Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định, người dùng có quyền yêu cầu các cơ quan, tổ chức, doanh nghiệp đang lưu trữ dữ liệu cá nhân của mình phải xóa hoặc hủy dữ liệu theo đúng quy định pháp luật. Luật chính thức có hiệu lực từ ngày 1/1/2026, được đánh giá là bước tiến quan trọng trong việc hoàn thiện khung pháp lý về bảo vệ dữ liệu cá nhân tại Việt Nam.

Theo khoản 2 Điều 25 của luật, các cơ quan, tổ chức, cá nhân sử dụng lao động có trách nhiệm lưu trữ dữ liệu cá nhân của người lao động trong thời hạn theo quy định hoặc theo thỏa thuận. Khi hợp đồng lao động chấm dứt, đơn vị sử dụng lao động phải xóa hoặc hủy dữ liệu cá nhân của người lao động, trừ trường hợp pháp luật có quy định khác hoặc có thỏa thuận riêng. Quy định này nhằm bảo đảm người lao động vẫn giữ quyền kiểm soát thông tin cá nhân sau khi rời doanh nghiệp, hạn chế nguy cơ lộ lọt hoặc sử dụng dữ liệu trái phép.

Theo ông Ngô Tuấn Anh, Phó ban An ninh dữ liệu và Bảo vệ dữ liệu cá nhân, Hiệp hội An ninh mạng quốc gia, pháp luật yêu cầu các tổ chức, doanh nghiệp phải bố trí bộ phận hoặc cá nhân phụ trách công tác bảo vệ dữ liệu cá nhân. Mô hình có thể là đơn vị chuyên trách hoặc kết hợp giữa pháp chế, tuân thủ và công nghệ thông tin, tùy theo điều kiện của từng doanh nghiệp.

Ông Ngô Tuấn Anh cho biết, trong trường hợp một khách hàng sử dụng dịch vụ của công ty chứng khoán và gửi yêu cầu hủy tài khoản, xóa toàn bộ dữ liệu cá nhân, doanh nghiệp phải hoàn tất việc xóa dữ liệu trong vòng 72 giờ kể từ khi tiếp nhận yêu cầu. Quá trình xử lý phải được ghi nhận đầy đủ, có thể truy vết nhằm phục vụ công tác kiểm tra, giám sát.

Kết quả khảo sát cho thấy, khoảng 67% doanh nghiệp đã có quyết định hoặc bước đầu hình thành bộ phận phụ trách bảo vệ dữ liệu cá nhân, song vẫn còn hơn 30% đơn vị chưa triển khai. Hiện nay, các lĩnh vực tài chính – ngân hàng, công nghệ và viễn thông là những ngành xử lý khối lượng lớn dữ liệu cá nhân, với mức độ nhạy cảm cao.

Trong giai đoạn chuyển tiếp, các doanh nghiệp vẫn áp dụng Nghị định 13/2023/NĐ-CP, quy định hai nhóm biện pháp bảo vệ dữ liệu cá nhân gồm biện pháp quản lý và biện pháp kỹ thuật. Tuy nhiên, nhiều doanh nghiệp mới chỉ dừng ở việc lập báo cáo đánh giá tác động, chưa đầu tư đầy đủ hệ thống kỹ thuật để bảo đảm thực thi quyền của chủ thể dữ liệu.

Theo Thượng tá Nguyễn Đình Đỗ Thi, Luật Bảo vệ dữ liệu cá nhân năm 2025 không chỉ hoàn thiện khung pháp lý trong nước mà còn mở rộng phạm vi áp dụng đối với tổ chức, cá nhân nước ngoài có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam, kể cả khi không có pháp nhân tại Việt Nam./.