Chủ Thể Dữ Liệu Cá Nhân: Quyền Và Trách Nhiệm

Chủ thể dữ liệu cá nhân là trung tâm của mọi chính sách bảo mật và tuân thủ pháp luật trong kỷ nguyên số theo Luật Bảo vệ dữ liệu cá nhân 2025. Đảm bảo quyền của chủ thể dữ liệu cá nhân là một trong những nguyên tắc cơ bản và mang tính bắt buộc. Mọi tổ chức, cá nhân tham gia xử lý dữ liệu có trách nhiệm tôn trọng và tạo điều kiện để chủ thể thực thi quyền lợi. Khám phá ngay giải pháp pháp lý chuyên sâu được cung cấp bởi đội ngũ Luật sư tại Luật DPO để hỗ trợ doanh nghiệp xây dựng hệ thống quản trị dữ liệu, đáp ứng yêu cầu tuân thủ và phòng tránh rủi ro phạt tiền lên đến hàng tỷ đồng.

Chủ thể dữ liệu cá nhân là gì theo quy định pháp luật 2025-2026?

Tóm tắt chuyên môn: Căn cứ Khoản 5 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, chủ thể dữ liệu cá nhân được hiểu là người được dữ liệu cá nhân phản ánh. Đây có thể là khách hàng, người lao động, đối tác, hoặc bất kỳ cá nhân nào mà thông tin của họ đang bị tổ chức, doanh nghiệp thu thập và xử lý.

Trong bối cảnh hành lang pháp lý ngày càng siết chặt, chủ thể dữ liệu cá nhân là người có dữ liệu được thu thập, lưu trữ, sử dụng hoặc thực hiện các hoạt động xử lý khác. Pháp luật ghi nhận và bảo vệ tuyệt đối các quyền của chủ thể dữ liệu nhằm bảo đảm quyền riêng tư, quyền kiểm soát dữ liệu cá nhân và các quyền, lợi ích hợp pháp khác trong quá trình xử lý dữ liệu.

Đặc biệt, đối với các nhóm chủ thể yếu thế như trẻ em (dưới 16 tuổi), người bị mất hoặc hạn chế năng lực hành vi dân sự, Điều 24 Nghị định 356/2025/NĐ-CP quy định cơ chế bảo vệ đặc thù. Việc xử lý dữ liệu của nhóm này đòi hỏi sự đồng ý của người đại diện theo pháp luật và phải tuân thủ nguyên tắc vì lợi ích tốt nhất của chủ thể.

Quyền của chủ thể dữ liệu cá nhân bao gồm những nội dung nào?

Tóm tắt chuyên môn: Theo Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025, chủ thể dữ liệu cá nhân được trao 11 quyền năng cốt lõi, bao gồm: quyền được biết, quyền đồng ý, quyền truy cập, quyền chỉnh sửa, quyền rút lại sự đồng ý, quyền yêu cầu xóa dữ liệu, quyền hạn chế, quyền phản đối, quyền khiếu nại/tố cáo, quyền yêu cầu bồi thường và quyền tự bảo vệ.

Pháp luật bảo vệ dữ liệu cá nhân trao cho chủ thể dữ liệu cá nhân quyền lực tối cao trong việc định đoạt dữ liệu của mình. Do đó, các tổ chức, cá nhân xử lý dữ liệu (Bên kiểm soát, Bên xử lý) có trách nhiệm bắt buộc phải xây dựng cơ chế kỹ thuật và quy trình pháp lý để chủ thể dữ liệu thực hiện các quyền này một cách dễ dàng, minh bạch.

• Quyền được biết và đồng ý: Chủ thể phải được thông báo rõ ràng về mục đích, loại dữ liệu, cách thức xử lý trước khi đồng ý. Sự im lặng không được coi là đồng ý (Điều 9 NĐ 356/2025).
• Quyền truy cập và chỉnh sửa: Chủ thể có quyền xem và yêu cầu tổ chức chỉnh sửa thông tin sai lệch.
• Quyền rút lại sự đồng ý và xóa dữ liệu (Right to be forgotten): Chủ thể có quyền yêu cầu xóa hoàn toàn dữ liệu của mình khỏi hệ thống máy chủ của doanh nghiệp khi không còn nhu cầu sử dụng dịch vụ.
• Quyền phản đối và hạn chế xử lý: Ngăn chặn doanh nghiệp sử dụng dữ liệu cho mục đích quảng cáo, tiếp thị (Marketing) trái phép.

