Chủ thể dữ liệu là bạn — người mà dữ liệu nói về — và pháp luật Việt Nam trao cho bạn một bộ quyền để kiểm soát dữ liệu đó. Theo tinh thần của Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 2025, bạn được biết dữ liệu nào đang bị xử lý, đồng ý hoặc không, rút lại đồng ý, xem, sửa, yêu cầu xoá, hạn chế xử lý, phản đối việc dùng cho quảng cáo, khiếu nại và đòi bồi thường khi bị thiệt hại.
Biết quyền là một chuyện, dùng được quyền lại là chuyện khác. Phần lớn người dùng không biết gửi yêu cầu cho ai, viết thế nào, chờ bao lâu và làm gì khi bị lờ đi. Bài này đi theo đúng trình tự đó, kèm cách dùng AI để soạn nháp yêu cầu mà không đưa thêm dữ liệu của mình ra ngoài.
Bạn có những quyền gì với dữ liệu cá nhân của mình
Diễn đạt trong văn bản pháp luật có thể khác nhau giữa nghị định và luật, nhưng các quyền cốt lõi gồm:
- Quyền được biết: ai thu, thu gì, để làm gì, chia cho ai, giữ bao lâu.
- Quyền đồng ý và không đồng ý với việc xử lý, trừ những trường hợp pháp luật cho phép xử lý không cần đồng ý.
- Quyền rút lại sự đồng ý bất cứ lúc nào; việc rút lại không làm mất hiệu lực của việc xử lý hợp pháp trước đó.
- Quyền truy cập: xem hoặc nhận bản sao dữ liệu của mình.
- Quyền chỉnh sửa khi dữ liệu sai hoặc cũ.
- Quyền xoá trong những trường hợp nhất định.
- Quyền hạn chế xử lý, ví dụ tạm dừng trong lúc đang tranh chấp về độ chính xác.
- Quyền phản đối việc dùng dữ liệu cho quảng cáo, tiếp thị, nghiên cứu.
- Quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường khi quyền bị xâm phạm.
- Quyền tự bảo vệ theo quy định của pháp luật dân sự.
Đi kèm là trách nhiệm của bạn: cung cấp dữ liệu chính xác khi đã đồng ý, tự bảo vệ dữ liệu của mình và tôn trọng dữ liệu của người khác. Quyền không có nghĩa là có thể đòi xoá mọi thứ, như phần dưới sẽ nói.
Quyền được biết và quyền đồng ý: hai quyền làm nền cho mọi quyền khác
Mọi quyền khác đều bắt đầu từ việc biết. Bạn không thể yêu cầu xoá dữ liệu ở một nơi bạn không biết đang giữ nó. Vì vậy luật đặt nghĩa vụ thông báo lên bên thu thập: trước khi xử lý, họ phải cho bạn biết mục đích, loại dữ liệu, cách xử lý, các bên liên quan, thời gian lưu và hậu quả có thể xảy ra. Thông báo này thường nằm trong chính sách quyền riêng tư, màn hình đăng ký, hoặc câu chữ ngay cạnh ô nhập liệu.
Sự đồng ý chỉ có giá trị khi bạn hiểu mình đang đồng ý với điều gì. Đồng ý phải tự nguyện, rõ ràng, cho từng mục đích, và thể hiện bằng một hành động khẳng định như ký, đánh dấu, nhắn “đồng ý”. Im lặng, không phản đối, hay ô đánh dấu sẵn không được coi là đồng ý. Nếu một ứng dụng chỉ cho bạn chọn giữa “đồng ý tất cả” và “không dùng được”, bạn có lý do để nghi ngờ cách xin đồng ý đó.
Một thói quen nhỏ giúp ích nhiều: mỗi lần đăng ký dịch vụ quan trọng như ngân hàng số, ví điện tử, ứng dụng y tế, hãy chụp lại màn hình chính sách và các ô đồng ý tại thời điểm đó. Về sau, nếu chính sách thay đổi hoặc có tranh chấp, bạn có bằng chứng mình đã đồng ý với điều gì, không đồng ý với điều gì.
