Khi nào áp dụng quyền hạn chế xử lý dữ liệu?

Theo Điều 10, chủ thể dữ liệu cá nhân có thể yêu cầu hạn chế xử lý dữ liệu của mình khi có nghi ngờ về phạm vi xử lý, mục đích xử lý hoặc tính chính xác của dữ liệu cá nhân. Quyền này không áp dụng trong các trường hợp xử lý không cần sự đồng ý theo Điều 19 của Luật hoặc khi pháp luật có quy định khác.

Ba trường hợp có thể yêu cầu hạn chế xử lý dữ liệu

Điều 10 Luật Bảo vệ dữ liệu cá nhân 2025 xác định ba căn cứ trực tiếp để chủ thể dữ liệu yêu cầu hạn chế xử lý:

·         Nghi ngờ phạm vi xử lý dữ liệu cá nhân: Có cơ sở nghi ngờ dữ liệu đang được xử lý vượt quá phạm vi cần thiết hoặc phạm vi đã được xác định

·         Nghi ngờ mục đích xử lý dữ liệu cá nhân: Có nghi ngờ dữ liệu đang được sử dụng cho mục đích không phù hợp với mục đích đã được xác lập

·         Nghi ngờ tính chính xác của dữ liệu cá nhân: Có lý do để cho rằng dữ liệu đang được xử lý không chính xác, chưa cập nhật hoặc cần được kiểm tra lại

Cách quy định này gắn trực tiếp với các nguyên tắc của Luật: dữ liệu chỉ được thu thập, xử lý đúng phạm vi và mục đích cụ thể, rõ ràng; đồng thời phải bảo đảm tính chính xác và được chỉnh sửa, cập nhật, bổ sung khi cần thiết.

Điểm đáng chú ý là Điều 10 sử dụng tiêu chí “khi có nghi ngờ”. Vì vậy, quyền hạn chế có chức năng tạo khoảng dừng cần thiết đối với hoạt động xử lý khi chủ thể dữ liệu chưa thể xác định chắc chắn việc xử lý có phù hợp hay không, thay vì buộc họ phải chờ đến khi chứng minh được một hành vi vi phạm đã xảy ra.

Nghi ngờ về phạm vi xử lý được hiểu như thế nào?

Phạm vi xử lý liên quan đến giới hạn dữ liệu và hoạt động xử lý được phép thực hiện. Luật quy định dữ liệu cá nhân chỉ được thu thập, xử lý đúng phạm vi và mục đích cụ thể, rõ ràng. Đồng thời, “xử lý dữ liệu cá nhân” là khái niệm rộng, bao gồm các hoạt động như thu thập, phân tích, tổng hợp, chỉnh sửa, xóa, cung cấp, công khai, chuyển giao và các hoạt động khác tác động đến dữ liệu.

Do đó, nghi ngờ về phạm vi có thể xuất hiện khi chủ thể dữ liệu nhận thấy bên xử lý đang tác động đến nhiều dữ liệu hơn, thực hiện nhiều hoạt động hơn hoặc sử dụng dữ liệu trong phạm vi rộng hơn so với giới hạn mà chủ thể hiểu là đã được xác lập.

Ví dụ, một cá nhân cung cấp một nhóm thông tin cho một giao dịch cụ thể nhưng sau đó phát hiện những dữ liệu khác của mình cũng đang được thu thập hoặc khai thác. Nếu chưa thể xác định hoạt động đó có căn cứ hợp pháp hay không, người đó có thể yêu cầu hạn chế xử lý để vấn đề về phạm vi được làm rõ.

Quyền hạn chế trong trường hợp này không đồng nghĩa với việc mặc nhiên kết luận bên xử lý đã vi phạm. Căn cứ luật định là sự tồn tại của nghi ngờ về phạm vi xử lý; việc yêu cầu hạn chế giúp ngăn hoạt động xử lý tiếp tục mở rộng trong khi vấn đề đang được xem xét.

Khi nào nghi ngờ về mục đích xử lý trở thành căn cứ hạn chế?

Mục đích xử lý quyết định dữ liệu cá nhân được thu thập và sử dụng để làm gì. Luật yêu cầu hoạt động xử lý phải gắn với mục đích cụ thể, rõ ràng. Khi sự đồng ý là căn cứ xử lý, chủ thể dữ liệu cũng phải được biết loại dữ liệu, mục đích xử lý và bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu.

Vì vậy, quyền hạn chế có thể được sử dụng khi chủ thể dữ liệu nghi ngờ rằng dữ liệu đang được dùng cho một mục đích khác với mục đích đã được thông báo, thống nhất hoặc xác lập theo quy định.

Chẳng hạn, dữ liệu được cung cấp để thực hiện một dịch vụ nhưng chủ thể phát hiện dấu hiệu cho thấy dữ liệu còn được khai thác cho một mục đích khác mà họ chưa xác định được căn cứ. Trong thời gian làm rõ mục đích xử lý, yêu cầu hạn chế là công cụ pháp lý phù hợp để kiểm soát việc tiếp tục sử dụng dữ liệu.

