Dữ liệu cá nhân cơ bản và nhạy cảm: Doanh nghiệp cần phân biệt để bảo vệ đúng cách

Phần lớn doanh nghiệp đều đã biết về trách nhiệm và nghĩa vụ bảo vệ dữ liệu cá nhân. Nhưng Luật Bảo vệ Dữ liệu Cá nhân 2025 đặt ra một yêu cầu cụ thể hơn: bảo vệ đúng cách, đúng loại, đúng mức độ. Không phải mọi dữ liệu đều chịu cùng một nghĩa vụ, và chính khoảng cách giữa “biết cần bảo vệ” và “biết bảo vệ như thế nào” mới là nơi rủi ro pháp lý bắt đầu.

Nội dung chính

1 Tại sao cần phân loại dữ liệu?
2 Dữ liệu cá nhân cơ bản
3 Dữ liệu cá nhân nhạy cảm
4 Cùng một dữ liệu nhưng hai mức độ bảo vệ khác nhau
5 Nghĩa vụ khác nhau, trách nhiệm khác nhau
6 Thời hạn bắt buộc của quy trình rút lại đồng ý
7 Phân loại đúng là bước đầu tiên để tuân thủ đúng

Tại sao cần phân loại dữ liệu?

Luật Bảo vệ Dữ liệu Cá nhân 2025 không đánh đồng mọi loại thông tin. Thay vào đó, một hệ thống phân loại được thiết lập nhằm xác định mức độ bảo vệ tương xứng với mức độ rủi ro của từng loại dữ liệu. Đây không chỉ là thao tác kỹ thuật mà là nền tảng để doanh nghiệp xác định đúng nghĩa vụ, phân bổ nguồn lực bảo mật hợp lý và tránh các sai phạm có thể phát sinh từ việc xử lý sai loại dữ liệu.

Dữ liệu cá nhân cơ bản

Theo Khoản 2 Điều 2 Luật 2025, dữ liệu cá nhân cơ bản là dữ liệu phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên được sử dụng trong các giao dịch và quan hệ xã hội. Nhóm dữ liệu này có tính định danh cao nhưng mức độ tác động đến quyền riêng tư thấp hơn so với dữ liệu nhạy cảm.

Danh mục cụ thể bao gồm thông tin định danh pháp lý như họ tên, ngày sinh, giới tính, quốc tịch; thông tin liên lạc và cư trú; các loại giấy tờ tùy thân như số CCCD, hộ chiếu, giấy phép lái xe; mã số thuế, bảo hiểm xã hội, thẻ bảo hiểm y tế; tình trạng hôn nhân và thông tin quan hệ gia đình; hình ảnh cá nhân và thông tin tài khoản số.

Nhóm dữ liệu này xuất hiện trong hầu hết mọi quy trình dịch vụ, từ đăng ký tài khoản, mua hàng trực tuyến đến thực hiện thủ tục hành chính. Tuy nhiên, dù là dữ liệu cơ bản, việc tổng hợp nhiều trường thông tin vẫn có thể xác định chính xác một cá nhân, do đó vẫn cần các biện pháp bảo vệ phù hợp.

Dữ liệu cá nhân nhạy cảm

Khoản 3 Điều 2 Luật 2025 định nghĩa dữ liệu cá nhân nhạy cảm là dữ liệu gắn liền với quyền riêng tư, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của cá nhân. Đây là những thông tin mà nếu bị lộ lọt có thể dẫn đến phân biệt đối xử, đe dọa tính mạng, sức khỏe hoặc tài sản của chủ thể.

Nghị định 356/2025/NĐ-CP xác định các nhóm dữ liệu nhạy cảm gồm quan điểm chính trị, tôn giáo, tín ngưỡng, nguồn gốc chủng tộc và dân tộc; tình trạng sức khỏe và hồ sơ bệnh án, đặc điểm di truyền, sinh trắc học; thông tin về đời sống tình dục và xu hướng tình dục; dữ liệu về tội phạm và hành vi phạm tội; dữ liệu vị trí xác định qua dịch vụ định vị; thông tin tài chính tại tổ chức tín dụng bao gồm tiền gửi và lịch sử giao dịch; tên đăng nhập và mật khẩu tài khoản định danh điện tử hoặc tài khoản ngân hàng; và dữ liệu theo dõi hành vi, lịch sử hoạt động trên mạng xã hội, viễn thông và các dịch vụ trực tuyến.

Việc đưa lịch sử hoạt động trên không gian mạng vào nhóm nhạy cảm là một điểm đột phá đáng chú ý. Các dấu vết số của một người có thể tiết lộ tính cách, xu hướng và đời tư sâu kín, vượt xa những thông tin nhân thân truyền thống.

