Tóm tắt nhanh: Luật bảo vệ dữ liệu cá nhân giúp người dùng hiểu rõ quyền được biết, quyền đồng ý, quyền rút lại sự đồng ý, quyền yêu cầu chỉnh sửa, xóa hoặc phản đối xử lý dữ liệu trong môi trường số.
Theo Cổng Thông tin điện tử Chính phủ, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được ban hành ngày 26/06/2025 và có hiệu lực từ ngày 01/01/2026. Đây là mốc quan trọng vì Việt Nam có một khung luật chuyên biệt hơn cho hoạt động thu thập, lưu trữ, phân tích, chia sẻ và bảo vệ dữ liệu cá nhân.
Tham khảo thêm tại: CentriX
1. Tổng quan nhanh: Luật Bảo vệ dữ liệu cá nhân 2026 là gì?
1.1. Tên gọi đúng và thời điểm có hiệu lực
Cách gọi “Luật Bảo vệ dữ liệu cá nhân 2026” được nhiều người dùng tìm kiếm vì luật bắt đầu áp dụng từ năm 2026. Tuy nhiên, tên pháp lý đúng là Luật Bảo vệ dữ liệu cá nhân năm 2025, số 91/2025/QH15. Người đọc nên phân biệt văn bản này với Nghị định 13/2023/NĐ-CP, vốn là nền tảng pháp lý quan trọng trước đó về bảo vệ dữ liệu cá nhân.
Nói đơn giản, luật mới không chỉ dành cho luật sư hay bộ phận pháp chế. Nó liên quan đến mọi người đang dùng Internet: từ người mua tài khoản phần mềm, freelancer lưu dữ liệu khách hàng trên Google Drive, nhà sáng tạo nội dung dùng AI để viết kịch bản, đến doanh nghiệp nhỏ quản lý khách hàng bằng bảng tính hoặc CRM.
1.2. Vì sao luật này quan trọng với người dùng phổ thông?
Trong thực tế tư vấn công cụ số, một lỗi phổ biến là người dùng chỉ quan tâm giá, tính năng và tốc độ kích hoạt, nhưng ít kiểm tra dữ liệu nào đang được thu thập. Ví dụ, một ứng dụng chỉnh ảnh có thể xin quyền truy cập toàn bộ thư viện ảnh; một tiện ích trình duyệt có thể đọc dữ liệu trên trang web; một công cụ AI có thể nhận prompt chứa hợp đồng, số điện thoại khách hàng hoặc báo cáo nội bộ.
Luật bảo vệ dữ liệu cá nhân giúp thay đổi cách nhìn: dữ liệu không phải thứ “cho đi miễn phí” chỉ bằng một nút bấm đồng ý. Người dùng có quyền đặt câu hỏi: dữ liệu nào được thu thập, dùng để làm gì, lưu trong bao lâu, có chuyển cho bên thứ ba không và có thể yêu cầu xóa hay không.
Luật bảo vệ dữ liệu cá nhân
1.3. Những đối tượng chịu tác động
Luật tác động đến cá nhân, cơ quan, tổ chức tại Việt Nam và cả tổ chức, cá nhân nước ngoài có hoạt động xử lý dữ liệu cá nhân liên quan đến Việt Nam. Điều này có ý nghĩa lớn trong bối cảnh người dùng Việt Nam sử dụng rất nhiều nền tảng xuyên biên giới như mạng xã hội, công cụ AI, phần mềm làm việc nhóm, dịch vụ lưu trữ đám mây, quảng cáo số và thương mại điện tử.
Với doanh nghiệp nhỏ, shop online hoặc đội nhóm freelancer, chỉ cần có form thu thập tên, số điện thoại, địa chỉ giao hàng, lịch sử mua hàng hoặc thông tin tư vấn, hoạt động đó đã cần được nhìn nhận dưới lăng kính bảo vệ dữ liệu. Với người dùng cá nhân, hiểu luật giúp bạn không bị động khi dữ liệu bị dùng sai mục đích.
