Từ chối yêu cầu xóa dữ liệu cá nhân của người dùng không đúng quy định có thể khiến doanh nghiệp đối mặt với rủi ro pháp lý nghiêm trọng và các mức phạt khổng lồ lên tới hàng tỷ đồng theo Nghị định 330/2026/NĐ-CP. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Công ty Luật TNHH DPO để đảm bảo tuân thủ tuyệt đối, thiết lập quy trình chuẩn mực và bảo vệ an toàn tài chính cho tổ chức.
Dịch vụ Uy tín & Tuân thủ
Giải Pháp Bảo Vệ Dữ Liệu Cá Nhân & Tuân Thủ Pháp Lý Toàn Diện
Luật DPO cung cấp giải pháp rà soát tuân thủ Luật Bảo vệ dữ liệu cá nhân 2025, xây dựng quy trình xử lý yêu cầu của chủ thể dữ liệu và lập hồ sơ DPIA chuẩn Mẫu số 10, đảm bảo an toàn pháp lý tối đa.
Hotline Luật sư: 0976926655
Quyền yêu cầu xóa dữ liệu cá nhân của người dùng là gì theo luật định?
Tóm tắt chuyên môn: Quyền yêu cầu xóa dữ liệu cá nhân là một trong những quyền cơ bản của chủ thể dữ liệu được ghi nhận tại điểm d khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025. Quyền này cho phép người dùng yêu cầu bên kiểm soát dữ liệu xóa bỏ thông tin của họ khi không còn mục đích xử lý hoặc khi họ rút lại sự đồng ý.
Pháp luật về bảo vệ dữ liệu cá nhân tại Việt Nam trao cho chủ thể dữ liệu quyền kiểm soát tối cao đối với dữ liệu cá nhân của mình. Việc thực hiện quyền xóa, hủy dữ liệu được quy định cụ thể tại Điều 14 của Luật Bảo vệ dữ liệu cá nhân 2025 và Điều 16 Nghị định 356/2025/NĐ-CP.
Theo kinh nghiệm tư vấn thực chiến của đội ngũ Luật sư tại Luật DPO, việc khách hàng ký hợp đồng sử dụng dịch vụ với doanh nghiệp không đương nhiên làm mất đi quyền này. Tuy nhiên, quyền yêu cầu xóa dữ liệu không phải là quyền tuyệt đối. Doanh nghiệp hoàn toàn có thể tiếp tục lưu trữ hoặc xử lý dữ liệu trong những trường hợp pháp luật bắt buộc (như lưu trữ chứng từ kế toán, thuế) hoặc có căn cứ hợp pháp khác để bảo vệ lợi ích chính đáng.
Từ chối yêu cầu xóa dữ liệu cá nhân của người dùng có vi phạm pháp luật và bị phạt không?
Tóm tắt chuyên môn: Doanh nghiệp không được tự ý từ chối yêu cầu xóa dữ liệu cá nhân hợp pháp. Nếu không thực hiện yêu cầu xóa đúng thời hạn hoặc không có căn cứ hợp pháp để tiếp tục lưu trữ, doanh nghiệp sẽ bị xử phạt vi phạm hành chính theo Nghị định 330/2026/NĐ-CP với mức phạt lên đến 60.000.000 VNĐ cho mỗi hành vi.
Không phải mọi yêu cầu xóa dữ liệu đều bắt buộc phải được chấp thuận ngay lập tức. Doanh nghiệp có quyền từ chối nếu có căn cứ pháp luật cho phép tiếp tục lưu trữ, xử lý dữ liệu. Tuy nhiên, nghĩa vụ bắt buộc là doanh nghiệp phải thông báo rõ lý do từ chối cho chủ thể dữ liệu trong thời hạn luật định.
Sự ra đời của Nghị định 330/2026/NĐ-CP (Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân) đã cụ thể hóa các chế tài nghiêm khắc. Theo Điều 44 và Điều 51 của Nghị định này, việc lờ đi hoặc từ chối trái phép yêu cầu xóa dữ liệu sẽ gánh chịu hậu quả pháp lý nặng nề.
Mức phạt tiền cụ thể khi lờ đi yêu cầu xóa thông tin là bao nhiêu?
