Khách đòi xoá dữ liệu: doanh nghiệp có bao nhiêu ngày?

Quyền nào của khách tạo ra các hạn này?

Điều 4 Luật 91/2025/QH15 cho chủ thể dữ liệu (là người có dữ liệu, tức khách của bạn) các quyền chính như: được biết; đồng ý, không đồng ý, rút lại đồng ý; xem, chỉnh sửa; yêu cầu cung cấp, xoá, hạn chế xử lý; phản đối; khiếu nại, tố cáo, khởi kiện; yêu cầu bồi thường. Điều 10 nói về rút lại đồng ý và hạn chế xử lý; Điều 14 nói về xoá, huỷ, khử nhận dạng.

Nghị định 356 là nơi đặt ra thời hạn cho từng loại yêu cầu.

Bảng thời hạn

"Bên thứ ba" ở đây là chỗ doanh nghiệp phải nhờ người khác mới làm được, ví dụ nhà cung cấp phần mềm đang giữ dữ liệu khách, hay đơn vị chạy quảng cáo.

Bài này chưa có hướng dẫn chi tiết về cách đếm ngày (ngày thường hay ngày làm việc ở các hạn "ngày"), mốc bắt đầu tính, hay điều kiện để được gia hạn. Cách an toàn là coi mốc bắt đầu là lúc bạn nhận yêu cầu, và ghi lại lúc đó.

Ví dụ: phòng khám nha khoa

Chị Lan từng đặt lịch ở một phòng khám nha khoa qua website và để lại số điện thoại, nhận tin nhắn nhắc lịch. Sau đó chị thấy tin nhắn khuyến mãi cứ gửi tới. Ngày 3 chị gửi email: "Tôi rút lại đồng ý nhận tin quảng cáo, và xoá số điện thoại của tôi."

Phòng khám cần:

1. Phản hồi trong 2 ngày làm việc phần rút đồng ý: đã nhận, đã dừng tin quảng cáo.
2. Xử lý phần dừng nhận tin trong 15 ngày. Thực tế nên dừng ngay.
3. Xử lý phần xoá số điện thoại trong 20 ngày. Nếu số điện thoại còn nằm trong phần mềm đặt lịch của nhà cung cấp, và cần họ xoá, hạn có thể lên 30 ngày.
4. Báo lại cho chị Lan khi xong.

Nếu hồ sơ khám bệnh thuộc loại phải lưu theo quy định khác, cần hỏi luật sư trước khi xoá. Bài này không đi vào ngoại lệ đó.

Khó khăn thường gặp khi đếm hạn

• Yêu cầu đến từ nhiều kênh: email, Zalo, inbox fanpage, form. Người nhận quên chuyển cho người xử lý.
• Dữ liệu nằm rải rác: Google Sheet, phần mềm bán hàng, công cụ email, nhóm chat.
• Không biết ai quyết định xoá.
• Không có bằng chứng đã trả lời đúng hạn.

Giải pháp: một nơi nhận yêu cầu duy nhất, có đồng hồ đếm hạn, và có người chịu trách nhiệm.

Bạn cần làm gì

• Lập một địa chỉ nhận yêu cầu (email hoặc trang riêng) và ghi trong chính sách bảo vệ dữ liệu.
• Ghi ngày giờ nhận mọi yêu cầu.
• Gửi phản hồi ngắn trong vòng 2 ngày làm việc cho yêu cầu rút đồng ý.
• Lập danh sách nơi lưu dữ liệu khách để xoá cho đủ.
• Nếu cần gia hạn, báo cho khách biết và lưu bằng chứng.
• Thông báo cho nhà cung cấp phần mềm khi cần họ xoá dữ liệu.

Cho doanh nghiệp: dùng kiểm tra nghĩa vụ để biết bạn cần chuẩn bị gì, và xem bảng giá nếu cần công cụ hỗ trợ đếm hạn.

Cho người dân: nếu bạn đang bị gọi, nhắn quấy rầy và muốn đòi xoá số, dùng thư yêu cầu xoá dữ liệu miễn phí. Doanh nghiệp nhận thư sẽ có hạn như bảng trên để làm.

Căn cứ pháp lý

• Luật 91/2025/QH15, Điều 4 (quyền và nghĩa vụ của chủ thể dữ liệu), Điều 10 (rút lại đồng ý, hạn chế xử lý), Điều 14 (xoá, huỷ, khử nhận dạng).
• Nghị định 356/2025/NĐ-CP, hiệu lực từ 1/1/2026 (thời hạn xử lý yêu cầu: theo bản tin EY 3/2026 và báo chí).

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.