Xóa dữ liệu cá nhân và hủy dữ liệu cá nhân là hai khái niệm pháp lý khác biệt, đòi hỏi doanh nghiệp phải có quy trình xử lý rõ ràng để tuân thủ. Tại DPVN, chúng tôi sẽ phân tích sự khác biệt cốt lõi này và cung cấp hướng dẫn chi tiết giúp bạn thực hiện đúng nghĩa vụ, đảm bảo dữ liệu được xử lý an toàn và không thể khôi phục khi cần thiết.
Xóa dữ liệu cá nhân và hủy dữ liệu cá nhân khác nhau như thế nào theo quy định pháp luật?
Về cơ bản, “xóa dữ liệu” là hành động làm cho dữ liệu không thể truy cập được trong hệ thống hiện hành, nhưng vẫn có khả năng khôi phục. Ngược lại, “hủy dữ liệu” là hành động phá hủy vĩnh viễn, làm cho dữ liệu không thể khôi phục bằng bất kỳ phương pháp nào. Pháp luật yêu cầu các biện pháp xóa không thể khôi phục trong nhiều trường hợp.
Mặc dù các văn bản pháp luật như Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đôi khi sử dụng các thuật ngữ này song song, sự khác biệt về mặt kỹ thuật và pháp lý là rất rõ ràng và quan trọng. Việc phân biệt chính xác giúp doanh nghiệp áp dụng đúng biện pháp và thực hiện đúng nghĩa vụ của mình.
Về chuyên môn sâu, sự khác biệt này có thể được hiểu như sau:
| Tiêu chí | Xóa Dữ liệu cá nhân | Hủy Dữ liệu cá nhân |
|---|---|---|
| Bản chất kỹ thuật | Thường là xóa logic (soft delete), chỉ gỡ bỏ con trỏ chỉ đến dữ liệu. Dữ liệu vật lý vẫn còn tồn tại trên ổ cứng. | Là xóa vật lý (hard delete), ghi đè dữ liệu nhiều lần hoặc phá hủy vật lý phương tiện lưu trữ. |
| Khả năng khôi phục | Có thể khôi phục bằng các công cụ phần mềm chuyên dụng. | Không thể khôi phục. |
| Ví dụ | Di chuyển tệp vào “Thùng rác” (Recycle Bin), lệnh “DELETE” trong cơ sở dữ liệu mà không có cơ chế ghi đè. | Sử dụng phần mềm ghi đè dữ liệu (data wiping), khử từ (degaussing), hoặc tiêu hủy vật lý ổ cứng. |
Khoản 7, Điều 16 Nghị định 13 yêu cầu Bên Kiểm soát dữ liệu phải “xóa không thể khôi phục” trong một số trường hợp nhất định, điều này về bản chất chính là “hủy dữ liệu”.
Khi nào doanh nghiệp có nghĩa vụ phải xóa hoặc hủy dữ liệu cá nhân?
Doanh nghiệp có nghĩa vụ xóa hoặc hủy dữ liệu cá nhân trong 5 trường hợp chính: (1) Khi có yêu cầu hợp lệ từ chủ thể dữ liệu; (2) Khi chủ thể dữ liệu rút lại sự đồng ý; (3) Khi việc xử lý dữ liệu không đúng mục đích hoặc vi phạm pháp luật; (4) Khi mục đích xử lý đã hoàn thành hoặc việc lưu trữ không còn cần thiết; và (5) Khi có yêu cầu của cơ quan nhà nước có thẩm quyền.
Điều 16 Nghị định 13/2023/NĐ-CP đã quy định rất rõ các tình huống pháp lý mà tại đó, nghĩa vụ xóa hoặc hủy dữ liệu của doanh nghiệp được kích hoạt.
- Khi có yêu cầu của chủ thể dữ liệu: Đây là việc thực thi “quyền xóa dữ liệu” của cá nhân. Khi nhận được yêu cầu xóa dữ liệu cá nhân, doanh nghiệp phải thực hiện trong 72 giờ.
- Khi sự đồng ý bị rút lại: Nếu cơ sở pháp lý duy nhất cho việc xử lý dữ liệu là sự đồng ý, thì khi chủ thể dữ liệu rút lại sự đồng ý, doanh nghiệp phải ngừng xử lý và tiến hành xóa dữ liệu.
- Khi mục đích xử lý hoàn thành: Nguyên tắc giới hạn mục đích và giới hạn lưu trữ đòi hỏi doanh nghiệp phải xóa dữ liệu khi không còn cần thiết cho mục đích thu thập ban đầu. Ví dụ: Dữ liệu của ứng viên không trúng tuyển phải được xóa sau khi kết thúc đợt tuyển dụng.