Tùy thuộc vào hành vi vi phạm và vai trò của tổ chức (Bên kiểm soát hay Bên xử lý), mức phạt được quy định chi tiết như sau:
| Hành vi vi phạm (Theo NĐ 330/2026/NĐ-CP) | Mức phạt tiền | Biện pháp khắc phục hậu quả |
|---|---|---|
| Không thực hiện yêu cầu xóa dữ liệu trong thời hạn 20 ngày; trường hợp cần bên xử lý/bên thứ ba thì không bảo đảm 30 ngày (Khoản 3 Điều 44) | 30.000.000 – 40.000.000 VNĐ | Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu và cung cấp minh chứng. |
| Bên xử lý/bên thứ ba không thực hiện yêu cầu xóa, hủy dữ liệu đúng thời hạn do Bên kiểm soát yêu cầu (Khoản 2 Điều 44) | 20.000.000 – 30.000.000 VNĐ | Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu và cung cấp minh chứng. |
| Không thực hiện xóa, hủy dữ liệu trong trường hợp pháp luật bắt buộc phải xóa, hủy (Khoản 2 Điều 51) | 30.000.000 – 50.000.000 VNĐ | Buộc hủy, xóa đến mức không thể khôi phục. |
| Cố ý khôi phục trái phép dữ liệu đã xóa, hủy (Khoản 3 Điều 51) | 50.000.000 – 60.000.000 VNĐ | Buộc hủy, xóa đến mức không thể khôi phục dữ liệu đã khôi phục trái phép. |
Mức phạt trên được áp dụng đối với tổ chức. Bên cạnh hình thức phạt tiền, doanh nghiệp còn bị áp dụng các biện pháp khắc phục hậu quả triệt để. Việc không tuân thủ có thể dẫn đến tình tiết tăng nặng trong các đợt thanh tra của Cục A05.
TƯ VẤN DOANH NGHIỆP & QUẢN TRỊ RỦI RO
Đồng hành cùng doanh nghiệp thiết lập quy trình nội bộ tiếp nhận và xử lý yêu cầu của khách hàng, đảm bảo tuân thủ Nghị định 356/2025/NĐ-CP và tránh rủi ro phạt vi phạm hành chính.
Các trường hợp nào doanh nghiệp được phép từ chối yêu cầu xóa thông tin hợp pháp?
Tóm tắt chuyên môn: Theo khoản 2 Điều 16 Nghị định 356/2025/NĐ-CP, doanh nghiệp có quyền từ chối yêu cầu xóa dữ liệu nếu việc xóa vi phạm quy định pháp luật về lưu trữ, ảnh hưởng đến hoạt động điều tra của cơ quan nhà nước, hoặc dữ liệu đó cần thiết để bảo vệ tính mạng, sức khỏe trong tình trạng khẩn cấp.
Theo quy định về quyền xóa dữ liệu cá nhân tại Điều 14 Luật Bảo vệ dữ liệu cá nhân 2025 và Điều 16 Nghị định 356/2025/NĐ-CP, quyền xóa dữ liệu không được áp dụng một cách tuyệt đối. Doanh nghiệp cần xác định yêu cầu của chủ thể dữ liệu có thuộc trường hợp được thực hiện quyền xóa hay thuộc trường hợp pháp luật cho phép tiếp tục lưu trữ.
Dựa trên các vụ việc rà soát tuân thủ mà Luật DPO đã thực hiện, dưới đây là các căn cứ pháp lý vững chắc để doanh nghiệp từ chối yêu cầu xóa dữ liệu:
- Pháp luật quy định không cho phép xóa: Ví dụ Luật Kế toán yêu cầu lưu trữ chứng từ kế toán 10 năm, Luật Giao dịch điện tử yêu cầu lưu trữ log giao dịch.
- Phục vụ hoạt động của cơ quan nhà nước: Dữ liệu đang trong quá trình bị thanh tra, kiểm tra, điều tra bởi cơ quan Công an, Thuế, Quản lý thị trường.
- Dữ liệu đã được công khai hợp pháp: Theo quy định của pháp luật (ví dụ: thông tin người đại diện pháp luật trên Cổng thông tin quốc gia về đăng ký doanh nghiệp).
- Phục vụ nghiên cứu khoa học, thống kê: Theo quy định của pháp luật chuyên ngành.
- Tình trạng khẩn cấp: Bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác trong tình huống dịch bệnh, thảm họa, đe dọa an ninh quốc gia.
Quy trình và thời hạn thực hiện xóa dữ liệu diễn ra như thế nào?
Tóm tắt chuyên môn: Khi nhận được yêu cầu xóa dữ liệu cá nhân hợp lệ, Bên kiểm soát dữ liệu phải phản hồi trong 02 ngày làm việc và thực hiện việc xóa trong thời hạn 20 ngày. Trường hợp cần yêu cầu Bên xử lý dữ liệu hoặc Bên thứ ba thực hiện thì thời hạn tối đa là 30 ngày.
