Asia Legal xin trân trọng giới thiệu bài viết phân tích quyền của người tiêu dùng trong khi yêu cầu xóa, hủy dữ liệu cá nhân theo quy định hiện hành.
Tại Việt Nam, người tiêu dùng – với tư cách là chủ thể dữ liệu – khi yêu cầu xóa hoặc hủy dữ liệu cá nhân thường gặp phải những phản hồi thiếu hợp tác từ phía người bán hoặc nhà cung cấp dịch vụ. Nhiều doanh nghiệp đưa ra các lý do như “hệ thống không có chức năng xóa tài khoản” hoặc “người dùng đã đồng ý lưu trữ dữ liệu vĩnh viễn khi đăng ký sử dụng dịch vụ”, nhằm tránh thực hiện nghĩa vụ với chủ thể dữ liệu. Khi tình hình trở nên căng thẳng và người tiêu dùng phải ghi âm, chụp ảnh lại cuộc trao đổi để làm bằng chứng thì một số doanh nghiệp thậm chí còn “câu giờ” bằng cách yêu cầu chủ thể dữ liệu phải gửi email, văn bản yêu cầu… và sau đó thông báo “không nhận được email yêu cầu”. Nguyên nhân của thực trạng này có thể đến từ một số yếu tố chủ quan và khách quan như:
- nhân viên của doanh nghiệp thiếu hiểu biết pháp lý, không có kiến thức, kỹ năng khi trao đổi với chủ thể dữ liệu và thực thi các quyền của chủ thể dữ liệu;
- hệ thống quản lý dữ liệu cá nhân của doanh nghiệp thiếu chuyên nghiệp;
- doanh nghiệp cố tình giữ lại dữ liệu để khai thác cho mục đích thương mại; hoặc
- doanh nghiệp cho rằng chưa có chế tài xử phạt vi phạm nên không cần quan tâm đến quyền của chủ thể dữ liệu.
1. Quyền yêu cầu xóa, hủy dữ liệu cá nhân theo pháp luật Việt Nam
Việt Nam hiện đã có Nghị định 13/2023/NĐ-CP quy định về bảo vệ dữ liệu cá nhân, trong đó công nhận quyền của chủ thể dữ liệu, bao gồm quyền được yêu cầu xóa, chỉnh sửa, hạn chế hoặc thu hồi dữ liệu cá nhân đã cung cấp. Tuy nhiên, do phạm vi điều chỉnh rộng và bao trùm nhiều lĩnh vực, Quốc hội đang trong quá trình xem xét và thông qua một luật chuyên ngành về bảo vệ dữ liệu cá nhân. Mặc dù vậy, nhằm bảo vệ thực chất hơn quyền lợi của người tiêu dùng và có công cụ chế tài hiệu quả, Chính phủ đã ban hành Nghị định 24/2025/NĐ-CP có hiệu lực từ 21/02/2025, quy định chi tiết về các mức xử phạt vi phạm trong lĩnh vực bảo vệ quyền lợi người tiêu dùng, trong đó có các quy định cụ thể về bảo vệ thông tin và dữ liệu cá nhân của người tiêu dùng.
Theo Điều 46 của Nghị định 24/2025/NĐ-CP, các hành vi không thực hiện yêu cầu xóa dữ liệu cá nhân, không thông báo cho người tiêu dùng về mục đích, phạm vi thu thập, hoặc không thiết lập phương thức để người tiêu dùng lựa chọn mức độ chia sẻ thông tin… sẽ bị phạt từ 20.000.000 đồng đến 40.000.000 đồng tùy mức độ vi phạm. Cụ thể, việc “không thực hiện yêu cầu của người tiêu dùng về kiểm tra, chỉnh sửa, hủy bỏ dữ liệu” hay “không tiếp nhận hoặc không giải quyết phản ánh, khiếu nại” đều là hành vi vi phạm pháp luật. Đặc biệt, nếu vi phạm liên quan đến dữ liệu cá nhân nhạy cảm thì mức phạt có thể gấp đôi, và nếu vi phạm do nền tảng số lớn thực hiện thì mức phạt gấp bốn lần, tương đương lên đến 160.000.000 đồng cho một hành vi vi phạm.
Ngoài ra, theo Điều 49, doanh nghiệp còn có thể bị xử phạt từ 80.000.000 đồng đến 100.000.000 đồng nếu sử dụng hợp đồng theo mẫu hoặc điều kiện giao dịch chung có nội dung không đầy đủ hoặc có điều khoản cấm theo quy định pháp luật, ví dụ như điều khoản ép buộc người tiêu dùng đồng ý cho lưu trữ vĩnh viễn dữ liệu cá nhân mà không có quyền rút lại. Nếu hành vi vi phạm diễn ra tại từ hai tỉnh, thành phố trở lên, mức phạt có thể gấp đôi, tức lên tới 200.000.000 đồng. Ngoài phạt tiền, doanh nghiệp còn bị buộc phải sửa đổi nội dung hợp đồng theo đúng quy định pháp luật.
2. Trường hợp không tuân thủ – Cơ chế xử lý
Người tiêu dùng có quyền gửi khiếu nại đến các cơ quan chức năng như Ủy ban nhân dân các cấp, cơ quan Quản lý thị trường, hoặc Cục Cạnh tranh và Bảo vệ người tiêu dùng (Bộ Công Thương)… Đồng thời cần thu thập và lưu lại các bằng chứng như: email bị trả lại, nhật ký gửi thư (SMTP log), ghi âm cuộc gọi, ảnh chụp màn hình cuộc hội thoại để chứng minh doanh nghiệp cố tình không tiếp nhận hoặc né tránh thực hiện yêu cầu. Ngoài ra, người tiêu dùng có thể khởi kiện tại Tòa án theo thủ tục tố tụng dân sự để yêu cầu bồi thường thiệt hại hoặc yêu cầu doanh nghiệp buộc phải xóa dữ liệu. Việc doanh nghiệp viện cớ không nhận được email không làm vô hiệu yêu cầu hợp pháp của người tiêu dùng nếu người tiêu dùng có đầy đủ bằng chứng chứng minh.
3. Khuyến nghị
Việc từ chối thực hiện yêu cầu xóa dữ liệu cá nhân bằng những lý do phi lý hoặc ngụy biện là hành vi vi phạm nghiêm trọng quyền riêng tư của người tiêu dùng và trái với quy định pháp luật Việt Nam. Để nâng cao hiệu quả bảo vệ dữ liệu cá nhân của người tiêu dùng, doanh nghiệp cần chủ động đào tạo nhân viên hiểu rõ các quy định của pháp luật về bảo vệ dữ liệu cá nhân, xây dựng quy trình xử lý yêu cầu của chủ thể dữ liệu một cách minh bạch, chuyên nghiệp. Các kênh tiếp nhận như email, biểu mẫu trực tuyến hoặc hotline nên được công khai rõ ràng và đảm bảo hoạt động ổn định. Đồng thời, doanh nghiệp cần cam kết phản hồi người dùng trong thời hạn quy định để thể hiện sự tuân thủ pháp luật và tôn trọng quyền lợi của khách hàng. Việc làm này không chỉ đáp ứng yêu cầu pháp lý mà còn góp phần xây dựng niềm tin của người tiêu dùng đối với doanh nghiệp.
———–
Asia Legal – Business Law Firm
W: asialegal.vn
E: info@asialegal.vn
T: (+84) 24 2269 3399
A: 15th Floor, HT Building, No 80, Duy Tan Road, Cau Giay District, Hanoi, Vietnam