Bỏ qua tới nội dung chính
DuLieuCaNhan.vn

Dữ liệu cá nhân nhạy cảm gồm những gì? Danh mục và ví dụ

Nghị định 356/2025 liệt kê dữ liệu nhạy cảm: sức khoẻ, sinh trắc học, vị trí, ảnh thẻ căn cước, ngân hàng, theo dõi hành vi trên mạng. Ví dụ theo ngành.

Bản Markdown của bài

Trả lời nhanh

Nghị định 356/2025/NĐ-CP có hai danh mục. Dữ liệu cá nhân cơ bản (Điều 3) gồm 11 mục như họ tên, ngày sinh, địa chỉ, số điện thoại, số định danh cá nhân. (Điều 4) gồm, cùng các mục khác: tình trạng sức khoẻ, dữ liệu sinh trắc học, vị trí xác định qua dịch vụ định vị, hình ảnh thẻ căn cước, tài khoản và lịch sử giao dịch ngân hàng, thông tin tài chính, tín dụng, bảo hiểm, và dữ liệu theo dõi hành vi trên không gian mạng. Giữ dữ liệu nhạy cảm kéo theo nghĩa vụ chặt hơn.

Hai danh mục, một cách nhớ

Cách nhớ nhanh: thứ dùng để gọi tên, liên lạc với một người thường là dữ liệu cơ bản. Thứ mà lộ ra có thể gây hại nặng cho người đó, như bệnh tật, tiền bạc, khuôn mặt, nơi đang đứng, thói quen trên mạng, thường là dữ liệu nhạy cảm.

Đây chỉ là cách nhớ. Thứ quyết định là danh mục trong nghị định. Định nghĩa dữ liệu cá nhân và việc "xử lý" là gì, xem bài dữ liệu cá nhân là gì.

Danh mục dữ liệu nhạy cảm hay gặp

Nghị định 356/2025/NĐ-CP, Điều 4 khoản 1 có nhiều điểm, từ a đến m. Bảng dưới nêu những mục doanh nghiệp nhỏ hay gặp, tên mục viết gọn. Danh mục đầy đủ xem ở toàn văn trên Công báo (link ở cuối bài).

Mục (Điều 4 khoản 1)Ví dụ đời thườngAi hay giữ
Tình trạng sức khoẻhồ sơ khám răng, ghi chú dị ứng, giấy khám sức khoẻ, đơn xin nghỉ ốmphòng khám, spa, phòng tập, nhân sự, trường học
Dữ liệu sinh trắc họcvân tay, khuôn mặt dùng để máy nhận ra từng người (ranh giới chưa có hướng dẫn chi tiết)văn phòng, nhà xưởng, toà nhà
Vị trí của cá nhân xác định qua dịch vụ định vịvị trí GPS của tài xế, của người dùng ứng dụngcông ty giao hàng, cho thuê xe
Tên đăng nhập, mật khẩu tài khoản định danh điện tửkhách nhờ đăng nhập hộ để làm thủ tụcdịch vụ làm hồ sơ, giấy tờ
Hình ảnh thẻ căn cướcảnh chụp hai mặt CCCDmôi giới, cho thuê nhà, cho thuê xe, homestay
Tài khoản, thẻ, lịch sử giao dịch ngân hàngsao kê khách gửi để chứng minh thu nhậpmôi giới bất động sản, bán trả góp
Thông tin tài chính, tín dụng, bảo hiểmhồ sơ vay, hợp đồng bảo hiểmđại lý bảo hiểm, cửa hàng trả góp
Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên không gian mạng (điểm l)lịch sử xem hàng, thêm giỏ gửi qua Pixel quảng cáowebsite chạy quảng cáo

Dòng cuối cần đọc kỹ. Câu chữ của điểm l là "dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng". Việc dữ liệu do và cookie phân tích gửi đi thuộc điểm này là cách hiểu thận trọng của chúng tôi, chưa có hướng dẫn chi tiết. Phần này có bài riêng: theo dõi hành vi trên mạng là dữ liệu nhạy cảm.

Những cặp hay nhầm

Cơ bản (Điều 3)Nhạy cảm (Điều 4)
Số định danh cá nhân ghi trong hợp đồngHình ảnh thẻ căn cước
Hình ảnh của cá nhân, như ảnh chụp sự kiệnDữ liệu sinh trắc học, như khuôn mặt dùng để nhận diện (ranh giới chưa có hướng dẫn chi tiết)
Nơi ở, địa chỉ liên hệVị trí xác định qua dịch vụ định vị
Số điện thoạiTên đăng nhập, mật khẩu tài khoản định danh điện tử

Cặp đầu là chỗ nhiều doanh nghiệp không ngờ: ghi số CCCD vào hợp đồng là dữ liệu cơ bản, nhưng chụp cả tấm thẻ thì là dữ liệu nhạy cảm. Xem chụp CCCD của khách có vi phạm không.

Ví dụ theo ngành

Một phòng khám nha khoa. Hồ sơ khám, ảnh X-quang, ghi chú "dị ứng thuốc tê" là tình trạng sức khoẻ. Luật 91/2025/QH15 còn có điều riêng về dữ liệu sức khoẻ (Điều 26), bài này chưa đối chiếu chi tiết. Xem phòng khám và dữ liệu bệnh nhân.

Công ty chấm công bằng khuôn mặt. Mẫu khuôn mặt để máy nhận ra từng nhân viên có thể là dữ liệu sinh trắc học (ranh giới chưa có hướng dẫn chi tiết). Nhân viên còn phải được biết rõ biện pháp giám sát (Luật 91/2025/QH15, Điều 25 khoản 3). Xem dữ liệu nhân viên và ứng viên và chấm công bằng vân tay, khuôn mặt.

