DN Có Được Từ Chối Cung Cấp Dữ Liệu Cho Cơ Quan Nhà Nước?

Cơ quan công an gửi văn bản yêu cầu doanh nghiệp cung cấp toàn bộ dữ liệu khách hàng. Cơ quan thuế đòi sao kê giao dịch. Thanh tra yêu cầu truy cập hệ thống nội bộ. Trong những tình huống này, doanh nghiệp có được từ chối không?

Câu trả lời ngắn gọn: không được từ chối yêu cầu hợp pháp — nhưng doanh nghiệp có quyền kiểm tra tính hợp pháp của yêu cầu, và được từ chối những yêu cầu không có căn cứ pháp lý. Bài viết này phân tích khung pháp luật hiện hành và trang bị cho doanh nghiệp checklist 4 điểm cần kiểm tra mỗi khi nhận được yêu cầu cung cấp dữ liệu.

1. Bốn trường hợp doanh nghiệp bắt buộc phải cung cấp dữ liệu

Theo khoản 2 Điều 18 Luật Dữ liệu 60/2024/QH15 (ban hành ngày 30/11/2024, hiệu lực từ 01/7/2025), doanh nghiệp bắt buộc cung cấp dữ liệu khi cơ quan nhà nước có thẩm quyền yêu cầu trong 04 trường hợp sau — mà không cần sự đồng ý của chủ thể dữ liệu:

Tình trạng khẩn cấp;
Nguy cơ đe dọa an ninh quốc gia;
Thảm họa (thiên tai, dịch bệnh…);
Phòng, chống bạo loạn và khủng bố.

Lưu ý về số hiệu văn bản: Luật Dữ liệu là 60/2024/QH15 (hiệu lực 01/7/2025) — một số tài liệu ghi nhầm thành “60/2025/QH15”, doanh nghiệp cần dùng đúng số hiệu khi trích dẫn.

2. Ngoài 4 trường hợp trên: nghĩa vụ cung cấp theo luật chuyên ngành

Ngay cả khi không rơi vào 4 trường hợp khẩn cấp, doanh nghiệp vẫn có nghĩa vụ cung cấp dữ liệu, tài liệu theo các luật chuyên ngành, ví dụ:

Tố tụng: cung cấp chứng cứ, tài liệu theo yêu cầu của cơ quan tiến hành tố tụng;
Thanh tra, kiểm tra: cung cấp hồ sơ, sổ sách cho đoàn thanh tra có thẩm quyền;
Thuế: cung cấp thông tin, tài liệu phục vụ quản lý thuế;
An ninh mạng: nghĩa vụ phối hợp theo Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/7/2026) và Nghị định 333/2026/NĐ-CP.

Khung bảo vệ dữ liệu cá nhân hiện nay là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/1/2026) — không còn trích dẫn Nghị định 13/2023/NĐ-CP làm căn cứ hiện hành.

3. Yêu cầu cung cấp dữ liệu hợp pháp phải có hình thức gì?

Theo khoản 2 Điều 8 Nghị định 165/2025/NĐ-CP, yêu cầu cung cấp dữ liệu của cơ quan nhà nước phải được thể hiện bằng văn bản, trong đó ghi rõ:

Loại dữ liệu, mức độ, khối lượng, tần suất cung cấp;
Phương thức cung cấp;
Căn cứ pháp lý và mục đích của việc yêu cầu;
Thời hạn cung cấp;
Thông báo về chế tài nếu không cung cấp.

Yêu cầu miệng, tin nhắn không chính thức, hoặc văn bản không nêu căn cứ pháp lý không đáp ứng hình thức luật định — đây chính là điểm doanh nghiệp cần kiểm tra đầu tiên.

4. Bốn quyền của doanh nghiệp khi nhận yêu cầu

Quyền 1: Yêu cầu văn bản và căn cứ thẩm quyền

Doanh nghiệp có quyền yêu cầu cơ quan nhà nước xuất trình văn bản yêu cầu đúng hình thức, nêu rõ căn cứ pháp lý và thẩm quyền của người/cơ quan yêu cầu. Không có văn bản hợp lệ — doanh nghiệp có cơ sở để chưa cung cấp.

Quyền 2: Yêu cầu bảo mật và sử dụng đúng mục đích

Theo khoản 3 Điều 18 Luật Dữ liệu 60/2024/QH15, cơ quan nhà nước có trách nhiệm: sử dụng dữ liệu đúng mục đích đã nêu; bảo đảm an ninh, an toàn dữ liệu; và hủy dữ liệu khi hết cần thiết, đồng thời thông báo cho bên cung cấp. Doanh nghiệp nên ghi nhận các cam kết này bằng văn bản (biên bản bàn giao dữ liệu).

