The Rights of Personal Data Subjects under the 2025 Law on Personal Data Protection: Theoretical Issues and Requirements for Effective Implementation
Lăng Minh Quân
Công ty TNHH Nam Phát Long
Email: quan.langminh@gmail.com
(Quanlynhanuoc.vn) – Quyền của chủ thể dữ liệu cá nhân là một trong những nội dung cốt lõi của pháp luật bảo vệ dữ liệu cá nhân, phản ánh xu hướng chuyển từ mô hình bảo vệ thụ động sang trao quyền chủ động cho cá nhân trong kiểm soát dữ liệu của mình. Trên cơ sở phân tích các quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025 và tiếp cận từ góc độ quyền con người trong kỷ nguyên số, bài viết làm rõ cơ sở lý luận về dữ liệu cá nhân, chủ thể dữ liệu và quyền của chủ thể dữ liệu; đồng thời luận giải các yêu cầu bảo đảm quyền của chủ thể dữ liệu trong bối cảnh phát triển chính quyền số, kinh tế số và xã hội số. Trên cơ sở đó, bài viết đề xuất một số kiến nghị nhằm tiếp tục hoàn thiện pháp luật, nâng cao hiệu quả quản lý nhà nước, tăng cường trách nhiệm của các chủ thể xử lý dữ liệu, tạo điều kiện thuận lợi cho việc thực hiện quyền của chủ thể dữ liệu và xây dựng văn hóa tôn trọng dữ liệu cá nhân.
Từ khóa: Quyền của chủ thể dữ liệu, dữ liệu cá nhân, bảo vệ dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân năm 2025, quyền con người, chuyển đổi số.
Abstract: The rights of personal data subjects constitute one of the fundamental pillars of personal data protection law, reflecting the shift from a passive protection model to an empowerment-based approach that enables individuals to exercise effective control over their personal data. Drawing upon an analysis of the provisions of the 2025 Law on Personal Data Protection and adopting a human rights–based perspective in the digital era, this article clarifies the theoretical foundations of personal data, data subjects, and the concept of data subject rights. It further examines the system of rights of personal data subjects as prescribed in Article 4 of the 2025 Law on Personal Data Protection and discusses the requirements for ensuring these rights in the context of the development of digital government, the digital economy, and the digital society. Based on this analysis, the article proposes several recommendations to further improve the legal framework, enhance the effectiveness of state management, strengthen the accountability of data-processing entities, facilitate the exercise of data subject rights, and foster a culture of respect for personal data.
Keywords: Data subject rights; personal data; personal data protection; the 2025 Law on Personal Data Protection; human rights; digital transformation.
1. Đặt vấn đề
Trong bối cảnh chuyển đổi số đang diễn ra mạnh mẽ trên phạm vi toàn cầu, dữ liệu cá nhân đã trở thành một nguồn lực quan trọng của nền kinh tế số, chính quyền số và xã hội số. Sự phát triển của trí tuệ nhân tạo (AI), dữ liệu lớn (Big Data), điện toán đám mây (Cloud Computing), Internet vạn vật (IoT) và các nền tảng số đã làm thay đổi căn bản phương thức thu thập, lưu trữ, phân tích và khai thác dữ liệu cá nhân. Dữ liệu cá nhân không còn chỉ là thông tin gắn với một cá nhân cụ thể mà đã trở thành yếu tố đầu vào của quá trình quản trị nhà nước, cung ứng dịch vụ công, phát triển kinh tế số và đổi mới sáng tạo. Tuy nhiên, cùng với những lợi ích to lớn đó là nguy cơ ngày càng gia tăng về xâm phạm quyền riêng tư, sử dụng trái phép dữ liệu cá nhân, rò rỉ thông tin, giám sát quá mức và lạm dụng dữ liệu phục vụ các mục đích thương mại hoặc quản lý. Trong môi trường số, dữ liệu cá nhân trở thành một trong những đối tượng dễ bị xâm phạm nhất, đặt ra yêu cầu cấp thiết phải xây dựng cơ chế pháp lý đầy đủ nhằm bảo vệ quyền và lợi ích hợp pháp của cá nhân.
Bảo vệ dữ liệu cá nhân hiện nay không còn được nhìn nhận đơn thuần là vấn đề kỹ thuật hay an ninh mạng mà đã trở thành một nội dung quan trọng của bảo đảm quyền con người trong kỷ nguyên số. Nhiều quốc gia và tổ chức quốc tế đã chuyển từ cách tiếp cận “bảo vệ thông tin cá nhân” sang cách tiếp cận “trao quyền kiểm soát dữ liệu cho chủ thể dữ liệu”, theo đó cá nhân không chỉ được bảo vệ trước các hành vi xâm phạm mà còn được trao quyền chủ động quyết định việc thu thập, sử dụng, chia sẻ, chỉnh sửa, hạn chế hoặc chấm dứt việc xử lý dữ liệu của mình. Cách tiếp cận này phản ánh xu hướng phát triển của pháp luật hiện đại, coi dữ liệu cá nhân gắn chặt với quyền tự do, quyền riêng tư và quyền tự quyết của mỗi cá nhân.