Thời hạn thực hiện quyền của chủ thể dữ liệu được quy định ra sao?

Theo Điều 5 Nghị định số 356/2025/NĐ-CP, thời hạn đáp ứng yêu cầu của chủ thể dữ liệu bị siết chặt với các mốc thời gian “tử thần” mà doanh nghiệp phải tuân thủ:

Để bảo đảm tuân thủ quy định của pháp luật, doanh nghiệp nên xây dựng quy trình tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu (SOP), bao gồm các bước cơ bản sau:

1. Tiếp nhận yêu cầu: Hệ thống tự động ghi nhận và phân loại nhóm quyền mà người dùng muốn thực thi.
2. Phản hồi sơ bộ: Gửi email xác nhận trong vòng 02 ngày làm việc kèm theo thông tin thủ tục chi tiết.
3. Thẩm định tính hợp pháp: Ban lãnh đạo và nhân sự bảo vệ dữ liệu (DPO) đánh giá tính chính xác của yêu cầu.
4. Triển khai kỹ thuật: Kỹ sư công nghệ tiến hành chỉnh sửa hoặc xóa vĩnh viễn thông tin khỏi máy chủ lưu trữ.
5. Thông báo kết quả: Gửi văn bản báo cáo hoàn tất quy trình cho người yêu cầu đúng thời hạn quy định.

Nghĩa vụ của chủ thể dữ liệu cá nhân gồm những gì?

Tóm tắt chuyên môn: Khoản 2 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 quy định cá nhân phải (i) tự bảo vệ dữ liệu cá nhân của mình; (ii) tôn trọng, bảo vệ dữ liệu cá nhân của người khác; (iii) cung cấp đầy đủ, chính xác dữ liệu cá nhân của mình theo quy định của pháp luật, theo hợp đồng và (iv) chấp hành pháp luật về bảo vệ dữ liệu cá nhân.

Như vậy, pháp luật không chỉ trao quyền mà còn ràng buộc trách nhiệm chặt chẽ đối với chủ thể dữ liệu cá nhân. Trong thực tế, việc thực hiện đúng các nghĩa vụ này góp phần bảo đảm tính chính xác của dữ liệu, hạn chế rủi ro phát sinh trong quá trình xử lý dữ liệu cá nhân và tạo điều kiện để các tổ chức, doanh nghiệp thực hiện đúng các nghĩa vụ theo quy định của pháp luật.

Đối với người lao động, khách hàng hoặc các chủ thể dữ liệu cá nhân khác, việc cung cấp thông tin đầy đủ, chính xác và kịp thời là cơ sở để tổ chức thực hiện các quyền, nghĩa vụ theo hợp đồng cũng như các quy định của pháp luật có liên quan.

Chủ thể dữ liệu cá nhân vi phạm nghĩa vụ sẽ bị xử lý như thế nào?

Tùy theo tính chất, mức độ và hậu quả của hành vi vi phạm, chủ thể dữ liệu cá nhân có thể sẽ phải chịu trách nhiệm theo quy định tại Điều 42 Nghị định 330/2026/NĐ-CP (Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân). Cá nhân vi phạm nghĩa vụ có thể bị phạt tiền từ 10.000.000 VNĐ đến 30.000.000 VNĐ tùy mức độ nghiêm trọng.

Bảng phân tích trên làm rõ sự khác biệt giữa việc thực hiện nghĩa vụ của chủ thể dữ liệu cá nhân theo luật định và hành vi lạm dụng quyền tự do dân chủ. Việc thực hiện đầy đủ các nghĩa vụ này là cơ sở để bảo đảm quyền của chủ thể dữ liệu và hạn chế rủi ro pháp lý trong quá trình xử lý dữ liệu cá nhân.

Bên kiểm soát dữ liệu có trách nhiệm gì đối với chủ thể dữ liệu cá nhân?

Tóm tắt chuyên môn: Theo Điều 38 Nghị định 356/2025/NĐ-CP, bên kiểm soát dữ liệu cá nhân có trách nhiệm bảo đảm việc thực hiện các quyền của chủ thể dữ liệu, áp dụng các biện pháp bảo vệ dữ liệu cá nhân phù hợp, ghi nhật ký hệ thống và thực hiện các nghĩa vụ thông báo, phối hợp với cơ quan có thẩm quyền (Cục A05) trong trường hợp xảy ra sự cố.

