Dữ liệu cá nhân nhạy cảm là gì? Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, đây là dữ liệu gắn với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của họ. Nghị định 356/2025/NĐ-CP liệt kê các nhóm như tình trạng sức khỏe, sinh trắc học, vị trí, ảnh CCCD, tài khoản ngân hàng, lịch sử giao dịch và dữ liệu theo dõi hành vi trên mạng.
Bài viết liệt kê dữ liệu cá nhân cơ bản và nhạy cảm theo quy định mới, những gì doanh nghiệp được thu thập của nhân viên, thời gian lưu trữ và mức phạt. Thông tin cập nhật tháng 10/2026.
Văn bản áp dụng năm 2026
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 01/01/2026 (Kế toán An Pha).
- Nghị định 356/2025/NĐ-CP hướng dẫn luật, có hiệu lực từ 01/01/2026. Nghị định 13/2023/NĐ-CP hết hiệu lực từ ngày này (Thư Viện Pháp Luật).
- Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ 19/8/2026 (VOV).
Dữ liệu cá nhân nhạy cảm là gì?
Theo Điều 4 khoản 1 Nghị định 356/2025/NĐ-CP, dữ liệu cá nhân nhạy cảm gồm (EY Việt Nam):
- Nguồn gốc chủng tộc, dân tộc.
- Quan điểm chính trị, tôn giáo, tín ngưỡng.
- Đời sống riêng tư, bí mật cá nhân, bí mật gia đình.
- Tình trạng sức khỏe.
- Đặc điểm sinh trắc học, di truyền.
- Đời sống tình dục, xu hướng tính dục.
- Dữ liệu về tội phạm do cơ quan thực thi pháp luật nắm giữ.
- Vị trí xác định qua dịch vụ định vị.
- Tên đăng nhập, mật khẩu tài khoản định danh điện tử; ảnh CMND, CCCD.
- Tài khoản ngân hàng, dữ liệu thẻ, lịch sử giao dịch; thông tin tài chính, tín dụng, chứng khoán, bảo hiểm.
- Dữ liệu theo dõi hành vi sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ trực tuyến.
- Dữ liệu khác mà pháp luật yêu cầu bảo mật.
Dữ liệu cá nhân cơ bản gồm những gì?
Theo Điều 3 Nghị định 356/2025/NĐ-CP:
| Nhóm | Ví dụ |
|---|---|
| Nhân thân | Họ tên, ngày sinh, giới tính, quốc tịch, hình ảnh |
| Địa chỉ | Nơi sinh, nơi thường trú, tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ |
| Số giấy tờ, liên lạc | Số điện thoại, số định danh cá nhân, số hộ chiếu, giấy phép lái xe, biển số xe |
| Gia đình | Tình trạng hôn nhân, quan hệ gia đình |
| Tài khoản số | Thông tin tài khoản số |
So với Nghị định 13/2023, một số loại như mã số thuế, số sổ BHXH, số thẻ BHYT không còn nằm trong danh sách dữ liệu cơ bản, theo phân tích của EY Việt Nam.
Doanh nghiệp được thu thập dữ liệu nào của nhân viên?
Theo Điều 25 Luật Bảo vệ dữ liệu cá nhân:
- Khi tuyển dụng: chỉ được yêu cầu thông tin phục vụ mục đích tuyển dụng. Xem thêm quy định thời gian thử việc.
- Ứng viên không trúng tuyển: phải xóa dữ liệu, trừ khi có thỏa thuận khác.
- Nhân viên đang làm: lưu trữ dữ liệu theo thời hạn pháp luật quy định hoặc theo thỏa thuận.
- Khi chấm dứt hợp đồng: phải xóa dữ liệu, trừ khi có thỏa thuận hoặc luật quy định khác.
Lưu ý thực tế: số tài khoản ngân hàng để trả lương và ảnh CCCD là dữ liệu nhạy cảm, cần thông báo mục đích, giới hạn người được xem và bảo vệ chặt chẽ. Theo tổng hợp của GV Lawyers, giám sát nhân viên hoặc dùng camera mà không thông báo có thể bị phạt từ 50 đến 70 triệu đồng (GV Lawyers).
Lưu trữ dữ liệu khách hàng bao lâu?