- Khi xử lý trái phép: Nếu doanh nghiệp phát hiện mình đang xử lý dữ liệu mà không có cơ sở pháp lý hợp lệ, hoặc sai mục đích đã thông báo, họ phải chủ động xóa bỏ dữ liệu đó.
- Khi có yêu cầu của cơ quan nhà nước: Trong quá trình thanh tra, kiểm tra, cơ quan có thẩm quyền có thể yêu cầu doanh nghiệp xóa bỏ các dữ liệu được xử lý trái quy định.
Thủ tục để chủ thể dữ liệu yêu cầu xóa dữ liệu cá nhân gồm những bước nào?
Để yêu cầu xóa dữ liệu, chủ thể dữ liệu cần thực hiện 3 bước: (1) Chuẩn bị một văn bản yêu cầu chính thức, có thể sử dụng mẫu đơn hoặc email; (2) Gửi yêu cầu này đến Bên Kiểm soát dữ liệu thông qua các kênh liên lạc chính thức của họ; và (3) Lưu lại bằng chứng đã gửi yêu cầu để theo dõi và đối chất khi cần.
Mặc dù Nghị định 13/2023/NĐ-CP chưa ban hành một mẫu đơn yêu cầu xóa dữ liệu chính thức như mẫu phiếu yêu cầu cung cấp dữ liệu cá nhân, chủ thể dữ liệu vẫn có thể tự soạn thảo một văn bản yêu cầu hợp lệ.
Nội dung của một văn bản yêu cầu xóa dữ liệu cần có những gì?
Một yêu cầu hiệu quả cần bao gồm các thông tin sau:
- Thông tin định danh của bạn: Họ tên đầy đủ, ngày sinh, số điện thoại hoặc email đã đăng ký với tổ chức. Điều này giúp họ xác minh bạn là chủ sở hữu hợp pháp của dữ liệu.
- Tên và thông tin của tổ chức bạn đang yêu cầu.
- Nội dung yêu cầu rõ ràng: Nêu rõ “Tôi yêu cầu quý công ty xóa toàn bộ dữ liệu cá nhân của tôi mà quý công ty đang lưu giữ”.
- Căn cứ pháp lý (không bắt buộc nhưng nên có): Trích dẫn “Căn cứ theo quyền xóa dữ liệu tại Khoản 5, Điều 9 Nghị định 13/2023/NĐ-CP”.
- Yêu cầu xác nhận: Đề nghị công ty gửi văn bản xác nhận sau khi đã hoàn tất việc xóa dữ liệu.
💡 Luật sư Nguyễn Lâm Sơn chia sẻ: “Khi gửi yêu cầu, hãy ưu tiên sử dụng các kênh có thể lưu lại dấu vết như email. Trong suốt quá trình tư vấn, chúng tôi nhận thấy nhiều trường hợp yêu cầu qua điện thoại hoặc nói miệng thường không được xử lý nghiêm túc. Một email rõ ràng, chuyên nghiệp sẽ là bằng chứng pháp lý quan trọng nếu có tranh chấp xảy ra sau này.”
Doanh nghiệp có những nghĩa vụ cụ thể nào trong việc xóa và hủy dữ liệu?
Nghĩa vụ của doanh nghiệp bao gồm: (1) Xây dựng quy trình tiếp nhận và xử lý yêu cầu xóa dữ liệu; (2) Thực hiện xóa dữ liệu trong vòng 72 giờ; (3) Áp dụng các biện pháp kỹ thuật để xóa không thể khôi phục trong các trường hợp luật định; và (4) Xây dựng chính sách lưu trữ và hủy dữ liệu nội bộ.
Việc tuân thủ các nghĩa vụ này đòi hỏi sự chuẩn bị kỹ lưỡng từ phía doanh nghiệp, đặc biệt là sự phối hợp giữa bộ phận Pháp chế và IT.
- Xây dựng quy trình (SOP): Doanh nghiệp cần có một quy trình hoạt động tiêu chuẩn (SOP) để xử lý yêu cầu xóa dữ liệu, phân công rõ ai tiếp nhận, ai xác minh, ai thực hiện xóa trên hệ thống và ai phản hồi cho khách hàng.
- Áp dụng biện pháp kỹ thuật phù hợp: Đây là trách nhiệm của bộ phận IT. Cần xác định các phương pháp hủy dữ liệu an toàn, phù hợp với từng loại phương tiện lưu trữ. Theo tiêu chuẩn quốc tế như NIST SP 800-88, có ba phương pháp chính:
- Clear (Xóa sạch): Sử dụng các lệnh ghi đè dữ liệu, phù hợp cho việc tái sử dụng thiết bị trong nội bộ.