Theo khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP, tổ chức bắt buộc phải xây dựng quy trình, thủ tục và biểu mẫu rõ ràng để thực hiện quyền của chủ thể dữ liệu cá nhân. Quy trình chuẩn mực (SOP) được Luật DPO khuyến nghị triển khai như sau:
- Bước 1 – Tiếp nhận yêu cầu: Ghi nhận và kiểm tra tính hợp lệ của yêu cầu xóa dữ liệu (xác thực đúng danh tính chủ thể).
- Bước 2 – Phản hồi ban đầu (Trong 02 ngày làm việc): Thông báo cho chủ thể dữ liệu về việc đã tiếp nhận yêu cầu và cung cấp thông tin về thủ tục, thời gian dự kiến hoàn thành.
- Bước 3 – Kiểm tra căn cứ pháp lý: Bộ phận Pháp chế/DPO đánh giá xem yêu cầu có thuộc trường hợp bắt buộc xóa hay thuộc diện được phép từ chối (lưu trữ theo luật định).
- Bước 4 – Thực hiện xóa (Trong 20 ngày): Nếu hợp lệ, bộ phận IT tiến hành xóa dữ liệu trên toàn bộ hệ thống máy chủ, CRM, ERP.
- Bước 5 – Phối hợp với Bên xử lý/Bên thứ ba (Trong 30 ngày): Gửi lệnh yêu cầu các đối tác (Cloud provider, Agency quảng cáo) đồng loạt xóa dữ liệu và yêu cầu cung cấp minh chứng (Log xóa).
- Bước 6 – Gia hạn (Nếu cần thiết): Trường hợp hệ thống phức tạp, có thể gia hạn 01 lần (tối đa 20 ngày), nhưng bắt buộc phải thông báo lý do bằng văn bản cho chủ thể dữ liệu.
Bên cạnh đó, quá trình vận hành nội bộ cần làm rõ khái niệm xóa dữ liệu cá nhân khác hủy dữ liệu cá nhân như thế nào để đội ngũ lập trình viên áp dụng đúng biện pháp kỹ thuật phần mềm (Soft delete vs Hard delete/Wipe).
Khó khăn thực tế khi vận hành quy trình hủy bỏ thông tin là gì?
Khó khăn chủ yếu của doanh nghiệp là bảo đảm yêu cầu xóa được thực hiện đồng bộ trên toàn bộ hệ thống phân tán (Data Silos) và với các bên thứ ba đang tham gia xử lý dữ liệu. Việc này đòi hỏi doanh nghiệp phải có sơ đồ luồng dữ liệu (Data Mapping) cực kỳ chi tiết. Nếu thiếu Data Mapping, doanh nghiệp rất dễ rơi vào tình trạng “xóa chỗ này, sót chỗ kia”, dẫn đến vi phạm pháp luật và bị phạt theo Điều 51 Nghị định 330/2026/NĐ-CP.
Vai trò của hồ sơ đánh giá tác động (DPIA) đối với quy trình quản lý quyền người dùng ra sao?
Tóm tắt chuyên môn: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) theo Mẫu số 10 là tài liệu nền tảng giúp tổ chức minh bạch hóa luồng dữ liệu, từ đó làm cơ sở để thiết lập quy trình tiếp nhận, xử lý yêu cầu xóa dữ liệu một cách chính xác và tuân thủ pháp luật.
Nghị định 356/2025/NĐ-CP yêu cầu Bên kiểm soát dữ liệu cá nhân phải xây dựng quy trình, thủ tục, biểu mẫu rõ ràng. Hồ sơ DPIA chính là nơi doanh nghiệp “khai báo” các quy trình này với Bộ Công an. Việc đánh giá tác động cần phản ánh đúng hoạt động xử lý dữ liệu thực tế của tổ chức và các biện pháp bảo vệ được áp dụng.
Tổ chức cần bảo đảm sự thống nhất tuyệt đối giữa Hồ sơ đánh giá tác động (đã nộp cho Cục A05), quy trình nội bộ và thực tế vận hành hệ thống IT. Trường hợp quy trình thực tế (ví dụ: thời gian xóa dữ liệu mất 40 ngày) khác với nội dung đã kê khai trong DPIA (cam kết 20 ngày), doanh nghiệp sẽ bị xử phạt hành vi cung cấp sai lệch thông tin trong Hồ sơ đánh giá tác động theo Điều 55 Nghị định 330/2026/NĐ-CP.
Bảo Vệ Quyền Lợi Tối Đa
Đại Diện Giải Quyết Tranh Chấp & Tố Tụng Thương Mại
Khi xảy ra khiếu nại từ người dùng về việc từ chối xóa dữ liệu hoặc sự cố rò rỉ thông tin, Luật DPO sẽ đại diện doanh nghiệp làm việc với cơ quan chức năng (Cục A05) và Tòa án để bảo vệ uy tín thương hiệu.
