Quyền xóa dữ liệu cá nhân: khi nào phải xóa, hủy dữ liệu theo Điều 14 Luật 91/2025?
Quyền xóa dữ liệu cá nhân là quyền của chủ thể dữ liệu yêu cầu bên kiểm soát xóa, hủy dữ liệu cá nhân của mình (điểm d khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15). Điều 14 Luật 91/2025 quy định 6 trường hợp phải xóa, hủy dữ liệu, các trường hợp được từ chối và yêu cầu xóa an toàn, không để khôi phục trái phép. Theo Điều 5 Nghị định 356/2025/NĐ-CP, doanh nghiệp phải thực hiện trong 20 ngày.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 & Nghị định 356/2025/NĐ-CP
Nguồn văn bản chính thức
3 Điểm cốt lõi doanh nghiệp cần nhớ
- Dữ liệu cá nhân phải được xóa, hủy trong 6 trường hợp tại khoản 1 Điều 14 Luật 91/2025/QH15. Chủ thể dữ liệu yêu cầu chỉ là một trường hợp; hoàn thành mục đích xử lý hoặc hết thời hạn lưu trữ cũng là căn cứ bắt buộc phải xóa.
- Doanh nghiệp được từ chối yêu cầu xóa trong các trường hợp của Điều 19 Luật 91/2025 hoặc khi yêu cầu vi phạm khoản 3 Điều 4, nhưng phải thông báo cho chủ thể dữ liệu biết (khoản 2, khoản 5 Điều 14).
- Thời hạn: phản hồi trong 02 ngày làm việc, thực hiện trong 20 ngày, hoặc 30 ngày nếu phải yêu cầu bên xử lý, bên thứ ba xóa, và được gia hạn tối đa 01 lần không quá 20 ngày (khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP).
Quyền xóa dữ liệu cá nhân là gì?
Quyền xóa dữ liệu cá nhân là một trong các quyền của chủ thể dữ liệu tại điểm d khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: chủ thể dữ liệu được "yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân". Quyền này tương đương "right to erasure" trong GDPR, nhưng Luật Việt Nam có cách tiếp cận riêng. Điều 14 không chỉ quy định việc xóa theo yêu cầu, mà còn quy định cả những trường hợp doanh nghiệp phải tự xóa, hủy dù không ai yêu cầu.
Luật dùng cụm "xóa, hủy" nhưng không định nghĩa riêng từng từ. Trong thực tế, LexData hiểu như sau:
- Xóa là loại bỏ dữ liệu khỏi hệ thống đang vận hành, như CRM, cơ sở dữ liệu hay email marketing.
- Hủy là làm mất khả năng khôi phục dữ liệu, như tiêu hủy hồ sơ giấy, ghi đè hoặc tiêu hủy thiết bị lưu trữ.
- Khử nhận dạng khác với hai hoạt động trên: dữ liệu vẫn còn nhưng không còn xác định được người cụ thể. Xem khử nhận dạng dữ liệu là gì.
Quyền xóa dữ liệu cá nhân nằm trong nhóm quyền rộng hơn của chủ thể dữ liệu, được tổng hợp tại cẩm nang quyền của chủ thể dữ liệu.
6 trường hợp phải xóa, hủy dữ liệu cá nhân theo Điều 14
Các trường hợp xóa, hủy dữ liệu cá nhân theo khoản 1 Điều 14 Luật 91/2025
| Điểm | Trường hợp | Ai khởi xướng | Ví dụ |
|---|---|---|---|
| a | Chủ thể dữ liệu yêu cầu và chấp nhận rủi ro, thiệt hại có thể xảy ra | Chủ thể dữ liệu | Khách hàng yêu cầu xóa tài khoản ứng dụng và toàn bộ lịch sử mua hàng |
| b | Đã hoàn thành mục đích xử lý | Doanh nghiệp tự thực hiện | Hồ sơ ứng viên sau khi kết thúc đợt tuyển dụng |
| c | Hết thời hạn lưu trữ theo quy định của pháp luật | Doanh nghiệp tự thực hiện | Chứng từ đã hết thời hạn lưu trữ bắt buộc |
| d | Theo quyết định của cơ quan nhà nước có thẩm quyền | Cơ quan nhà nước | Quyết định buộc xóa dữ liệu thu thập trái phép |
| đ | Theo thỏa thuận | Các bên | Hợp đồng dịch vụ quy định xóa dữ liệu khi chấm dứt hợp đồng |
| e | Trường hợp khác theo quy định của pháp luật | Tùy quy định | Quy định chuyên ngành về tiêu hủy hồ sơ |
Với điểm a, yêu cầu của chủ thể dữ liệu phải tuân thủ các nguyên tắc tại khoản 3 Điều 4. Cụ thể, yêu cầu phải nhằm bảo vệ quyền, lợi ích hợp pháp của chính người đó, không gây khó khăn cho nghĩa vụ pháp lý của doanh nghiệp và không xâm phạm quyền, lợi ích của người khác.
