Dữ liệu cá nhân cơ bản và nhạy cảm khác nhau thế nào?

Dữ liệu cá nhân cơ bản và nhạy cảm khác nhau thế nào?

Dữ liệu cá nhân cơ bản phản ánh những yếu tố nhân thân, lai lịch phổ biến; dữ liệu cá nhân nhạy cảm gắn với quyền riêng tư và có thể gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp khi bị xâm phạm. Việc phân loại phải đối chiếu danh mục hiện hành tại Điều 3–4 Nghị định 356/2025/NĐ-CP. Cả hai nhóm đều phải được bảo vệ, nhưng xử lý dữ liệu nhạy cảm phát sinh thêm yêu cầu cụ thể về quyền truy cập, bảo mật, xin đồng ý và việc áp dụng một số cơ chế dành cho doanh nghiệp quy mô nhỏ.

Căn cứ phân biệt hai nhóm dữ liệu

Khoản 2–3 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 định nghĩa hai nhóm và giao Chính phủ ban hành danh mục. Vì vậy, cần kết hợp định nghĩa với danh mục cụ thể; cảm nhận “thông tin này rất riêng tư” hoặc cách đặt tên trong phần mềm chưa đủ để quyết định nhóm pháp lý. Nguồn: Điều 2 Luật.

Từ 01/01/2026, danh mục cần dùng là Điều 3–4 Nghị định 356. Khoản 2 Điều 42 Nghị định này quy định Nghị định 13/2023/NĐ-CP hết hiệu lực từ cùng ngày. Khi rà soát biểu mẫu cũ, doanh nghiệp cần kiểm tra lại những loại thông tin được phân loại cụ thể trong danh mục hiện hành, đặc biệt ảnh giấy tờ căn cước, dữ liệu sức khỏe và dữ liệu theo dõi hành vi trên mạng. Xem Nghị định 356.

Dữ liệu cá nhân cơ bản gồm những thông tin nào

Điều 3 Nghị định 356 có 11 khoản. Bảng dưới đây nhóm các khoản để thuận tiện kiểm kê, đồng thời giữ căn cứ tương ứng:

Ví dụ, danh sách gồm họ tên, số điện thoại và địa chỉ nhận hàng có các trường thuộc nhóm cơ bản. Tuy vậy, doanh nghiệp vẫn phải kiểm tra mục đích, căn cứ thu thập, người được tiếp cận và thời gian lưu theo Luật. “Cơ bản” không đồng nghĩa thông tin được phép công khai hoặc sử dụng cho mọi mục đích.

Một điểm cần đọc kỹ là khoản 10 nói về tài khoản số của cá nhân. Không nên từ đó kết luận mọi thông tin tài khoản ngân hàng đều là dữ liệu cơ bản. Điều 4 có nhóm riêng về thông tin truy cập ngân hàng, thẻ, lịch sử giao dịch và dữ liệu tài chính theo phạm vi được quy định.

Danh mục dữ liệu cá nhân nhạy cảm hiện hành

Khoản 1 Điều 4 Nghị định 356 quy định các nhóm dưới đây. Ví dụ trong bảng là tình huống minh họa để nhận diện, không thay thế phạm vi của từng điểm.

Đối với điểm k, cần đọc đủ phạm vi: ngoài thông tin truy cập tài khoản ngân hàng, thẻ và lịch sử giao dịch tài khoản, điều khoản liệt kê thông tin tài chính, tín dụng cùng hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng trung gian thanh toán, chứng khoán, bảo hiểm và tổ chức được phép khác. Không nên bỏ bối cảnh này khi phân loại một trường dữ liệu tài chính.

Tương tự, điểm g gắn với dữ liệu về tội phạm, vi phạm pháp luật được cơ quan thực thi pháp luật thu thập, lưu trữ. Một ghi chú về vi phạm nội quy trong doanh nghiệp cần được đánh giá nội dung và các căn cứ khác phù hợp; không thể mặc định mọi ghi chú “vi phạm” đều thuộc điểm g.

Bốn tình huống doanh nghiệp dễ phân loại sai

Số định danh cá nhân và ảnh thẻ căn cước

Số định danh cá nhân thuộc khoản 7 Điều 3, trong khi hình ảnh thẻ căn cước, CCCD hoặc CMND được liệt kê tại điểm i khoản 1 Điều 4. Vì vậy, form chỉ ghi một số định danh và form yêu cầu tải ảnh hai mặt thẻ có phạm vi dữ liệu khác nhau. Khi cần đối chiếu nhân thân, doanh nghiệp nên kiểm tra liệu mục đích và quy định áp dụng có đòi hỏi giữ toàn bộ ảnh giấy tờ hay không.