Ở Việt Nam, việc Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân năm 2025 đánh dấu bước phát triển quan trọng trong quá trình hoàn thiện thể chế bảo đảm quyền con người trong môi trường số. Lần đầu tiên, pháp luật Việt Nam thiết lập tương đối đầy đủ hệ thống quyền của chủ thể dữ liệu cá nhân tại Điều 4, bao gồm quyền được biết về hoạt động xử lý dữ liệu cá nhân; quyền đồng ý hoặc không đồng ý, rút lại sự đồng ý; quyền xem, chỉnh sửa, yêu cầu cung cấp, xóa, hạn chế hoặc phản đối việc xử lý dữ liệu; quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại; đồng thời trao cho chủ thể dữ liệu quyền yêu cầu cơ quan có thẩm quyền hoặc các tổ chức, cá nhân liên quan áp dụng các biện pháp bảo vệ dữ liệu cá nhân theo quy định của pháp luật. Việc ghi nhận các quyền này không chỉ góp phần cụ thể hóa quy định của Hiến pháp năm 2013 về quyền con người, quyền công dân, mà còn thể hiện sự chuyển biến trong tư duy lập pháp từ bảo vệ thụ động sang trao quyền chủ động cho cá nhân trong việc kiểm soát dữ liệu của mình.
2. Cơ sở lý luận về quyền của chủ thể dữ liệu cá nhân
2.1. Khái niệm dữ liệu cá nhân và chủ thể dữ liệu
Sự phát triển của công nghệ số đã làm cho dữ liệu trở thành nguồn tài nguyên đặc biệt quan trọng đối với hoạt động quản trị nhà nước, phát triển kinh tế và cung ứng dịch vụ xã hội. Trong số các loại dữ liệu, dữ liệu cá nhân là nhóm dữ liệu có mối liên hệ trực tiếp với quyền và lợi ích của mỗi cá nhân, bởi nó phản ánh danh tính, đặc điểm, hành vi, tình trạng và các thông tin khác gắn với một con người cụ thể. Chính vì vậy, việc xác định đúng nội hàm của dữ liệu cá nhân và chủ thể dữ liệu có ý nghĩa nền tảng trong việc xây dựng cơ chế bảo vệ quyền con người trong môi trường số.
Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân năm 2025, dữ liệu cá nhân là dữ liệu dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Cách tiếp cận này cho thấy dữ liệu cá nhân không chỉ bao gồm các thông tin nhận dạng trực tiếp như họ tên, ngày tháng năm sinh, số định danh cá nhân, địa chỉ, hình ảnh hay số điện thoại, mà còn bao gồm những dữ liệu có khả năng nhận diện một cá nhân thông qua việc kết hợp với các nguồn dữ liệu khác. Do đó, phạm vi của dữ liệu cá nhân trong môi trường số ngày càng mở rộng cùng với sự phát triển của công nghệ phân tích dữ liệu và trí tuệ nhân tạo.
Từ khái niệm dữ liệu cá nhân, chủ thể dữ liệu được hiểu là cá nhân mà dữ liệu cá nhân phản ánh hoặc cá nhân có dữ liệu được thu thập, lưu trữ, xử lý trong các hoạt động của cơ quan nhà nước, tổ chức và cá nhân. Chủ thể dữ liệu là trung tâm của quan hệ pháp luật về bảo vệ dữ liệu cá nhân bởi mọi hoạt động xử lý dữ liệu đều hướng đến hoặc tác động trực tiếp đến quyền và lợi ích của họ. Khác với cách tiếp cận truyền thống chỉ coi cá nhân là đối tượng được bảo vệ, pháp luật hiện đại đặt chủ thể dữ liệu vào vị trí chủ động, được trao các quyền pháp lý nhằm quyết định và kiểm soát việc xử lý dữ liệu liên quan đến mình.
Để làm rõ vị trí pháp lý của chủ thể dữ liệu, cần phân biệt với người kiểm soát dữ liệu và người xử lý dữ liệu. Người kiểm soát dữ liệu là cơ quan, tổ chức hoặc cá nhân quyết định mục đích và phương thức xử lý dữ liệu cá nhân; trong khi đó, người xử lý dữ liệu là chủ thể thực hiện việc xử lý dữ liệu theo sự ủy quyền hoặc theo yêu cầu của người kiểm soát dữ liệu. Nếu người kiểm soát dữ liệu giữ vai trò quyết định “vì sao” và “bằng cách nào” dữ liệu được xử lý thì người xử lý dữ liệu chủ yếu thực hiện các hoạt động kỹ thuật hoặc nghiệp vụ liên quan đến việc xử lý dữ liệu. Ngược lại, chủ thể dữ liệu không tham gia vào quá trình tổ chức xử lý dữ liệu mà là người có quyền yêu cầu các chủ thể xử lý dữ liệu phải tôn trọng, bảo vệ và bảo đảm các quyền của mình theo quy định của pháp luật. Sự phân định rõ ba chủ thể này là cơ sở để xác định quyền, nghĩa vụ và trách nhiệm pháp lý trong quan hệ bảo vệ dữ liệu cá nhân.
2.2. Khái niệm quyền của chủ thể dữ liệu
Sự phát triển của kinh tế số, chính phủ số và xã hội số đã làm thay đổi căn bản cách thức thu thập, xử lý, lưu trữ và khai thác dữ liệu cá nhân. Nếu trước đây dữ liệu chủ yếu được xem là một dạng thông tin gắn với đời sống riêng tư của cá nhân thì trong môi trường số, dữ liệu đã trở thành một loại tài sản có giá trị kinh tế, nguồn lực của nền kinh tế số và đồng thời là đối tượng của các quan hệ pháp luật mới. Chính vì vậy, việc xác lập địa vị pháp lý của cá nhân đối với dữ liệu của mình trở thành yêu cầu tất yếu trong quá trình hoàn thiện pháp luật bảo vệ dữ liệu cá nhân.
