Khi nào được thực hiện quyền yêu cầu xóa dữ liệu?

Điểm cần phân biệt là quyền yêu cầu xóa dữ liệu của chủ thể dữ liệu và các căn cứ phải xóa, hủy dữ liệu không hoàn toàn đồng nhất. Yêu cầu của chủ thể dữ liệu là một trong các căn cứ để thực hiện xóa, hủy; ngoài ra, pháp luật còn quy định những trường hợp dữ liệu phải được xóa, hủy do mục đích xử lý đã hoàn thành, hết thời hạn lưu trữ hoặc xuất phát từ căn cứ pháp lý khác.

Chủ thể dữ liệu được yêu cầu xóa dữ liệu khi nào?

Khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 ghi nhận chủ thể dữ liệu cá nhân có quyền yêu cầu xóa dữ liệu cá nhân của mình. Cụ thể hơn, điểm a khoản 1 Điều 14 quy định việc xóa, hủy được thực hiện khi chủ thể dữ liệu cá nhân có yêu cầu và chấp nhận các rủi ro, thiệt hại có thể xảy ra đối với mình.

Như vậy, pháp luật hiện hành không giới hạn quyền yêu cầu xóa vào một danh sách tình huống như “không còn cần thiết”, “rút lại sự đồng ý” hay “xử lý sai mục đích”. Chủ thể dữ liệu có thể đưa ra yêu cầu xóa dữ liệu của mình, nhưng yêu cầu đó phải đáp ứng các nguyên tắc thực hiện quyền theo khoản 3 Điều 4 của Luật.

Theo các nguyên tắc này, việc thực hiện quyền phải:

·         Tuân thủ quy định của pháp luật và nghĩa vụ của chủ thể dữ liệu theo hợp đồng

·         Nhằm bảo vệ quyền, lợi ích hợp pháp của chính chủ thể dữ liệu

·         Không gây khó khăn hoặc cản trở việc thực hiện quyền, nghĩa vụ pháp lý của bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu hoặc bên xử lý dữ liệu

·         Không xâm phạm quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức hoặc cá nhân khác

Điều kiện “chấp nhận các rủi ro, thiệt hại có thể xảy ra” cũng có ý nghĩa thực tế. Chẳng hạn, việc xóa dữ liệu cần thiết để duy trì một dịch vụ hoặc thực hiện một quan hệ hợp đồng có thể khiến một số chức năng, quyền lợi hoặc dịch vụ liên quan không thể tiếp tục. Quyền yêu cầu xóa vì thế không đồng nghĩa với việc chủ thể vừa yêu cầu loại bỏ dữ liệu cần thiết vừa đương nhiên giữ nguyên mọi quyền lợi phụ thuộc vào dữ liệu đó.

Những trường hợp dữ liệu cá nhân được xóa, hủy

Khoản 1 Điều 14 Luật Bảo vệ dữ liệu cá nhân 2025 quy định sáu nhóm căn cứ để xóa, hủy dữ liệu cá nhân:

1.    Chủ thể dữ liệu cá nhân có yêu cầu và chấp nhận rủi ro, thiệt hại có thể xảy ra đối với mình, đồng thời yêu cầu đáp ứng các nguyên tắc thực hiện quyền theo khoản 3 Điều 4

2.    Mục đích xử lý dữ liệu cá nhân đã hoàn thành

3.    Hết thời hạn lưu trữ theo quy định của pháp luật

4.    Có quyết định của cơ quan nhà nước có thẩm quyền

5.    Việc xóa, hủy được thực hiện theo thỏa thuận

6.    Thuộc trường hợp khác theo quy định của pháp luật

Trong sáu trường hợp này, trường hợp thứ nhất trực tiếp thể hiện quyền yêu cầu xóa dữ liệu của chủ thể dữ liệu. Năm trường hợp còn lại là những căn cứ pháp lý làm phát sinh việc xóa, hủy dữ liệu mà không nhất thiết phải xuất phát từ một yêu cầu của chủ thể dữ liệu.

Sự phân biệt này đặc biệt quan trọng khi đánh giá trách nhiệm của tổ chức đang nắm giữ dữ liệu. Ví dụ, nếu thời hạn lưu trữ bắt buộc đã hết hoặc mục đích xử lý đã hoàn thành thì căn cứ xóa, hủy có thể phát sinh ngay cả khi cá nhân chưa gửi yêu cầu. Ngược lại, khi cá nhân chủ động yêu cầu xóa, bên kiểm soát vẫn phải kiểm tra yêu cầu đó có thuộc trường hợp được phép từ chối theo luật hay không.

Khi nào yêu cầu xóa dữ liệu không được thực hiện?

Quyền yêu cầu xóa dữ liệu không phải quyền tuyệt đối. Khoản 2 Điều 14 Luật Bảo vệ dữ liệu cá nhân 2025 quy định không thực hiện yêu cầu xóa, hủy trong hai nhóm trường hợp chính:

·         Dữ liệu đang được xử lý thuộc trường hợp quy định tại Điều 19 của Luật

·         Việc xóa, hủy vi phạm các nguyên tắc thực hiện quyền tại khoản 3 Điều 4

Điều 19 quy định các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu, bao gồm:

·         Xử lý cần thiết trong trường hợp cấp bách để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền hoặc lợi ích hợp pháp của chủ thể dữ liệu hoặc người khác; hoặc cần thiết để bảo vệ quyền, lợi ích chính đáng trước hành vi xâm phạm

·         Xử lý nhằm giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia; phòng, chống bạo loạn, khủng bố, tội phạm và vi phạm pháp luật

·         Xử lý phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật

·         Xử lý để thực hiện thỏa thuận của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật

·         Các trường hợp khác theo quy định của pháp luật

Do đó, việc cá nhân không còn muốn một tổ chức giữ dữ liệu chưa đủ để kết luận tổ chức đó phải xóa ngay toàn bộ dữ liệu. Nếu dữ liệu vẫn cần được xử lý để thực hiện một nghĩa vụ pháp lý hoặc thuộc căn cứ tại Điều 19, yêu cầu xóa có thể không được thực hiện.