2. Dữ liệu cá nhân gồm những gì?
2.1. Dữ liệu cá nhân cơ bản
Dữ liệu cá nhân là thông tin gắn với một con người cụ thể hoặc có thể giúp xác định một con người cụ thể. Nhóm thường gặp gồm họ tên, ngày sinh, giới tính, số điện thoại, email, địa chỉ, số giấy tờ tùy thân, tài khoản trực tuyến, ảnh đại diện, thông tin thiết bị, địa chỉ IP, lịch sử giao dịch hoặc thông tin đăng nhập.
Ví dụ, một email đơn lẻ có thể chưa nói nhiều về bạn. Nhưng khi kết hợp email với số điện thoại, đơn hàng, địa chỉ nhận hàng, lịch sử tìm kiếm và hành vi quảng cáo, bên xử lý dữ liệu có thể dựng nên một bức tranh khá rõ về thói quen, nhu cầu và khả năng chi tiêu của bạn.
2.2. Dữ liệu cá nhân nhạy cảm
Dữ liệu cá nhân nhạy cảm là nhóm cần được bảo vệ ở mức cao hơn vì nếu bị lộ hoặc dùng sai mục đích, nó có thể ảnh hưởng trực tiếp đến danh dự, tài sản, sức khỏe, an toàn hoặc đời sống riêng tư. Người dùng nên đặc biệt cẩn trọng với căn cước công dân, khuôn mặt, giọng nói, vân tay, vị trí thời gian thực, dữ liệu tài chính, hồ sơ sức khỏe, thông tin trẻ em và các tài liệu nội bộ có thể định danh cá nhân.
Luật bảo vệ dữ liệu cá nhân
Một nguyên tắc thực tế: nếu thông tin đó có thể khiến bạn bị lừa đảo, mạo danh, phân biệt đối xử, theo dõi hoặc mất tiền khi bị lộ, hãy xem nó là dữ liệu cần hạn chế chia sẻ. Đừng gửi ảnh giấy tờ tùy thân qua nhóm chat công khai, không tải tài liệu nhạy cảm lên công cụ lạ và không cấp quyền truy cập thiết bị nếu ứng dụng không thật sự cần.
2.3. Dữ liệu người dùng tạo ra khi dùng AI và phần mềm số
Khi sử dụng ChatGPT, Claude, Gemini, Perplexity, Copilot, Canva Pro, Microsoft 365 hoặc CentriX AI, dữ liệu không chỉ nằm ở thông tin đăng ký tài khoản. Người dùng còn tạo ra dữ liệu mới qua prompt, file tải lên, bản nháp nội dung, bảng phân tích khách hàng, đoạn mã, kế hoạch kinh doanh hoặc tài liệu dự án.
Với kinh nghiệm triển khai công cụ số cho cá nhân và đội nhóm, cách làm an toàn hơn là ẩn danh dữ liệu trước khi đưa vào AI. Thay vì nhập “Nguyễn Văn A, số điện thoại 09xx, đang nợ đơn hàng…”, hãy đổi thành “Khách hàng A”. Thay vì tải toàn bộ file khách hàng, hãy trích xuất phần đã loại bỏ tên, số điện thoại, địa chỉ và mã định danh. Công cụ AI càng mạnh thì thói quen bảo vệ dữ liệu càng phải nghiêm túc.
3. Người dùng có những quyền gì theo Luật bảo vệ dữ liệu cá nhân?
Cổng thông tin điện tử Bộ Công an ghi nhận nhiều nội dung đáng chú ý của luật, trong đó trọng tâm là quyền của chủ thể dữ liệu. Hiểu các quyền này giúp người dùng biết khi nào cần hỏi, khi nào cần từ chối và khi nào cần yêu cầu một nền tảng xử lý lại dữ liệu của mình.
3.1. Quyền được biết
Người dùng có quyền biết dữ liệu nào được thu thập, mục đích xử lý là gì, ai xử lý, dữ liệu có được chia sẻ cho bên thứ ba không và thời gian lưu trữ dự kiến ra sao. Trong đời sống hằng ngày, quyền này xuất hiện ở chính sách quyền riêng tư, biểu mẫu đăng ký, thông báo cookie hoặc màn hình xin quyền truy cập của ứng dụng.
