Từ thông tin khách hàng đến căn cứ khởi kiện: Luật Bảo vệ dữ liệu cá nhân bảo vệ bạn thế nào?

Số điện thoại vừa cung cấp cho một đơn vị nhưng sau đó liên tục nhận cuộc gọi quảng cáo. Thông tin cá nhân được chuyển cho bên thứ ba mà bạn không hề hay biết. Hay nghiêm trọng hơn, dữ liệu khách hàng bị rò rỉ và phát tán trên mạng. Khi đó, khách hàng có thể làm gì?

Từ khi Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực, quyền kiểm soát dữ liệu của mỗi cá nhân được xác lập rõ ràng hơn. Khách hàng không chỉ có quyền biết doanh nghiệp đang làm gì với thông tin của mình mà còn có quyền yêu cầu xóa, hạn chế xử lý, khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại khi đáp ứng điều kiện pháp luật.

Thông tin nào của khách hàng được xem là dữ liệu cá nhân?

Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.

Trong đó, dữ liệu cá nhân nhạy cảm là những thông tin gắn liền với quyền riêng tư mà khi bị xâm phạm có thể ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cá nhân, tổ chức.

Điều này có nghĩa dữ liệu khách hàng không đơn thuần là những thông tin doanh nghiệp thu thập để phục vụ kinh doanh. Khi một thông tin có thể xác định hoặc giúp xác định một cá nhân cụ thể, việc thu thập và sử dụng thông tin đó phải tuân thủ quy định về bảo vệ dữ liệu cá nhân.

Doanh nghiệp có phải là "chủ sở hữu" dữ liệu khách hàng?

Không nên hiểu rằng doanh nghiệp thu thập được dữ liệu thì có toàn quyền sử dụng dữ liệu đó.

Khoản 5 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025 xác định:

"Chủ thể dữ liệu cá nhân là người được dữ liệu cá nhân phản ánh."

Trong khi đó, doanh nghiệp tùy từng trường hợp có thể đóng vai trò là bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân.

Sự khác biệt này rất quan trọng.

Ví dụ, việc khách hàng cung cấp số điện thoại để doanh nghiệp giao hàng không mặc nhiên đồng nghĩa doanh nghiệp được tự do chuyển số điện thoại đó cho đơn vị khác để quảng cáo.

Doanh nghiệp phải xử lý dữ liệu trên cơ sở phù hợp với quy định pháp luật, đúng mục đích, phạm vi và điều kiện áp dụng.

Nói cách khác:

Có dữ liệu khách hàng ≠ Được tùy ý khai thác dữ liệu khách hàng.

Khách hàng có những quyền gì đối với dữ liệu cá nhân?

Khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 trao cho chủ thể dữ liệu một hệ thống quyền tương đối toàn diện.

Theo đó, khách hàng có quyền:

• Được biết về hoạt động xử lý dữ liệu cá nhân;
• Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý;
• Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu;
• Yêu cầu cung cấp hoặc xóa dữ liệu;
• Yêu cầu hạn chế xử lý dữ liệu;
• Phản đối việc xử lý dữ liệu;
• Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định;
• Yêu cầu áp dụng biện pháp bảo vệ dữ liệu cá nhân.

Đây là thay đổi rất đáng chú ý đối với mối quan hệ giữa doanh nghiệp và khách hàng.

Khách hàng không còn ở vị trí chỉ có thể "chấp nhận" chính sách dữ liệu do doanh nghiệp đưa ra mà có những quyền pháp lý cụ thể để kiểm soát việc thông tin của mình được thu thập và sử dụng như thế nào.

Khách hàng có thể rút lại sự đồng ý đã cấp cho doanh nghiệp không?

Có.

Việc từng đồng ý cho doanh nghiệp xử lý dữ liệu không có nghĩa doanh nghiệp mặc nhiên được sử dụng dữ liệu đó vô thời hạn.

Luật ghi nhận quyền của chủ thể dữ liệu trong việc đồng ý, không đồng ý và yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân.

Do đó, doanh nghiệp cần có cơ chế tiếp nhận và xử lý yêu cầu của khách hàng liên quan đến dữ liệu cá nhân, thay vì chỉ tập trung lấy sự đồng ý tại thời điểm đăng ký tài khoản, mua hàng hoặc sử dụng dịch vụ.

