Quyền của chủ thể dữ liệu cá nhân: bạn được đòi những gì?

Sáu nhóm quyền theo Điều 4

Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ 1/1/2026. Nguyên văn Điều 4 khoản 1:

"1. Quyền của chủ thể dữ liệu cá nhân bao gồm: a) Được biết về hoạt động xử lý dữ liệu cá nhân; b) Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân; c) Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân; d) Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân; đ) Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật; e) Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật."

Giải thích dễ hiểu, kèm thời hạn doanh nghiệp phải làm theo Nghị định 356/2025/NĐ-CP, Điều 5:

Bốn loại yêu cầu gửi doanh nghiệp (rút lại, hạn chế, phản đối; xem, sửa, cung cấp; xoá; biện pháp bảo vệ) đều phải được phản hồi trong 02 ngày làm việc. Thời hạn trong ngoặc áp dụng khi doanh nghiệp cần bên xử lý hay bên thứ ba cùng làm. Doanh nghiệp được gia hạn tối đa một lần và phải báo bạn lý do.

Bạn cũng có nghĩa vụ

Điều 4 khoản 2 nêu bốn nghĩa vụ của người có dữ liệu: tự bảo vệ dữ liệu của mình; tôn trọng, bảo vệ dữ liệu của người khác; cung cấp dữ liệu đầy đủ, chính xác khi pháp luật, hợp đồng đòi hoặc khi mình đồng ý; chấp hành pháp luật về bảo vệ dữ liệu cá nhân. Nói gọn: đừng đăng số CCCD của mình lên mạng, và đừng chia sẻ dữ liệu của người khác khi họ chưa cho phép. Mười việc cụ thể có ở bài cách bảo vệ dữ liệu cá nhân.

Ví dụ: chị Lan và cửa hàng nội thất

Chị Lan (người tưởng tượng) mua một bộ sofa ở một cửa hàng nội thất (tưởng tượng), để lại số điện thoại để giao hàng. Ba tháng sau, tuần nào chị cũng nhận tin khuyến mãi của cửa hàng, cộng vài cuộc gọi mời vay tiền từ những công ty chị chưa nghe tên.

Chị dùng quyền theo thứ tự:

1. Hỏi cửa hàng đang giữ dữ liệu gì của chị, dùng để làm gì, đã đưa cho ai (quyền a, c, d).
2. Rút lại đồng ý nhận khuyến mãi (quyền b). Rút lại không có hiệu lực hồi tố (Luật 91/2025/QH15, Điều 10 khoản 4): tin đã gửi trước đó vẫn dựa trên sự đồng ý lúc đó, còn từ khi nhận yêu cầu, cửa hàng phải ngừng trong thời hạn.
3. Đòi xoá nếu không định mua nữa (quyền d).
4. Với các công ty cho vay lạ, hỏi họ lấy số ở đâu và đòi xoá. Xem ai đã bán số điện thoại của mình và bị gọi mời mua nhà, vay tiền.

Tin nhắn ngắn chị gửi cửa hàng:

Tôi là Nguyễn Thị Lan, số điện thoại [số của tôi]. Theo Luật Bảo vệ dữ liệu cá nhân, Điều 4, tôi rút lại đồng ý nhận tin quảng cáo, và đề nghị cửa hàng cho biết: đang giữ những dữ liệu nào của tôi, dùng để làm gì, đã chuyển cho bên nào. Đề nghị phản hồi trong 02 ngày làm việc theo Nghị định 356/2025/NĐ-CP, Điều 5.

Yêu cầu rút lại đồng ý, hạn chế xử lý phải thể hiện bằng văn bản, kể cả dạng điện tử (Luật 91/2025/QH15, Điều 10 khoản 2), nên theo cách hiểu của chúng tôi, tin nhắn, email còn lưu lại được là đủ để chứng minh chị đã gửi. Mẫu thư đầy đủ hơn ở cách yêu cầu công ty xoá dữ liệu.

Khi doanh nghiệp không trả lời

• Doanh nghiệp có thể bị phạt. Không có quy trình nhận yêu cầu, không phản hồi trong 02 ngày làm việc, không báo lý do gia hạn hay từ chối: 10–20 triệu đồng; không làm đúng thời hạn: 30–40 triệu đồng (Nghị định 330/2026/NĐ-CP, Điều 44, mức của tổ chức). Tiền phạt không phải tiền bồi thường cho bạn; đòi bồi thường là một quyền riêng (điểm đ).
• Bạn có quyền khiếu nại, tố cáo, khởi kiện, đòi bồi thường (Điều 4 khoản 1 điểm đ). Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Luật 91/2025/QH15, Điều 33 khoản 1). Kênh nhận phản ánh của người dân thì chưa có hướng dẫn chi tiết mà chúng tôi đối chiếu được.
• Giữ bằng chứng: ảnh chụp tin nhắn, email, ngày gửi, ngày nhận cuộc gọi.

Doanh nghiệp được từ chối trong một số trường hợp, ví dụ các trường hợp xử lý không cần đồng ý ở Điều 19 (bài này chưa đối chiếu chi tiết). Khi từ chối, họ phải báo lý do cho bạn.

Trẻ em

Với dữ liệu của con bạn, cha mẹ hay người đại diện theo pháp luật thực hiện các quyền trên thay trẻ, trừ các trường hợp của khoản 1 Điều 19 (Luật 91/2025/QH15, Điều 24 khoản 2). Ví dụ: đòi trường, trung tâm gỡ ảnh của con. Xem đăng ảnh học sinh: cần xin phép gì.

Bạn cần làm gì

• Xác định công ty nào đang giữ dữ liệu của bạn và bạn muốn gì: biết, ngừng, sửa hay xoá.
• Gửi yêu cầu bằng email hoặc tin nhắn, ghi rõ họ tên, số điện thoại hay email liên quan.
• Ghi ngày gửi; chờ phản hồi trong 02 ngày làm việc.
• Đếm thời hạn theo bảng trên; nếu bị gia hạn, đòi biết lý do.
• Giữ mọi bằng chứng.
• Không được trả lời, cân nhắc khiếu nại, tố cáo.

Công cụ soạn thư yêu cầu miễn phí của DuLieuCaNhan.vn điền sẵn căn cứ và thời hạn; bạn chỉ cần thêm tên công ty và thông tin của mình.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 4 (quyền và nghĩa vụ), Điều 10, 19, 24, 33.
• Nghị định 356/2025/NĐ-CP, Điều 5 (thời hạn thực hiện yêu cầu).
• Nghị định 330/2026/NĐ-CP, Điều 44: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.