Hotline Luật sư: 0976926655
Biện pháp xử lý của người dùng khi quyền lợi bị doanh nghiệp xâm phạm là gì?
Theo điểm đ khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu cá nhân có quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại khi quyền về dữ liệu cá nhân bị xâm phạm. Ngoài ra, chủ thể dữ liệu có quyền yêu cầu cơ quan có thẩm quyền (Cục A05) can thiệp.
Do đó, khi doanh nghiệp lờ đi yêu cầu xóa dữ liệu, tiếp tục xử lý dữ liệu trái quy định hoặc từ chối không có căn cứ pháp lý hợp lệ, người dùng hoàn toàn có thể gửi đơn tố cáo lên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân. Điều này sẽ kích hoạt các đợt thanh tra đột xuất từ cơ quan chức năng nhắm vào doanh nghiệp.
Tổng Hợp Các Giải Đáp Về Việc Quản Trị Yêu Cầu Hủy Bỏ Thông Tin (FAQs)
Thời gian gia hạn tối đa để xử lý lệnh hủy thông tin là bao lâu?
Trường hợp yêu cầu xóa dữ liệu cá nhân có tính chất phức tạp, thời hạn xử lý có thể được gia hạn tối đa 01 lần, không quá 20 ngày. Bên kiểm soát dữ liệu cá nhân phải thông báo bằng văn bản cho chủ thể dữ liệu về lý do gia hạn và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý theo khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP.
Khôi phục lại thông tin đã hủy bỏ có vi phạm luật không?
Có. Cố ý khôi phục trái phép dữ liệu cá nhân đã bị xóa, hủy là hành vi vi phạm nghiêm trọng, có thể bị phạt từ 50.000.000 đồng đến 60.000.000 đồng theo khoản 3 Điều 51 Nghị định 330/2026/NĐ-CP. Ngoài ra, doanh nghiệp buộc phải hủy, xóa đến mức không thể khôi phục dữ liệu đã khôi phục trái phép.
Đơn vị trung gian (Bên xử lý) chậm trễ xóa dữ liệu thì ai chịu trách nhiệm?
Bên xử lý dữ liệu cá nhân hoặc bên thứ ba đã nhận được yêu cầu hợp lệ từ Bên kiểm soát dữ liệu nhưng không thực hiện đúng thời hạn (30 ngày) sẽ bị xử phạt trực tiếp từ 20.000.000 đồng đến 30.000.000 đồng theo khoản 2 Điều 44 Nghị định 330/2026/NĐ-CP.
Mẫu biểu nào dùng để báo cáo rủi ro xử lý thông tin hiện nay?
Hiện nay, Báo cáo đánh giá tác động xử lý dữ liệu cá nhân bắt buộc phải được lập theo Mẫu số 10 ban hành kèm theo Phụ lục Nghị định 356/2025/NĐ-CP. Các mẫu cũ (như Mẫu Đ24) đã hoàn toàn hết hiệu lực.
Đơn vị nào cung cấp dịch vụ rà soát pháp lý và lập hồ sơ DPIA uy tín nhất?
Công ty Luật TNHH DPO tự hào là đối tác chiến lược giúp hàng trăm doanh nghiệp thiết lập quy trình quản trị rủi ro hoàn hảo. Đội ngũ chuyên gia pháp chế và an ninh mạng của chúng tôi cam kết bảo vệ tổ chức khỏi mọi rủi ro thanh tra và các mức phạt khổng lồ.
Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO
Việc quản trị yêu cầu xóa dữ liệu cá nhân không chỉ là vấn đề kỹ thuật IT mà là một quy trình tuân thủ pháp lý khắt khe. Với phương châm “Đam mê và Danh dự”, Luật DPO cung cấp dịch vụ cá nhân hóa tối đa, giúp doanh nghiệp xây dựng quy trình tiếp nhận yêu cầu, lập hồ sơ DPIA chuẩn mực và đào tạo nhân sự nội bộ (DPO). Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để biến rủi ro tuân thủ thành lợi thế cạnh tranh bền vững.
Nguồn Tài Liệu Tham Khảo Pháp Lý
- Luật Bảo vệ dữ liệu cá nhân 2025 (Số 91/2025/QH15).
- Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
- Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
- Luật An ninh mạng 2018 (Số 24/2018/QH14) và Luật An ninh mạng sửa đổi 2025 (Số 116/2025/QH15).
- Luật Dữ liệu 2024 (Số 60/2024/QH15).
Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO. Để nhận được giải pháp pháp lý chính xác nhất cho từng trường hợp cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.
