Những trường hợp từ chối xóa dữ liệu theo pháp luật

Điều này có nghĩa tổ chức không thể từ chối chỉ vì muốn tiếp tục giữ dữ liệu. Muốn không thực hiện yêu cầu, phải xác định được căn cứ pháp lý cụ thể và việc tiếp tục xử lý dữ liệu phải nằm trong phạm vi mà pháp luật cho phép.

Quyền yêu cầu xóa dữ liệu không đồng nghĩa dữ liệu luôn phải được xóa

Khoản 1 Điều 14 Luật Bảo vệ dữ liệu cá nhân 2025 quy định nhiều căn cứ dẫn đến việc xóa, hủy dữ liệu, trong đó có trường hợp chính chủ thể dữ liệu yêu cầu và chấp nhận những rủi ro, thiệt hại có thể xảy ra đối với mình. Dữ liệu cũng phải được xóa, hủy khi đã hoàn thành mục đích xử lý, hết thời hạn lưu trữ, theo quyết định của cơ quan nhà nước có thẩm quyền, theo thỏa thuận hoặc trong trường hợp khác do pháp luật quy định.

Tuy nhiên, khoản 2 Điều 14 đồng thời đặt ra hai nhóm ngoại lệ trực tiếp:

·         Yêu cầu thuộc một trong các trường hợp xử lý dữ liệu không cần sự đồng ý quy định tại Điều 19

·         Việc xóa, hủy dữ liệu vi phạm các nguyên tắc tại khoản 3 Điều 4 của Luật

Vì vậy, khi xác định một trường hợp từ chối xóa dữ liệu có hợp pháp hay không, câu hỏi quan trọng không chỉ là “người dùng đã yêu cầu xóa chưa”, mà còn là “tổ chức có căn cứ pháp luật nào để tiếp tục xử lý hoặc lưu giữ dữ liệu đó hay không”.

Có thể không xóa dữ liệu khi thuộc trường hợp xử lý không cần sự đồng ý

Điều 19 Luật Bảo vệ dữ liệu cá nhân 2025 liệt kê những trường hợp dữ liệu cá nhân được xử lý mà không cần sự đồng ý của chủ thể dữ liệu. Điều 14 lại dẫn chiếu trực tiếp đến Điều 19 để xác định ngoại lệ đối với yêu cầu xóa.

Bảo vệ tính mạng, sức khỏe hoặc quyền và lợi ích hợp pháp trong tình huống cần thiết

Dữ liệu có thể tiếp tục được xử lý để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm hoặc quyền, lợi ích hợp pháp của chủ thể dữ liệu hay người khác trong trường hợp cấp bách.

Pháp luật cũng cho phép xử lý khi cần thiết để bảo vệ quyền, lợi ích chính đáng của cá nhân, người khác, Nhà nước, cơ quan hoặc tổ chức trước hành vi xâm phạm. Đáng chú ý, bên xử lý hoặc kiểm soát dữ liệu có trách nhiệm chứng minh căn cứ này.

Do đó, một tổ chức không thể chỉ viện dẫn chung chung rằng việc lưu dữ liệu là “cần thiết”. Mức độ cần thiết và mục tiêu bảo vệ lợi ích phải có khả năng được chứng minh.

Phục vụ tình trạng khẩn cấp, an ninh và phòng, chống vi phạm pháp luật

Yêu cầu xóa cũng có thể không được thực hiện khi dữ liệu đang được xử lý nhằm:

·         Giải quyết tình trạng khẩn cấp

·         Xử lý nguy cơ đe dọa an ninh quốc gia

·         Phòng, chống bạo loạn hoặc khủng bố

·         Phòng, chống tội phạm và vi phạm pháp luật

Đây là những mục đích mà pháp luật cho phép xử lý dữ liệu không phụ thuộc vào sự đồng ý của chủ thể dữ liệu.

Phục vụ hoạt động của cơ quan nhà nước và quản lý nhà nước

Điều 19 còn cho phép xử lý dữ liệu cá nhân để phục vụ hoạt động của cơ quan nhà nước và hoạt động quản lý nhà nước theo quy định pháp luật.

Vì vậy, cá nhân không thể mặc nhiên yêu cầu xóa một dữ liệu mà cơ quan có thẩm quyền vẫn phải xử lý hoặc lưu giữ để thực hiện chức năng, nhiệm vụ được pháp luật giao.

Dữ liệu vẫn cần thiết để thực hiện một thỏa thuận hợp pháp

Một ngoại lệ khác là việc xử lý nhằm thực hiện thỏa thuận của chủ thể dữ liệu với cơ quan, tổ chức hoặc cá nhân có liên quan theo quy định pháp luật.