Khi nào doanh nghiệp được từ chối yêu cầu xóa dữ liệu cá nhân?
Khoản 2 Điều 14 cho phép không thực hiện yêu cầu xóa, hủy trong hai nhóm trường hợp:
- Các trường hợp tại Điều 19 Luật 91/2025/QH15 (xử lý không cần sự đồng ý). Ví dụ: dữ liệu cần để thực hiện hợp đồng còn hiệu lực (điểm d khoản 1 Điều 19), hoặc pháp luật khác bắt buộc lưu trữ như kế toán, thuế (điểm đ). Chi tiết xem cẩm nang xử lý dữ liệu không cần sự đồng ý.
- Yêu cầu vi phạm khoản 3 Điều 4. Ví dụ: người lao động yêu cầu xóa hồ sơ kỷ luật để né trách nhiệm trong một tranh chấp đang diễn ra.
Dù từ chối vì lý do chính đáng, doanh nghiệp phải thông báo cho chủ thể dữ liệu biết (khoản 5 Điều 14). Theo kinh nghiệm của LexData, lỗi hay gặp nhất là trả lời chung chung "không thể xóa theo chính sách công ty". Thông báo nên nêu rõ: phần dữ liệu nào được giữ, căn cứ pháp lý, thời hạn giữ, và phần nào đã xóa.
Thời hạn thực hiện quyền xóa dữ liệu cá nhân
Khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP quy định các mốc thời gian như sau:
Thời hạn xử lý yêu cầu xóa dữ liệu cá nhân theo khoản 4 Điều 5 Nghị định 356/2025
| Bước | Thời hạn |
|---|---|
| Phản hồi, cung cấp thông tin về thủ tục cho chủ thể dữ liệu | 02 ngày làm việc |
| Thực hiện xóa | 20 ngày |
| Thực hiện khi phải yêu cầu bên xử lý, bên thứ ba xóa | 30 ngày |
| Gia hạn (nếu yêu cầu phức tạp) | Tối đa 01 lần, không quá 20 ngày, phải thông báo lý do và chứng minh việc gia hạn là cần thiết |
Theo bản tóm tắt Nghị định 330/2026/NĐ-CP của LexData, Điều 44 Nghị định này phạt 30–40 triệu đồng khi bên kiểm soát không thực hiện đúng thời hạn yêu cầu xóa dữ liệu, và 10–20 triệu đồng khi không có quy trình, biểu mẫu tiếp nhận yêu cầu hoặc không phản hồi trong 02 ngày làm việc. Quy trình phản hồi từng bước có trong bài quy trình phản hồi yêu cầu xóa dữ liệu cá nhân đúng luật.
Thực hiện quyền xóa dữ liệu cá nhân thế nào để đúng luật?
Khoản 3 và khoản 4 Điều 14 đặt ra ba yêu cầu:
- Xóa, hủy bằng biện pháp an toàn, ngăn chặn xâm nhập và khôi phục trái phép dữ liệu đã xóa.
- Lan tỏa yêu cầu xóa: bên kiểm soát phải yêu cầu bên xử lý và bên thứ ba đang giữ dữ liệu cùng xóa. Vì vậy hợp đồng xử lý dữ liệu (DPA) nên có điều khoản xóa và xác nhận xóa.
- Không được cố ý khôi phục trái phép dữ liệu đã xóa, hủy.
Khi rà soát cho khách hàng, LexData thường thấy dữ liệu "đã xóa" vẫn còn ở những nơi sau: file Excel xuất từ CRM gửi qua email nội bộ; danh sách trên nền tảng gửi email marketing hoặc tin nhắn; nhóm chat của nhân viên kinh doanh; bản sao lưu; và hệ thống của đơn vị vận chuyển, tổng đài. Lập bản đồ dữ liệu (data mapping) trước là cách nhanh nhất để biết phải xóa ở đâu.
Checklist triển khai quyền xóa dữ liệu cá nhân
- Có kênh và biểu mẫu tiếp nhận yêu cầu xóa, có cách xác minh người yêu cầu đúng là chủ thể dữ liệu.