Cùng một dữ liệu nhưng hai mức độ bảo vệ khác nhau

Một dữ liệu có thể chuyển từ trạng thái cơ bản sang nhạy cảm tùy theo mục đích xử lý. Đây là điểm doanh nghiệp thường bỏ qua và dễ dẫn đến vi phạm.

Hình ảnh cá nhân là dữ liệu cơ bản, nhưng nếu được sử dụng để trích xuất dữ liệu sinh trắc học nhận dạng khuôn mặt thì trở thành dữ liệu nhạy cảm. Địa chỉ cư trú trên hợp đồng lao động là dữ liệu cơ bản, nhưng nếu ứng dụng theo dõi GPS ghi lại lộ trình di chuyển thời gian thực thì dữ liệu vị trí đó được xếp vào nhóm nhạy cảm. Nhóm máu là trường hợp đặc biệt: dù liên quan đến sức khỏe nhưng vẫn được xếp vào dữ liệu cơ bản vì thường được công khai trong các tình huống khẩn cấp và ít mang rủi ro đời tư hơn hồ sơ bệnh án.

Điều này đòi hỏi doanh nghiệp phải có quy trình phân loại động, điều chỉnh mức độ bảo vệ theo mục đích xử lý thực tế chứ không chỉ theo loại dữ liệu trên giấy tờ.

Nghĩa vụ khác nhau, trách nhiệm khác nhau

Sự phân loại này dẫn đến hai hệ thống nghĩa vụ hoàn toàn khác biệt.

Với dữ liệu cơ bản, doanh nghiệp cần có sự đồng ý rõ ràng cho từng mục đích cụ thể, áp dụng các biện pháp bảo mật tiêu chuẩn như mã hóa và phân quyền truy cập. Việc bổ nhiệm nhân sự bảo vệ dữ liệu chỉ bắt buộc với tổ chức quy mô lớn.

Với dữ liệu nhạy cảm, yêu cầu cao hơn đáng kể. Doanh nghiệp phải thông báo rõ ràng cho chủ thể rằng dữ liệu sắp được xử lý là dữ liệu nhạy cảm và phải có sự đồng ý tường minh, không được dùng các thiết lập mặc định. Biện pháp bảo mật phải ở mức nâng cao với kiểm soát truy cập chặt chẽ cả về kỹ thuật lẫn vật lý. Bắt buộc bổ nhiệm nhân sự bảo vệ dữ liệu (DPO) có trình độ từ cao đẳng trở lên và ít nhất hai năm kinh nghiệm trong lĩnh vực liên quan. Hồ sơ đánh giá tác động xử lý dữ liệu (DPIA) phải được lập và luôn sẵn sàng cung cấp cho cơ quan chuyên trách khi có yêu cầu, không có ngoại lệ theo quy mô doanh nghiệp.

Khi có vi phạm liên quan đến dữ liệu nhạy cảm, đây thường được coi là tình tiết tăng nặng. Mức phạt có thể lên tới 5% doanh thu, chưa kể nguy cơ truy cứu trách nhiệm hình sự và thiệt hại uy tín khó đo lường được.

Thời hạn bắt buộc của quy trình rút lại đồng ý

Theo Nghị định 356/2025/NĐ-CP, khi nhận được yêu cầu rút lại sự đồng ý, doanh nghiệp phải phản hồi trong vòng hai ngày làm việc và hoàn tất việc ngừng xử lý trong vòng 15 đến 20 ngày tùy trường hợp. Đây là nghĩa vụ áp dụng cho cả hai loại dữ liệu, nhưng với dữ liệu nhạy cảm, mọi chậm trễ đều tiềm ẩn rủi ro pháp lý cao hơn.

Phân loại đúng là bước đầu tiên để tuân thủ đúng

Việc không phân loại hoặc phân loại sai dữ liệu dẫn đến hai hệ quả thực tế: hoặc doanh nghiệp bảo vệ quá mức gây lãng phí nguồn lực, hoặc bảo vệ không đủ và đối mặt với rủi ro pháp lý. Cả hai đều không phải lựa chọn tốt.

FPT Consenta hỗ trợ doanh nghiệp quản lý toàn bộ vòng đời consent theo đúng phân loại dữ liệu, đảm bảo sự đồng ý được thu thập, lưu trữ và xử lý đúng tiêu chuẩn cho từng nhóm. Audit log đầy đủ, sẵn sàng chứng minh tuân thủ khi cơ quan chức năng yêu cầu kiểm tra.