Trong bối cảnh dữ liệu người dùng ngày càng được khai thác sâu rộng cho hoạt động kinh doanh và vận hành hệ thống, quyền của chủ thể dữ liệu cá nhân đã trở thành một trong những trọng tâm quan trọng nhất của hành lang pháp lý tại Việt Nam. Việc thu thập và xử lý thông tin giờ đây không còn phụ thuộc hoàn toàn vào nhu cầu đơn phương của doanh nghiệp mà phải tuân theo các nguyên tắc nghiêm ngặt nhằm bảo đảm quyền kiểm soát tuyệt đối thuộc về người cung cấp thông tin.
Theo quy định tại Nghị định 356/2025/NĐ-CP, tổ chức xử lý dữ liệu không chỉ có nghĩa vụ xin sự đồng ý của người dùng mà còn phải xây dựng hệ thống đủ khả năng đáp ứng các yêu cầu phát sinh trong suốt vòng đời xử lý dữ liệu, từ thời điểm thu thập cho đến khi dữ liệu bị xóa hoặc chấm dứt sử dụng. Nếu không hiểu đúng và thực thi đầy đủ quyền của chủ thể dữ liệu cá nhân theo Nghị định 356, doanh nghiệp rất dễ rơi vào tranh chấp pháp lý và đối mặt với nguy cơ bị xử phạt, đồng thời làm suy giảm nghiêm trọng uy tín với khách hàng.
Nội dung
1. 11 quyền của chủ thể dữ liệu cá nhân theo pháp luật Việt Nam
Hệ thống pháp luật hiện hành quy định rất chi tiết về 11 quyền cơ bản mà bất kỳ tổ chức nào có hoạt động thu thập thông tin cũng phải tôn trọng tuyệt đối để bảo vệ quyền của chủ thể dữ liệu cá nhân:
1.1 Quyền được biết: Chủ thể dữ liệu có quyền được thông báo đầy đủ và biết rõ toàn bộ hoạt động xử lý dữ liệu cá nhân của mình (mục đích, loại dữ liệu, bên thứ ba tiếp cận…), trừ những trường hợp đặc biệt do pháp luật quy định khác.
1.2 Quyền đồng ý: Chủ thể dữ liệu có quyền tự nguyện đồng ý hoặc kiên quyết từ chối cho phép doanh nghiệp xử lý dữ liệu cá nhân của mình, ngoại trừ các trường hợp khẩn cấp mà luật có quy định miễn trừ.
1.3 Quyền truy cập: Người dùng có quyền yêu cầu tổ chức cho phép xem, kiểm tra, đính chính hoặc yêu cầu chỉnh sửa lại dữ liệu cá nhân của mình nếu phát hiện có sự sai lệch.
1.4 Quyền rút lại sự đồng ý: Tại bất kỳ thời điểm nào trong quá trình sử dụng dịch vụ, chủ thể dữ liệu có thể rút lại sự đồng ý (consent) đã cung cấp trước đó mà không cần giải trình lý do.
1.5 Quyền xóa dữ liệu: Chủ thể dữ liệu có quyền yêu cầu doanh nghiệp xóa bỏ hoàn toàn dữ liệu cá nhân của họ khỏi hệ thống lưu trữ nếu những thông tin này không còn phù hợp với mục đích xử lý ban đầu.
1.6 Quyền hạn chế xử lý: Người dùng có thể yêu cầu tổ chức tạm thời hạn chế khai thác hoặc xử lý dữ liệu đối với một số tình huống cụ thể nhằm bảo vệ quyền riêng tư.
1.7 Quyền cung cấp dữ liệu: Chủ thể có quyền yêu cầu bên kiểm soát dữ liệu trích xuất và cung cấp cho họ một bản sao dữ liệu cá nhân đang được hệ thống lưu trữ.