Điều quan trọng là phải phân biệt quyền hạn chế với quyền phản đối xử lý dữ liệu. Luật ghi nhận hai quyền riêng biệt. Yêu cầu hạn chế theo Điều 10 tập trung vào nghi ngờ về phạm vi, mục đích hoặc tính chính xác; còn quyền phản đối có cơ chế pháp lý riêng.

Dữ liệu bị nghi ngờ không chính xác có thể được yêu cầu hạn chế xử lý

Tính chính xác là căn cứ thứ ba được Điều 10 quy định trực tiếp. Nếu chủ thể dữ liệu nghi ngờ thông tin đang được sử dụng về mình không đúng, không còn cập nhật hoặc cần kiểm chứng, họ có thể yêu cầu hạn chế việc xử lý dữ liệu đó.

Cơ chế này có ý nghĩa thực tế vì dữ liệu không chính xác vẫn có thể tạo ra hậu quả trong thời gian chờ chỉnh sửa. Một thông tin sai nếu tiếp tục được phân tích, cung cấp, chuyển giao hoặc sử dụng trong các hoạt động khác có thể khiến sai lệch ban đầu tiếp tục lan rộng.

Luật đồng thời quy định chủ thể dữ liệu có quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân; còn nguyên tắc bảo vệ dữ liệu yêu cầu bảo đảm tính chính xác và cập nhật dữ liệu khi cần thiết. Như vậy, quyền hạn chế và quyền yêu cầu chỉnh sửa có thể phục vụ hai chức năng khác nhau: một quyền kiểm soát việc tiếp tục xử lý trong thời gian có nghi ngờ, quyền còn lại hướng tới việc sửa dữ liệu không chính xác.

Trường hợp nào yêu cầu hạn chế xử lý có thể không được áp dụng?

Quyền hạn chế xử lý dữ liệu không phải là quyền tuyệt đối. Khoản 1 Điều 10 loại trừ trường hợp thuộc Điều 19 Luật Bảo vệ dữ liệu cá nhân hoặc trường hợp pháp luật có quy định khác.

Điều 19 quy định một số hoạt động xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể, trong đó có xử lý cần thiết để bảo vệ tính mạng, sức khỏe hoặc quyền, lợi ích hợp pháp trong trường hợp cấp bách; xử lý phục vụ tình trạng khẩn cấp, an ninh quốc gia, phòng chống tội phạm và vi phạm pháp luật; phục vụ hoạt động của cơ quan nhà nước, quản lý nhà nước; thực hiện thỏa thuận của chủ thể dữ liệu với các bên liên quan theo quy định pháp luật; và các trường hợp khác do pháp luật quy định.

Giới hạn này có nghĩa là việc gửi yêu cầu hạn chế không tự động khiến mọi hoạt động xử lý phải dừng trong mọi hoàn cảnh. Trước tiên phải xem hoạt động xử lý đang bị yêu cầu hạn chế có thuộc một căn cứ xử lý không cần sự đồng ý theo Điều 19 hay thuộc ngoại lệ khác của pháp luật hay không.

Bản thân chủ thể dữ liệu khi thực hiện quyền cũng phải tuân thủ pháp luật, nghĩa vụ theo hợp đồng, không gây khó khăn hoặc cản trở việc thực hiện nghĩa vụ pháp lý của bên xử lý và không xâm phạm quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức hoặc cá nhân khác.

Yêu cầu hạn chế xử lý phải gửi thế nào và được giải quyết trong bao lâu?

Khoản 2 Điều 10 yêu cầu đề nghị hạn chế xử lý phải được thể hiện bằng văn bản, bao gồm dạng điện tử hoặc định dạng có thể kiểm chứng, và gửi cho bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân. Việc thực hiện còn phải tuân theo pháp luật và thỏa thuận giữa các bên.

Nghị định 356/2025/NĐ-CP, có hiệu lực từ ngày 01/01/2026, quy định cụ thể thời hạn xử lý. Khi nhận được yêu cầu hạn chế đúng thủ tục, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải phản hồi trong 02 ngày làm việc, cung cấp thông tin về thủ tục ngừng xử lý và thực hiện trong thời hạn 15 ngày. Nếu cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba ngừng xử lý, thời hạn là 20 ngày.

Nếu yêu cầu có tính chất phức tạp, thời gian xử lý có thể được gia hạn tối đa một lần và không quá 15 ngày. Bên kiểm soát phải thông báo lý do cho chủ thể dữ liệu và có trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

Như vậy, theo khung pháp luật hiện hành, chủ thể dữ liệu có thể thực hiện quyền hạn chế xử lý dữ liệu khi có nghi ngờ về phạm vi xử lý, mục đích xử lý hoặc tính chính xác của dữ liệu cá nhân. Tuy nhiên, trước khi yêu cầu, cần xác định hoạt động xử lý có thuộc trường hợp không cần sự đồng ý theo Điều 19 hoặc một ngoại lệ khác của pháp luật hay không. Yêu cầu cũng cần được lập dưới hình thức có thể kiểm chứng và gửi đúng chủ thể có trách nhiệm xử lý để cơ chế hạn chế phát sinh hiệu quả pháp lý theo quy định.