Sàn môi giới cho thuê căn hộ. Ảnh CCCD của khách, sao kê ngân hàng chứng minh thu nhập: hai mục nhạy cảm trong cùng một hồ sơ. Xem môi giới bất động sản và dữ liệu khách hàng.

Trung tâm tiếng Anh. Phiếu đăng ký ghi "con bị hen suyễn" là tình trạng sức khoẻ của một đứa trẻ. Dữ liệu trẻ em còn có điều riêng (Luật 91/2025/QH15, Điều 24). Xem đăng ảnh học sinh: cần xin phép gì.

Shop gốm Hà Linh (shop tưởng tượng) có website chạy quảng cáo. Pixel gửi lịch sử xem hàng của khách sang Meta, TikTok: thuộc điểm l theo cách hiểu thận trọng.

Giữ dữ liệu nhạy cảm kéo theo những gì

Nghĩa vụCăn cứ
Khi xin đồng ý, báo cho người đó biết đây là dữ liệu cá nhân nhạy cảmNghị định 356, Điều 6 khoản 4. Không báo bị phạt 30–50 triệu đồng với tổ chức (Nghị định 330, Điều 43 khoản 1 điểm h)
Không còn được miễn hồ sơ đánh giá tác động và nhân sự bảo vệ dữ liệu, nếu trực tiếp xử lý dữ liệu nhạy cảm (áp cho từng doanh nghiệp thế nào chưa có hướng dẫn chi tiết)Luật 91, Điều 38
Lộ dữ liệu vị trí hoặc sinh trắc học: ngoài cơ quan chuyên trách, còn phải báo người bị ảnh hưởng trong 72 giờNghị định 356, Điều 29

Ngoài các nghĩa vụ trên, nên giữ dữ liệu nhạy cảm kỹ hơn: ít người xem, không để trong nhóm chat, xoá ngay khi xong việc. Đây là thực hành tốt, không phải câu chữ của luật.

Dòng thứ hai liên quan tới nhiều doanh nghiệp nhỏ. Điều 38 cho hộ kinh doanh, doanh nghiệp siêu nhỏ không phải lập , nhưng loại trừ bên trực tiếp xử lý dữ liệu nhạy cảm. Xem doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ không.

Bạn cần làm gì

  • Liệt kê các loại dữ liệu bạn đang giữ, đánh dấu loại nào nằm trong danh mục nhạy cảm.
  • Với mỗi loại nhạy cảm, hỏi: có thật cần không? Bỏ nếu không cần.
  • Thêm câu "đây là dữ liệu cá nhân nhạy cảm" vào form, phiếu đồng ý ở đúng chỗ thu loại đó.
  • Xem lại doanh nghiệp còn được miễn theo Điều 38 không.
  • Giới hạn người xem. Không để dữ liệu nhạy cảm trong nhóm chat.
  • Nếu website có Pixel, chặn Pixel tới khi khách đồng ý.

Dùng kiểm tra nghĩa vụ để biết nghĩa vụ ban đầu của doanh nghiệp. Muốn biết website có đang gửi dữ liệu theo dõi cho ai, dán địa chỉ vào máy quét miễn phí ở trang chủ.

Căn cứ pháp lý

  • Nghị định 356/2025/NĐ-CP: Điều 3 (danh mục dữ liệu cá nhân cơ bản), Điều 4 (danh mục dữ liệu cá nhân nhạy cảm), Điều 6 khoản 4, Điều 29.
  • Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 24, 25, 26, 38.
  • Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm h: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.

Câu hỏi thường gặp

Số điện thoại, địa chỉ có phải dữ liệu nhạy cảm không?

Thường là không. Nghị định 356/2025/NĐ-CP, Điều 3 xếp họ tên, địa chỉ, số điện thoại, số định danh cá nhân vào danh mục dữ liệu cá nhân cơ bản.

Ảnh chân dung có phải dữ liệu nhạy cảm không?

Hình ảnh của cá nhân nằm ở danh mục dữ liệu cơ bản (Điều 3). Hình ảnh thẻ căn cước thì nằm ở danh mục nhạy cảm (Điều 4). Ảnh khuôn mặt dùng để nhận diện có thể là dữ liệu sinh trắc học; ranh giới này chưa có hướng dẫn chi tiết.

Giấy khám sức khoẻ của nhân viên có phải dữ liệu nhạy cảm không?

Có. Tình trạng sức khoẻ nằm trong danh mục dữ liệu nhạy cảm của Nghị định 356/2025/NĐ-CP, Điều 4. Bộ phận nhân sự nên giữ loại giấy này kỹ hơn hồ sơ thường.

Xử lý dữ liệu nhạy cảm thì phải làm thêm gì?

Ít nhất là báo cho người đó biết đây là dữ liệu nhạy cảm khi xin đồng ý (Nghị định 356/2025/NĐ-CP, Điều 6 khoản 4), và xem lại doanh nghiệp còn được miễn trừ theo Luật 91/2025/QH15, Điều 38 không.

Nguồn

  1. 1.Nghị định 356/2025/NĐ-CP (Công báo, toàn văn)congbao.chinhphu.vn
  2. 2.Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Công báo, toàn văn)congbao.chinhphu.vn
  3. 3.Nghị định 330/2026/NĐ-CP (Công báo số 498, toàn văn)congbao.chinhphu.vn

Bài liên quan

Nhận tin quy định và xử phạt

Tin quy định mới và các vụ xử phạt liên quan đến dữ liệu cá nhân ở Việt Nam, mỗi tin kèm link nguồn. Thư nào cũng có liên kết huỷ nhận.

Xem các tin đã đăng

Đang tải câu đồng ý…