Yêu cầu xoá dữ liệu: khi nào được, khi nào bị từ chối có lý do
Thường được chấp nhận khi mục đích thu thập đã hết (bạn đã rời dịch vụ), bạn rút lại đồng ý và không còn căn cứ nào khác, dữ liệu bị xử lý sai mục đích hoặc trái luật, hoặc bạn phản đối việc dùng cho quảng cáo.
Có thể bị từ chối hoặc hoãn khi doanh nghiệp phải giữ dữ liệu theo nghĩa vụ pháp luật khác, ví dụ chứng từ kế toán, hồ sơ giao dịch ngân hàng, dữ liệu phục vụ điều tra; hoặc dữ liệu đang cần cho việc thực hiện hợp đồng chưa kết thúc.
Từ chối phải có lý do. Nếu không xoá, bên giữ dữ liệu nên cho bạn biết lý do và phần nào vẫn bị giữ, giữ đến khi nào. Một câu trả lời “không thể xoá” không kèm giải thích chưa phải là câu trả lời đầy đủ.
Xoá phần này, giữ phần kia. Trường hợp phổ biến là ngân hàng hoặc sàn thương mại điện tử xoá dữ liệu dùng cho tiếp thị, ngừng gửi quảng cáo, nhưng vẫn giữ lịch sử giao dịch theo thời hạn luật định. Đó là kết quả hợp lý, không phải bị từ chối.
Xoá không có nghĩa là xoá tức thì. Bản sao lưu có chu kỳ riêng. Điều bạn có thể yêu cầu là dữ liệu không còn được dùng và sẽ bị xoá khỏi bản sao lưu khi đến hạn.
Viết và gửi yêu cầu từng bước
Ví dụ giả định: bạn đã ngừng dùng một ứng dụng mua sắm hai năm nhưng vẫn nhận tin nhắn quảng cáo, và muốn họ xoá dữ liệu.
- Tìm đúng kênh. Mở chính sách quyền riêng tư của ứng dụng, tìm mục liên hệ về dữ liệu cá nhân: thường là một địa chỉ email riêng, một biểu mẫu trong phần cài đặt tài khoản, hoặc bộ phận chăm sóc khách hàng.
- Xác định yêu cầu cụ thể. Bạn muốn xem dữ liệu, sửa, xoá toàn bộ, hay chỉ ngừng quảng cáo? Yêu cầu rõ thì câu trả lời mới rõ.
- Soạn nháp bằng AI mà không đưa dữ liệu thật. Câu lệnh mẫu: “Soạn một email lịch sự, ngắn gọn gửi bộ phận bảo vệ dữ liệu của một ứng dụng mua sắm, yêu cầu xoá tài khoản và toàn bộ dữ liệu cá nhân của người gửi, ngừng gửi tin quảng cáo, đề nghị xác nhận bằng văn bản và nêu rõ phần dữ liệu nào phải giữ lại theo luật. Để trống chỗ điền họ tên, email đăng ký, số điện thoại.” Bạn tự điền thông tin vào bản nháp sau khi copy ra, không dán vào chatbot.
- Chỉ cung cấp thông tin đủ để họ tìm ra tài khoản. Email hoặc số điện thoại đăng ký thường là đủ. Không gửi ảnh căn cước trừ khi họ yêu cầu xác minh qua kênh chính thức và bạn đã kiểm đó đúng là kênh của họ.
- Lưu bằng chứng gửi: chụp màn hình biểu mẫu đã gửi, giữ email có ngày giờ.
- Ghi lịch theo dõi. Pháp luật đặt ra thời hạn xử lý yêu cầu cho bên kiểm soát dữ liệu; thời hạn cụ thể bạn kiểm theo quy định hiện hành, còn trên thực tế nên nhắc lại nếu sau hai đến ba tuần chưa có phản hồi.
