Luật bảo vệ dữ liệu cá nhân 2025: quyền của bạn là gì

Luật Bảo vệ dữ liệu cá nhân 2025 (số 91/2025/QH15) có hiệu lực từ ngày 01/01/2026, và từ 19/8/2026 đã có nghị định xử phạt riêng đi kèm. Với người dùng bình thường, luật này trả lời ba câu hỏi: số điện thoại, ảnh, ảnh căn cước của bạn có được bảo vệ không (có), ai được dùng chúng (chỉ người được bạn đồng ý, trừ trường hợp luật cho phép), và bạn đòi lại quyền bằng cách nào. Bài này đi qua từng phần, không đi vào nghĩa vụ của doanh nghiệp.

Cập nhật theo quy định có hiệu lực đến tháng 10/2026.

Luật bảo vệ dữ liệu cá nhân mới nhất gồm những văn bản nào

Tính đến tháng 10/2026, có ba văn bản bạn cần biết tên:

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Quốc hội thông qua ngày 26/6/2025, hiệu lực từ 01/01/2026. Trước đây dữ liệu cá nhân chỉ được quy định ở cấp nghị định, giờ đã có luật riêng.

Nghị định 356/2025/NĐ-CP, hướng dẫn chi tiết luật, cũng hiệu lực từ 01/01/2026. Nghị định này thay cho Nghị định 13/2023/NĐ-CP. Nếu ai đó còn trích "Nghị định 13" khi nói về dữ liệu cá nhân năm 2026, họ đang dùng văn bản đã bị thay.

Nghị định 330/2026/NĐ-CP, xử phạt vi phạm hành chính về an ninh mạng và bảo vệ dữ liệu cá nhân, hiệu lực từ 19/8/2026.

Dữ liệu cá nhân của bạn là những gì

Nghị định 356 chia dữ liệu cá nhân làm hai loại. Cách chia này quan trọng, vì làm lộ dữ liệu nhạy cảm bị xử nặng hơn.

Dữ liệu cơ bản: họ tên, ngày sinh, giới tính, địa chỉ, số điện thoại, hình ảnh của cá nhân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, biển số xe...

Dữ liệu nhạy cảm: tình trạng sức khoẻ, dữ liệu sinh trắc học, đặc điểm di truyền, đời sống tình dục, xu hướng tính dục, thông tin tài chính, và một mục nhiều người không ngờ: hình ảnh thẻ căn cước, căn cước công dân, chứng minh nhân dân cùng tên đăng nhập, mật khẩu tài khoản định danh điện tử.

Tức là số CCCD là dữ liệu cơ bản, nhưng tấm ảnh chụp thẻ CCCD là dữ liệu nhạy cảm.

Tin nhắn riêng thì sao? Nội dung tin nhắn được bảo vệ chủ yếu bằng quyền bí mật thư tín, điện thoại theo Điều 38 Bộ luật Dân sự và Bộ luật Hình sự. Bài đọc trộm tin nhắn có bị phạt không nói riêng phần này.

Quyền của chủ thể dữ liệu: bạn được đòi những gì

Điều 4 Luật 91/2025 liệt kê quyền của bạn với dữ liệu của chính mình. Gom lại cho dễ nhớ:

Quyền được biết. Ai đang xử lý dữ liệu của bạn, xử lý để làm gì.

Quyền đồng ý và rút lại sự đồng ý. Đây là quyền trung tâm. Theo Điều 9 của luật, sự đồng ý phải tự nguyện, bạn phải biết rõ loại dữ liệu và mục đích, và phải thể hiện rõ ràng ở dạng in, sao chép được. Im lặng hoặc không phản hồi không được coi là đồng ý. Ô "tôi đồng ý" đánh dấu sẵn, hay câu "nếu không phản hồi trong 3 ngày coi như đồng ý", không có giá trị.

Quyền xem, chỉnh sửa, yêu cầu cung cấp dữ liệu.

Quyền yêu cầu xoá, hạn chế xử lý, phản đối xử lý.

Quyền khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại, và yêu cầu cơ quan có thẩm quyền áp dụng biện pháp bảo vệ.

Luật cũng ghi nghĩa vụ của bạn, trong đó có tôn trọng và bảo vệ dữ liệu cá nhân của người khác. Bạn cũng là người có thể vi phạm luật này.

Quyền xoá hay rút đồng ý không tuyệt đối: có những trường hợp luật cho phép xử lý không cần đồng ý. Ngân hàng không xoá hồ sơ tài khoản của bạn chỉ vì bạn yêu cầu.

Mức phạt theo luật bảo vệ dữ liệu cá nhân 2026

Điều 8 Luật 91/2025 đặt mức trần phạt hành chính cho tổ chức:

Mua, bán dữ liệu cá nhân: tối đa 10 lần khoản thu từ hành vi vi phạm.

Chuyển dữ liệu cá nhân ra nước ngoài trái quy định: tối đa 5% doanh thu năm trước liền kề của tổ chức.

Các vi phạm khác: tối đa 3 tỷ đồng.

Cá nhân vi phạm cùng hành vi bị phạt bằng một nửa mức của tổ chức.