Để thực hiện các nghĩa vụ này, doanh nghiệp cần xây dựng cơ chế quản lý dữ liệu cá nhân phù hợp, thiết lập quy trình xử lý yêu cầu của chủ thể dữ liệu và áp dụng các biện pháp kỹ thuật (mã hóa, tường lửa), tổ chức (bổ nhiệm DPO) nhằm bảo đảm tính bảo mật, toàn vẹn và khả dụng của dữ liệu cá nhân.

Luật DPO chia sẻ cảnh báo rủi ro: Trên thực tế nhiều công ty vẫn cài đặt mã theo dõi ẩn (cookies) trên trang web mà không thông báo cho chủ thể dữ liệu cá nhân được biết. Đây được coi là hành vi thu thập thông tin mà chưa có sự đồng ý của chủ thể dữ liệu cá nhân và có thể bị áp dụng mức phạt lên tới 50.000.000 VNĐ theo Điều 43 Nghị định 330/2026/NĐ-CP. Nếu doanh nghiệp thắc mắc về việc Chủ thể dữ liệu có thể yêu cầu xóa dữ liệu cá nhân không thì câu trả lời là CÓ và doanh nghiệp buộc phải tuân thủ triệt để yêu cầu này. Để có thể giúp chủ thể dữ liệu cá nhân thực hiện quyền của mình, doanh nghiệp cần:

• Thiết lập kênh tiếp nhận khiếu nại hoạt động liên tục và thông suốt.
• Không được thu bất kỳ khoản phí nào khi người dùng yêu cầu chỉnh sửa hoặc cập nhật thông tin.
• Phải có văn bản thông báo rõ ràng kèm lý do chính đáng nếu từ chối thực hiện yêu cầu xóa bỏ (ví dụ: phải lưu trữ theo luật kế toán, thuế).
• Bảo đảm sự đồng ý phải được ghi nhận minh bạch và có thể kiểm chứng được qua nhật ký hệ thống.

Doanh nghiệp phải nộp Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân như thế nào?

Theo quy định tại Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025 và Điều 19 Nghị định số 356/2025/NĐ-CP, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và nộp 01 bản chính cho Cục A05 trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu.

Hồ sơ đánh giá tác động là một trong những tài liệu quan trọng nhằm chứng minh việc tuân thủ các quy định về bảo vệ dữ liệu cá nhân. Doanh nghiệp cần rà soát hoạt động xử lý dữ liệu, đánh giá rủi ro và xây dựng các biện pháp bảo vệ phù hợp trước khi lập và nộp hồ sơ theo Mẫu số 10. Việc không lập hoặc không thực hiện nghĩa vụ nộp Hồ sơ DPIA có thể bị phạt tiền từ 20.000.000 VNĐ đến 30.000.000 VNĐ theo Điều 55 Nghị định 330/2026/NĐ-CP.

Các trường hợp vi phạm quyền của chủ thể dữ liệu cá nhân thường gặp và mức phạt

Tóm tắt chuyên môn: Các hành vi vi phạm phổ biến mà các doanh nghiệp thường mắc phải bao gồm thu thập không có sự đồng ý, mua bán thông tin trái phép, và cố ý trì hoãn thực hiện quyền xóa thông tin của người dùng. Nghị định 330/2026/NĐ-CP quy định các mức phạt cực kỳ nghiêm khắc cho các hành vi này.

Trong thực tiễn, các hành vi xâm phạm quyền của chủ thể dữ liệu cá nhân ngày càng phổ biến, đặc biệt là việc tự ý chia sẻ, chuyển giao hoặc mua bán dữ liệu cá nhân của khách hàng cho bên thứ ba để phục vụ hoạt động quảng cáo, tiếp thị. Đây là hành vi vi phạm nghiêm trọng. Theo Điều 53 Nghị định 330/2026/NĐ-CP, hành vi mua bán trái phép dữ liệu cá nhân có thể bị phạt tiền lên tới 10 lần khoản thu bất hợp pháp hoặc tối đa 3 tỷ đồng.

Bên cạnh đó, nhiều doanh nghiệp còn lúng túng hoặc cố tình trì hoãn việc thực hiện yêu cầu của chủ thể dữ liệu. Theo Điều 44 Nghị định 330/2026/NĐ-CP, hành vi không phản hồi hoặc cung cấp không đầy đủ thông tin khi nhận được yêu cầu xem, chỉnh sửa, xóa dữ liệu quá thời hạn 02 ngày làm việc sẽ bị phạt từ 10.000.000 VNĐ đến 20.000.000 VNĐ. Nếu cố ý không thực hiện yêu cầu xóa dữ liệu trong thời hạn 20 ngày, mức phạt sẽ tăng lên từ 30.000.000 VNĐ đến 40.000.000 VNĐ.

