Dữ liệu cá nhân là gì? Phân biệt dữ liệu cơ bản và nhạy cảm

Trả lời nhanh: Dữ liệu cá nhân là thông tin gắn với một người cụ thể, hoặc giúp nhận ra người đó. Luật chia thành dữ liệu cơ bản và dữ liệu nhạy cảm, nhóm sau bị kiểm soát chặt hơn. Theo Nghị định 356/2025/NĐ-CP, dữ liệu theo dõi hành vi của một người trên mạng cũng là dữ liệu cá nhân nhạy cảm.

Dữ liệu cá nhân là gì

Dữ liệu cá nhân là thông tin nói về một người cụ thể, hoặc giúp nhận ra họ. Định nghĩa chính thức nằm ở Điều 2 Luật 91/2025/QH15 (giải thích từ ngữ). Bài này giải thích bằng ví dụ, không chép lại nguyên văn.

Cách nghĩ dễ nhất là tự hỏi: thông tin này có cho biết hoặc giúp đoán ra đang nói về ai không? Nếu có, hãy coi nó là dữ liệu cá nhân.

Chủ shop hay hiểu hẹp. Họ nghĩ chỉ họ tên, số điện thoại, CCCD khách điền vào form mới tính. Thực tế còn nhiều thứ khác.

Ví dụ đời thường

Lấy shop gốm Hà Linh (tưởng tượng) và phòng khám nha khoa Nụ Cười (tưởng tượng):

Cột cuối của hai dòng cuối cho thấy dữ liệu cá nhân không chỉ là thứ khách chủ động đưa. Thứ trình duyệt âm thầm gửi đi cũng có thể là dữ liệu cá nhân.

Cơ bản và nhạy cảm khác nhau thế nào

Luật chia dữ liệu cá nhân làm hai nhóm. Dữ liệu cơ bản gồm những thứ như tên, số điện thoại. Dữ liệu nhạy cảm là nhóm mà lộ ra hay bị dùng sai dễ gây hại nghiêm trọng cho người đó, nên bị kiểm soát chặt hơn.

Chúng tôi không liệt kê đủ danh sách dữ liệu nhạy cảm ở đây, vì chưa đối chiếu toàn bộ văn bản. Điều chắc chắn dùng được trong bài này: theo Nghị định 356/2025/NĐ-CP, dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu cá nhân nhạy cảm. Đọc tiếp ở bài về Pixel và cookie. Các mục khác của danh mục nhạy cảm có ở bài dữ liệu cá nhân nhạy cảm gồm những gì.

Vì sao việc phân loại quan trọng? Ba lý do:

• Doanh nghiệp xử lý dữ liệu nhạy cảm không được hưởng miễn trừ dành cho doanh nghiệp nhỏ ở Điều 38. Xem Doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ không?
• Rủi ro khi lộ dữ liệu cao hơn. Xem Lộ dữ liệu khách hàng: làm gì trong 72 giờ.
• Khách có quyền yêu cầu bạn xoá, hạn chế xử lý hoặc rút lại đồng ý ở cả hai nhóm (Điều 4).

Thế nào là "xử lý" dữ liệu

Luật dùng chữ "xử lý" rất rộng (định nghĩa ở Điều 2): hiểu đơn giản là thu thập, ghi, lưu, sửa, dùng, chia sẻ, xoá… Chỉ cần bạn chạm vào dữ liệu theo một trong những cách đó là bạn đang xử lý. Một cái form liên hệ lưu số điện thoại vào bảng tính đã là xử lý. Một đoạn mã Pixel gửi dữ liệu khách sang nền tảng quảng cáo cũng vậy.

Khi nào phải xin đồng ý

Nguyên tắc chung: xử lý dữ liệu cá nhân cần sự đồng ý của chủ thể (Điều 9), và họ có quyền rút lại (Điều 10). Điều 19 liệt kê các trường hợp được xử lý không cần đồng ý. Chúng tôi chưa đối chiếu chi tiết Điều 19 nên không liệt kê ở đây. Nếu bạn định dựa vào một trường hợp không cần đồng ý, hãy hỏi luật sư trước.

Còn khi cần đồng ý, theo Nghị định 356/2025/NĐ-CP, đồng ý phải rõ ràng, lưu được thời điểm và nội dung, và không được mặc định.

Bạn cần làm gì

• Liệt kê mọi nơi bạn thu thông tin: form, giỏ hàng, chat, tổng đài, Pixel, cookie.
• Với mỗi nơi, ghi lại bạn thu gì, để làm gì, ai khác nhận được.
• Đánh dấu thứ nào là dữ liệu nhạy cảm, trong đó có dữ liệu theo dõi hành vi.
• Xin đồng ý ở những chỗ cần và lưu bằng chứng.

Để biết website bạn đang thu những gì mà bạn chưa biết, nhập địa chỉ vào máy quét miễn phí ở trang chủ. Bức tranh tổng thể xem ở bài tóm tắt luật.

Căn cứ pháp lý

• Luật 91/2025/QH15: Điều 2 (giải thích từ ngữ), Điều 4, Điều 9, Điều 10, Điều 19, Điều 26.
• Nghị định 356/2025/NĐ-CP (theo bản tin EY tháng 3/2026 và luatvietnam.vn).

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.