Khái niệm quyền của chủ thể dữ liệu được hình thành trên cơ sở phát triển của quyền con người về quyền riêng tư và quyền tự quyết thông tin (informational self-determination). Nếu quyền riêng tư truyền thống tập trung bảo vệ cá nhân trước sự xâm phạm vào đời sống riêng tư thì quyền của chủ thể dữ liệu mở rộng phạm vi bảo vệ sang toàn bộ vòng đời của dữ liệu cá nhân, từ khi dữ liệu được thu thập, sử dụng, chia sẻ, lưu trữ đến khi bị xóa bỏ hoặc hủy bỏ. Nói cách khác, quyền của chủ thể dữ liệu không chỉ bảo vệ sự bí mật của thông tin mà còn bảo đảm khả năng kiểm soát của cá nhân đối với mọi hoạt động xử lý dữ liệu liên quan đến mình.
Từ góc độ lý luận pháp lý, quyền của chủ thể dữ liệu có thể được hiểu là tổng thể các quyền pháp lý mà pháp luật ghi nhận và bảo đảm cho cá nhân nhằm quyết định, kiểm soát, giám sát và yêu cầu xử lý đối với dữ liệu cá nhân của mình trong toàn bộ quá trình xử lý dữ liệu, qua đó bảo vệ quyền con người, quyền công dân, lợi ích hợp pháp và nhân phẩm của cá nhân trong môi trường số.
Khái niệm này phản ánh ba nội hàm cơ bản.
Thứ nhất, quyền của chủ thể dữ liệu là một quyền nhân thân đặc biệt gắn liền với cá nhân. Khác với quyền sở hữu tài sản, quyền của chủ thể dữ liệu không nhằm xác lập quyền chiếm hữu hay định đoạt tuyệt đối đối với dữ liệu theo nghĩa tài sản, mà bảo đảm cá nhân luôn giữ vai trò trung tâm trong việc quyết định cách thức dữ liệu của mình được thu thập, sử dụng và chia sẻ. Quyền này tồn tại độc lập với việc dữ liệu được lưu giữ ở đâu, do ai quản lý hay được xử lý bằng phương thức nào.
Thứ hai, quyền của chủ thể dữ liệu là quyền kiểm soát đối với hoạt động xử lý dữ liệu. Đối tượng trực tiếp của quyền không phải bản thân dữ liệu mà là các hành vi xử lý dữ liệu của các tổ chức, doanh nghiệp và cơ quan nhà nước. Vì vậy, pháp luật hiện đại không chỉ quy định dữ liệu nào cần được bảo vệ mà còn quy định điều kiện, nguyên tắc, giới hạn và trách nhiệm pháp lý của mọi chủ thể tham gia xử lý dữ liệu. Điều này thể hiện sự chuyển dịch từ mô hình bảo vệ thông tin sang mô hình quản trị hoạt động xử lý dữ liệu.
Thứ ba, quyền của chủ thể dữ liệu là quyền được pháp luật bảo đảm thực thi bằng các cơ chế pháp lý hữu hiệu. Giá trị của quyền không chỉ nằm ở việc được ghi nhận trong văn bản pháp luật mà còn phải được bảo đảm bằng các cơ chế thực hiện như quyền yêu cầu cung cấp thông tin, quyền yêu cầu sửa đổi hoặc xóa dữ liệu, quyền phản đối việc xử lý, quyền rút lại sự đồng ý, quyền khiếu nại, khởi kiện và yêu cầu bồi thường thiệt hại khi quyền bị xâm phạm. Do đó, quyền của chủ thể dữ liệu luôn gắn liền với trách nhiệm của bên kiểm soát dữ liệu, bên xử lý dữ liệu và cơ chế giám sát của Nhà nước.
Ở Việt Nam, Nghị định số 13/2023/NĐ-CP ngày 17/4/2023 của Chính phủ về bảo vệ dữ liệu cá nhân và Luật Dữ liệu năm 2024 đã bước đầu xác lập địa vị pháp lý của chủ thể dữ liệu thông qua việc ghi nhận các quyền cơ bản của cá nhân trong quá trình xử lý dữ liệu. Tuy nhiên, xét dưới góc độ lập pháp, các quy định hiện hành vẫn chủ yếu dừng lại ở việc liệt kê các quyền mà chưa hình thành một khái niệm pháp lý thống nhất về quyền của chủ thể dữ liệu cũng như chưa làm rõ bản chất pháp lý, phạm vi và cơ chế bảo đảm thực hiện các quyền này. Điều đó dẫn đến sự thiếu thống nhất trong nhận thức và áp dụng pháp luật, đặc biệt trong bối cảnh dữ liệu cá nhân ngày càng được khai thác trên quy mô lớn bằng các công nghệ BigData, Cloud Computing và AI.
