Cách thực hiện quyền truy cập dữ liệu của chủ thể dữ liệu

Quyền truy cập dữ liệu bao gồm những gì?

Về bản chất, quyền truy cập dữ liệu cho phép chủ thể dữ liệu kiểm tra và kiểm soát dữ liệu cá nhân đang được tổ chức, cá nhân xử lý về mình. Phạm vi quyền gồm hai nhóm chính:

·         Xem dữ liệu cá nhân của mình

·         Chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân không chính xác

·         Yêu cầu cung cấp dữ liệu cá nhân của mình

Luật hiện hành không quy định “quyền truy cập” là quyền yêu cầu mọi thông tin mà tổ chức đang có. Quyền được thực hiện đối với dữ liệu cá nhân của chính chủ thể dữ liệu và phải tuân thủ quy định pháp luật, nghĩa vụ theo hợp đồng cũng như không được xâm phạm quyền, lợi ích hợp pháp của Nhà nước, tổ chức hoặc cá nhân khác

Nghị định 356/2025/NĐ-CP yêu cầu bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải xây dựng quy trình, thủ tục và biểu mẫu rõ ràng để chủ thể dữ liệu biết và thực hiện các quyền của mình

Chủ thể dữ liệu có thể yêu cầu những thông tin nào?

Chủ thể dữ liệu có thể yêu cầu xem hoặc được cung cấp những dữ liệu cá nhân thuộc về mình mà bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu đang xử lý, trong phạm vi pháp luật cho phép

Tùy hoạt động xử lý, dữ liệu có thể bao gồm các nhóm như:

·         Thông tin định danh và nhân thân

·         Địa chỉ, thông tin liên hệ và hình ảnh

·         Số điện thoại, số định danh cá nhân, hộ chiếu, giấy phép lái xe, biển số xe

·         Thông tin về tài khoản số

·         Thông tin về quan hệ gia đình

·         Dữ liệu sức khỏe

·         Dữ liệu sinh trắc học hoặc đặc điểm di truyền

·         Dữ liệu vị trí

·         Thông tin tài khoản và lịch sử giao dịch tài chính, ngân hàng, tín dụng, chứng khoán hoặc bảo hiểm

·         Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội và các dịch vụ trực tuyến

Việc một loại dữ liệu có thể được yêu cầu hay không phụ thuộc trước hết vào việc dữ liệu đó có phải là dữ liệu cá nhân của chủ thể và có đang thuộc phạm vi xử lý của bên được yêu cầu hay không

Đối với dữ liệu cá nhân nhạy cảm, việc truy cập và cung cấp phải được thực hiện trong khuôn khổ các biện pháp bảo vệ, bảo mật tương ứng; Nghị định 356/2025/NĐ-CP yêu cầu tổ chức xử lý dữ liệu cá nhân nhạy cảm thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật

Chủ thể dữ liệu thực hiện quyền truy cập dữ liệu bằng cách nào?

Trước hết, chủ thể dữ liệu cần xác định tổ chức hoặc cá nhân đang kiểm soát, xử lý dữ liệu cá nhân của mình. Sau đó, thực hiện yêu cầu theo quy trình, thủ tục hoặc biểu mẫu mà bên kiểm soát dữ liệu cá nhân đã thiết lập và công bố

Quy trình thực hiện về cơ bản gồm:

1.    Xác định bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân đang nắm giữ dữ liệu

2.    Kiểm tra thủ tục thực hiện quyền mà tổ chức cung cấp cho chủ thể dữ liệu

3.    Gửi yêu cầu xem, chỉnh sửa hoặc yêu cầu cung cấp dữ liệu cá nhân theo đúng thủ tục

4.    Nêu rõ loại dữ liệu cần xem, chỉnh sửa hoặc cung cấp để yêu cầu có phạm vi xác định

5.    Thực hiện các bước xác minh hoặc cung cấp thông tin nhận diện theo quy trình hợp pháp của bên tiếp nhận

6.    Theo dõi phản hồi và kết quả xử lý yêu cầu

Điểm quan trọng là pháp luật hiện hành yêu cầu bên kiểm soát dữ liệu phải xây dựng quy trình, thủ tục và biểu mẫu rõ ràng; vì vậy cách gửi yêu cầu cụ thể có thể khác nhau giữa từng tổ chức, chẳng hạn theo cơ chế điện tử hoặc phương thức khác mà tổ chức đó quy định

Thời hạn giải quyết yêu cầu truy cập dữ liệu là bao lâu?

Đối với yêu cầu xem, chỉnh sửa, yêu cầu chỉnh sửa hoặc cung cấp dữ liệu cá nhân, Nghị định 356/2025/NĐ-CP quy định bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân phải phản hồi trong thời hạn 02 ngày làm việc, cung cấp thông tin về thủ tục và thực hiện yêu cầu trong thời hạn 10 ngày

Nếu cần yêu cầu bên xử lý dữ liệu cá nhân hoặc bên thứ ba thực hiện việc chỉnh sửa, thời hạn có thể là 15 ngày. Với yêu cầu phức tạp cần gia hạn, bên kiểm soát có thể gia hạn tối đa một lần, không quá 10 ngày, đồng thời phải thông báo lý do và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý

Như vậy, chủ thể dữ liệu không chỉ có quyền gửi yêu cầu mà còn có cơ sở để theo dõi thời hạn phản hồi và thực hiện yêu cầu theo quy định hiện hành.

Khi nào quyền truy cập dữ liệu có thể bị giới hạn?

Quyền truy cập dữ liệu phải được thực hiện theo pháp luật và không phải là quyền tuyệt đối. Luật Bảo vệ dữ liệu cá nhân yêu cầu chủ thể dữ liệu khi thực hiện quyền phải bảo vệ quyền, lợi ích hợp pháp của chính mình, không gây cản trở nghĩa vụ pháp lý của bên kiểm soát hoặc bên xử lý dữ liệu và không xâm phạm quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức hoặc cá nhân khác

Đối với dữ liệu nhạy cảm, việc cung cấp và truy cập còn phải bảo đảm các yêu cầu bảo mật phù hợp. Vì vậy, chủ thể dữ liệu nên yêu cầu đúng dữ liệu thuộc về mình và xác định rõ mục đích, phạm vi yêu cầu thay vì yêu cầu toàn bộ dữ liệu hoặc thông tin của người khác

Đặc biệt, Nghị định 356/2025/NĐ-CP đã thay thế Nghị định 13/2023/NĐ-CP từ ngày 01/01/2026. Do đó, khi thực hiện quyền truy cập dữ liệu hiện nay cần ưu tiên quy định của Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP, thay vì áp dụng các thủ tục cũ của Nghị định 13/2023/NĐ-CP

Khi thực hiện quyền truy cập dữ liệu, chủ thể dữ liệu nên xác định rõ bên đang xử lý dữ liệu, gửi yêu cầu theo đúng quy trình được công bố, mô tả cụ thể dữ liệu cần xem hoặc cung cấp và theo dõi thời hạn giải quyết. Theo khung pháp luật hiện hành, quyền này tập trung vào việc giúp cá nhân kiểm soát dữ liệu cá nhân của chính mình, đồng thời bảo đảm việc truy cập không xâm phạm quyền và lợi ích hợp pháp của chủ thể khác