Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 biến các quyền của chủ thể dữ liệu — biết, đồng ý, rút lại đồng ý, truy cập, xóa, hạn chế xử lý — từ tuyên bố nguyên tắc thành nghĩa vụ vận hành: doanh nghiệp phải có một quy trình tiếp nhận và xử lý yêu cầu thật, có đầu mối, có thời hạn nội bộ và có bằng chứng đã thực hiện. Bài này hướng dẫn xây quy trình đó cho hai yêu cầu khó nhất: xóa dữ liệu và rút lại đồng ý.
Căn cứ pháp lý
Hệ thống quyền và nghĩa vụ tương ứng của doanh nghiệp
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 ghi nhận cho chủ thể dữ liệu một hệ thống quyền đầy đủ: quyền được biết về hoạt động xử lý; quyền đồng ý và rút lại sự đồng ý; quyền truy cập, xem và yêu cầu cung cấp dữ liệu của mình; quyền yêu cầu chỉnh sửa; quyền yêu cầu xóa dữ liệu; quyền hạn chế xử lý; quyền phản đối xử lý; và quyền khiếu nại, tố cáo, khởi kiện cùng yêu cầu bồi thường thiệt hại. Sự đồng ý theo luật phải rõ ràng, cụ thể cho từng mục đích — im lặng hoặc ô tích sẵn không được coi là đồng ý — và việc rút lại đồng ý phải dễ dàng như khi cho đồng ý. Mỗi quyền trong danh mục này tương ứng với một nghĩa vụ hành động của bên kiểm soát dữ liệu: không có quyền nào chỉ nằm trên giấy nếu doanh nghiệp không có kênh tiếp nhận và người chịu trách nhiệm xử lý.
Về thời hạn, Luật dành việc quy định chi tiết trình tự, thời hạn tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu cho Chính phủ — được cụ thể hóa tại Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023 từ ngày 01/01/2026. Điều này có nghĩa doanh nghiệp không được tự cho mình quyền im lặng chờ hướng dẫn: yêu cầu hợp lệ phải được tiếp nhận, xác minh danh tính chủ thể, xử lý không chậm trễ và nếu từ chối hoặc kéo dài thì phải thông báo lý do cho chủ thể. Quy trình nội bộ vì vậy cần tự đặt các mốc vận hành (khuyến nghị: xác nhận tiếp nhận trong 72 giờ, hoàn thành xử lý trong 30 ngày) như một cam kết dịch vụ — ghi rõ đây là chuẩn nội bộ doanh nghiệp tự đặt theo khung luật, không phải con số luật định có sẵn cho mọi loại yêu cầu.
Phân tích áp dụng
Yêu cầu xóa là điểm va chạm nhiều nhất giữa quyền của chủ thể và nghĩa vụ lưu trữ của doanh nghiệp. Doanh nghiệp được — và trong nhiều trường hợp bắt buộc — từ chối hoặc hoãn xóa đối với: dữ liệu thuộc chứng từ, hồ sơ phải lưu trữ theo thời hạn của pháp luật chuyên ngành (chứng từ kế toán theo Luật Kế toán 88/2015/QH13, hồ sơ lao động và bảo hiểm xã hội, hồ sơ thuế trong thời hiệu truy thu); dữ liệu đang là chứng cứ trong tranh chấp, thanh tra hoặc tố tụng chưa kết thúc; và dữ liệu cần cho việc xác lập, thực hiện hoặc bảo vệ quyền lợi hợp pháp của doanh nghiệp. Cách xử lý đúng không phải xóa bất chấp cũng không phải từ chối toàn bộ: tách dữ liệu thành phần phải giữ (khóa truy cập, ngừng mọi xử lý khác ngoài lưu trữ) và phần phải xóa (xóa thật khỏi hệ thống vận hành và cả bản sao lưu theo chu kỳ sao lưu), đồng thời trả lời chủ thể bằng văn bản nêu rõ căn cứ giữ lại.
Về mặt hệ thống, quyền xóa và rút đồng ý chỉ thực thi được nếu CNTT được thiết kế cho nó: dữ liệu cá nhân phải định vị được theo từng chủ thể (một khóa định danh thống nhất xuyên CRM, hệ thống nhân sự, email marketing và kho dữ liệu), hành động xóa phải lan truyền được sang hệ thống phụ và đối tác xử lý, và việc rút đồng ý phải có hiệu lực tức thì lên các luồng xử lý dựa trên đồng ý — đặc biệt là danh sách gửi quảng cáo. Doanh nghiệp cần thêm ba tính năng thường bị quên: ghi vết (log) mọi yêu cầu và kết quả xử lý để chứng minh tuân thủ khi cơ quan chuyên trách kiểm tra; cơ chế “danh sách chặn” giữ lại tối thiểu thông tin cần thiết để bảo đảm người đã rút đồng ý không bị đưa trở lại danh sách xử lý; và quy trình xác minh danh tính đủ chặt để tránh xóa nhầm dữ liệu theo yêu cầu giả mạo.
Khuyến nghị hành động
- Chỉ định đầu mối tiếp nhận yêu cầu quyền chủ thể dữ liệu (thuộc bộ phận bảo vệ dữ liệu cá nhân) và công bố kênh tiếp nhận trên chính sách bảo vệ dữ liệu.
