Nghĩa vụ bắt buộc của doanh nghiệp đối với dữ liệu của Khách hàng phát sinh trực tiếp từ Luật Bảo vệ dữ liệu cá nhân 2025, có hiệu lực từ ngày 01/01/2026. Mọi doanh nghiệp thu thập, lưu trữ, xử lý thông tin cá nhân của khách hàng đều thuộc phạm vi điều chỉnh của quy chế bảo mật thông tin này. Bài viết dưới đây phân tích cụ thể từng nghĩa vụ mà doanh nghiệp cần thực hiện.
1. Dữ liệu cá nhân của Khách hàng bao gồm những gì?
Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác giúp xác định một cá nhân cụ thể. Luật Bảo vệ dữ liệu cá nhân 2025 phân chia dữ liệu cá nhân thành hai nhóm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
- el=”1″>Dữ liệu cá nhân cơ bản phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên xuất hiện trong giao dịch và quan hệ xã hội, bao gồm họ tên, ngày sinh, số điện thoại, địa chỉ, số định danh cá nhân.
- -lev=””>el=”</yoastmark”>”1″>Dữ liệu cá nhân nhạy cảm gắn liền với quyền riêng tư của khách hàng, khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của chủ thể dữ liệu, ví dụ dữ liệu sinh trắc học, dữ liệu vị trí, thông tin sức khỏe, thông tin tài chính, tín dụng.</li>
Các nhóm dữ liệu cá nhân
Danh mục chi tiết hai loại dữ liệu này được quy định tại Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP. Doanh nghiệp nên rà soát lại toàn bộ hồ sơ khách hàng đang lưu trữ, đối chiếu với danh mục mới này để biết thông tin nào cần bảo vệ ở mức cao hơn, tránh áp dụng theo quy định cũ đã hết hiệu lực.
2. Thu thập dữ liệu phải có “Sự đồng ý” hợp lệ
Sự đồng ý của khách hàng là điều kiện tiên quyết để doanh nghiệp được phép thu thập và xử lý dữ liệu cá nhân.
Theo Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp phải thể hiện sự đồng ý bằng phương thức rõ ràng, cụ thể, có thể in ấn hoặc lưu trữ dưới dạng điện tử để phục vụ việc chứng minh khi có tranh chấp phát sinh. Sự đồng ý phải được thể hiện riêng biệt cho từng mục đích xử lý, không được gộp chung với các mục đích khác ngoài nội dung đã thỏa thuận với khách hàng.
Lưu ý: Khoản 3 Điều 6 Nghị định 356/2025/NĐ-CP quy định doanh nghiệp không được thiết lập phương thức mặc định đồng ý hoặc tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu.
Trên thực tế, doanh nghiệp cần xây dựng Thỏa thuận bảo vệ dữ liệu cá nhân riêng biệt với hợp đồng dịch vụ chính, kèm mẫu quy định bảo mật thông tin dành cho khách hàng và cho người lao động tiếp xúc trực tiếp với dữ liệu. Việc lưu trữ bằng chứng về sự đồng ý là nghĩa vụ bắt buộc, không chỉ phục vụ mục đích tuân thủ mà còn là căn cứ bảo vệ doanh nghiệp trước cơ quan chuyên trách.
3. Việc sử dụng dữ liệu khách hàng để quảng cáo, tiếp thị
Điều 28 Luật Bảo vệ dữ liệu cá nhân 2025 quy định:
Doanh nghiệp kinh doanh dịch vụ quảng cáo chỉ được sử dụng dữ liệu cá nhân của khách hàng khi có sự đồng ý rõ ràng cho mục đích quảng cáo, tiếp thị. Việc sử dụng dữ liệu cá nhân để quảng cáo phải bảo đảm khách hàng biết rõ nội dung, phương thức, hình thức và tần suất giới thiệu sản phẩm. Doanh nghiệp phải cung cấp cơ chế để khách hàng từ chối nhận thông tin quảng cáo bất kỳ lúc nào.
Đối với hoạt động quảng cáo dựa trên hành vi, có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo, doanh nghiệp chỉ được thu thập dữ liệu thông qua theo dõi trang thông tin điện tử khi có sự đồng ý của khách hàng. Doanh nghiệp phải thiết lập phương thức cho phép khách hàng từ chối chia sẻ dữ liệu, đồng thời xác định rõ thời gian lưu trữ và thực hiện xóa, hủy dữ liệu khi không còn cần thiết.
Doanh nghiệp kinh doanh dịch vụ quảng cáo không được thuê lại hoặc thỏa thuận để bên thứ ba thay mặt mình thực hiện toàn bộ hoạt động quảng cáo có sử dụng dữ liệu cá nhân, đồng thời phải chịu trách nhiệm chứng minh việc sử dụng dữ liệu cá nhân của khách hàng cho mục đích quảng cáo là đúng phạm vi đã thỏa thuận. Việc sử dụng dữ liệu cá nhân để quảng cáo còn phải tuân thủ quy định pháp luật về phòng, chống tin nhắn rác và thư điện tử rác.