1.8 Quyền phản đối xử lý: Chủ thể dữ liệu có quyền phản đối việc tổ chức tiếp tục xử lý dữ liệu, đặc biệt là ngăn chặn việc sử dụng thông tin cho mục đích quảng cáo, tiếp thị, trừ khi pháp luật có quy định khác.
1.9 Quyền khiếu nại, tố cáo, khởi kiện: Người dùng có quyền khiếu nại, tố cáo hoặc khởi kiện ra cơ quan nhà nước có thẩm quyền khi nhận thấy quyền của chủ thể dữ liệu cá nhân bị doanh nghiệp xâm phạm.
1.10 Quyền yêu cầu bồi thường thiệt hại: Khi quyền bảo vệ dữ liệu cá nhân bị vi phạm gây ra tổn thất, chủ thể hoàn toàn có quyền yêu cầu tổ chức vi phạm bồi thường thiệt hại theo quy định pháp luật.
1.11 Quyền tự bảo vệ hoặc yêu cầu cơ quan bảo vệ quyền: Theo quy định của Bộ luật Dân sự và các văn bản liên quan, chủ thể dữ liệu có quyền áp dụng các biện pháp tự bảo vệ hoặc yêu cầu cơ quan chức năng can thiệp bảo vệ quyền lợi hợp pháp của mình.
2. Trách nhiệm chứng minh sự đồng ý của chủ thể dữ liệu và rủi ro khi xảy ra tranh chấp
Một trong những nguyên tắc mang tính bước ngoặt để bảo vệ quyền của chủ thể dữ liệu cá nhân là việc đảo ngược nghĩa vụ chứng minh khi có tranh chấp pháp lý xảy ra. Trong trường hợp người dùng khiếu nại rằng thông tin của họ bị sử dụng trái phép, tổ chức xử lý dữ liệu phải chịu hoàn toàn trách nhiệm đưa ra các bằng chứng hợp lệ để khẳng định mình đã thu thập sự đồng ý một cách minh bạch. Sự đồng ý này phải được thể hiện dưới dạng hành động rõ ràng, tự nguyện và đặc biệt là phải có khả năng trích xuất lại được từ hệ thống lưu trữ nhật ký truy cập (logging) của công ty. Nếu hệ thống công nghệ thông tin không được thiết kế để ghi nhận các lịch sử cấp quyền này, doanh nghiệp sẽ ngay lập tức bị coi là vi phạm pháp luật. Đây là một rủi ro pháp lý khổng lồ, đòi hỏi sự phối hợp chặt chẽ giữa bộ phận pháp chế và đội ngũ kỹ thuật để số hóa toàn bộ quy trình xin phép người dùng.
3. Thách thức kỹ thuật khi thực thi quyền của chủ thể dữ liệu cá nhân
Mặc dù các quy định pháp lý đã được ban hành rất rõ ràng, nhưng việc đưa 11 quyền của chủ thể dữ liệu cá nhân vào thực tiễn vận hành lại là một bài toán kỹ thuật vô cùng nan giải đối với đa số các doanh nghiệp. Hầu hết các hệ thống công nghệ thông tin hiện tại đều được xây dựng với mục tiêu gom tụ và lưu trữ dữ liệu càng nhiều càng tốt, chứ không được thiết kế để dễ dàng bóc tách hay xóa bỏ thông tin của một cá nhân cụ thể. Khi một khách hàng gửi yêu cầu xóa dữ liệu, đội ngũ kỹ thuật thường phải chật vật rà soát thủ công qua hàng loạt cơ sở dữ liệu phân tán, các bản sao lưu (backup) và cả các luồng kết nối với hệ thống của đối tác bên thứ ba. Việc thiếu một kiến trúc dữ liệu đồng bộ không chỉ làm chậm trễ thời gian phản hồi yêu cầu của khách hàng theo luật định mà còn tiêu tốn một lượng lớn chi phí vận hành. Để giải quyết triệt để nút thắt này, tổ chức cần một cái nhìn khách quan từ các chuyên gia độc lập để rà soát lại toàn bộ luồng luân chuyển thông tin.
