Bảo vệ dữ liệu cá nhân 2026: Hiểu đúng về quyền 'yêu cầu xóa dữ liệu' trên nền tảng số

Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) có hiệu lực từ ngày 01/01/2026 đã trao cho người dân Việt Nam quyền yêu cầu các tổ chức, doanh nghiệp xóa dữ liệu cá nhân của mình khỏi hệ thống. Việc hiểu rõ và thực hiện đúng quyền này là cần thiết để bảo vệ quyền riêng tư cá nhân trong bối cảnh các vụ việc lộ lọt thông tin đang được cơ quan chức năng đẩy mạnh xử lý.

Các điểm chính cần biết về quyền xóa dữ liệu

Hiệu lực pháp lý: Quyền yêu cầu xóa dữ liệu cá nhân được quy định trong Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15), có hiệu lực từ ngày 01/01/2026.
Phạm vi áp dụng: Người dân có quyền đề nghị xóa mọi loại dữ liệu cá nhân, bao gồm cả dữ liệu cơ bản và dữ liệu nhạy cảm, mà các tổ chức, doanh nghiệp đang lưu giữ.
Trách nhiệm của bên kiểm soát dữ liệu: Khi nhận được yêu cầu, bên kiểm soát dữ liệu cá nhân phải thực hiện kịp thời trong thời hạn quy định. Nếu không thể xóa vì lý do chính đáng, họ phải thông báo lại cho người yêu cầu.
Không phải quyền tuyệt đối: Quyền này có những giới hạn nhất định theo quy định của pháp luật và việc thực hiện phải tuân thủ các nguyên tắc xử lý dữ liệu.
Xử phạt vi phạm: Các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, bao gồm cả việc không tuân thủ yêu cầu xóa dữ liệu hợp lệ, có thể bị xử phạt hành chính nghiêm khắc theo Nghị định 363/2026/NĐ-CP.

Quyền yêu cầu xóa dữ liệu cá nhân là gì?

Quyền yêu cầu xóa dữ liệu cá nhân là một trong những quyền cơ bản của chủ thể dữ liệu được quy định tại Luật Bảo vệ dữ liệu cá nhân 2026. Theo đó, người dân có quyền yêu cầu các tổ chức, doanh nghiệp (bên kiểm soát dữ liệu cá nhân) xóa bỏ thông tin cá nhân của mình khỏi hệ thống lưu trữ và xử lý dữ liệu của họ. Quyền này nhằm mục đích trao quyền kiểm soát lớn hơn cho cá nhân đối với dữ liệu của chính mình trên không gian mạng.

Kể từ ngày 01/01/2026, đây là lần đầu tiên người dân Việt Nam có cơ sở pháp lý rõ ràng để thực hiện quyền này. Trước đây, việc xóa dữ liệu thường phụ thuộc vào chính sách riêng của từng nền tảng hoặc dịch vụ, không có một quy định pháp luật chung mang tính ràng buộc.

Cách thực hiện quyền yêu cầu xóa dữ liệu trên nền tảng số

Để thực hiện quyền yêu cầu xóa dữ liệu cá nhân trên các nền tảng số, người dùng cần thực hiện theo các bước cơ bản sau:

1. Xác định dữ liệu cần xóa và nền tảng liên quan

Đầu tiên, người dùng cần xác định rõ những dữ liệu cá nhân nào mình muốn xóa và nền tảng số (ví dụ: mạng xã hội, ứng dụng mua sắm, dịch vụ trực tuyến) đang lưu giữ dữ liệu đó. Việc này giúp quá trình yêu cầu được cụ thể và chính xác hơn.

2. Liên hệ với bên kiểm soát dữ liệu

Người dùng cần liên hệ trực tiếp với bộ phận hỗ trợ hoặc quản lý dữ liệu của nền tảng số đó. Hầu hết các nền tảng lớn đều có các kênh liên hệ cụ thể như email hỗ trợ, biểu mẫu trực tuyến, hoặc phần cài đặt quyền riêng tư trong tài khoản để người dùng gửi yêu cầu. Trong yêu cầu, cần nêu rõ mong muốn xóa dữ liệu cá nhân và cung cấp các thông tin cần thiết để xác minh danh tính.

3. Cung cấp thông tin xác thực

Để đảm bảo rằng yêu cầu xóa dữ liệu là chính đáng và đến từ chính chủ thể dữ liệu, nền tảng có thể yêu cầu người dùng cung cấp các thông tin xác thực như tên đăng nhập, địa chỉ email đã đăng ký, hoặc các giấy tờ tùy thân (trong trường hợp cần thiết và theo quy định pháp luật). Việc này giúp ngăn chặn các yêu cầu giả mạo hoặc trái phép.