Tương tự, chủ thể dữ liệu không thể sử dụng quyền yêu cầu xóa để làm cản trở nghĩa vụ pháp lý của bên đang xử lý dữ liệu hoặc xâm phạm quyền, lợi ích hợp pháp của chủ thể khác. Đây là giới hạn trực tiếp xuất phát từ khoản 3 Điều 4 của Luật.

Yêu cầu xóa dữ liệu phải được xử lý trong bao lâu?

Nghị định 356/2025/NĐ-CP quy định cụ thể cơ chế thực hiện quyền của chủ thể dữ liệu. Bên kiểm soát dữ liệu cá nhân và bên kiểm soát, xử lý dữ liệu cá nhân phải xây dựng quy trình, thủ tục và biểu mẫu rõ ràng để chủ thể dữ liệu có thể thực hiện các quyền của mình.

Khi nhận được yêu cầu xóa dữ liệu đúng thủ tục, bên có trách nhiệm phải:

·         Phản hồi cho chủ thể dữ liệu trong 02 ngày làm việc

·         Cung cấp đầy đủ thông tin về thủ tục xóa dữ liệu

·         Thực hiện yêu cầu trong thời hạn 20 ngày

·         Nếu phải yêu cầu bên xử lý dữ liệu hoặc bên thứ ba thực hiện việc xóa thì thời hạn thực hiện là 30 ngày

·         Nếu yêu cầu có tính chất phức tạp và cần gia hạn, được gia hạn tối đa 01 lần, không quá 20 ngày, đồng thời phải thông báo lý do và chứng minh việc gia hạn là cần thiết, hợp lý

Sau khi thuộc trường hợp phải xóa, hủy, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải tự thực hiện hoặc yêu cầu bên xử lý dữ liệu, bên thứ ba xóa, hủy dữ liệu liên quan. Việc xóa, hủy phải được thực hiện bằng biện pháp an toàn và ngăn chặn việc xâm nhập hoặc khôi phục trái phép dữ liệu đã bị xóa, hủy. Pháp luật cũng cấm cơ quan, tổ chức, cá nhân cố ý khôi phục trái phép những dữ liệu này.

Nếu không thể xóa, hủy dữ liệu vì lý do chính đáng, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải thông báo cho chủ thể dữ liệu biết. Vì vậy, việc không thực hiện yêu cầu không nên được hiểu đơn thuần là tổ chức có thể im lặng hoặc tự quyết định giữ lại dữ liệu mà không có phản hồi.

Quyền yêu cầu xóa dữ liệu cho phép cá nhân chủ động kiểm soát dữ liệu cá nhân của mình, nhưng việc thực hiện quyền phải được đặt trong tổng thể các nghĩa vụ và lợi ích hợp pháp mà pháp luật bảo vệ. Theo Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu có thể yêu cầu xóa dữ liệu và chấp nhận những rủi ro, thiệt hại có thể phát sinh; yêu cầu đồng thời phải tuân thủ các nguyên tắc tại khoản 3 Điều 4.

Điều này cũng có nghĩa rằng gửi yêu cầu xóa không đồng nghĩa dữ liệu chắc chắn phải được xóa. Bên kiểm soát cần xác định dữ liệu có thuộc trường hợp xử lý không cần sự đồng ý tại Điều 19 hay việc xóa có ảnh hưởng đến nghĩa vụ pháp lý và quyền, lợi ích hợp pháp của các chủ thể khác hay không. Nếu không thuộc trường hợp loại trừ và yêu cầu hợp lệ, yêu cầu phải được xử lý theo thời hạn, thủ tục do pháp luật quy định.

Chủ thể dữ liệu có thể yêu cầu xóa toàn bộ dữ liệu cá nhân của mình không?

Chủ thể dữ liệu có quyền đưa ra yêu cầu xóa dữ liệu cá nhân của mình. Tuy nhiên, phạm vi thực tế được xóa còn phụ thuộc vào các nghĩa vụ pháp lý và căn cứ xử lý dữ liệu. Dữ liệu thuộc trường hợp tại Điều 19 Luật Bảo vệ dữ liệu cá nhân hoặc việc xóa vi phạm các nguyên tắc tại khoản 3 Điều 4 thì yêu cầu không được thực hiện.

Rút lại sự đồng ý có đồng nghĩa với dữ liệu phải được xóa ngay không?

Không. Luật phân biệt quyền rút lại sự đồng ý và quyền yêu cầu xóa dữ liệu. Việc rút lại sự đồng ý không tự động làm mất mọi căn cứ pháp lý khác cho hoạt động xử lý dữ liệu; còn yêu cầu xóa phải được xem xét theo Điều 14 và các trường hợp loại trừ tại Điều 19.

Doanh nghiệp phải phản hồi yêu cầu xóa dữ liệu trong bao lâu?

Khi nhận được yêu cầu đúng thủ tục, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải phản hồi trong vòng 02 ngày làm việc và thông thường thực hiện việc xóa trong 20 ngày. Nếu cần yêu cầu bên xử lý hoặc bên thứ ba thực hiện, thời hạn là 30 ngày; trường hợp cần thiết có thể được gia hạn một lần không quá 20 ngày theo điều kiện của Nghị định 356/2025/NĐ-CP.