- Kiểm kết quả. Thử đăng nhập lại, xem còn nhận tin quảng cáo không, và lưu thư xác nhận nếu có.
Với nơi không có kênh riêng như cửa hàng nhỏ, phòng khám tư, bạn có thể nhắn trực tiếp qua tài khoản bán hàng của họ hoặc nói tại quầy, nhưng vẫn nên để lại một tin nhắn bằng chữ để có dấu vết.
Quyền của bạn với dữ liệu đã nằm trong hệ thống AI
Khi dữ liệu của bạn đi vào một hệ thống AI, quyền vẫn còn nhưng cách thực hiện phức tạp hơn. Có ba chỗ dữ liệu có thể nằm: trong lịch sử trò chuyện và nhật ký của dịch vụ, trong cơ sở dữ liệu mà hệ thống tra cứu để trả lời, và trong chính mô hình nếu dữ liệu từng được dùng để huấn luyện. Hai chỗ đầu xoá được như dữ liệu thông thường. Chỗ thứ ba khó hơn nhiều, vì mô hình không lưu từng bản ghi mà “hấp thụ” chúng vào tham số.
Vì vậy câu hỏi hữu ích khi bạn là khách hàng của một doanh nghiệp dùng AI là: dữ liệu của mình có được dùng để huấn luyện hay tinh chỉnh mô hình không, có được gửi cho nhà cung cấp AI nước ngoài không, và nếu mình rút lại đồng ý thì điều gì xảy ra với dữ liệu đã dùng. Doanh nghiệp làm đúng sẽ trả lời được ba câu này trong chính sách của họ.
Với dịch vụ AI bạn dùng trực tiếp, hãy vào phần cài đặt để xem tuỳ chọn tắt việc dùng nội dung trò chuyện cho huấn luyện, xoá lịch sử, và xuất dữ liệu. Tên và vị trí các tuỳ chọn này thay đổi theo phiên bản, nên kiểm trong ứng dụng hiện hành thay vì làm theo ảnh chụp màn hình cũ trên mạng.
Khi doanh nghiệp im lặng hoặc từ chối: bước tiếp theo
Nếu yêu cầu không được xử lý thoả đáng, bạn có thể leo thang theo bậc, tuỳ mức độ nghiêm trọng.
| Tình huống | Bước tiếp theo hợp lý | Cần chuẩn bị |
|---|---|---|
| Không phản hồi sau thời gian hợp lý | Gửi lại yêu cầu, ghi rõ “lần hai”, nêu ngày gửi lần đầu | Bằng chứng gửi lần đầu |
| Trả lời chung chung, không xử lý | Yêu cầu nêu lý do cụ thể và phần dữ liệu bị giữ lại | Bản trả lời đã nhận |
| Vẫn tiếp tục nhận quảng cáo sau khi đã từ chối | Phản ánh tới bộ phận khiếu nại của doanh nghiệp, nhà mạng nếu là tin nhắn | Ảnh chụp tin nhắn, thời gian |
| Nghi dữ liệu bị bán hoặc chia trái phép | Phản ánh tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân theo kênh chính thức hiện hành | Dòng thời gian, bằng chứng nhận cuộc gọi từ bên lạ |
| Có thiệt hại cụ thể về tiền hoặc danh dự | Tham khảo luật sư về khiếu nại, khởi kiện và yêu cầu bồi thường | Toàn bộ hồ sơ trên, chứng cứ thiệt hại |
Bậc cuối không nên là bậc đầu: phần lớn yêu cầu được giải quyết ở hai bậc đầu nếu bạn viết rõ và giữ dấu vết. Leo thang có hồ sơ cũng mạnh hơn nhiều so với một lời phàn nàn trên mạng xã hội.