Điểm này đặc biệt quan trọng vì việc rút lại sự đồng ý hoặc gửi yêu cầu xóa dữ liệu không đương nhiên làm mất hiệu lực mọi nghĩa vụ đang tồn tại giữa các bên. Nếu một phần dữ liệu vẫn cần thiết để thực hiện thỏa thuận hợp pháp, yêu cầu xóa phần dữ liệu đó có thể chưa được thực hiện.

Trường hợp khác do pháp luật quy định

Điều 19 còn dành phạm vi cho những trường hợp khác được pháp luật quy định. Do đó, ngoài Luật Bảo vệ dữ liệu cá nhân, một tổ chức có thể phải xem xét pháp luật chuyên ngành điều chỉnh loại hồ sơ hoặc hoạt động cụ thể trước khi xóa dữ liệu.

Yêu cầu xóa có thể bị từ chối nếu làm cản trở nghĩa vụ pháp lý hoặc xâm phạm quyền của người khác

Ngoài các trường hợp tại Điều 19, khoản 2 Điều 14 còn cho phép không thực hiện yêu cầu nếu việc xóa, hủy dữ liệu vi phạm khoản 3 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025.

Khoản 3 Điều 4 yêu cầu chủ thể dữ liệu khi thực hiện quyền của mình phải tuân thủ ba giới hạn cơ bản.

Thứ nhất, việc thực hiện quyền phải phù hợp với pháp luật và các nghĩa vụ của chính chủ thể dữ liệu theo hợp đồng. Quyền được thực hiện để bảo vệ quyền và lợi ích hợp pháp của chủ thể dữ liệu, chứ không phải để vô hiệu hóa một nghĩa vụ pháp lý đang tồn tại.

Thứ hai, việc thực hiện quyền không được gây khó khăn hoặc cản trở việc thực hiện quyền, nghĩa vụ pháp lý của bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu hoặc bên xử lý dữ liệu.

Thứ ba, việc thực hiện quyền không được xâm phạm quyền, lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức hoặc cá nhân khác.

Ví dụ, nếu một tổ chức đang có nghĩa vụ pháp luật phải lưu giữ một hồ sơ trong một thời hạn nhất định, việc chủ thể dữ liệu gửi yêu cầu xóa không mặc nhiên làm chấm dứt nghĩa vụ lưu giữ đó. Tương tự, quyền xóa không nên được hiểu là công cụ để loại bỏ thông tin cần thiết cho việc thực hiện một nghĩa vụ hợp pháp giữa các bên.

“Lý do chính đáng” không cho phép tổ chức tùy ý giữ lại dữ liệu

Khoản 5 Điều 14 thừa nhận trường hợp bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu không thể xóa, hủy dữ liệu vì “lý do chính đáng”. Tuy nhiên, Luật đồng thời yêu cầu bên đó phải thông báo để chủ thể dữ liệu biết.

Quy định này cần được đọc cùng khoản 2 Điều 14, Điều 19 và khoản 3 Điều 4. Nói cách khác, “lý do chính đáng” không nên được hiểu là một quyền giữ dữ liệu vô hạn chỉ dựa trên nhu cầu nội bộ của doanh nghiệp.

Một quyết định không xóa dữ liệu có cơ sở vững chắc cần xác định được ít nhất:

·         Loại dữ liệu nào chưa thể xóa

·         Căn cứ pháp lý hoặc nghĩa vụ nào đòi hỏi tiếp tục xử lý

·         Mục đích tiếp tục giữ dữ liệu

·         Phạm vi dữ liệu thực sự cần thiết cho mục đích đó

·         Việc chủ thể dữ liệu được thông báo về tình trạng xử lý yêu cầu

Điều này cũng phù hợp với nguyên tắc chung của Luật rằng việc bảo vệ dữ liệu phải hài hòa với quyền và lợi ích hợp pháp của Nhà nước, cơ quan, tổ chức, cá nhân khác.

Tổ chức phải phản hồi yêu cầu xóa trong thời hạn cụ thể

Nghị định 356/2025/NĐ-CP đã cụ thể hóa thủ tục thực hiện quyền của chủ thể dữ liệu.

Theo Điều 5 Nghị định này, khi nhận được yêu cầu xóa dữ liệu đúng thủ tục, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu phải phản hồi trong 02 ngày làm việc, cung cấp thông tin về thủ tục và thực hiện yêu cầu trong thời hạn 20 ngày.

Nếu phải yêu cầu bên xử lý dữ liệu hoặc bên thứ ba thực hiện việc xóa, thời hạn có thể là 30 ngày. Khi yêu cầu có tính chất phức tạp, thời gian xử lý được gia hạn tối đa một lần và thời gian gia hạn không quá 20 ngày; bên kiểm soát phải thông báo lý do và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

Những mốc thời gian này cho thấy “không xóa ngay” và “từ chối xóa” là hai tình huống khác nhau. Một yêu cầu đang được xử lý trong thời hạn luật định chưa thể xem là đã bị từ chối. Ngược lại, nếu tổ chức xác định không thể xóa vì căn cứ pháp lý cụ thể, chủ thể dữ liệu cần được thông báo về việc đó.

