Theo pháp luật Việt Nam, người có dữ liệu cá nhân (gọi là chủ thể dữ liệu) có các quyền cơ bản như được biết dữ liệu của mình được xử lý thế nào, đồng ý hoặc rút lại sự đồng ý, truy cập, yêu cầu chỉnh sửa, xoá, hạn chế xử lý, phản đối xử lý, khiếu nại và yêu cầu bồi thường khi bị xâm phạm. Hai văn bản chính là Nghị định 13/2023/NĐ-CP (hiệu lực 1/7/2023) và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 1/1/2026).
Bài này chỉ giới thiệu tinh thần chung để bạn biết mình có những quyền gì. Không phải tư vấn pháp lý. Khi cần dẫn điều khoản cụ thể, hãy đọc nguyên văn trên Cổng thông tin điện tử Chính phủ hoặc Cơ sở dữ liệu quốc gia về văn bản pháp luật.
Nền móng: quyền riêng tư trong Hiến pháp
Hiến pháp năm 2013, Điều 21, khẳng định mọi người có quyền bất khả xâm phạm về đời sống riêng tư, bí mật cá nhân và bí mật gia đình; thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình được pháp luật bảo đảm an toàn. Bộ luật Dân sự năm 2015 cụ thể hoá thêm quyền về đời sống riêng tư và quyền đối với hình ảnh. Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015 cũng có những quy định liên quan đến thông tin cá nhân trên mạng.
Tuy vậy, trong nhiều năm chưa có văn bản riêng tập trung vào dữ liệu cá nhân. Khoảng trống đó được lấp dần bằng hai văn bản dưới đây.
Mốc thời gian
- 2013: Hiến pháp ghi nhận quyền bất khả xâm phạm về đời sống riêng tư (Điều 21).
- 2015: Bộ luật Dân sự và Luật An toàn thông tin mạng ra đời, có điều khoản về thông tin cá nhân.
- 17/4/2023: Chính phủ ban hành Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
- 1/7/2023: Nghị định 13 có hiệu lực.
- 2025: Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân, số 91/2025/QH15.
- 1/1/2026: Luật Bảo vệ dữ liệu cá nhân có hiệu lực, nâng khung pháp lý từ nghị định lên luật.
Dữ liệu cá nhân là gì
Nói gọn, dữ liệu cá nhân là thông tin gắn với một con người cụ thể hoặc giúp xác định được người đó. Nghị định 13 chia làm hai nhóm, và tinh thần này được kế thừa:
| Nhóm | Ví dụ (mang tính minh hoạ) | Mức bảo vệ |
|---|---|---|
| Dữ liệu cá nhân cơ bản | Họ tên, ngày sinh, giới tính, số điện thoại, địa chỉ, số giấy tờ tuỳ thân, ảnh chân dung | Được bảo vệ theo quy định chung |
| Dữ liệu cá nhân nhạy cảm | Tình trạng sức khoẻ, thông tin sinh trắc học, quan điểm chính trị, tôn giáo, đời sống tình dục, vị trí cá nhân xác định qua dịch vụ định vị, thông tin tài chính | Bảo vệ chặt hơn, yêu cầu cao hơn với bên xử lý |
Danh mục chính xác trong từng văn bản dài hơn bảng trên. Điều đáng nhớ: vị trí điện thoại, dữ liệu sức khoẻ, vân tay, khuôn mặt là loại thông tin mà pháp luật coi là nhạy cảm, nên bạn càng có lý do để không chia sẻ chúng tuỳ tiện.
Bạn có những quyền gì
Nghị định 13 liệt kê các quyền của chủ thể dữ liệu tại Điều 9; Luật Bảo vệ dữ liệu cá nhân 2025 tiếp tục ghi nhận các quyền cơ bản này. Có thể gom thành mấy nhóm dễ nhớ:
Quyền được biết và đồng ý
Bạn có quyền được biết dữ liệu của mình được thu thập để làm gì, ai xử lý, xử lý thế nào. Việc xử lý dữ liệu nhìn chung cần sự đồng ý của bạn, trừ các trường hợp luật quy định khác (ví dụ tình huống khẩn cấp đe doạ tính mạng, thực hiện nghĩa vụ theo luật). Sự đồng ý phải rõ ràng, tự nguyện; im lặng hay không phản hồi không được coi là đồng ý.
Quyền rút lại sự đồng ý
Đã đồng ý rồi vẫn rút lại được. Ví dụ bạn từng đăng ký nhận tin quảng cáo, nay không muốn nữa.
Quyền truy cập, chỉnh sửa, xoá
Bạn có quyền xem dữ liệu của mình mà bên xử lý đang giữ, yêu cầu sửa khi sai, và yêu cầu xoá trong những trường hợp luật cho phép (ví dụ khi không còn cần cho mục đích thu thập, hoặc bạn đã rút lại sự đồng ý). Quyền xoá có giới hạn: một số dữ liệu phải lưu theo quy định khác, như chứng từ kế toán.