4. Dịch vụ Kiểm định Bảo mật hệ thống theo tiêu chuẩn pháp lý dữ liệu Việt Nam
Việc triển khai các yêu cầu tuân thủ pháp lý về quyền của chủ thể dữ liệu cá nhân trên thực tế thườn phát sinh nhiều thách thức cho doanh nghiệp. Đội ngũ IT nội bộ không chỉ cần hiểu rõ các quy định pháp luật liên quan đến bảo vệ dữ liệu mà còn phải đảm bảo hệ thống kỹ thuật được thiết kế và vận hành đúng chuẩn để đáp ứng các yêu cầu đó. Sự kết hợp giữa yếu tố pháp lý và kỹ thuật này dễ khiến bộ phận IT rơi vào tình trạng quá tải, đặc biệt khi phải vừa duy trì hoạt động hệ thống vừa xử lý các yêu cầu tuân thủ ngày càng khắt khe. Chính vì vậy, 405CYSE mang đến dịch vụ Kiểm định Bảo mật hệ thống theo tiêu chuẩn pháp lý, giúp doanh nghiệp giải quyết hiệu quả bài toán kết hợp giữa yêu cầu pháp lý và vận hành kỹ thuật. Dịch vụ này kết hợp giữa việc rà soát các tiêu chuẩn an toàn thông tin với các quy định về bảo vệ dữ liệu, nhằm đảm bảo hệ thống vừa an toàn vừa tuân thủ pháp luật. Dịch vụ này thực hiện việc rà soát toàn diện từ cấu hình hạ tầng, mã nguồn ứng dụng cho đến cách thức hệ thống ghi nhận sự đồng ý của người dùng trong thực tế vận hành. Đội ngũ chuyên gia sẽ tiến hành kiểm tra xem cơ sở dữ liệu có khả năng truy xuất, chỉnh sửa hay xóa bỏ thông tin của một cá nhân cụ thể theo đúng yêu cầu luật định hay không.
Kết quả của đợt kiểm định là một bản báo cáo phân tích chi tiết mức độ tuân thủ, giúp doanh nghiệp nhìn thấy rõ ràng khoảng cách giữa hiện trạng thực tế và các yêu cầu khắt khe của pháp luật. Dựa trên các phát hiện này, 405CYSE sẽ cung cấp một lộ trình nâng cấp hạ tầng và khắc phục kỹ thuật khả thi, giúp tổ chức chuẩn hóa việc quản lý dữ liệu nhạy cảm với mức chi phí tiết kiệm nhất. Nhờ có quá trình rà soát độc lập này, ban lãnh đạo doanh nghiệp có thể chủ động vá các lỗ hổng hệ thống, đảm bảo tuân thủ tuyệt đối các nghị định của nhà nước và loại bỏ hoàn toàn rủi ro đối mặt với các án phạt tốn kém.
Việc tôn trọng và thực thi đầy đủ 11 quyền của chủ thể dữ liệu cá nhân không chỉ là nghĩa vụ bắt buộc mà còn là cơ hội tuyệt vời để doanh nghiệp khẳng định sự minh bạch và uy tín trên thị trường. Trong bối cảnh các quy định pháp lý ngày càng được siết chặt, việc chủ động xây dựng một hệ thống có khả năng chứng minh được sự đồng ý của khách hàng chính là chiếc phao cứu sinh bảo vệ tổ chức khỏi những rắc rối không đáng có. Thay vì chờ đợi sự cố rò rỉ hay tranh chấp xảy ra rồi mới tìm cách khắc phục, hãy để hoạt động kiểm định (Audit) hệ thống định kỳ trở thành một phần trong văn hóa vận hành của doanh nghiệp. Đầu tư vào dịch vụ rà soát tuân thủ pháp lý ngay hôm nay chính là chiến lược thông minh nhất để bảo vệ luồng dữ liệu cốt lõi và duy trì sự phát triển bền vững trong kỷ nguyên số.