Luật quy định dữ liệu chỉ được lưu trữ trong thời gian phù hợp với mục đích xử lý (Điều 3 khoản 3). Doanh nghiệp nên:
- Ghi rõ thời hạn lưu trữ cho từng loại dữ liệu trong chính sách bảo mật.
- Xóa dữ liệu khi hết mục đích hoặc khi khách yêu cầu, trừ dữ liệu luật bắt buộc lưu như chứng từ kế toán.
- Theo VOV, lưu trữ dữ liệu quá thời gian cần thiết có thể bị phạt từ 20 đến 40 triệu đồng.
Mức phạt vi phạm dữ liệu cá nhân
- Mức tối đa theo Luật: phạt tới 10 lần khoản thu từ mua bán dữ liệu; tới 5% doanh thu năm trước với vi phạm chuyển dữ liệu ra nước ngoài; tới 3 tỷ đồng với vi phạm khác.
- Theo Nghị định 330/2026: xử lý dữ liệu không có sự đồng ý hoặc không thông báo việc xử lý dữ liệu nhạy cảm có thể bị phạt từ 30 đến 50 triệu đồng; coi im lặng là đồng ý bị phạt từ 50 đến 70 triệu đồng (VOV).
Ưu đãi cho doanh nghiệp nhỏ: theo Điều 41 Nghị định 356/2025, doanh nghiệp nhỏ, khởi nghiệp được lựa chọn chưa áp dụng một số nghĩa vụ như đánh giá tác động và nhân sự bảo vệ dữ liệu trong 5 năm; hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn. Ưu đãi không áp dụng nếu trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của từ 100.000 người trở lên.
Doanh nghiệp dùng công cụ AI với dữ liệu khách hàng nên đọc thêm bảo mật dữ liệu khi dùng ChatGPT.
FAQ: Câu hỏi thường gặp về dữ liệu cá nhân nhạy cảm
Dữ liệu cá nhân nhạy cảm là gì?
Là dữ liệu gắn với quyền riêng tư của cá nhân, như sức khỏe, sinh trắc học, vị trí, ảnh CCCD, tài khoản ngân hàng, lịch sử giao dịch, dữ liệu hành vi trên mạng, theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP.
Dữ liệu cá nhân cơ bản gồm những gì?
Gồm họ tên, ngày sinh, giới tính, nơi sinh, nơi ở, quốc tịch, hình ảnh, số điện thoại, số định danh, số hộ chiếu, tình trạng hôn nhân, quan hệ gia đình và thông tin tài khoản số.
Doanh nghiệp được thu thập dữ liệu nào của nhân viên?
Chỉ dữ liệu phục vụ mục đích tuyển dụng và quản lý lao động. Phải xóa dữ liệu ứng viên không trúng tuyển và dữ liệu nhân viên khi chấm dứt hợp đồng, trừ khi có thỏa thuận hoặc luật quy định khác.
Lưu trữ dữ liệu khách hàng bao lâu?
Chỉ trong thời gian phù hợp với mục đích xử lý. Doanh nghiệp nên ghi rõ thời hạn trong chính sách bảo mật và xóa khi hết mục đích, trừ dữ liệu luật bắt buộc lưu.
Vi phạm dữ liệu cá nhân bị phạt bao nhiêu?
Tối đa 3 tỷ đồng với vi phạm thông thường, tới 5% doanh thu năm trước với vi phạm chuyển dữ liệu ra nước ngoài và tới 10 lần khoản thu từ mua bán dữ liệu.
Kết luận
Tóm lại: từ năm 2026, Luật 91/2025 và Nghị định 356/2025 quy định rõ dữ liệu cá nhân cơ bản và nhạy cảm.
- Ảnh CCCD, tài khoản ngân hàng, sức khỏe, vị trí là dữ liệu nhạy cảm.
- Chỉ thu thập dữ liệu cần thiết và xóa khi hết mục đích.
- Mức phạt tới 3 tỷ đồng hoặc 5% doanh thu; doanh nghiệp nhỏ có một số ưu đãi.
Bài viết mang tính thông tin, không thay thế tư vấn pháp lý. Nội dung được Wunlock tổng hợp tại thời điểm cập nhật tháng 10/2026.