- Purge (Thanh tẩy): Sử dụng các kỹ thuật cao cấp hơn như khử từ, đảm bảo dữ liệu không thể khôi phục bằng các công cụ thông thường.
- Destroy (Phá hủy): Phá hủy vật lý thiết bị lưu trữ (bằng cách nghiền, nung chảy), là phương pháp an toàn nhất.
- Xây dựng Chính sách Lưu trữ (Retention Policy): Doanh nghiệp phải có một chính sách rõ ràng, quy định thời gian lưu trữ cho từng loại dữ liệu và quy trình hủy dữ liệu tự động khi hết hạn.
DPVN: Tư Vấn Xây Dựng Quy Trình Xóa và Hủy Dữ Liệu Cá Nhân An Toàn
Việc xây dựng một quy trình xóa và hủy dữ liệu cá nhân vừa tuân thủ pháp luật vừa khả thi về mặt kỹ thuật là một thách thức. Một quy trình không đầy đủ có thể khiến doanh nghiệp đối mặt với rủi ro pháp lý và an ninh.
Tại DPVN, chúng tôi kết hợp chuyên môn pháp lý của Luật sư Nguyễn Lâm Sơn và kiến thức kỹ thuật để giúp doanh nghiệp xây dựng các chính sách và quy trình toàn diện. Hãy tìm hiểu thêm tại website baovedlcn.vn hoặc liên hệ trực tiếp:
Hotline: 0982976486
Email: lamson@baovedlcn.vn
Địa chỉ: Tầng 6 Tòa Star Tower, Phố Trương Công Giai, Phường Yên Hòa, Quận Cầu Giấy, Thành Phố Hà Nội
Câu hỏi thường gặp về Xóa và Hủy dữ liệu cá nhân
1. Có trường hợp nào doanh nghiệp được từ chối yêu cầu xóa dữ liệu không?
Có. Theo Khoản 2, Điều 16 Nghị định 13, doanh nghiệp có thể từ chối yêu cầu xóa dữ liệu nếu pháp luật chuyên ngành quy định không cho phép xóa (ví dụ: hồ sơ kế toán), hoặc việc xóa có thể ảnh hưởng đến an ninh quốc gia, hoặc dữ liệu đang được xử lý cho mục đích nghiên cứu khoa học, thống kê.
2. Dữ liệu trong các bản sao lưu (backup) có phải xóa không?
Đây là một thách thức kỹ thuật. Thực tiễn tốt nhất là dữ liệu trong hệ thống chính (live system) phải được xóa ngay. Đối với các bản sao lưu, doanh nghiệp nên có chính sách để đảm bảo dữ liệu đó sẽ bị ghi đè và biến mất theo chu kỳ sao lưu, và không được khôi phục lại hệ thống chính nếu không cần thiết.
3. Khi một doanh nghiệp sáp nhập hoặc giải thể, dữ liệu cá nhân sẽ được xử lý như thế nào?
Theo Khoản 3, Điều 16 Nghị định 13, trong trường hợp sáp nhập, hợp nhất, dữ liệu sẽ được chuyển giao cho pháp nhân mới. Trong trường hợp giải thể hoặc phá sản, doanh nghiệp có nghĩa vụ phải hủy, xóa không thể khôi phục toàn bộ dữ liệu cá nhân mà mình đang nắm giữ.
4. Xóa không thể khôi phục có áp dụng cho hồ sơ giấy không?
Có. Đối với hồ sơ giấy, “xóa không thể khôi phục” chính là hủy vật lý, ví dụ như sử dụng máy hủy tài liệu chuyên dụng để cắt nhỏ giấy tờ, đảm bảo không thể ghép lại và đọc được thông tin.
5. Doanh nghiệp có cần ghi lại nhật ký về việc xóa/hủy dữ liệu không?
Rất nên. Mặc dù luật không quy định rõ ràng về việc này, việc duy trì một nhật ký hoặc biên bản về việc hủy dữ liệu (ghi rõ dữ liệu gì, lý do hủy, phương pháp hủy, người thực hiện) là một bằng chứng quan trọng để chứng minh sự tuân thủ của doanh nghiệp trước cơ quan chức năng.
Nguồn tham khảo:
- Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân: https://thuvienphapluat.vn/van-ban/Cong-nghe-thong-tin/Nghi-dinh-13-2023-ND-CP-bao-ve-du-lieu-ca-nhan-562955.aspx
- Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân: https://baovedlcn.gov.vn
- NIST Special Publication 800-88, Guidelines for Media Sanitization: https://csrc.nist.gov/publications/detail/sp/800-88/rev-1/final
- The right to erasure – Information Commissioner’s Office (UK): https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/individual-rights/right-to-erasure/
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: https://thuvienphapluat.vn/