Ảnh nhân viên và mẫu nhận diện khuôn mặt

Hình ảnh cá nhân được nêu tại khoản 6 Điều 3. Khi hệ thống xử lý thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định để xác định một người, cần đối chiếu định nghĩa sinh trắc học tại khoản 2 Điều 31 Luật và điểm đ khoản 1 Điều 4 Nghị định 356. Chỉ nhìn tên tệp “ảnh” chưa đủ; cần biết hệ thống dùng ảnh để hiển thị, kiểm tra thủ công hay tạo dữ liệu nhận diện.

Ví dụ, ảnh chân dung để hiển thị trên hồ sơ nội bộ và mẫu khuôn mặt được trích xuất để chấm công cần được đánh giá riêng. Nếu ảnh nằm trong giấy tờ căn cước, còn phải đối chiếu nhóm tại điểm i, kể cả khi doanh nghiệp chưa dùng công nghệ nhận diện khuôn mặt. Nguồn: Điều 31 Luật.

Địa chỉ liên hệ và vị trí theo dịch vụ định vị

Địa chỉ liên hệ thuộc khoản 4 Điều 3. Vị trí cá nhân được xác định qua dịch vụ định vị thuộc điểm h khoản 1 Điều 4. Lịch sử GPS của nhân viên giao hàng gắn với người sử dụng khác với việc lưu địa chỉ liên hệ của người đó. Cần đánh giá mục đích theo dõi, thời gian hoạt động và người được xem dữ liệu, bên cạnh việc phân loại.

Thông tin tài khoản và dữ liệu theo dõi hành vi

Thông tin tài khoản số được liệt kê trong nhóm cơ bản, nhưng dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ trên mạng được liệt kê tại điểm l khoản 1 Điều 4. Nếu website liên kết mã người dùng với lịch sử tương tác, cần kiểm tra khả năng nhận diện và nội dung theo dõi. Việc không thu họ tên không đủ để loại trừ trách nhiệm đối với dữ liệu vẫn gắn được với người cụ thể.

Xử lý dữ liệu nhạy cảm làm phát sinh những yêu cầu gì

Trước hết, các nguyên tắc chung về mục đích, phạm vi, độ chính xác, thời gian lưu và quyền của chủ thể vẫn áp dụng. Khoản 2 Điều 4 Nghị định 356 yêu cầu cơ quan, tổ chức xử lý dữ liệu nhạy cảm thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật. Doanh nghiệp phải chuyển việc phân loại thành cách cấp quyền và thao tác trên hệ thống.

Khi xin sự đồng ý để xử lý dữ liệu nhạy cảm, khoản 4 Điều 6 Nghị định 356 yêu cầu thông báo cho chủ thể biết dữ liệu cần xử lý là dữ liệu nhạy cảm. Điều 9 Luật vẫn yêu cầu sự tự nguyện, rõ ràng và kiểm chứng được theo từng mục đích. Nếu áp dụng trường hợp không cần đồng ý theo Điều 19, phải kiểm tra điều kiện và cơ chế giám sát tương ứng, không mặc định dữ liệu nhạy cảm luôn chỉ có một căn cứ xử lý.

Khi chuyển giao dữ liệu nhạy cảm, khoản 2 Điều 7 Nghị định 356 yêu cầu bảo mật vật lý đối với thiết bị lưu trữ, truyền tải; biện pháp mã hóa, ẩn danh và biện pháp bảo mật khác trong quá trình chuyển giao. Với dữ liệu sinh trắc học, khoản 4 Điều 31 Luật còn có yêu cầu về bảo mật thiết bị, hạn chế truy cập và theo dõi để phòng ngừa, phát hiện hành vi xâm phạm. Nguồn: Điều 4, 6–7 Nghị định 356.

Việc trực tiếp xử lý dữ liệu nhạy cảm cũng ảnh hưởng cơ chế tại khoản 2–3 Điều 38 Luật và Điều 41 Nghị định 356 dành cho doanh nghiệp nhỏ, khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ. Những chủ thể này không được áp dụng cơ chế lựa chọn hoặc miễn Điều 21, Điều 22 và khoản 2 Điều 33 khi rơi vào điều kiện loại trừ về trực tiếp xử lý dữ liệu nhạy cảm. Không nên kết luận chỉ doanh nghiệp chuyên về y tế hoặc tài chính mới phải kiểm tra vấn đề này.

