Chụp CCCD của khách có vi phạm luật dữ liệu cá nhân không?

Vì sao ai cũng chụp CCCD

Nhiều người nghĩ luật dữ liệu cá nhân chủ yếu nói về CCCD. Điều đó đúng một phần: ảnh căn cước là loại dữ liệu nhạy cảm mà doanh nghiệp nhỏ hay giữ nhiều nhất mà không để ý. Nó xuất hiện ở khắp nơi:

• đặt cọc, ký hợp đồng thuê căn hộ;
• cho thuê xe máy, ô tô tự lái;
• mua điện thoại trả góp;
• đăng ký thẻ tập ở phòng gym;
• nhận phòng homestay;
• giao hàng giá trị cao, cần xác nhận người nhận.

Thói quen chung là "chụp cho chắc". Nhân viên chụp bằng điện thoại riêng, gửi qua Zalo, rồi quên. Ảnh nằm lại nhiều năm.

Số trên thẻ và ảnh của thẻ là hai chuyện khác nhau

Ghi lại số định danh và chụp cả tấm thẻ không giống nhau. Ảnh chụp cho thấy mọi thứ in trên thẻ, kể cả ảnh chân dung, chứ không chỉ con số bạn cần. Nếu bị lộ, ảnh thẻ có thể bị kẻ gian dùng để mạo danh.

Xử lý dữ liệu nhạy cảm kéo theo một nghĩa vụ cụ thể: khi xin đồng ý, phải báo cho người đó biết đây là dữ liệu cá nhân nhạy cảm (Nghị định 356/2025/NĐ-CP, Điều 6 khoản 4). Không báo bị phạt 30–50 triệu đồng với tổ chức (Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm h; cá nhân bị phạt một nửa).

Ví dụ: một sàn môi giới căn hộ

Lấy một sàn môi giới căn hộ tưởng tượng có 12 nhân viên. Khi khách đặt cọc thuê căn hộ, nhân viên chụp hai mặt CCCD bằng điện thoại cá nhân, gửi vào nhóm Zalo "Hợp đồng tháng 10" có 15 thành viên, kể cả vài chủ nhà. Sau một năm, nhóm có vài trăm ảnh căn cước. Các chỗ khác môi giới hay vướng có ở bài môi giới bất động sản và dữ liệu khách hàng.

Những chỗ cần sửa:

1. Không ai báo khách. Khách không được nói rằng ảnh thẻ là dữ liệu nhạy cảm, ai sẽ xem, giữ bao lâu.
2. Ảnh nằm trên 15 điện thoại, kể cả của người đã nghỉ việc.
3. Không ai xoá. Luật yêu cầu chỉ lưu dữ liệu trong thời gian phù hợp với mục đích và xoá khi xong mục đích (Luật 91/2025/QH15, Điều 3, Điều 14).
4. Lộ thì khó kiểm soát. Một điện thoại mất là cả trăm ảnh căn cước có thể lọt ra ngoài. Khi vi phạm có thể gây tổn hại tới tính mạng, sức khoẻ, danh dự, nhân phẩm, tài sản của người có dữ liệu (hoặc tới quốc phòng, an ninh, trật tự), bên kiểm soát phải báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện (Luật 91/2025/QH15, Điều 23). Xem lộ dữ liệu khách hàng: làm gì trong 72 giờ.

Cách làm gọn hơn:

• Nếu hợp đồng chỉ cần số định danh, ghi số vào hợp đồng, không chụp.
• Nếu chủ nhà thật sự cần bản chụp, chụp bằng máy của công ty, lưu vào một thư mục chỉ người lập hợp đồng mở được, rồi xoá trên điện thoại và trong đoạn chat.
• Đặt thời hạn xoá, ví dụ sau khi hợp đồng thuê kết thúc và hết thời gian giải quyết tranh chấp mà công ty tự chọn.
• Báo khách bằng một câu ngắn, kèm chữ ký hoặc ô đồng ý.

Mẫu câu tham khảo (cần chỉnh theo việc thật và chờ luật sư duyệt):

[Tên sàn] sẽ chụp hai mặt thẻ căn cước của anh/chị để lập hợp đồng đặt cọc. Hình ảnh thẻ căn cước là dữ liệu cá nhân nhạy cảm. Ảnh chỉ người lập hợp đồng và chủ nhà xem, và được xoá sau khi hợp đồng kết thúc. Anh/chị có quyền xem, yêu cầu sửa hoặc xoá, như ghi trong chính sách bảo vệ dữ liệu cá nhân của sàn.

Muốn có một văn bản đồng ý đầy đủ hơn, xem mẫu văn bản đồng ý xử lý dữ liệu cá nhân.

Doanh nghiệp nhỏ chụp CCCD có mất miễn trừ không?

Luật 91/2025/QH15, Điều 38 cho hộ kinh doanh và doanh nghiệp siêu nhỏ không phải lập hồ sơ đánh giá tác động (Điều 21, 22) và không phải chỉ định nhân sự bảo vệ dữ liệu (khoản 2 Điều 33). Doanh nghiệp nhỏ, khởi nghiệp được chọn làm hay không trong 5 năm.

Nhưng Điều 38 không miễn cho bên trực tiếp xử lý dữ liệu cá nhân nhạy cảm. Một sàn môi giới chụp và lưu hàng trăm ảnh căn cước có thuộc nhóm này không? Chưa có hướng dẫn chi tiết. Theo cách đọc thận trọng của chúng tôi thì có thể, nên đây là câu hỏi đáng hỏi luật sư. Xem thêm doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ không.

Khi luật khác buộc bạn thu giấy tờ

Một số ngành có luật riêng buộc kiểm tra hoặc lưu thông tin giấy tờ tuỳ thân, như lưu trú, công chứng, tài chính. Bài này chưa đối chiếu các luật đó. Khi luật buộc thu, nguyên tắc vẫn giữ: chỉ thu đúng phần luật đòi, báo khách để làm gì, giữ an toàn, xoá khi hết thời hạn phải lưu.

Bạn cần làm gì

• Với mỗi việc, hỏi: cần số định danh hay cần ảnh thẻ? Chỉ chụp khi thật cần.
• Báo khách đây là dữ liệu nhạy cảm, dùng để làm gì, ai xem, khi nào xoá.
• Không gửi ảnh căn cước vào nhóm chat đông người. Lưu ở một chỗ có phân quyền.
• Xoá ảnh trên điện thoại riêng của nhân viên. Nhân viên nghỉ việc thì thu lại quyền truy cập.
• Đặt thời hạn xoá và làm thật.
• Ghi việc thu ảnh căn cước vào chính sách bảo vệ dữ liệu cá nhân.
• Chuẩn bị sẵn cách xử lý khi lộ dữ liệu trong 72 giờ.

Dùng kiểm tra nghĩa vụ để xem doanh nghiệp bạn có còn được miễn hồ sơ hay không. Chưa có chính sách để ghi việc thu ảnh căn cước? Dùng công cụ tạo chính sách.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 3, 14, 21, 22, 23, 33, 38.
• Nghị định 356/2025/NĐ-CP: Điều 3 (dữ liệu cơ bản), Điều 4 (dữ liệu nhạy cảm, gồm hình ảnh thẻ căn cước), Điều 6 khoản 4 (báo cho khách đây là dữ liệu nhạy cảm).
• Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm h: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.