Quyền 3: Giới hạn phạm vi cung cấp

Chỉ cung cấp đúng loại, đúng khối lượng dữ liệu ghi trong văn bản yêu cầu. Cung cấp thừa — ví dụ giao cả cơ sở dữ liệu khách hàng khi chỉ được yêu cầu 10 bản ghi — vừa vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân, vừa tạo rủi ro cho chính doanh nghiệp.

Quyền 4: Từ chối yêu cầu không có căn cứ pháp lý

Với yêu cầu không có văn bản, không nêu căn cứ pháp lý, hoặc vượt quá thẩm quyền của cơ quan yêu cầu, doanh nghiệp được quyền từ chối — nhưng nên từ chối bằng văn bản, nêu rõ lý do và đề nghị cơ quan hoàn thiện thủ tục theo luật định, thay vì im lặng không hợp tác.

5. Checklist 4 điểm khi nhận yêu cầu cung cấp dữ liệu

☐ 1. Ai yêu cầu? — Cơ quan/cá nhân yêu cầu có thẩm quyền theo luật định không?
☐ 2. Văn bản đâu? — Có văn bản ghi đủ loại/mức độ/khối lượng/phương thức/căn cứ/mục đích/thời hạn + thông báo chế tài không?
☐ 3. Phạm vi nào? — Dữ liệu yêu cầu có đúng phạm vi cần thiết, có loại trừ dữ liệu không liên quan không?
☐ 4. Bảo vệ ra sao? — Đã lập biên bản bàn giao, ghi nhận cam kết bảo mật, dùng đúng mục đích và hủy khi hết cần thiết chưa?

6. Quy trình nội bộ doanh nghiệp nên xây dựng

Đầu mối tiếp nhận duy nhất: mọi yêu cầu từ cơ quan nhà nước chuyển về pháp chế/compliance, không để từng bộ phận tự ý cung cấp;
Đánh giá trong 24–48 giờ: kiểm tra 4 điểm checklist trên, tham vấn luật sư khi yêu cầu có phạm vi lớn hoặc nhạy cảm;
Bàn giao có biên bản: ghi rõ dữ liệu đã giao, mục đích, thời hạn lưu giữ và nghĩa vụ hủy của bên nhận;
Lưu hồ sơ: toàn bộ văn bản yêu cầu, biên bản bàn giao và thư từ trao đổi được lưu trữ để chứng minh doanh nghiệp đã tuân thủ.

7. Câu hỏi thường gặp

Hỏi: Khách hàng không đồng ý thì doanh nghiệp có được cung cấp dữ liệu của họ không?
Đáp: Trong 4 trường hợp bắt buộc (khoản 2 Điều 18 Luật Dữ liệu), doanh nghiệp phải cung cấp mà không cần sự đồng ý của chủ thể dữ liệu. Ngoài 4 trường hợp này, áp dụng quy định của luật chuyên ngành và Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.

Hỏi: Từ chối yêu cầu hợp pháp thì bị gì?
Đáp: Tùy tính chất, doanh nghiệp có thể bị xử phạt vi phạm hành chính, và trong trường hợp cản trở hoạt động tố tụng hoặc gây hậu quả nghiêm trọng có thể bị truy cứu trách nhiệm hình sự đối với cá nhân có liên quan.

8. Căn cứ pháp lý

Luật Dữ liệu 60/2024/QH15 (hiệu lực 01/7/2025): Điều 18 (khoản 2, khoản 3)
Nghị định 165/2025/NĐ-CP: khoản 2 Điều 8
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/1/2026)
Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/7/2026); Nghị định 333/2026/NĐ-CP

Lưu ý: Bài viết mang tính thông tin pháp lý tổng quát tại ngày 14/10/2026; yêu cầu cung cấp dữ liệu cụ thể cần đối chiếu văn bản yêu cầu thực tế.

Nhãn minh bạch: Bài viết do FLAW AI Legal Council biên soạn; nội dung pháp lý đã được Hội đồng QA rà soát trước khi trình phê duyệt. Đây là thông tin pháp lý tổng quát, không thay thế tư vấn của luật sư cho từng vụ việc cụ thể.

Quý doanh nghiệp cần tư vấn cho trường hợp cụ thể, vui lòng liên hệ FLAT Law Firm.