- Ban hành quy trình nội bộ: tiếp nhận → xác minh danh tính → phân loại yêu cầu → xử lý → trả lời bằng văn bản; đặt mốc vận hành nội bộ (72 giờ tiếp nhận, 30 ngày hoàn thành) và cơ chế báo cáo khi vượt mốc.
- Lập bảng đối chiếu căn cứ lưu trữ bắt buộc theo từng nhóm dữ liệu (kế toán, lao động, thuế, tranh chấp) để trả lời yêu cầu xóa theo từng phần, có căn cứ.
- Nâng cấp hệ thống: định danh chủ thể thống nhất, xóa lan truyền sang hệ thống phụ và bên xử lý, danh sách chặn cho người đã rút đồng ý, log toàn bộ vòng đời yêu cầu.
- Đào tạo nhân sự tuyến đầu (chăm sóc khách hàng, nhân sự, marketing) nhận diện và chuyển yêu cầu đúng đầu mối trong ngày, không tự xử lý tại chỗ.
Câu hỏi thường gặp
Chủ thể dữ liệu có những quyền gì theo Luật 91/2025: xóa, rút lại đồng ý, hạn chế xử lý?
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 ghi nhận một hệ thống quyền gồm: quyền được biết về hoạt động xử lý dữ liệu của mình; quyền đồng ý và rút lại sự đồng ý; quyền truy cập, xem, yêu cầu cung cấp dữ liệu; quyền yêu cầu chỉnh sửa dữ liệu không chính xác; quyền yêu cầu xóa dữ liệu; quyền yêu cầu hạn chế xử lý; quyền phản đối việc xử lý; và quyền khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường. Rút lại đồng ý không ảnh hưởng tính hợp pháp của việc xử lý đã thực hiện trước đó, nhưng doanh nghiệp phải ngừng xử lý dựa trên đồng ý đó ngay khi nhận được rút lại hợp lệ. Quyền hạn chế xử lý cho phép chủ thể yêu cầu tạm ngừng xử lý trong các trường hợp như đang xác minh tính chính xác của dữ liệu hoặc đang xem xét yêu cầu phản đối.
Doanh nghiệp xây quy trình tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu trong thời hạn nào?
Luật 91/2025 giao Chính phủ quy định chi tiết trình tự và thời hạn — hiện được cụ thể hóa tại Nghị định 356/2025/NĐ-CP — nên không có một con số SLA duy nhất trong luật cho mọi loại yêu cầu. Nguyên tắc bắt buộc là: tiếp nhận và ghi nhận yêu cầu, xác minh danh tính người yêu cầu, xử lý không chậm trễ và thông báo kết quả; nếu từ chối hoặc cần thêm thời gian thì thông báo lý do cho chủ thể. Trong vận hành, doanh nghiệp nên tự đặt mốc nội bộ — xác nhận tiếp nhận trong 72 giờ và hoàn thành xử lý trong 30 ngày là chuẩn vận hành phổ biến — và ghi rõ với chủ thể đây là cam kết của doanh nghiệp. Điểm tuyệt đối tránh là để yêu cầu “chìm” vì không có đầu mối: đó là vi phạm về tổ chức, không phải về thời hạn.
Trường hợp nào doanh nghiệp được từ chối yêu cầu xóa dữ liệu?
Ba nhóm chính. Một, dữ liệu thuộc hồ sơ phải lưu trữ theo pháp luật chuyên ngành: chứng từ kế toán theo Luật Kế toán 88/2015/QH13, hồ sơ lao động — bảo hiểm xã hội, hồ sơ thuế trong thời hiệu cơ quan thuế còn quyền truy thu, kiểm tra. Hai, dữ liệu đang là chứng cứ hoặc đối tượng của tranh chấp, khiếu nại, thanh tra, tố tụng chưa kết thúc. Ba, dữ liệu cần thiết để xác lập, thực hiện hoặc bảo vệ quyền và lợi ích hợp pháp của doanh nghiệp. Việc từ chối phải theo từng phần và có văn bản trả lời nêu căn cứ cụ thể; phần dữ liệu còn giữ phải bị khóa xử lý — chỉ lưu trữ, không dùng cho bất kỳ mục đích nào khác — và xóa ngay khi căn cứ giữ lại chấm dứt.
Hệ thống CNTT của doanh nghiệp cần tính năng gì để thực thi quyền xóa và rút đồng ý?
Bốn tính năng nền tảng: (1) định danh chủ thể thống nhất — một khóa liên kết dữ liệu của cùng một người xuyên CRM, hệ thống nhân sự, nền tảng marketing và kho dữ liệu, vì không định vị được dữ liệu thì không xóa được; (2) xóa lan truyền — thao tác xóa tại hệ thống chính phải kích hoạt xóa tại hệ thống phụ, đối tác xử lý và được xử lý trên bản sao lưu theo chu kỳ sao lưu đã công bố; (3) cơ chế danh sách chặn (suppression list) giữ tối thiểu thông tin để người đã rút đồng ý không bị nạp lại vào các luồng xử lý dựa trên đồng ý; (4) ghi vết toàn trình — log tiếp nhận, xác minh, xử lý và trả lời từng yêu cầu làm bằng chứng tuân thủ khi cơ quan chuyên trách kiểm tra và làm căn cứ trả lời khiếu nại.
