Không phải mọi dữ liệu cá nhân đều phải xin phép mới được xử lý

Có quyền yêu cầu bồi thường thiệt hại

Từ ngày 1-1-2026, Luật Bảo vệ dữ liệu cá nhân năm 2025 chính thức có hiệu lực, quy định rõ quyền và nghĩa vụ của người dùng đối với dữ liệu cá nhân.

Theo Điều 4 Luật Bảo vệ dữ liệu cá nhân, chủ thể dữ liệu cá nhân (người dùng) có nhiều quyền quan trọng. Cụ thể, người dùng có quyền được biết dữ liệu cá nhân của mình đang được thu thập, sử dụng và xử lý như thế nào; có quyền đồng ý hoặc không đồng ý cho phép xử lý dữ liệu, cũng như rút lại sự đồng ý đã cấp trước đó.

Người dùng cũng có quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân; yêu cầu tổ chức, doanh nghiệp cung cấp, xóa hoặc hạn chế việc xử lý dữ liệu cá nhân. 

Bên cạnh đó, người dùng được quyền phản đối việc xử lý dữ liệu; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định của pháp luật nếu quyền lợi bị xâm phạm.

Ngoài ra, người dùng có thể đề nghị cơ quan có thẩm quyền hoặc các tổ chức, cá nhân liên quan áp dụng các biện pháp cần thiết để bảo vệ dữ liệu cá nhân của mình theo quy định pháp luật.

Không được sử dụng dữ liệu cá nhân tùy tiện

Theo Nghị định 13/2023 về bảo vệ dữ liệu cá nhân, khi có yêu cầu chính đáng, các tổ chức, doanh nghiệp có trách nhiệm xem xét và thực hiện việc xóa, gỡ bỏ dữ liệu cá nhân hoặc chấm dứt việc xử lý dữ liệu theo yêu cầu của người dùng, kể cả trong trường hợp người dùng rút lại sự đồng ý trước đó.

Bên cạnh quyền, Luật Bảo vệ dữ liệu cá nhân 2025 cũng quy định rõ nghĩa vụ của người dùng. Người dùng phải chủ động bảo vệ dữ liệu cá nhân của mình; tôn trọng và bảo vệ dữ liệu cá nhân của người khác; cung cấp đầy đủ, chính xác thông tin cá nhân khi pháp luật, hợp đồng hoặc việc xử lý dữ liệu có yêu cầu.

Khi thực hiện các quyền của mình, người dùng không được gây cản trở hoặc làm ảnh hưởng đến việc thực hiện quyền và nghĩa vụ pháp lý của bên kiểm soát dữ liệu, bên xử lý dữ liệu và các bên liên quan. Đồng thời, không được xâm phạm đến quyền và lợi ích hợp pháp của nhà nước, cơ quan, tổ chức và cá nhân khác.

Tuy nhiên, theo Điều 19, trong một số trường hợp nhất định, tổ chức và doanh nghiệp được phép xử lý dữ liệu cá nhân mà không cần sự đồng ý của người dùng.

Cụ thể, dữ liệu cá nhân có thể được xử lý trong tình huống cấp bách nhằm bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền và lợi ích hợp pháp của người dùng hoặc người khác; để bảo vệ quyền, lợi ích chính đáng của tổ chức, cá nhân hoặc lợi ích của nhà nước trước các hành vi xâm phạm.

Ngoài ra, việc xử lý dữ liệu không cần sự đồng ý cũng được áp dụng trong các trường hợp khẩn cấp, phòng chống nguy cơ đe dọa an ninh quốc gia; phòng chống bạo loạn, khủng bố, tội phạm và các hành vi vi phạm pháp luật; hoặc phục vụ hoạt động quản lý nhà nước theo quy định của pháp luật.