3.2. Quyền đồng ý, không đồng ý và rút lại sự đồng ý
Đồng ý xử lý dữ liệu không nên là một thao tác bị ép buộc hoặc ẩn trong câu chữ khó hiểu. Trước khi nhấn “Tôi đồng ý”, người dùng nên kiểm tra các ô nhận quảng cáo, chia sẻ dữ liệu cho đối tác, cho phép định vị, truy cập danh bạ, ảnh, micro hoặc camera. Nếu không còn nhu cầu sử dụng dịch vụ, hãy tìm mục hủy đăng ký, xóa tài khoản hoặc rút lại sự đồng ý khi có kênh hỗ trợ phù hợp.
3.3. Quyền truy cập, xem và chỉnh sửa dữ liệu
Khi email cũ, số điện thoại sai, địa chỉ không còn dùng hoặc thông tin định danh bị nhập nhầm, người dùng cần có cách yêu cầu chỉnh sửa. Đây không chỉ là vấn đề tiện ích; dữ liệu sai có thể khiến giao dịch thất bại, tài khoản bị khóa hoặc thông báo quan trọng gửi nhầm người.
3.4. Quyền yêu cầu cung cấp, xóa, hạn chế hoặc phản đối xử lý dữ liệu
| Quyền của người dùng | Khi nào nên dùng? | Ví dụ thực tế |
|---|---|---|
| Yêu cầu cung cấp dữ liệu | Khi muốn biết tổ chức đang lưu thông tin gì về mình | Yêu cầu nền tảng gửi bản sao dữ liệu tài khoản |
| Yêu cầu xóa dữ liệu | Khi ngừng sử dụng dịch vụ hoặc dữ liệu không còn cần thiết | Xóa tài khoản và thông tin liên hệ sau khi hủy dịch vụ |
| Hạn chế xử lý | Khi chưa muốn dữ liệu tiếp tục bị dùng cho một mục đích nhất định | Không cho dùng số điện thoại để gọi quảng cáo |
| Phản đối xử lý | Khi nghi ngờ dữ liệu bị dùng sai mục đích | Phản đối việc chia sẻ dữ liệu cho đối tác marketing |
3.5. Quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường
Nếu dữ liệu bị thu thập, tiết lộ, mua bán hoặc sử dụng trái phép gây ảnh hưởng đến tài sản, danh dự hoặc an toàn cá nhân, người dùng nên lưu bằng chứng trước khi hành động. Bằng chứng có thể gồm ảnh chụp màn hình, email, tin nhắn, thời điểm nhận cuộc gọi spam, đường link trang rao bán dữ liệu hoặc nội dung trao đổi với bên xử lý dữ liệu. Trong trường hợp nghiêm trọng, nên tìm tư vấn pháp lý hoặc gửi phản ánh đến cơ quan có thẩm quyền.
4. Những hành vi nào bị nghiêm cấm?
4.1. Mua bán dữ liệu cá nhân trái quy định
Mua danh sách số điện thoại, email, dữ liệu người vay tiền, dữ liệu phụ huynh, ứng viên hoặc khách hàng để chạy quảng cáo và telesales là rủi ro lớn. Ngay cả khi người mua nghĩ rằng “ai cũng làm”, hành vi này có thể xâm phạm quyền riêng tư và kéo theo trách nhiệm pháp lý. Với doanh nghiệp, dữ liệu sạch không chỉ là dữ liệu có nhiều liên hệ, mà phải là dữ liệu có nguồn gốc minh bạch và mục đích sử dụng rõ ràng.
4.2. Chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu
Các tình huống thường gặp gồm gửi nhầm file khách hàng, chia sẻ thư mục Drive ở chế độ công khai, đăng ảnh giấy tờ tùy thân lên nhóm chat, để lộ API key, dùng phần mềm crack hoặc tài khoản không rõ nguồn gốc. Đây là những lỗi vận hành tưởng nhỏ nhưng có thể mở đường cho mạo danh, lừa đảo và chiếm đoạt tài khoản.