Quyền hạn chế, phản đối, nhận dữ liệu
Bạn có thể yêu cầu hạn chế xử lý, phản đối việc xử lý nhằm mục đích quảng cáo, tiếp thị, và yêu cầu bên xử lý cung cấp dữ liệu của bạn cho chính bạn.
Quyền khiếu nại, khởi kiện, yêu cầu bồi thường, tự bảo vệ
Khi quyền bị xâm phạm, bạn có thể khiếu nại, tố cáo, khởi kiện theo quy định, yêu cầu bồi thường thiệt hại, và tự bảo vệ theo quy định của Bộ luật Dân sự. Đi kèm quyền là nghĩa vụ: chủ thể dữ liệu cũng phải tự bảo vệ dữ liệu của mình, tôn trọng dữ liệu của người khác và cung cấp thông tin chính xác khi đồng ý cho xử lý.
Trẻ em có quy định riêng
Nghị định 13 có điều riêng về xử lý dữ liệu cá nhân của trẻ em, yêu cầu sự đồng ý của cha mẹ hoặc người giám hộ, và với trẻ từ đủ 7 tuổi thì cần cả sự đồng ý của chính trẻ. Điều này phù hợp với Luật Trẻ em 2016, vốn đã ghi nhận quyền của trẻ được bảo vệ bí mật đời sống riêng tư.
Dùng quyền của mình trong đời thường
Luật nghe xa, nhưng có những tình huống rất gần:
- Nhận cuộc gọi quảng cáo liên tục: hỏi bên gọi lấy số của bạn từ đâu, yêu cầu ngừng liên hệ và xoá số. Ghi lại thời gian, tên đơn vị.
- Cửa hàng đòi chụp căn cước để làm thẻ thành viên: hỏi mục đích, có bắt buộc không, lưu bao lâu. Bạn có quyền từ chối cung cấp dữ liệu không cần thiết, dù có thể không được hưởng dịch vụ đó.
- Muốn biết một ứng dụng giữ gì về bạn: đọc chính sách quyền riêng tư, dùng tính năng tải dữ liệu của bạn nếu có, hoặc gửi yêu cầu tới địa chỉ liên hệ về dữ liệu cá nhân mà họ công bố.
- Thông tin của bạn bị đăng công khai trái ý: yêu cầu bên đăng gỡ, kèm dẫn chứng là thông tin của bạn.
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao). Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân là nơi công bố thông tin, hướng dẫn liên quan. Với tranh chấp cụ thể, nên hỏi luật sư hoặc trung tâm trợ giúp pháp lý, đừng dựa vào bài viết tổng quát.
Góc nhìn hôm nay: biết quyền để bớt ngại hỏi
Nhiều người Việt vẫn quen đưa số điện thoại, chụp căn cước cho bất kỳ ai hỏi, vì ngại từ chối. Biết mình có quyền giúp ta tự tin hơn khi hỏi lại một câu đơn giản: "Anh chị lấy thông tin này để làm gì, lưu ở đâu?". Một câu hỏi lịch sự như vậy, lặp lại đủ nhiều, sẽ dần thay đổi thói quen thu thập dữ liệu tuỳ tiện.
Nên làm tiếp: tải nguyên văn Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 2025 từ cổng thông tin Chính phủ, đọc riêng phần quyền và nghĩa vụ của chủ thể dữ liệu; sau đó rà lại các nơi bạn từng cung cấp ảnh giấy tờ tuỳ thân.
Câu hỏi thường gặp
Nghị định 13/2023/NĐ-CP là gì?
Đây là nghị định của Chính phủ về bảo vệ dữ liệu cá nhân, ban hành ngày 17/4/2023 và có hiệu lực từ 1/7/2023. Nghị định quy định khái niệm dữ liệu cá nhân, quyền của chủ thể dữ liệu và trách nhiệm của bên xử lý dữ liệu.
Luật Bảo vệ dữ liệu cá nhân có hiệu lực khi nào?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026. Luật nâng khung pháp lý về dữ liệu cá nhân từ cấp nghị định lên cấp luật.
Dữ liệu cá nhân nhạy cảm gồm những gì?
Theo tinh thần Nghị định 13, nhóm nhạy cảm gồm các thông tin như sức khoẻ, sinh trắc học, tôn giáo, quan điểm chính trị, đời sống tình dục, vị trí cá nhân, thông tin tài chính. Danh mục đầy đủ cần đọc trong nguyên văn văn bản.
Tôi có quyền yêu cầu công ty xoá dữ liệu của mình không?
Có, trong những trường hợp luật quy định, ví dụ khi bạn rút lại sự đồng ý hoặc dữ liệu không còn cần cho mục đích đã thu thập. Quyền này có giới hạn khi luật khác bắt buộc lưu giữ dữ liệu.
Bị lộ dữ liệu cá nhân thì báo ở đâu?
Trước hết liên hệ bên đang giữ hoặc đăng dữ liệu để yêu cầu xử lý. Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an; với tranh chấp cụ thể, nên hỏi luật sư hoặc trung tâm trợ giúp pháp lý.