2.3. Nội dung quyền của chủ thể dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân năm 2025
Luật Bảo vệ dữ liệu cá nhân năm 2025 lần đầu tiên quy định tương đối đầy đủ hệ thống quyền của chủ thể dữ liệu cá nhân tại Điều 4. Nếu như trước đây các quyền liên quan đến dữ liệu cá nhân được quy định rải rác trong nhiều văn bản pháp luật với phạm vi và mức độ bảo vệ khác nhau, thì Luật Bảo vệ dữ liệu cá nhân năm 2025 đã thiết lập một cơ chế quyền tương đối thống nhất, bảo đảm cho chủ thể dữ liệu có khả năng tham gia, kiểm soát và bảo vệ dữ liệu của mình trong toàn bộ quá trình xử lý dữ liệu. Các quyền này không tồn tại độc lập mà có mối liên hệ bổ trợ lẫn nhau, hình thành chuỗi quyền xuyên suốt từ giai đoạn trước khi xử lý dữ liệu, trong quá trình xử lý đến khi phát sinh tranh chấp hoặc quyền bị xâm phạm.
Một là, quyền được biết về hoạt động xử lý dữ liệu cá nhân.
Quyền được biết là quyền đầu tiên được ghi nhận tại điểm a khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025 và cũng là tiền đề để chủ thể dữ liệu thực hiện các quyền khác. Theo đó, chủ thể dữ liệu có quyền được biết dữ liệu cá nhân của mình có đang được xử lý hay không, mục đích xử lý là gì, chủ thể nào đang kiểm soát hoặc xử lý dữ liệu, phạm vi dữ liệu được xử lý và các thông tin cần thiết khác theo quy định của pháp luật.
Xét về bản chất, đây là quyền bảo đảm tính minh bạch trong hoạt động xử lý dữ liệu cá nhân. Trong môi trường số, dữ liệu cá nhân có thể được thu thập và chia sẻ qua nhiều hệ thống, nền tảng và cơ sở dữ liệu khác nhau mà chủ thể dữ liệu không trực tiếp nhận biết. Nếu không có quyền được biết, cá nhân sẽ không có căn cứ để đánh giá tính hợp pháp của việc xử lý dữ liệu cũng như không thể thực hiện các quyền tiếp theo như đồng ý, yêu cầu chỉnh sửa, xóa hoặc phản đối xử lý dữ liệu. Đối với các cơ quan nhà nước, tổ chức và doanh nghiệp, quyền được biết đặt ra nghĩa vụ cung cấp thông tin đầy đủ, rõ ràng và dễ tiếp cận cho chủ thể dữ liệu trước và trong quá trình xử lý dữ liệu. Điều này góp phần nâng cao tính công khai, minh bạch và trách nhiệm giải trình trong hoạt động xử lý dữ liệu cá nhân.
Hai là, quyền quyết định đối với việc xử lý dữ liệu cá nhân.
Điểm b khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định chủ thể dữ liệu có quyền đồng ý hoặc không đồng ý, đồng thời có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân. Đây là nhóm quyền thể hiện rõ nhất quyền quyết định của cá nhân đối với dữ liệu của mình. Khác với cách tiếp cận chỉ yêu cầu chủ thể xử lý dữ liệu phải thông báo, Luật Bảo vệ dữ liệu cá nhân năm 2025 đã trao cho chủ thể dữ liệu quyền lựa chọn việc cho phép hay không cho phép xử lý dữ liệu. Đặc biệt, quyền rút lại sự đồng ý khẳng định rằng sự đồng ý không phải là sự chấp thuận có hiệu lực vô thời hạn mà có thể được thay đổi khi chủ thể dữ liệu không còn mong muốn tiếp tục việc xử lý. Việc ghi nhận đồng thời ba quyền: đồng ý, không đồng ý và rút lại sự đồng ý cho thấy Luật Bảo vệ dữ liệu cá nhân năm 2025 hướng đến bảo đảm tính tự nguyện và khả năng kiểm soát thực chất của chủ thể dữ liệu đối với hoạt động xử lý dữ liệu cá nhân. Đây cũng là cơ sở để xác định tính hợp pháp của nhiều hoạt động xử lý dữ liệu trong thực tiễn.
Ba là, quyền kiểm soát nội dung và phạm vi xử lý dữ liệu cá nhân.
Một trong những điểm nổi bật của Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025 là trao cho chủ thể dữ liệu quyền trực tiếp tác động đến dữ liệu của mình thông qua các quyền: xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân; yêu cầu cung cấp dữ liệu; yêu cầu xóa dữ liệu; yêu cầu hạn chế xử lý dữ liệu và gửi yêu cầu phản đối xử lý dữ liệu cá nhân. Các quyền này phản ánh khả năng kiểm soát dữ liệu trong toàn bộ vòng đời xử lý dữ liệu. Quyền xem và quyền yêu cầu cung cấp dữ liệu giúp chủ thể dữ liệu tiếp cận thông tin đang được lưu giữ; quyền chỉnh sửa và yêu cầu chỉnh sửa bảo đảm tính chính xác, đầy đủ và cập nhật của dữ liệu; quyền yêu cầu xóa dữ liệu và hạn chế xử lý dữ liệu cho phép chủ thể dữ liệu chấm dứt hoặc thu hẹp phạm vi xử lý trong những trường hợp luật định; trong khi quyền phản đối xử lý dữ liệu tạo điều kiện để cá nhân ngăn chặn việc tiếp tục xử lý khi có căn cứ cho rằng việc xử lý ảnh hưởng đến quyền và lợi ích hợp pháp của mình. Nhóm quyền này có ý nghĩa đặc biệt trong bối cảnh dữ liệu cá nhân được xử lý trên quy mô lớn và thường xuyên được chia sẻ giữa nhiều chủ thể khác nhau. Việc pháp luật trao cho cá nhân khả năng tác động trực tiếp đến dữ liệu của mình góp phần hạn chế nguy cơ dữ liệu sai lệch, bị sử dụng vượt quá mục đích hoặc tiếp tục được xử lý khi không còn căn cứ pháp lý.