4. Theo dõi và phản hồi

Sau khi gửi yêu cầu, người dùng cần theo dõi phản hồi từ nền tảng. Bên kiểm soát dữ liệu cá nhân có trách nhiệm kịp thời thực hiện yêu cầu trong thời hạn theo quy định của pháp luật. Nếu có bất kỳ vấn đề gì hoặc yêu cầu bị từ chối, nền tảng phải thông báo lý do chính đáng. Người dùng có quyền yêu cầu giải thích rõ ràng nếu không đồng ý với lý do từ chối.

Khi nào yêu cầu xóa dữ liệu có thể bị từ chối?

Mặc dù quyền yêu cầu xóa dữ liệu cá nhân là một quyền quan trọng, nhưng nó không phải là quyền tuyệt đối và có những giới hạn nhất định. Trong một số trường hợp, bên kiểm soát dữ liệu cá nhân có thể từ chối yêu cầu xóa dữ liệu của người dùng. Các trường hợp này bao gồm:

Dữ liệu cần thiết để thực hiện hợp đồng: Nếu dữ liệu cá nhân là cần thiết để thực hiện một hợp đồng mà người dùng là một bên, hoặc để thực hiện các bước theo yêu cầu của người dùng trước khi ký kết hợp đồng.
Nghĩa vụ pháp lý: Khi việc lưu giữ dữ liệu là bắt buộc theo quy định của pháp luật (ví dụ: luật kế toán, luật thuế, luật phòng chống rửa tiền) hoặc theo yêu cầu của cơ quan nhà nước có thẩm quyền.
Lợi ích công cộng: Dữ liệu được lưu giữ vì lợi ích công cộng, chẳng hạn như trong lĩnh vực y tế công cộng, nghiên cứu khoa học, lịch sử hoặc thống kê, và việc xóa dữ liệu sẽ cản trở nghiêm trọng việc đạt được các mục tiêu đó.
Thực hiện quyền tự do ngôn luận và thông tin: Nếu việc xóa dữ liệu sẽ hạn chế quyền tự do ngôn luận và thông tin của người khác.
Thiết lập, thực hiện hoặc bảo vệ các yêu cầu pháp lý: Dữ liệu cần thiết để thiết lập, thực hiện hoặc bảo vệ các yêu cầu pháp lý (ví dụ: trong các vụ kiện tụng).
Bảo vệ quyền và lợi ích hợp pháp của người khác: Khi việc xóa dữ liệu có thể gây tổn hại đến quyền và lợi ích hợp pháp của các chủ thể dữ liệu khác hoặc của bên kiểm soát dữ liệu.

Trong mọi trường hợp từ chối, bên kiểm soát dữ liệu phải thông báo rõ ràng lý do cho người yêu cầu, đảm bảo tính minh bạch và cho phép người dùng có cơ hội phản hồi hoặc khiếu nại.

Những rủi ro và lưu ý khi yêu cầu xóa dữ liệu

Trước khi quyết định yêu cầu xóa dữ liệu cá nhân, người dùng cần cân nhắc kỹ lưỡng những rủi ro và hệ quả có thể xảy ra:

Gián đoạn hoặc chấm dứt dịch vụ: Việc xóa dữ liệu có thể dẫn đến việc gián đoạn hoặc chấm dứt cung cấp dịch vụ từ nền tảng. Ví dụ, nếu xóa thông tin tài khoản, người dùng có thể không truy cập được các dịch vụ đã đăng ký.
Mất quyền lợi liên quan: Một số dữ liệu cá nhân có thể liên quan đến các quyền lợi hoặc ưu đãi mà người dùng đang được hưởng. Việc xóa dữ liệu có thể khiến người dùng mất đi các quyền lợi này.
Khó khăn trong việc khôi phục: Sau khi dữ liệu đã bị xóa, việc khôi phục lại thường rất khó khăn hoặc không thể thực hiện được, đặc biệt là đối với các dữ liệu nhạy cảm hoặc quan trọng.
Ảnh hưởng đến lịch sử giao dịch: Đối với các nền tảng thương mại điện tử hoặc dịch vụ tài chính, việc xóa dữ liệu có thể ảnh hưởng đến lịch sử giao dịch, gây khó khăn trong việc tra cứu hoặc giải quyết tranh chấp sau này.
Không xóa được toàn bộ dữ liệu: Trong một số trường hợp, do tính chất phức tạp của hệ thống hoặc các quy định pháp luật khác, nền tảng có thể không xóa được toàn bộ dữ liệu của người dùng mà chỉ xóa một phần.