Quyền đi kèm thói quen tự bảo vệ
Luật cho bạn quyền đòi lại, nhưng lý tưởng nhất vẫn là dữ liệu không đi ra ngoài quá mức ngay từ đầu. Mỗi biểu mẫu có thể chỉ điền những ô bắt buộc. Mỗi ứng dụng đòi quyền truy cập danh bạ, ảnh, vị trí có thể được cấp “chỉ khi đang dùng” hoặc từ chối. Mỗi chương trình khuyến mãi hỏi ngày sinh và nghề nghiệp có thể được cân nhắc xem phần quà có đáng với dữ liệu bỏ ra không.
Cũng nên tránh gửi dữ liệu của người khác thay họ. Điền số điện thoại của bạn bè vào ô “giới thiệu người thân” để nhận ưu đãi là chia dữ liệu của họ khi họ chưa đồng ý. Dán ảnh chụp đoạn chat có tên và số của người khác vào chatbot để nhờ phân tích cũng vậy.
Cuối cùng, hãy giữ một danh sách ngắn những dịch vụ quan trọng đang có dữ liệu của bạn. Khi có tin một dịch vụ bị lộ dữ liệu, bạn biết ngay mình có liên quan hay không và cần đổi mật khẩu, cảnh giác với cuộc gọi giả danh ở đâu.
Câu hỏi thường gặp
Doanh nghiệp có được thu phí khi khách yêu cầu xem dữ liệu của chính họ không?
Theo nguyên lý, việc cung cấp dữ liệu cho chính chủ thể nên đơn giản và không tạo rào cản. Một số trường hợp đặc biệt như yêu cầu lặp lại nhiều lần hoặc trích xuất khối lượng lớn có thể có quy định riêng; bạn kiểm theo quy định hiện hành và chính sách của doanh nghiệp.
Rút lại sự đồng ý có làm mất các ưu đãi bạn đã nhận không?
Ưu đãi đã nhận trước đó thường không bị thu hồi chỉ vì bạn rút lại đồng ý. Tuy nhiên những tính năng cần dữ liệu để hoạt động, như tích điểm theo số điện thoại, có thể ngừng. Doanh nghiệp nên báo trước cho bạn hậu quả của việc rút lại.
Người thân đã mất thì ai có quyền yêu cầu xoá dữ liệu của họ?
Pháp luật có quy định về việc thực hiện quyền đối với dữ liệu của người đã mất, thường thông qua người thân theo thứ tự nhất định hoặc người được chỉ định. Vì gắn với hoàn cảnh cụ thể, bạn nên hỏi doanh nghiệp về thủ tục và tham khảo luật sư khi có tranh chấp.
Có thể yêu cầu nhà cung cấp AI xoá thông tin sai về mình mà chatbot đưa ra không?
Bạn có thể gửi yêu cầu sửa hoặc xoá qua kênh hỗ trợ về quyền riêng tư của nhà cung cấp. Khả năng xử lý phụ thuộc vào việc thông tin nằm trong dữ liệu tra cứu hay do mô hình tự sinh ra; nhiều nơi chỉ có thể chặn câu trả lời thay vì xoá khỏi mô hình.
Yêu cầu xoá có cần gửi bằng văn bản giấy không?
Không nhất thiết. Email, biểu mẫu trực tuyến, tin nhắn qua kênh chính thức đều để lại dấu vết thời gian và nội dung. Quan trọng là bạn lưu được bằng chứng đã gửi và gửi đúng nơi doanh nghiệp công bố.
Trẻ em có tự yêu cầu xoá dữ liệu của mình được không?
Với trẻ em, quyền thường được thực hiện thông qua cha mẹ hoặc người giám hộ, và ý kiến của trẻ ở độ tuổi nhất định cũng được xem xét. Phụ huynh nên chủ động yêu cầu xoá ảnh và thông tin của con khi con rời trường, trung tâm hoặc ngừng dùng ứng dụng.