Bốn là, quyền được bảo vệ bằng các cơ chế pháp lý.
Khác với nhiều quy định chỉ dừng lại ở việc xác lập quyền, Luật Bảo vệ dữ liệu cá nhân năm 2025 đồng thời thiết lập cơ chế pháp lý để bảo vệ các quyền đó. Theo điểm đ khoản 1 Điều 4, chủ thể dữ liệu có quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định của pháp luật. Quyền khiếu nại cho phép chủ thể dữ liệu yêu cầu cơ quan có thẩm quyền xem xét lại các quyết định hoặc hành vi xử lý dữ liệu mà họ cho rằng xâm phạm quyền và lợi ích hợp pháp của mình. Quyền tố cáo góp phần phát hiện và xử lý các hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân. Trong khi đó, quyền khởi kiện và yêu cầu bồi thường thiệt hại tạo cơ sở để chủ thể dữ liệu sử dụng cơ chế tư pháp nhằm bảo vệ quyền lợi khi bị xâm phạm. Việc kết hợp các cơ chế hành chính và tư pháp trong cùng một nhóm quyền cho thấy Luật không chỉ ghi nhận quyền trên phương diện hình thức mà còn thiết lập các công cụ pháp lý để bảo đảm quyền có thể được thực thi trong thực tế.
Năm là, quyền yêu cầu áp dụng các biện pháp bảo vệ dữ liệu cá nhân.
Bên cạnh các quyền trực tiếp đối với dữ liệu, điểm e khoản 1 Điều 4 còn quy định chủ thể dữ liệu có quyền yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân theo quy định của pháp luật. Đây là quy định có ý nghĩa quan trọng bởi nó xác lập nghĩa vụ tích cực của các chủ thể xử lý dữ liệu trong việc bảo vệ dữ liệu cá nhân. Nếu các quyền được phân tích ở các mục trên chủ yếu cho phép chủ thể dữ liệu trực tiếp quyết định hoặc kiểm soát dữ liệu của mình, thì quyền này hướng đến việc yêu cầu các chủ thể có trách nhiệm áp dụng các biện pháp kỹ thuật, quản lý và tổ chức nhằm ngăn ngừa nguy cơ xâm phạm dữ liệu. Đối với cơ quan nhà nước, quy định này góp phần tăng cường trách nhiệm quản lý nhà nước về bảo vệ dữ liệu cá nhân; đối với doanh nghiệp và các tổ chức xử lý dữ liệu, đây là cơ sở pháp lý để hoàn thiện hệ thống quản trị dữ liệu, tăng cường an toàn thông tin và chủ động ứng phó với các rủi ro liên quan đến dữ liệu cá nhân.
Như vậy, Điều 4 Luật Bảo vệ dữ liệu cá nhân năm 2025 đã thiết kế hệ thống quyền của chủ thể dữ liệu theo một logic thống nhất, bao quát toàn bộ quá trình xử lý dữ liệu cá nhân. Các quyền được ghi nhận không chỉ bảo đảm khả năng tiếp cận thông tin và quyền quyết định của chủ thể dữ liệu mà còn tạo điều kiện để cá nhân trực tiếp kiểm soát dữ liệu, sử dụng các cơ chế pháp lý bảo vệ quyền và yêu cầu các chủ thể có liên quan thực hiện nghĩa vụ bảo vệ dữ liệu cá nhân. Đây là bước phát triển quan trọng trong kỹ thuật lập pháp của Việt Nam, góp phần chuyển từ mô hình bảo vệ dữ liệu mang tính thụ động sang mô hình trao quyền chủ động cho chủ thể dữ liệu trong quá trình quản trị và khai thác dữ liệu cá nhân.
4. Yêu cầu bảo đảm quyền của chủ thể dữ liệu cá nhân
Việc Luật Bảo vệ dữ liệu cá nhân năm 2025 ghi nhận hệ thống quyền của chủ thể dữ liệu là bước tiến quan trọng trong quá trình hoàn thiện pháp luật về bảo vệ quyền con người trong môi trường số. Tuy nhiên, giá trị thực chất của các quyền này không chỉ được quyết định bởi việc ghi nhận trong văn bản pháp luật mà còn phụ thuộc vào khả năng được thực hiện trên thực tế. Trong khoa học pháp lý, quyền chỉ thực sự có ý nghĩa khi chủ thể có khả năng tiếp cận, thực hiện và được bảo vệ thông qua các cơ chế pháp lý và tổ chức phù hợp. Do đó, bảo đảm thực thi quyền của chủ thể dữ liệu cá nhân cần được nhìn nhận như một hệ thống điều kiện tổng thể, bao gồm yêu cầu về thể chế, tổ chức thực hiện, năng lực quản trị, trách nhiệm của các chủ thể xử lý dữ liệu và nhận thức của xã hội.