Người dùng nên đọc kỹ chính sách bảo mật và điều khoản dịch vụ của từng nền tảng trước khi gửi yêu cầu xóa dữ liệu để hiểu rõ về các hệ quả có thể xảy ra.

Trách nhiệm của các nền tảng số trong việc bảo vệ dữ liệu

Theo Luật Bảo vệ dữ liệu cá nhân 2026 và các văn bản hướng dẫn, các nền tảng số (bên kiểm soát dữ liệu cá nhân) có trách nhiệm pháp lý rõ ràng trong việc bảo vệ và xử lý yêu cầu xóa dữ liệu của người dùng:

Tuân thủ yêu cầu xóa dữ liệu: Phải kịp thời thực hiện yêu cầu xóa dữ liệu hợp lệ từ chủ thể dữ liệu trong thời hạn quy định.
Thông báo lý do từ chối: Nếu từ chối yêu cầu xóa dữ liệu, phải thông báo rõ ràng lý do chính đáng cho người yêu cầu.
Áp dụng biện pháp bảo mật: Phải áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo vệ dữ liệu cá nhân khỏi việc truy cập, sử dụng, tiết lộ, sửa đổi hoặc xóa trái phép.
Xây dựng quy trình xử lý dữ liệu: Cần có các quy trình nội bộ rõ ràng về việc thu thập, lưu trữ, xử lý và xóa dữ liệu cá nhân, đảm bảo tuân thủ luật pháp.
Đào tạo nhân sự: Đảm bảo nhân sự có liên quan được đào tạo về các quy định pháp luật về bảo vệ dữ liệu cá nhân và các chính sách nội bộ.
Chịu trách nhiệm pháp lý: Các nền tảng vi phạm quy định về bảo vệ dữ liệu cá nhân, bao gồm cả việc làm lộ lọt thông tin nhạy cảm hoặc không tuân thủ yêu cầu xóa dữ liệu, có thể bị xử phạt hành chính nghiêm khắc theo Nghị định 363/2026/NĐ-CP, với mức phạt tiền lên đến 120 triệu đồng đối với tổ chức và có thể bị đình chỉ hoạt động.

Bảo vệ quyền lợi khi dữ liệu bị lộ lọt hoặc mua bán trái phép

Trong trường hợp dữ liệu cá nhân đã bị lộ lọt hoặc mua bán trái phép, người dùng có thể thực hiện các biện pháp sau để bảo vệ quyền lợi của mình:

Thông báo cho nền tảng liên quan: Ngay lập tức thông báo cho nền tảng hoặc dịch vụ mà dữ liệu của bạn bị lộ lọt để họ có biện pháp xử lý và hỗ trợ.
Thay đổi mật khẩu và thông tin bảo mật: Thay đổi mật khẩu của tất cả các tài khoản liên quan, đặc biệt là những tài khoản sử dụng cùng mật khẩu hoặc có liên kết với dữ liệu bị lộ. Kích hoạt xác thực hai yếu tố (2FA) nếu có thể.
Khiếu nại, tố cáo: Gửi khiếu nại, tố cáo đến cơ quan nhà nước có thẩm quyền (ví dụ: Bộ Công an, Cục An toàn thông tin) về hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.
Yêu cầu bồi thường thiệt hại: Nếu chứng minh được thiệt hại phát sinh từ việc dữ liệu bị lộ lọt hoặc mua bán trái phép, người dùng có quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật.
Tìm kiếm sự hỗ trợ pháp lý: Tham khảo ý kiến luật sư hoặc các chuyên gia pháp lý để được tư vấn về các bước cần thiết và quyền lợi của mình.

Kiểm soát dữ liệu cá nhân: Quyền lợi và trách nhiệm của bạn

Luật Bảo vệ dữ liệu cá nhân 2026 đã tạo ra một khung pháp lý vững chắc để bảo vệ quyền riêng tư của người dân Việt Nam. Quyền yêu cầu xóa dữ liệu cá nhân là một công cụ mạnh mẽ giúp bạn kiểm soát thông tin của mình trên các nền tảng số. Tuy nhiên, việc thực hiện quyền này đòi hỏi sự hiểu biết đúng đắn về các quy định, cũng như nhận thức rõ về những giới hạn và rủi ro tiềm ẩn.

Hãy chủ động tìm hiểu, thực hiện các bước cần thiết và yêu cầu các nền tảng số tuân thủ trách nhiệm của họ để đảm bảo an toàn cho dữ liệu cá nhân của bạn trong môi trường số ngày càng phức tạp.

Chưa phân loại

Bảo vệ dữ liệu cá nhân 2026: Hiểu đúng về quyền ‘yêu cầu xóa dữ liệu’ trên nền tảng số