Một chuỗi cửa hàng bán lẻ muốn triển khai nhận diện khuôn mặt để check-in khách hàng thân thiết và phân tích hành vi mua sắm. Việc thu thập dữ liệu sinh trắc học (khuôn mặt, vân tay, mống mắt…) của khách hàng có hợp pháp không? Bài viết trả lời trên khung pháp luật còn hiệu lực tại tháng 10/2026.
1. Dữ liệu sinh trắc học là dữ liệu cá nhân nhạy cảm
Pháp luật Việt Nam xếp dữ liệu sinh trắc học vào nhóm được bảo vệ ở mức cao nhất:
- Điều 4 Nghị định 356/2025/NĐ-CP: liệt kê dữ liệu sinh trắc học trong danh mục dữ liệu cá nhân nhạy cảm;
- Khoản 2 Điều 31 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (có hiệu lực từ ngày 01/01/2026): định nghĩa dữ liệu sinh trắc học và quy định chế độ bảo vệ tương xứng.
2. Trả lời ngắn gọn: được thu thập — nhưng phải có sự đồng ý hợp lệ
Câu trả lời là được, nhưng điều kiện chặt chẽ. Theo Điều 9 Luật 91/2025/QH15, việc xử lý (bao gồm thu thập) dữ liệu cá nhân nhạy cảm phải dựa trên sự đồng ý hợp lệ của chủ thể dữ liệu. Một sự đồng ý hợp lệ phải:
- Tự nguyện — chủ thể dữ liệu tự do lựa chọn, không bị ép buộc;
- Được thông báo đầy đủ — phải biết rõ loại dữ liệu được thu thập, mục đích xử lý, bên kiểm soát dữ liệu, quyền và nghĩa vụ của mình;
- Thể hiện rõ ràng — đồng ý một cách cụ thể, minh bạch, không mập mờ.
3. Hai cái bẫy doanh nghiệp hay mắc
Bẫy 1: “khách hàng không phản đối = đồng ý”
Sai. Theo khoản 4 Điều 9 Luật 91/2025/QH15, sự im lặng hoặc ô tick mặc định sẵn không được coi là sự đồng ý. Doanh nghiệp phải thiết kế cơ chế để khách hàng chủ động thể hiện sự đồng ý.
Bẫy 2: trích Nghị định 13/2023/NĐ-CP làm căn cứ
Nghị định 13/2023/NĐ-CP đã hết hiệu lực, bị Luật Bảo vệ dữ liệu cá nhân 91/2025 thay thế. Mọi căn cứ pháp lý hiện hành về dữ liệu cá nhân phải trích từ Luật 91/2025/QH15 và các văn bản hướng dẫn thi hành (như Nghị định 356/2025/NĐ-CP), không phải NĐ 13/2023/NĐ-CP.
Bẫy 3: thu thập trước, xin đồng ý sau
Sự đồng ý phải có trước khi thu thập dữ liệu. Thu thập trước rồi mới xin đồng ý sau là vi phạm — thời điểm của sự đồng ý là yếu tố bắt buộc.
4. Biện pháp bảo vệ tương xứng với dữ liệu nhạy cảm
Vì là dữ liệu nhạy cảm, doanh nghiệp phải áp dụng biện pháp bảo vệ tương xứng theo Điều 31 Luật 91/2025/QH15: kiểm soát truy cập, mã hóa, giới hạn mục đích sử dụng, và có quy trình ứng phó khi xảy ra sự cố rò rỉ dữ liệu.
5. Checklist tuân thủ
- Xác định rõ loại dữ liệu sinh trắc học dự định thu thập và mục đích cụ thể;
- Xây dựng biểu mẫu đồng ý riêng, thông báo đầy đủ loại dữ liệu, mục đích, bên kiểm soát, quyền nghĩa vụ;
- Gỡ bỏ mọi ô tick mặc định — khách hàng phải chủ động tích chọn;
- Thu thập sự đồng ý trước khi bắt đầu thu thập dữ liệu;
- Áp dụng biện pháp bảo vệ kỹ thuật tương xứng với dữ liệu nhạy cảm;
- Cập nhật mọi tài liệu pháp lý từ NĐ 13/2023/NĐ-CP sang Luật 91/2025/QH15 và NĐ 356/2025/NĐ-CP.
Liên hệ tư vấn
FLAT Law Firm tư vấn về bảo vệ dữ liệu cá nhân: tuân thủ Luật 91/2025/QH15, xây dựng cơ chế đồng ý và chính sách dữ liệu cho doanh nghiệp. Liên hệ: liên hệ với chúng tôi.
Miễn trừ trách nhiệm: Bài viết chỉ mang tính thông tin tham khảo chung, không thay thế tư vấn pháp lý cho trường hợp cụ thể của bạn. Pháp luật có thể thay đổi; bạn nên tham khảo ý kiến luật sư trước khi áp dụng.
Nhãn minh bạch: Nội dung bài viết được biên soạn với sự hỗ trợ của FLAW AI Legal Council — hệ thống rà soát pháp lý ứng dụng trí tuệ nhân tạo. Đây không phải ý kiến pháp lý của luật sư người thật đã xem xét cho trường hợp của bạn.