Thứ nhất, bảo đảm tính thống nhất và đồng bộ của hệ thống pháp luật
Hiệu quả thực thi quyền của chủ thể dữ liệu trước hết phụ thuộc vào tính đầy đủ, thống nhất và khả thi của hệ thống pháp luật. Mặc dù Luật Bảo vệ dữ liệu cá nhân năm 2025 đã tạo lập khuôn khổ pháp lý chuyên ngành, nhưng trong thực tiễn việc xử lý dữ liệu cá nhân còn chịu sự điều chỉnh của nhiều đạo luật khác nhau, như: Bộ luật Dân sự, Luật Giao dịch điện tử, Luật An ninh mạng, Luật An toàn thông tin mạng, pháp luật về lưu trữ, tố tụng, viễn thông, tài chính, ngân hàng, y tế và các lĩnh vực chuyên ngành khác. Nếu thiếu sự thống nhất giữa các quy định này có thể dẫn đến xung đột pháp luật hoặc làm giảm hiệu quả bảo vệ quyền của chủ thể dữ liệu. Do đó, yêu cầu đầu tiên là tiếp tục hoàn thiện hệ thống pháp luật theo hướng đồng bộ hóa các quy định liên quan đến thu thập, lưu trữ, chia sẻ, chuyển giao và xử lý dữ liệu cá nhân; đồng thời cụ thể hóa các cơ chế thực hiện từng quyền được quy định tại Điều 4. Chỉ khi hệ thống pháp luật được thiết kế thống nhất, quyền của chủ thể dữ liệu mới có cơ sở pháp lý đầy đủ để được thực thi hiệu quả.
Thứ hai, bảo đảm năng lực thực thi và trách nhiệm giải trình của cơ quan, tổ chức xử lý dữ liệu.
Quyền của chủ thể dữ liệu chỉ có thể được bảo đảm khi các chủ thể có trách nhiệm xử lý dữ liệu thực hiện đầy đủ nghĩa vụ của mình. Trong bối cảnh chính quyền số và kinh tế số, cơ quan nhà nước, doanh nghiệp và các tổ chức cung cấp dịch vụ số đều là những chủ thể thường xuyên thu thập và xử lý khối lượng lớn dữ liệu cá nhân. Điều này đòi hỏi các chủ thể xử lý dữ liệu không chỉ tuân thủ các quy định của pháp luật mà còn phải xây dựng cơ chế quản trị dữ liệu minh bạch, có khả năng giải trình và chịu trách nhiệm đối với toàn bộ quá trình xử lý dữ liệu. Yêu cầu về trách nhiệm giải trình cần được xem là nguyên tắc xuyên suốt trong quản trị dữ liệu hiện đại. Theo đó, cơ quan, tổ chức xử lý dữ liệu phải có khả năng chứng minh tính hợp pháp của hoạt động xử lý dữ liệu, giải thích căn cứ pháp lý của việc thu thập và sử dụng dữ liệu, cũng như kịp thời đáp ứng các yêu cầu của chủ thể dữ liệu theo quy định của pháp luật. Đây không chỉ là yêu cầu về tuân thủ pháp luật mà còn là điều kiện để củng cố niềm tin của người dân đối với hoạt động của cơ quan nhà nước và các nền tảng số.
Thứ ba, bảo đảm khả năng tiếp cận và thực hiện quyền của chủ thể dữ liệu
Một quyền được pháp luật ghi nhận sẽ khó phát huy giá trị nếu chủ thể quyền không có khả năng thực hiện quyền đó một cách thuận lợi. Trong môi trường số, việc thực hiện các quyền như yêu cầu cung cấp dữ liệu, chỉnh sửa dữ liệu, xóa dữ liệu, phản đối xử lý hoặc rút lại sự đồng ý cần được hỗ trợ bằng các quy trình rõ ràng, đơn giản và thuận tiện. Yêu cầu đặt ra là các cơ quan, tổ chức xử lý dữ liệu phải xây dựng cơ chế tiếp nhận, xác minh và giải quyết yêu cầu của chủ thể dữ liệu theo quy trình minh bạch, có thời hạn xử lý cụ thể và bảo đảm khả năng tiếp cận đối với mọi đối tượng. Đồng thời, việc ứng dụng công nghệ số cần hướng tới tạo điều kiện để chủ thể dữ liệu có thể thực hiện các quyền của mình thông qua các phương thức điện tử, giảm chi phí tuân thủ và nâng cao hiệu quả thực thi pháp luật.
Thứ tư, bảo đảm cơ chế giám sát, kiểm tra và bảo vệ quyền khi bị xâm phạm
Việc ghi nhận quyền sẽ không có ý nghĩa nếu thiếu cơ chế giám sát và xử lý vi phạm. Do đó, bảo đảm thực thi quyền của chủ thể dữ liệu phải gắn với việc thiết lập cơ chế giám sát hiệu quả đối với hoạt động xử lý dữ liệu của cơ quan nhà nước, tổ chức và cá nhân. Yêu cầu này bao gồm việc tăng cường hoạt động thanh tra, kiểm tra việc tuân thủ pháp luật về bảo vệ dữ liệu cá nhân; phát hiện và xử lý kịp thời các hành vi vi phạm; đồng thời bảo đảm cho chủ thể dữ liệu có thể sử dụng hiệu quả các cơ chế khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại khi quyền bị xâm phạm. Bên cạnh đó, cơ chế giám sát cần thích ứng với sự phát triển của công nghệ, đặc biệt là các hoạt động xử lý dữ liệu tự động, trí tuệ nhân tạo và chuyển dữ liệu xuyên biên giới, nhằm hạn chế các nguy cơ xâm phạm quyền của chủ thể dữ liệu trong môi trường số.