Tuy nhiên, việc rút lại sự đồng ý cũng không đồng nghĩa trong mọi trường hợp doanh nghiệp phải lập tức xóa toàn bộ thông tin. Một số hoạt động xử lý dữ liệu có thể được thực hiện trong những trường hợp pháp luật cho phép mà không phụ thuộc hoàn toàn vào sự đồng ý của chủ thể dữ liệu.

Khi nào khách hàng có thể khởi kiện doanh nghiệp?

Đây là vấn đề quan trọng nhất.

Khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 ghi nhận chủ thể dữ liệu có quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định của pháp luật.

Do đó, nếu doanh nghiệp có hành vi xử lý dữ liệu trái pháp luật, khách hàng có thể cân nhắc sử dụng các cơ chế pháp lý để bảo vệ quyền lợi.

Các tình huống có nguy cơ phát sinh tranh chấp thường gặp như:

• Thu thập dữ liệu không đúng quy định: Doanh nghiệp thu thập thông tin của khách hàng nhưng không đáp ứng căn cứ và điều kiện xử lý dữ liệu theo pháp luật;
• Sử dụng sai mục đích: Khách hàng cung cấp thông tin cho một mục đích nhưng doanh nghiệp lại sử dụng cho mục đích khác không phù hợp;
• Chia sẻ dữ liệu trái quy định: Thông tin khách hàng được chuyển cho đối tác, đơn vị quảng cáo hoặc chủ thể khác mà không đáp ứng điều kiện pháp luật;
• Không bảo vệ dữ liệu đầy đủ: Hệ thống quản lý dữ liệu có vấn đề dẫn đến thông tin khách hàng bị mất, lộ hoặc truy cập trái phép;
• Tiếp tục xử lý khi không còn căn cứ phù hợp: Doanh nghiệp tiếp tục khai thác thông tin mặc dù khách hàng đã thực hiện quyền của mình và không còn căn cứ pháp lý phù hợp để tiếp tục xử lý.

Tuy nhiên, cần lưu ý:

Có hành vi vi phạm không đồng nghĩa khách hàng đương nhiên được bồi thường một khoản tiền.

Khi yêu cầu bồi thường, còn phải xem xét căn cứ phát sinh trách nhiệm, thiệt hại thực tế, mối quan hệ giữa hành vi vi phạm và thiệt hại cùng các điều kiện khác theo quy định pháp luật.

Muốn bảo vệ quyền lợi, khách hàng nên giữ những bằng chứng gì?

Nếu nghi ngờ dữ liệu cá nhân bị sử dụng trái phép, khách hàng không nên chỉ phản ánh bằng lời nói.

Nên chủ động lưu giữ:

• Email, tin nhắn trao đổi với doanh nghiệp;
• Chính sách bảo mật tại thời điểm đăng ký;
• Nội dung thể hiện việc đã hoặc chưa đồng ý xử lý dữ liệu;
• Yêu cầu rút lại sự đồng ý hoặc yêu cầu xóa dữ liệu;
• Phản hồi của doanh nghiệp;
• Tin nhắn, cuộc gọi quảng cáo phát sinh bất thường;
• Bằng chứng cho thấy thông tin bị cung cấp cho bên thứ ba;
• Tài liệu chứng minh thiệt hại thực tế, nếu có.

Trong tranh chấp dữ liệu cá nhân, chính những tài liệu tưởng như rất nhỏ này có thể trở thành căn cứ quan trọng để xác định doanh nghiệp đã thu thập dữ liệu gì, khách hàng đồng ý điều gì và dữ liệu sau đó được sử dụng ra sao.

Khách hàng cũng có nghĩa vụ bảo vệ dữ liệu của mình

Quyền luôn đi cùng nghĩa vụ.

Theo khoản 2 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu có nghĩa vụ:

• Tự bảo vệ dữ liệu cá nhân của mình;
• Tôn trọng, bảo vệ dữ liệu cá nhân của người khác;
• Cung cấp đầy đủ, chính xác dữ liệu trong những trường hợp luật định;
• Chấp hành pháp luật và tham gia phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

Vì vậy, mỗi cá nhân cũng cần thận trọng trước khi cung cấp căn cước, số điện thoại, tài khoản ngân hàng, hình ảnh, thông tin gia đình hoặc các dữ liệu riêng tư khác trên môi trường mạng.

