàng yêu cầu xóa dữ liệu thì doanh nghiệp có bắt buộc phải xóa ngay không?
Doanh nghiệp phải thực hiện xóa dữ liệu trong thời hạn quy định (20 ngày, hoặc 30 ngày nếu cần yêu cầu bên xử lý/bên thứ ba), trừ các trường hợp không cần sự đồng ý tại Điều 19 Luật 91/2025 hoặc pháp luật có quy định bắt buộc phải lưu trữ (ví dụ: chứng từ kế toán, hóa đơn theo thời hạn lưu trữ của pháp luật kế toán, thuế; dữ liệu giao dịch theo pháp luật phòng, chống rửa tiền). Khi không thể xóa vì lý do chính đáng, doanh nghiệp phải thông báo cho chủ thể dữ liệu biết (khoản 2, khoản 5 Điều 14 Luật 91/2025).
Thời hạn tối đa để doanh nghiệp phản hồi yêu cầu của khách hàng là bao lâu?
Theo Điều 5 Nghị định 356/2025/NĐ-CP, với mọi loại yêu cầu, doanh nghiệp phải phản hồi chủ thể dữ liệu trong 02 ngày làm việc. Thời hạn thực hiện theo từng loại yêu cầu: 15 ngày với rút lại đồng ý, hạn chế xử lý, phản đối xử lý (20 ngày nếu phải yêu cầu bên xử lý/bên thứ ba ngừng xử lý); 10 ngày với xem, chỉnh sửa, cung cấp dữ liệu (15 ngày nếu liên quan bên xử lý/bên thứ ba); 20 ngày với xóa dữ liệu (30 ngày nếu liên quan bên xử lý/bên thứ ba); 15 ngày với yêu cầu thực hiện biện pháp bảo vệ dữ liệu. Thời hạn được gia hạn tối đa 01 lần: không quá 15 ngày với rút lại đồng ý, hạn chế, phản đối xử lý và yêu cầu biện pháp bảo vệ; không quá 10 ngày với xem, chỉnh sửa, cung cấp dữ liệu; không quá 20 ngày với xóa dữ liệu. Doanh nghiệp phải thông báo lý do và chịu trách nhiệm chứng minh gia hạn là cần thiết, hợp lý.
Nội dung bài viết được rà soát và kiểm chứng tính chuẩn xác pháp lý theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và các văn bản quy phạm pháp luật hiện hành.
Xem hồ sơ năng lực chuyên gia & đội ngũ LexDataKhám phá chuyên sâu & Giải pháp từ LexData
Đào tạo Chuyên gia Bảo vệ Dữ liệu Cá nhân (DPO) cho Doanh nghiệp
Đồng hành cùng luật sư LexData thực hiện trọn gói thủ tục và hồ sơ cho doanh nghiệp.
Tìm hiểu dịch vụ