4.3. Xử lý dữ liệu trái mục đích đã thông báo
Nếu người dùng cung cấp số điện thoại để nhận hàng, doanh nghiệp không nên tự động dùng số đó cho các chiến dịch quảng cáo khác nếu chưa có cơ sở phù hợp. Minh bạch mục đích ngay từ đầu là nguyên tắc cốt lõi để xây dựng niềm tin.
4.4. Lợi dụng dữ liệu cá nhân để lừa đảo, mạo danh, spam
Khi dữ liệu bị rò rỉ, người dùng dễ gặp cuộc gọi giả danh ngân hàng, email phishing, tin nhắn chứa link độc hại hoặc tài khoản hỗ trợ giả mạo. Lời khuyên chuyên gia là không bấm link lạ, không đọc mã OTP cho bất kỳ ai, không cài file ngoài nguồn tin cậy và luôn xác minh lại qua kênh chính thức trước khi thanh toán hoặc cung cấp thêm thông tin.
5. Người dùng cần làm gì để tự bảo vệ dữ liệu cá nhân?
5.1. Kiểm tra quyền truy cập của ứng dụng
Ngay cả khi ứng dụng trông đẹp và hữu ích, quyền truy cập như camera, micro, vị trí, danh bạ hay ảnh không phải lúc nào cũng cần thiết cho trải nghiệm của bạn. Trên điện thoại hoặc máy tính, hãy kiểm tra cài đặt quyền ứng dụng: chọn “Chỉ khi sử dụng ứng dụng” thay vì cho phép truy cập liên tục, và tắt quyền không cần thiết để giảm nguy cơ thu thập dữ liệu không rõ mục đích.
5.2. Đọc nhanh chính sách quyền riêng tư trước khi đăng ký
Chính sách quyền riêng tư thường dài nhưng bạn không cần đọc toàn bộ. Hãy tìm những đoạn nói về “mục đích thu thập”, “phạm vi chia sẻ dữ liệu”, “thời gian lưu trữ” và “cách yêu cầu xóa dữ liệu”. Điều này giúp bạn nắm được cách nền tảng xử lý dữ liệu cá nhân trước khi đồng ý cho phép.
5.3. Tách biệt email cá nhân, công việc và tài khoản thử nghiệm
Sử dụng email riêng cho mục đích đăng ký dịch vụ thử nghiệm, không dùng chung mật khẩu và bật xác thực hai lớp (2FA) giúp giảm rủi ro bị xâm nhập tài khoản. Một trình quản lý mật khẩu uy tín có thể giúp bạn tạo mật khẩu mạnh và lưu trữ an toàn hơn.
5.4. Không đưa dữ liệu nhạy cảm vào AI nếu chưa cần thiết
Khi sử dụng bất kỳ công cụ AI nào, bao gồm ChatGPT, Claude, Gemini hay CentriX AI, nên xóa tên thật, số điện thoại, mã khách hàng hoặc tài liệu nhạy cảm khỏi prompt trước khi gửi. Nếu cần thử nghiệm, hãy thay thế bằng dữ liệu giả định như “Khách hàng A” để bảo vệ thông tin thực tế.
5.5. Lưu bằng chứng khi nghi ngờ bị lộ dữ liệu
Nếu bạn nhận được nhiều email lừa đảo, cuộc gọi spam bất thường hoặc tin nhắn quảng cáo liên tục, hãy chụp ảnh màn hình, lưu nội dung và thời gian xảy ra sự việc. Những bằng chứng này rất hữu ích nếu cần khiếu nại hoặc phản ánh với bên cung cấp dịch vụ hay cơ quan có thẩm quyền.
6. Luật này tác động thế nào đến doanh nghiệp, shop online và đội nhóm nhỏ?
6.1. Không chỉ doanh nghiệp lớn mới cần tuân thủ
Bất kỳ tổ chức nào thu thập dữ liệu khách hàng—từ form đặt hàng, CRM, chatbot đến danh sách email marketing—đều phải tôn trọng quyền dữ liệu cá nhân. Luật bảo vệ dữ liệu cá nhân yêu cầu minh bạch ngay từ bước thu thập đầu tiên để người dùng biết dữ liệu nào được lưu và sử dụng như thế nào.