Cách áp dụng vào hồ sơ và hệ thống của doanh nghiệp

Doanh nghiệp nên phân loại đến từng trường dữ liệu và từng hoạt động. Một hồ sơ nhân viên có thể đồng thời chứa họ tên, số điện thoại, ảnh căn cước, kết quả khám sức khỏe và mẫu vân tay. Việc một hồ sơ có dữ liệu nhạy cảm không đổi tên pháp lý của mọi trường còn lại, nhưng cách cấp quyền phải bảo vệ được phần nhạy cảm trong hồ sơ.

Ví dụ minh họa: nhân viên kinh doanh cần số điện thoại để giao việc nhưng không cần xem kết quả khám sức khỏe của đồng nghiệp. Doanh nghiệp có thể tách thư mục hoặc quyền theo nhóm tài liệu; đồng thời ghi rõ ai được xem, tải xuống và chia sẻ. Khi xuất một tệp tổng hợp, phải kiểm tra các trường được đưa vào tệp và quyền của bên nhận, vì việc tách quyền trên phần mềm có thể không còn tác dụng sau khi dữ liệu được tải ra.

Các bước rà soát được khuyến nghị gồm kiểm kê trường dữ liệu, đối chiếu Điều 3–4, xác định căn cứ và mục đích, giới hạn quyền theo nhiệm vụ, kiểm tra nhà cung cấp và xác định nghĩa vụ hồ sơ. Cần lưu lại căn cứ phân loại để rà soát khi thêm trường mới hoặc thay đổi công nghệ. Dùng một nhãn chung “thông tin khách hàng” sẽ khó kiểm soát được nội dung nhạy cảm phát sinh trong lịch sử tương tác hoặc tài liệu đính kèm.

Để chuyển kết quả phân loại thành công việc cụ thể, doanh nghiệp có thể tham khảo lộ trình tuân thủ Luật Bảo vệ dữ liệu cá nhân với bảng phân công theo đầu mối và đầu ra.

Câu hỏi thường gặp

Số điện thoại có phải dữ liệu cá nhân nhạy cảm không

Số điện thoại thuộc khoản 7 Điều 3 về dữ liệu cơ bản. Tuy nhiên, hồ sơ gắn số điện thoại với thông tin sức khỏe hoặc hành vi sử dụng dịch vụ có thể chứa thêm dữ liệu nhạy cảm và phải được bảo vệ tương ứng.

Doanh nghiệp nhỏ dùng chấm công vân tay có cần kiểm tra nghĩa vụ hồ sơ không

Có. Nếu trực tiếp xử lý dữ liệu sinh trắc học, doanh nghiệp cần kiểm tra điều kiện loại trừ tại Điều 38 Luật và Điều 41 Nghị định 356, cùng vai trò và nghĩa vụ hồ sơ cụ thể. Thuê nhà cung cấp máy chấm công không tự làm mất trách nhiệm của doanh nghiệp.

Giấy khám sức khỏe để trong hồ sơ nhân viên có phải dữ liệu nhạy cảm không

Thông tin phản ánh tình trạng sức khỏe thuộc điểm d khoản 1 Điều 4 Nghị định 356. Nên kiểm soát riêng quyền tiếp cận loại tài liệu này và kiểm tra mục đích, căn cứ, thời gian lưu trong hoạt động nhân sự.

Được chủ thể đồng ý có thể bỏ phân quyền đối với dữ liệu nhạy cảm không

Không. Sự đồng ý và biện pháp bảo vệ là các yêu cầu khác nhau. Khoản 2 Điều 4 Nghị định 356 vẫn yêu cầu giới hạn truy cập, quy trình xử lý và biện pháp bảo mật trong quá trình xử lý.

Rà soát phân loại dữ liệu cùng Justix

Doanh nghiệp có thể gửi danh mục trường thông tin, mô tả hệ thống, biểu mẫu đang dùng và danh sách bên được tiếp cận để Justix đề xuất phạm vi rà soát. Dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân hỗ trợ phân loại, xác định nghĩa vụ và lựa chọn tài liệu cần triển khai theo hoạt động thực tế.

Liên hệ Công ty Luật TNHH Justix: 0372 717 888; info@justix.vn. Văn phòng: Tòa A Ecolife Tây Hồ, KĐT Starlake, Nghĩa Đô, Hà Nội.