Mỗi cá nhân nên cẩn trọng trước khi cung cấp thông tin cá nhân hoặc các dữ liệu riêng tư khác trên mạng

Doanh nghiệp cần đặc biệt lưu ý điều gì?

Luật Bảo vệ dữ liệu cá nhân không chỉ tạo thêm quyền cho khách hàng mà đồng thời đặt ra bài toán tuân thủ lớn hơn cho doanh nghiệp.

Một sự cố dữ liệu có thể không chỉ dẫn đến trách nhiệm pháp lý mà còn ảnh hưởng trực tiếp đến uy tín thương hiệu và niềm tin của khách hàng.

Doanh nghiệp vì vậy cần rà soát ít nhất 05 vấn đề:

Thu thập dữ liệu gì? → Vì mục đích nào? → Căn cứ nào để xử lý? → Chia sẻ cho ai? → Dữ liệu được bảo vệ và xóa như thế nào?

Đặc biệt, những mẫu đăng ký có sẵn ô "đồng ý", chính sách bảo mật chung chung hoặc điều khoản cho phép sử dụng thông tin khách hàng cho "mọi mục đích liên quan" cần được rà soát kỹ về tính phù hợp với quy định mới.

Kết luận

Luật Bảo vệ dữ liệu cá nhân 2025 làm thay đổi đáng kể cách doanh nghiệp cần nhìn nhận về thông tin khách hàng.

Dữ liệu cá nhân không phải nguồn thông tin mà doanh nghiệp có thể tùy ý khai thác chỉ vì khách hàng từng cung cấp.

Khách hàng có quyền biết, kiểm soát và thực hiện các quyền đối với dữ liệu của mình; đồng thời có quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại khi có căn cứ theo quy định pháp luật.

Ở chiều ngược lại, đối với doanh nghiệp, bảo vệ dữ liệu cá nhân không nên chỉ được xem là một thủ tục tuân thủ. Một chính sách dữ liệu thiếu chặt chẽ có thể trở thành nguồn phát sinh tranh chấp trực tiếp với chính khách hàng.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân 2025;
• Các văn bản hướng dẫn thi hành;
• Bộ luật Dân sự 2015 và các quy định pháp luật có liên quan.

LH Legal hỗ trợ giải quyết các vấn đề về dữ liệu cá nhân

Đối với khách hàng, LH Legal hỗ trợ đánh giá hành vi thu thập, sử dụng hoặc tiết lộ dữ liệu có dấu hiệu vi phạm; tư vấn phương án khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường khi có căn cứ.

Đối với doanh nghiệp, LH Legal hỗ trợ rà soát chính sách bảo mật, điều khoản thu thập và xử lý dữ liệu, hợp đồng với bên xử lý dữ liệu và quy trình nội bộ nhằm hạn chế nguy cơ vi phạm và tranh chấp với khách hàng.

Việc xử lý vấn đề dữ liệu từ sớm không chỉ giúp bảo vệ quyền lợi của khách hàng mà còn giúp doanh nghiệp giảm thiểu rủi ro pháp lý trong quá trình chuyển đổi số.

Nếu có bất kỳ thắc mắc hay cần tư vấn pháp luật vui lòng liên hệ chúng tôi qua các hình thức sau:

Hotline Luật sư tư vấn trực tiếp: 1900 2929 01

Nhập thông tin đăng ký tư vấn luật tại đây: https://luatsulh.com/dang-ky-tu-van.html

Liên hệ đặt lịch hẹn qua zalo số: 0903 796 830

Website: https://luatsulh.com/

Văn phòng: Hồ Chí Minh | Hà Nội | Khánh Hòa

Theo dõi Công ty Luật LH Legal tại:

Website: https://luatsulh.com/

Facebook: Luật sư LH Legal

Youtube: Luật sư LH Legal

Kênh Tiktok Luật sư Hoà: Luật sư Hoà (LH Legal)

Kênh Tiktok Công ty: Luật sư LH Legal

Kênh Tiktok Luật sư Hình sự: Luật sư Hình sự

Kênh Zalo OA

Hồ sơ năng lực LH Legal