6.2. Minh bạch khi thu thập dữ liệu khách hàng
Doanh nghiệp nên công khai các mục: mục đích thu thập, phạm vi sử dụng, thời gian lưu trữ, quyền yêu cầu chỉnh sửa hoặc xóa, và kênh liên hệ bảo mật. Việc này không chỉ giúp tuân thủ pháp luật mà còn xây dựng niềm tin với khách hàng.
6.3. Quản lý phân quyền nội bộ
Giới hạn quyền truy cập dữ liệu cho những ai thực sự cần thiết, thu hồi quyền khi nhân sự nghỉ việc, không chia sẻ file khách hàng bằng link công khai, và bật bảo mật hai lớp cho email, CRM và tài khoản AI là những bước thiết thực để giảm rủi ro nội bộ.
6.4. Cẩn trọng khi dùng công cụ AI để xử lý dữ liệu khách hàng
Quy trình an toàn gồm phân loại dữ liệu, ẩn danh trước khi đưa vào công cụ AI, kiểm tra điều khoản dịch vụ và không tải lên tệp chứa thông tin nhạy cảm nếu chưa có cơ sở xử lý phù hợp. Đây là cách bảo vệ quyền riêng tư và tuân thủ luật một cách chủ động.
7. Các mức rủi ro và chế tài người dùng nên biết
Luật bảo vệ dữ liệu cá nhân không chỉ thiết lập quyền cho chủ thể dữ liệu mà còn đặt ra trách nhiệm đối với bên kiểm soát và xử lý dữ liệu, bao gồm các biện pháp bảo mật, giải quyết vi phạm và xử phạt hành vi thu thập dữ liệu trái phép. Quy định này được mô tả chi tiết trong Luật số 91/2025/QH15, bao gồm quyền phản đối xử lý, khiếu nại, tố cáo và yêu cầu bồi thường thiệt hại khi quyền riêng tư bị xâm phạm.
10. Câu hỏi thường gặp về Luật Bảo vệ dữ liệu cá nhân 2026
Luật có hiệu lực từ khi nào?
Luật bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026 và áp dụng cho cả tổ chức, cá nhân trong và ngoài nước liên quan đến xử lý dữ liệu cá nhân tại Việt Nam.
Người dùng có quyền yêu cầu xóa dữ liệu không?
Có. Chủ thể dữ liệu có quyền yêu cầu xóa dữ liệu cá nhân khi không còn cần thiết cho mục đích ban đầu, thông qua kênh hỗ trợ của nền tảng hoặc dịch vụ mà bạn đã cung cấp dữ liệu.
Có thể rút lại sự đồng ý xử lý dữ liệu không?
Có. Người dùng có thể rút lại sự đồng ý xử lý dữ liệu bất cứ lúc nào, miễn là yêu cầu đó được gửi theo quy trình và điều kiện do bên kiểm soát dữ liệu quy định.
Kết luận và bước tiếp theo
Luật bảo vệ dữ liệu cá nhân đặt người dùng vào vị trí chủ động hơn trong môi trường số để biết, kiểm soát và bảo vệ thông tin cá nhân. Trong bối cảnh dữ liệu trở thành tài sản quan trọng, việc hiểu rõ quyền và trách nhiệm giúp bạn tránh rủi ro, lừa đảo và khai thác dữ liệu trái phép. Hãy rà soát lại cách bạn chia sẻ thông tin, đặt quyền riêng tư trong cài đặt ứng dụng và chọn các nền tảng, công cụ số minh bạch và có cơ chế bảo vệ dữ liệu rõ ràng.
Để làm việc hiệu quả mà vẫn bảo vệ quyền riêng tư, cân nhắc lựa chọn công cụ số và tài khoản bản quyền từ các nhà cung cấp uy tín như CentriX.digital, đồng thời thực hành ẩn danh dữ liệu nhạy cảm khi sử dụng AI và dịch vụ trực tuyến.