Làm thế nào đánh giá một quyết định từ chối xóa dữ liệu có hợp pháp?

Khi nhận được phản hồi không chấp nhận yêu cầu xóa, có thể kiểm tra theo một chuỗi câu hỏi tương đối rõ ràng.

Trước tiên, cần xác định tổ chức đang dựa vào Điều 19, khoản 3 Điều 4, một nghĩa vụ pháp luật chuyên ngành hay một căn cứ pháp lý cụ thể khác.

Tiếp theo, cần xem căn cứ đó có thực sự áp dụng cho toàn bộ dữ liệu đang được giữ hay chỉ cho một phần. Việc một số thông tin phải tiếp tục lưu không đồng nghĩa mọi dữ liệu liên quan đều có thể được giữ lại không giới hạn.

Sau đó, cần phân biệt giữa mục đích ban đầu đã hoàn thành và một nghĩa vụ xử lý độc lập vẫn còn tồn tại. Điều 14 quy định dữ liệu phải được xóa khi đã hoàn thành mục đích xử lý hoặc hết thời hạn lưu trữ, trừ các ngoại lệ mà Luật cho phép.

Cuối cùng, cần kiểm tra việc tổ chức đã phản hồi và thông báo lý do theo đúng thủ tục hay chưa. Nếu chủ thể dữ liệu cho rằng quyền của mình bị vi phạm, Điều 4 Luật Bảo vệ dữ liệu cá nhân ghi nhận quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật.

Tóm lại, pháp luật Việt Nam cho phép không thực hiện yêu cầu xóa dữ liệu nhưng chỉ trong phạm vi có căn cứ. Hai nhóm căn cứ trọng tâm là các trường hợp xử lý dữ liệu không cần sự đồng ý tại Điều 19 Luật Bảo vệ dữ liệu cá nhân 2025 và trường hợp việc xóa dữ liệu vi phạm các nguyên tắc thực hiện quyền tại khoản 3 Điều 4.

Doanh nghiệp hoặc tổ chức không được xem quyền từ chối là quyền giữ dữ liệu tùy ý. Việc tiếp tục lưu hoặc xử lý phải gắn với mục đích hợp pháp, giới hạn cần thiết và nghĩa vụ thông báo cho chủ thể dữ liệu. Với yêu cầu xóa hợp lệ, Nghị định 356/2025/NĐ-CP còn đặt ra các mốc phản hồi và xử lý cụ thể, tạo cơ sở để chủ thể dữ liệu kiểm tra việc yêu cầu của mình có đang được giải quyết đúng pháp luật hay không.

Có phải cứ gửi yêu cầu là doanh nghiệp phải xóa dữ liệu ngay?

Không. Doanh nghiệp phải xem xét yêu cầu theo Luật Bảo vệ dữ liệu cá nhân và có thể không thực hiện nếu thuộc Điều 19 hoặc việc xóa vi phạm khoản 3 Điều 4. Với yêu cầu đúng thủ tục, Nghị định 356/2025/NĐ-CP quy định thời hạn phản hồi ban đầu là 02 ngày làm việc và thời hạn thực hiện thông thường là 20 ngày.

Dữ liệu cần để thực hiện hợp đồng có bắt buộc phải xóa không?

Không nhất thiết. Điều 19 cho phép xử lý dữ liệu không cần sự đồng ý khi cần thực hiện thỏa thuận hợp pháp của chủ thể dữ liệu với bên liên quan; khoản 3 Điều 4 cũng yêu cầu việc thực hiện quyền của chủ thể dữ liệu phải tuân thủ nghĩa vụ theo hợp đồng.

Doanh nghiệp chỉ nói “lý do chính đáng” có đủ để từ chối không?

Luật có đề cập trường hợp không thể xóa vì lý do chính đáng, nhưng đồng thời yêu cầu thông báo cho chủ thể dữ liệu. Căn cứ này phải được xem xét cùng các ngoại lệ và giới hạn cụ thể tại Điều 14, Điều 19 và khoản 3 Điều 4, chứ không phải một quyền từ chối không điều kiện.

Nếu cho rằng yêu cầu xóa bị từ chối trái luật thì chủ thể dữ liệu có quyền gì?

Chủ thể dữ liệu có quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định pháp luật; đồng thời có thể yêu cầu cơ quan có thẩm quyền hoặc các bên liên quan thực hiện biện pháp bảo vệ dữ liệu cá nhân của mình.