Cách bảo vệ dữ liệu cá nhân: 10 việc nên làm trước khi bị lộ

Dữ liệu của bạn đi ra từ đâu

Phần lớn dữ liệu cá nhân không bị "hack" mà được chính chúng ta đưa ra: điền phiếu bốc thăm ở siêu thị, gửi ảnh CCCD qua Zalo cho người lạ, cho ứng dụng đèn pin xem vị trí, bấm "Đồng ý tất cả" ở mọi banner. Từ 1/1/2026, Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) có hiệu lực: bên thu dữ liệu phải nói rõ thu gì, để làm gì, và bạn có quyền đồng ý hoặc không đồng ý (Luật 91/2025/QH15, Điều 4).

Luật cũng nói rõ phần của mỗi người. Điều 4 khoản 2 nêu nghĩa vụ của chủ thể dữ liệu: tự bảo vệ dữ liệu cá nhân của mình; tôn trọng, bảo vệ dữ liệu cá nhân của người khác; cung cấp dữ liệu đầy đủ, chính xác khi cần; chấp hành pháp luật về bảo vệ dữ liệu cá nhân.

Mười việc nên làm

Giải thích thêm vài việc

Ảnh CCCD. Rất nhiều nơi xin chụp CCCD: cho thuê nhà, thuê xe, mua trả góp, nhận phòng. Số định danh cá nhân là dữ liệu cơ bản, còn hình ảnh thẻ căn cước nằm trong danh mục dữ liệu nhạy cảm (Nghị định 356/2025/NĐ-CP, Điều 3, Điều 4). Bên thu phải báo bạn đây là dữ liệu nhạy cảm khi xin đồng ý (Điều 6 khoản 4). Nếu việc chỉ cần số, đề nghị họ ghi số thay vì chụp cả thẻ. Nếu phải gửi ảnh, gửi cho đúng người, không gửi vào nhóm chat. Chi tiết ở chụp CCCD của khách có vi phạm không.

Banner cookie. Khi website hỏi bạn có đồng ý cookie quảng cáo không, nút Từ chối nên dễ bấm như nút Đồng ý (đây là thực hành tốt, luật không có điều riêng về cookie cho website thông thường). Còn đặt sẵn mặc định là đồng ý, hay chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý, là điều Nghị định 356/2025/NĐ-CP, Điều 6 khoản 3 cấm. Từ chối thì thường bạn vẫn xem trang bình thường.

Định vị. Ứng dụng di động dùng vị trí của bạn phải thông báo việc đó và cho bạn tuỳ chọn theo dõi vị trí (Luật 91/2025/QH15, Điều 31 khoản 3 điểm b, áp cho bên cung cấp nền tảng ứng dụng di động). Hãy dùng các tuỳ chọn đó: chỉ cho phép khi đang dùng ứng dụng, hoặc tắt hẳn với ứng dụng không cần. Xem ứng dụng thu thập vị trí người dùng.

Mật khẩu và xác thực hai lớp. Đây là việc kỹ thuật quen thuộc, có hướng dẫn kỹ ở bài dữ liệu cá nhân bị lộ: bạn nên làm gì ngay. Ưu tiên email và ngân hàng trước, vì email là chìa khoá để lấy lại các tài khoản khác.

Dùng quyền của bạn

Ví dụ, chị Lan (người tưởng tượng) đã ba năm không mua gì ở một cửa hàng mỹ phẩm nhưng tuần nào cũng nhận tin khuyến mãi. Chị nhắn cửa hàng: "Tôi rút lại đồng ý nhận quảng cáo và đề nghị xoá số điện thoại của tôi." Cửa hàng phải phản hồi trong 02 ngày làm việc; ngừng gửi quảng cáo trong 15 ngày; xoá trong 20 ngày (Nghị định 356/2025/NĐ-CP, Điều 5). Rút lại đồng ý được thể hiện bằng văn bản, kể cả dạng điện tử (Luật 91/2025/QH15, Điều 10 khoản 2), nên giữ lại tin nhắn đã gửi.

Các quyền khác và thời hạn từng loại ở bài quyền của chủ thể dữ liệu cá nhân.

Bạn cần làm gì

• Tối nay: đổi mật khẩu email, ngân hàng; bật xác thực hai lớp.
• Mở phần cài đặt quyền của điện thoại, tắt định vị cho ứng dụng không cần.
• Lần tới điền form, chỉ điền ô bắt buộc, bỏ trống ô quảng cáo.
• Trước khi gửi ảnh CCCD, hỏi để làm gì, ai xem, khi nào xoá.
• Liệt kê vài nơi đang gửi quảng cáo cho bạn mà bạn không muốn; gửi yêu cầu rút lại đồng ý và xoá.
• Hỏi con trước khi đăng ảnh của con.

Muốn gửi yêu cầu xoá có đủ căn cứ và thời hạn, dùng công cụ soạn thư yêu cầu miễn phí của DuLieuCaNhan.vn.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 4 (quyền và nghĩa vụ của chủ thể dữ liệu), Điều 9, 10, 24, 31.
• Nghị định 356/2025/NĐ-CP: Điều 3, 4 (danh mục dữ liệu cơ bản, nhạy cảm), Điều 5 (thời hạn trả lời yêu cầu), Điều 6.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.