Thứ năm, bảo đảm nhận thức pháp luật và văn hóa tôn trọng dữ liệu cá nhân
Bảo vệ dữ liệu cá nhân không chỉ là trách nhiệm của Nhà nước mà còn là trách nhiệm của toàn xã hội. Thực tiễn cho thấy nhiều hành vi xâm phạm dữ liệu cá nhân xuất phát từ nhận thức chưa đầy đủ của cả chủ thể dữ liệu và các tổ chức xử lý dữ liệu về giá trị pháp lý của dữ liệu cá nhân cũng như các nghĩa vụ phát sinh trong quá trình xử lý dữ liệu. Vì vậy, yêu cầu quan trọng là xây dựng văn hóa tôn trọng dữ liệu cá nhân trong xã hội số. Đối với cơ quan nhà nước và doanh nghiệp, cần hình thành văn hóa tuân thủ pháp luật về bảo vệ dữ liệu cá nhân, coi bảo vệ dữ liệu là một tiêu chí của quản trị tốt và trách nhiệm xã hội. Đối với người dân, cần nâng cao nhận thức về các quyền được pháp luật ghi nhận, chủ động sử dụng các cơ chế bảo vệ quyền khi dữ liệu cá nhân bị xâm phạm. Khi nhận thức pháp luật và văn hóa bảo vệ dữ liệu được nâng cao, quyền của chủ thể dữ liệu mới có thể được thực hiện một cách chủ động, thực chất và bền vững.
5. Một số kiến nghị
Một là, tiếp tục hoàn thiện hệ thống pháp luật về bảo vệ dữ liệu cá nhân theo hướng đồng bộ, thống nhất và thích ứng với sự phát triển của công nghệ số. Luật Bảo vệ dữ liệu cá nhân năm 2025 đã tạo lập nền tảng pháp lý quan trọng, tuy nhiên cần tiếp tục rà soát các quy định có liên quan trong các lĩnh vực như dân sự, giao dịch điện tử, an ninh mạng, viễn thông, tài chính, y tế, giáo dục và lưu trữ nhằm bảo đảm tính thống nhất của hệ thống pháp luật. Đồng thời, cần sớm ban hành đầy đủ các văn bản quy định chi tiết và hướng dẫn thi hành, nhất là đối với trình tự, thủ tục thực hiện các quyền của chủ thể dữ liệu, trách nhiệm của các chủ thể xử lý dữ liệu và cơ chế phối hợp giữa các cơ quan quản lý nhà nước. Bên cạnh đó, trong bối cảnh trí tuệ nhân tạo, dữ liệu lớn và chuyển dữ liệu xuyên biên giới phát triển nhanh chóng, cần tiếp tục nghiên cứu hoàn thiện pháp luật theo hướng điều chỉnh các hoạt động xử lý dữ liệu tự động, ra quyết định bằng thuật toán và các mô hình khai thác dữ liệu mới nhằm bảo đảm quyền của chủ thể dữ liệu trước những rủi ro phát sinh từ công nghệ.
Hai là, nâng cao hiệu lực, hiệu quả quản lý nhà nước về bảo vệ dữ liệu cá nhân. Các cơ quan quản lý nhà nước cần tăng cường năng lực quản lý, thanh tra, kiểm tra và giám sát việc tuân thủ pháp luật về bảo vệ dữ liệu cá nhân đối với cả khu vực công và khu vực tư. Việc xây dựng cơ sở dữ liệu phục vụ công tác quản lý, hệ thống cảnh báo rủi ro, cơ chế tiếp nhận và xử lý phản ánh của người dân cần được triển khai đồng bộ nhằm phát hiện và xử lý kịp thời các hành vi vi phạm. Đồng thời, cần đẩy mạnh ứng dụng công nghệ số trong hoạt động quản lý nhà nước về bảo vệ dữ liệu cá nhân, hình thành cơ chế giám sát dựa trên dữ liệu và quản trị rủi ro thay cho phương thức quản lý chủ yếu dựa vào hậu kiểm như hiện nay. Đây cũng là yêu cầu phù hợp với quá trình xây dựng chính quyền số và quản trị công hiện đại.
Ba là, tăng cường trách nhiệm tuân thủ và trách nhiệm giải trình của các chủ thể xử lý dữ liệu. Các cơ quan, tổ chức và doanh nghiệp xử lý dữ liệu cần xây dựng hệ thống quản trị dữ liệu cá nhân theo hướng chuyên nghiệp, minh bạch và lấy quyền của chủ thể dữ liệu làm trung tâm. Việc thu thập và xử lý dữ liệu phải tuân thủ đúng mục đích, phạm vi, thời hạn và căn cứ pháp lý theo quy định; đồng thời phải thiết lập cơ chế nội bộ để tiếp nhận, giải quyết kịp thời các yêu cầu của chủ thể dữ liệu liên quan đến việc xem, chỉnh sửa, xóa, hạn chế xử lý hoặc phản đối xử lý dữ liệu. Cùng với đó, cần chú trọng đầu tư các giải pháp kỹ thuật bảo đảm an toàn dữ liệu, tăng cường kiểm soát truy cập, phòng ngừa rò rỉ dữ liệu và xây dựng quy trình ứng phó khi xảy ra sự cố an ninh dữ liệu. Trách nhiệm giải trình cần trở thành một nguyên tắc quản trị bắt buộc trong mọi hoạt động xử lý dữ liệu cá nhân.