4. Thực hiện thủ tục hành chính
4.1. Lập hồ sơ đánh giá tác động xử lý dữ liệu
Doanh nghiệp thuộc diện bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Hồ sơ này phải được gửi một bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Việc đánh giá tác động chỉ thực hiện một lần cho toàn bộ thời gian hoạt động của doanh nghiệp, nhưng phải được cập nhật khi có thay đổi nội dung (Điều 21 Luật Bảo vệ dữ liệu cá nhân 2025).</p></p>
4.2. Chuyển dữ liệu xuyên biên giới
Doanh nghiệp chuyển dữ liệu cá nhân của khách hàng ra hệ thống lưu trữ đặt ngoài lãnh thổ Việt Nam, hoặc chuyển dữ liệu cho tổ chức, cá nhân ở nước ngoài, phải lập hồ sơ đ
ánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Hồ sơ này phải gửi cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu (Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025).</p>
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân có quyền kiểm tra định kỳ không quá một lần trong năm, hoặc kiểm tra đột xuất khi phát hiện vi phạm, sự cố lộ, mất dữ liệu. Cơ quan này cũng có quyền yêu cầu ngừng chuyển dữ liệu cá nhân xuyên biên giới nếu phát hiện dữ liệu được sử dụng vào hoạt động gây tổn hại đến quốc phòng, an ninh quốc gia.
5. Giải quyết các yêu cầu của khách hàng về xử lý dữ liệu
5.1. Thời hạn giải quyết
Theo Điều 5 Nghị định 356/2025/NĐ-CP quy định:
Khi nhận được yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý dữ liệu, doanh nghiệp phải phản hồi khách hàng trong thời hạn 02 ngày làm việc và hoàn thành xử lý trong 15 ngày, hoặc 20 ngày n
ếu có liên quan đến bên xử lý dữ liệu thứ ba. </p>
Đối với yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân, doanh nghiệp phải thực
hiện trong 10 ngày, hoặc 15 ngày nếu có bên thứ ba tham gia. Đây là điểm mới quan trọng của Nghị định 356/2025/NĐ-CP so với quy định thời hạn 72 giờ trước đây.
Doanh nghiệp có thể gia hạn thời gian xử lý một lần trong trường hợp cần thiết, nhưng phải thông báo lý do cho khách
hàng và chịu trách nhiệm chứng minh việc gia hạn là hợp lý. Việc chậm trễ hoặc không phản hồi yêu cầu của khách hàng trong thời hạn quy định là hành vi vi phạm nghĩa vụ bắt buộc của doanh nghiệp đối với dữ liệu của khách hàng, có thể bị xử phạt hành chính.</p>
5.2. Xóa dữ liệu
Theo Điều 14 Luật Bảo vệ dữ liệu cá nhân 2025 và khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP, Doanh nghiệp phải xóa, hủy dữ liệu cá nhân của khách hàng khi khách hàng có yêu cầu và chấp nhận rủi ro liên quan, khi đã hoàn thành mục đích xử lý, khi hết thời h
ạn lưu trữ theo quy định, hoặc theo thỏa thuận giữa hai bên. Đối với yêu cầu xóa dữ liệu cá nhân, doanh nghiệp phải thực hiện trong thời hạn 20 ngày, hoặc 30 ngày nếu có liên quan đến bên xử lý dữ liệu thứ ba .</p>
Việc xóa, hủy dữ liệu cá nhân phải thực hiện bằng biện pháp an toàn, ngăn chặn
hoạt động xâm nhập và khôi phục trái phép dữ liệu đã bị xóa. Doanh nghiệp không được cố ý khôi phục dữ liệu cá nhân đã bị xóa, hủy trái phép. Trường hợp không thể xóa, hủy dữ liệu vì lý do chính đáng, doanh nghiệp phải thông báo cho khách hàng biết rõ lý do.</p>
6. Dịch vụ Luật sư tư vấn pháp luật về bảo vệ dữ liệu cá nhân cho doanh nghiệp
Luật LCP cung cấp dịch vụ tư vấn pháp lý toàn diện, hỗ trợ doanh nghiệp thực hiện đầy đủ nghĩa vụ bắt buộc của doanh nghiệp đối với dữ liệu của khách hàng theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP. Các công việc cụ thể bao gồm:
- Rà soát, phân loại dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm đang được doanh nghiệp thu thập, xử lý;
- Soạn thảo Thỏa thuận bảo vệ dữ liệu cá nhân, quy chế bảo mật thông tin nội bộ và mẫu quy định bảo mật thông tin áp dụng cho khách hàng, người lao động;
- Xây dựng quy trình thu thập sự đồng ý hợp lệ, quy trình tiếp nhận và xử lý yêu cầu của khách hàng đúng thời hạn pháp luật;
- Tư vấn, hỗ trợ doanh nghiệp làm việc với cơ quan chuyên trách bảo vệ dữ liệu cá nhân khi có yêu cầu kiểm tra hoặc xử lý vi phạm;
Dịch vụ Luật sư tư vấn pháp luật về bảo vệ dữ liệu cá nhân
>>> Xem thêm: Lựa chọn trọng tài viên để giải quyết tranh chấp
Kết luận
Nghĩa vụ bắt buộc của doanh nghiệp đối với dữ liệu của khách hàng đòi hỏi doanh nghiệp xây dựng quy trình bảo vệ dữ liệu cá nhân bài bản, đúng pháp luật. Việc chủ động tuân thủ giúp doanh nghiệp tránh rủi ro bị xử phạt hành chính lên đến 03 tỷ đồng.
Luật LCP sẵn sàng đồng hành, tư vấn pháp lý chuyên sâu cho doanh nghiệp trong lĩnh vực này. Quý khách hàng vui lòng liên hệ Hotline: 0962275827 để được hỗ trợ trực tiếp.