Câu hỏi thường gặp về quyền của chủ thể dữ liệu (FAQs)

Người dưới 16 tuổi có được tự quyết định việc bảo vệ dữ liệu cá nhân của mình không?

Theo quy định hiện hành (Điều 24 NĐ 356/2025), trẻ em từ đủ 07 tuổi trở lên cần có sự đồng ý của cả bản thân trẻ em và người đại diện theo pháp luật khi xử lý dữ liệu nhằm công bố đời sống riêng tư. Trẻ dưới 07 tuổi do người đại diện hợp pháp quyết định hoàn toàn.

Việc rút lại sự đồng ý có làm vô hiệu hóa các hợp đồng đã ký kết không?

Việc rút lại sự đồng ý không làm ảnh hưởng đến tính hợp pháp của quá trình xử lý dữ liệu trước đó. Tuy nhiên, nếu dữ liệu đó là điều kiện bắt buộc để duy trì dịch vụ nền tảng, hợp đồng cung cấp dịch vụ có thể phải chấm dứt do không đủ cơ sở thực hiện.

Doanh nghiệp có được từ chối yêu cầu của chủ thể dữ liệu về việc cung cấp dữ liệu cá nhân hay không?

Không được phép trừ khi có quy định miễn trừ của luật (ví dụ: ảnh hưởng an ninh quốc gia, tính mạng người khác). Hành vi từ chối cung cấp dữ liệu cá nhân cho chủ thể dữ liệu cá nhân khi có yêu cầu hợp lệ sẽ bị phạt tiền từ 10.000.000 VNĐ đến 20.000.000 VNĐ theo Điều 49 Nghị định 330/2026/NĐ-CP.

Thời gian lưu trữ dữ liệu cá nhân của khách hàng trên đám mây tối đa là bao lâu?

Dữ liệu cá nhân chỉ được lưu trữ trong thời gian cần thiết để thực hiện mục đích xử lý đã được thông báo cho chủ thể dữ liệu hoặc theo thời hạn do pháp luật quy định. Khi mục đích xử lý đã hoàn thành, dữ liệu cá nhân phải được xóa, hủy hoặc thực hiện biện pháp khử nhận dạng.

Quy trình lập báo cáo đánh giá tác động để gửi Bộ Công an mất bao lâu?

Pháp luật quy định thời hạn nộp Hồ sơ đánh giá tác động (DPIA) là 60 ngày kể từ ngày bắt đầu xử lý dữ liệu. Trên thực tế, thời gian chuẩn bị hồ sơ phụ thuộc vào quy mô hệ thống thông tin. Doanh nghiệp nên chủ động rà soát và hợp tác với các đơn vị tư vấn chuyên nghiệp như Luật DPO để hoàn thành sớm, tránh rủi ro trễ hạn.

Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO

Việc thấu hiểu và tôn trọng quyền của chủ thể dữ liệu cá nhân không chỉ giúp doanh nghiệp tuân thủ pháp luật mà còn xây dựng uy tín thương hiệu bền vững. Với phương châm “Đam mê và Danh dự”, Công ty Luật TNHH DPO tự hào là đơn vị tiên phong cung cấp dịch vụ tư vấn tuân thủ Luật Bảo vệ dữ liệu cá nhân 2025, lập hồ sơ DPIA và đại diện giải quyết tranh chấp. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để nhận được giải pháp pháp lý cá nhân hóa và tối ưu nhất.

Danh mục tài liệu tham khảo pháp lý

• Luật Bảo vệ dữ liệu cá nhân 2025 (Số 91/2025/QH15).
• Nghị định 356/2025/NĐ-CP quy định chi tiết thi hành Luật Bảo vệ dữ liệu cá nhân.
• Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
• Luật An ninh mạng 2018 (Số 24/2018/QH14) và Luật An ninh mạng sửa đổi 2025 (Số 116/2025/QH15).
• Nghị quyết 22/2026/NQ-CP về cắt giảm đơn giản hóa thủ tục hành chính.

Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO. Để nhận được giải pháp pháp lý chính xác nhất cho từng trường hợp cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.