Bốn là, tạo điều kiện để chủ thể dữ liệu thực hiện đầy đủ và thuận lợi các quyền được pháp luật ghi nhận. Hiệu quả của Luật không chỉ được đánh giá bằng số lượng quy định được ban hành mà còn bằng khả năng người dân có thể thực hiện các quyền của mình trên thực tế. Vì vậy, các cơ quan, tổ chức xử lý dữ liệu cần xây dựng các quy trình đơn giản, minh bạch và dễ tiếp cận để chủ thể dữ liệu thực hiện quyền theo Điều 4, đặc biệt là quyền rút lại sự đồng ý, quyền yêu cầu chỉnh sửa, xóa hoặc hạn chế xử lý dữ liệu. Trong điều kiện phát triển chính quyền số, cần ưu tiên triển khai các phương thức thực hiện quyền trên môi trường điện tử, bảo đảm việc tiếp nhận và giải quyết yêu cầu của chủ thể dữ liệu được thực hiện nhanh chóng, thuận tiện và có khả năng theo dõi, tra cứu trong toàn bộ quá trình xử lý.
Năm là, nâng cao nhận thức xã hội và xây dựng văn hóa tôn trọng dữ liệu cá nhân. Bảo vệ dữ liệu cá nhân không chỉ là vấn đề pháp lý mà còn là vấn đề văn hóa pháp luật trong xã hội số. Vì vậy, cần đẩy mạnh công tác tuyên truyền, phổ biến pháp luật về bảo vệ dữ liệu cá nhân thông qua nhiều hình thức phù hợp với từng nhóm đối tượng, giúp người dân nhận thức đầy đủ hơn về giá trị của dữ liệu cá nhân và các quyền mà pháp luật đã ghi nhận. Đối với đội ngũ cán bộ, công chức, viên chức và người lao động trong các cơ quan, tổ chức xử lý dữ liệu, cần tăng cường đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng quản trị dữ liệu, từng bước hình thành văn hóa tuân thủ trong quá trình thu thập và xử lý dữ liệu cá nhân. Về lâu dài, xây dựng văn hóa tôn trọng dữ liệu cá nhân cần được xem là một tiêu chí của quản trị công hiện đại, quản trị doanh nghiệp có trách nhiệm và phát triển xã hội số bền vững.
6. Kết luận
Sự phát triển mạnh mẽ của chuyển đổi số, chính quyền số, kinh tế số và trí tuệ nhân tạo đã làm thay đổi căn bản phương thức thu thập, xử lý và khai thác dữ liệu cá nhân, đồng thời đặt ra những yêu cầu mới đối với việc bảo đảm quyền con người trong môi trường số. Trong bối cảnh đó, việc Quốc hội ban hành Luật Bảo vệ dữ liệu cá nhân năm 2025 không chỉ tạo lập khuôn khổ pháp lý chuyên ngành về bảo vệ dữ liệu cá nhân mà còn đánh dấu bước phát triển quan trọng của pháp luật Việt Nam trong việc cụ thể hóa các quyền con người, quyền công dân theo Hiến pháp năm 2013 (sửa đổi, bổ sung năm 2025). Trong bối cảnh dữ liệu đang trở thành nguồn lực chiến lược của quốc gia và là nền tảng của quản trị số, bảo đảm quyền của chủ thể dữ liệu cá nhân cần được xem là một trong những tiêu chí quan trọng để đánh giá mức độ hoàn thiện của Nhà nước pháp quyền xã hội chủ nghĩa, chất lượng quản trị quốc gia và mức độ phát triển của nền kinh tế số. Tiếp tục hoàn thiện thể chế, nâng cao năng lực quản trị dữ liệu và xây dựng văn hóa tôn trọng dữ liệu cá nhân sẽ là những yêu cầu có ý nghĩa lâu dài, góp phần bảo đảm quyền con người, củng cố niềm tin của người dân và thúc đẩy sự phát triển bền vững của Việt Nam trong kỷ nguyên số.
Tài liệu tham khảo:
Bộ Chính trị. (2025). Nghị quyết số 66-NQ/TW ngày 30/4/2025 về đổi mới công tác xây dựng và thi hành pháp luật đáp ứng yêu cầu phát triển đất nước trong kỷ nguyên mới.
Bộ Chính trị. (2025). Nghị quyết số 68-NQ/TW ngày 4/5/2025 về phát triển kinh tế tư nhân.
Chính phủ (2023). Nghị định số 13/2023/NĐ-CP ngày 17/4/2023 về bảo vệ dữ liệu cá nhân.
Đảng Cộng sản Việt Nam. (2026). Văn kiện Đại hội đại biểu toàn quốc lần thứ XIV. NXB Chính trị quốc gia Sự thật.
Quốc hội. (2013, 2025). Hiến pháp 2023 (sửa đổi, bổ sung năm 2025)
Quốc hội. (2015). Bộ luật Dân sự 2015
Quốc hội. (2018). Luật An ninh mạng 2018.
Quốc hội. (2023). Luật Giao dịch điện tử 2023.
Quốc hội. (2025). Luật Bảo vệ dữ liệu cá nhân 2025
Quốc hội. (2025). Luật Ban hành văn bản quy phạm pháp luật 2025