- Phân công người chịu trách nhiệm và theo dõi các mốc 02 ngày làm việc, 20 ngày, 30 ngày.
- Lập danh mục hệ thống và bên xử lý đang giữ từng loại dữ liệu.
- Xác định dữ liệu phải giữ theo luật khác (kế toán, thuế, lao động) và thời hạn giữ.
- Đặt thời hạn lưu trữ cho từng loại dữ liệu và lịch xóa định kỳ khi hết mục đích.
- Dùng mẫu thông báo kết quả gửi chủ thể dữ liệu: đã xóa gì, giữ lại gì, căn cứ nào.
- Lưu bằng chứng việc xóa (nhật ký hệ thống, xác nhận của bên xử lý) để chứng minh khi bị kiểm tra.
Nhận định từ Luật sư Hồ Thị Hà Nhi
"Nhiều doanh nghiệp chỉ chuẩn bị cho tình huống khách hàng yêu cầu xóa, mà quên rằng Điều 14 Luật 91/2025 còn buộc doanh nghiệp tự xóa khi đã hết mục đích xử lý. Kho dữ liệu cũ không còn dùng đến vừa là nghĩa vụ chưa thực hiện, vừa là rủi ro lớn nhất khi xảy ra sự cố rò rỉ. Hãy đặt thời hạn lưu trữ ngay từ khi thu thập dữ liệu."
Câu hỏi thường gặp (FAQ)
Khách hàng yêu cầu xóa dữ liệu nhưng doanh nghiệp vẫn phải lưu hóa đơn, chứng từ thì xử lý thế nào?
Doanh nghiệp được giữ phần dữ liệu mà pháp luật khác (kế toán, thuế) bắt buộc lưu trữ. Căn cứ là khoản 2 Điều 14 và Điều 19 Luật 91/2025/QH15, trong đó điểm đ khoản 1 Điều 19 cho phép xử lý không cần sự đồng ý trong trường hợp khác theo quy định của pháp luật. Phần dữ liệu còn lại, như dữ liệu dùng cho marketing hay hồ sơ hành vi, vẫn phải xóa. Doanh nghiệp phải thông báo cho khách hàng biết phần nào không xóa được và lý do (khoản 5 Điều 14).
Có phải xóa cả dữ liệu trong bản sao lưu (backup) không?
Luật 91/2025/QH15 không có quy định riêng về bản sao lưu. Tuy nhiên, khoản 3 Điều 14 yêu cầu xóa, hủy bằng biện pháp an toàn và ngăn chặn việc khôi phục trái phép. Thực hành LexData khuyến nghị: đánh dấu bản ghi đã xóa để không khôi phục lại khi restore; để backup tự hết hạn theo chu kỳ đã công bố; ghi rõ cách xử lý này trong thông báo cho khách hàng.
Không ai yêu cầu thì doanh nghiệp có phải tự xóa dữ liệu không?
Có. Điểm b và điểm c khoản 1 Điều 14 Luật 91/2025/QH15 yêu cầu xóa, hủy khi đã hoàn thành mục đích xử lý hoặc hết thời hạn lưu trữ. Ví dụ: hồ sơ ứng viên không trúng tuyển, dữ liệu khách tham dự sự kiện đã kết thúc. Doanh nghiệp nên đặt thời hạn lưu trữ cho từng loại dữ liệu và có lịch rà soát xóa định kỳ.
Có thể khử nhận dạng dữ liệu thay cho việc xóa không?
Về kỹ thuật, dữ liệu đã khử nhận dạng đúng nghĩa không còn là dữ liệu cá nhân (khoản 1 Điều 2 Luật 91/2025/QH15), nên đây là cách thường dùng khi doanh nghiệp cần giữ số liệu thống kê. Tuy nhiên, khi chủ thể dữ liệu yêu cầu xóa, doanh nghiệp nên xóa dữ liệu gốc và chỉ giữ số liệu tổng hợp không thể tái nhận dạng. Việc tái nhận dạng bị cấm (điểm b khoản 6 Điều 14).
Nội dung bài viết được rà soát và kiểm chứng tính chuẩn xác pháp lý theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và các văn bản quy phạm pháp luật hiện hành.
Xem hồ sơ năng lực chuyên gia & đội ngũ LexDataKhám phá chuyên sâu & Giải pháp từ LexData
Dịch vụ Tư vấn Tuân thủ Bảo vệ Dữ liệu Cá nhân cho Doanh nghiệp
Đồng hành cùng luật sư LexData thực hiện trọn gói thủ tục và hồ sơ cho doanh nghiệp.
Tìm hiểu dịch vụ