Nghị định 330/2026 cụ thể hoá thành từng hành vi. Vài mức cho tổ chức (cá nhân bằng một nửa): xử lý dữ liệu khi chưa có sự đồng ý của chủ thể, 30-50 triệu đồng (điểm a khoản 1 Điều 43); không ngừng xử lý sau khi chủ thể rút lại sự đồng ý, 20-30 triệu đồng (điểm b khoản 1 Điều 45); công khai dữ liệu cá nhân khi chưa có sự đồng ý, 30-50 triệu đồng (điểm b khoản 2 Điều 50). Vi phạm với dữ liệu nhạy cảm bị phạt nặng hơn.

Hành vi nghiêm trọng còn có thể bị truy cứu hình sự, chẳng hạn tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (Điều 288 Bộ luật Hình sự), bao gồm cả việc mua bán, công khai thông tin riêng của người khác trên mạng khi gây hậu quả theo luật định.

Tình huống đời thường: bạn đứng ở đâu

Đăng thông tin cá nhân người khác lên mạng

Một bài đăng trong nhóm Facebook khu phố: ảnh một người, kèm số điện thoại, địa chỉ phòng trọ, chỗ làm, tiêu đề "cảnh báo". Dù người đăng tin rằng mình đúng, việc công khai dữ liệu của người khác khi chưa được đồng ý vẫn có mức phạt riêng ở Điều 50 Nghị định 330 (cá nhân 15-25 triệu đồng). Nếu nội dung kèm theo còn sai hoặc xúc phạm, có thêm chế tài khác, xem bài xúc phạm danh dự trên mạng xã hội. Ảnh của người khác thì có thêm Điều 32 Bộ luật Dân sự, nói ở bài sử dụng hình ảnh người khác khi chưa được phép.

Số điện thoại bị bán, ngày nào cũng có cuộc gọi lạ

Bạn vừa đăng ký xem căn hộ mẫu, hôm sau năm công ty bất động sản gọi. Bạn có quyền hỏi thẳng "Anh lấy số của em ở đâu?" và yêu cầu ngừng xử lý, xoá dữ liệu. Mua bán dữ liệu cá nhân là hành vi bị cấm theo Điều 7 Luật 91/2025.

Nộp CCCD cho app có an toàn không?

Không có câu trả lời chung "an toàn" hay "nguy hiểm". Có một bộ câu hỏi nên hỏi trước khi nộp:

Họ lấy để làm gì? Một ứng dụng hẹn hò cần xác minh bạn là người thật thì có lý do. Một trang bán quần áo đòi ảnh CCCD thì không.

Họ giữ bao lâu, ai được xem? Chính sách quyền riêng tư phải nói rõ. Không có chính sách, hoặc chính sách chỉ là một đoạn chung chung, là tín hiệu xấu.

Có cách thay thế không? Nhiều dịch vụ hiện nay xác thực qua VNeID mà không cần bạn gửi ảnh thẻ.

Gửi qua kênh nào? Ảnh CCCD gửi qua tin nhắn cho một tài khoản cá nhân, không qua hệ thống của tổ chức, là kiểu mà các vụ lừa đảo tình cảm qua mạng hay dùng để thu thập giấy tờ.

Ví dụ cụ thể: trên Wefated, xác minh danh tính là tuỳ chọn, ảnh selfie và ảnh CCCD chỉ dùng để duyệt huy hiệu "Đã xác minh" và được xoá sau 24 giờ, không giữ lại sau khi duyệt. Bạn nên đòi một câu trả lời rõ như vậy từ bất cứ dịch vụ nào xin ảnh giấy tờ của bạn.

Nếu dữ liệu của bạn bị lộ hoặc bị dùng trái phép

Lưu bằng chứng. Chụp màn hình có ngày giờ: bài đăng, tin nhắn, cuộc gọi, đường dẫn. Ghi lại bạn đã cung cấp dữ liệu cho ai, khi nào. Giữ nguyên thiết bị.

Gửi yêu cầu bằng văn bản cho bên đang giữ dữ liệu. Email hoặc tin nhắn: yêu cầu cho biết họ có dữ liệu gì, dùng vào việc gì, và yêu cầu ngừng xử lý, xoá. Văn bản này là căn cứ nếu họ không làm.

Báo nền tảng nếu dữ liệu bị đăng công khai trên mạng xã hội.

Trình báo công an xã, phường nơi cư trú nếu bị đăng thông tin để bôi nhọ, đe doạ, hoặc nghi bị dùng giấy tờ để vay tiền, mở tài khoản. Khẩn cấp gọi 113.

Khởi kiện đòi bồi thường nếu có thiệt hại. Người thuộc diện trợ giúp pháp lý có thể liên hệ Trung tâm trợ giúp pháp lý nhà nước ở địa phương.

Điều đáng nhớ

Luật mới không làm dữ liệu của bạn tự an toàn. Nó cho bạn quyền hỏi "tại sao" và quyền nói "không", và lần đầu tiên những câu đó có chế tài phía sau. Phần còn lại là thói quen: hỏi trước khi gửi, và không đăng dữ liệu của người khác mà bạn sẽ không muốn ai đăng của mình.

Bài viết mang tính phổ biến pháp luật, không thay cho tư vấn của luật sư. Quy định có thể thay đổi, hãy kiểm tra lại văn bản gốc.