Bảo vệ dữ liệu cá nhân là gì? Những thông tin nào được xem là dữ liệu cá nhân theo quy định của pháp luật?

Bảo vệ dữ liệu cá nhân là gì?

Hiện tại, căn cứ vào khoản 4 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025 (có hiệu lực từ 01/01/2026) quy định như sau:

4. Bảo vệ dữ liệu cá nhân là việc cơ quan, tổ chức, cá nhân sử dụng lực lượng, phương tiện, biện pháp để phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

Theo đó, bảo vệ dữ liệu cá nhân là việc cơ quan, tổ chức, cá nhân sử dụng lực lượng, phương tiện, biện pháp để phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

Trước đây theo khoản 5 Điều 2 Nghị định 13/2023/NĐ-CP (hết hiệu lực từ 31/12/2025) như sau:

Bảo vệ dữ liệu cá nhân là hoạt động phòng ngừa, phát hiện, ngăn chặn, xử lý hành vi vi phạm liên quan đến dữ liệu cá nhân theo quy định của pháp luật.

Như vậy, theo quy định trên thì bảo vệ dữ liệu cá nhân là hoạt động phòng ngừa, phát hiện, ngăn chặn, xử lý hành vi vi phạm liên quan đến dữ liệu cá nhân theo quy định của pháp luật.

Bảo vệ dữ liệu cá nhân là gì? Những thông tin nào được xem là dữ liệu cá nhân theo quy định của pháp luật? (Hình từ Internet)

Những thông tin nào được xem là dữ liệu cá nhân?

Dữ liệu cá nhân được chia thành 2 nhóm gồm:

- Dữ liệu cá nhân cơ bản được quy định tại Điều 3 Nghị định 356/2025/NĐ-CP (có hiệu lực từ 01/01/2026), gồm:

+ Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có);

+ Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích;

+ Giới tính;

+ Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ;

+ Quốc tịch;

+ Hình ảnh của cá nhân;

+ Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe;

+ Tình trạng hôn nhân;

+ Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ, chồng);

+ Thông tin về tài khoản số của cá nhân;

+ Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc quy định tại Điều 4 Nghị định 356/2025/NĐ-CP.

- Danh mục dữ liệu cá nhân nhạy cảm tại Điều 4 Nghị định 356/2025/NĐ-CP (có hiệu lực từ 01/01/2026), gồm:

+ Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;

+ Quan điểm về chính trị, tôn giáo, tín ngưỡng;

+ Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;

+ Tình trạng sức khỏe;

+ Dữ liệu sinh trắc học, đặc điểm di truyền;

+ Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;

+ Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;

+ Vị trí của cá nhân được xác định qua dịch vụ định vị;

+ Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;

+ Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;

+ Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;

+ Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.

Trước đây theo quy định về dữ liệu cá nhân được phân chia thành 02 nhóm:

- Dữ liệu cá nhân cơ bản; (căn cứ theo khoản 3 Điều 2 Nghị định 13/2023/NĐ-CP)

- Dữ liệu cá nhân nhạy cảm. (căn cứ theo khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP)

Chi tiết sẽ được phân chia như sau:

Trường hợp kiểm tra hoạt động bảo vệ dữ liệu cá nhân được tiến hành thường xuyên, đột xuất?

Tại Điều 31 Nghị định 356/2025/NĐ-CP có quy định về kiểm tra hoạt động dữ liệu cá nhân như sau:

Kiểm tra hoạt động bảo vệ dữ liệu cá nhân

1. Kiểm tra hoạt động bảo vệ dữ liệu cá nhân được tiến hành thường xuyên, đột xuất, trong trường hợp sau đây:

a) Khi có căn cứ nghi vấn về hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;

b) Khi có chỉ đạo của cơ quan, người có thẩm quyền quản lý nhà nước về bảo vệ dữ liệu cá nhân;

c) Thực hiện công tác quản lý nhà nước theo quy định của pháp luật.

2. Đối tượng kiểm tra hoạt động bảo vệ dữ liệu cá nhân bao gồm:

a) Cơ quan, tổ chức, cá nhân có hoạt động xử lý dữ liệu cá nhân;

b) Tổ chức, cá nhân kinh doanh dịch vụ xử lý dữ liệu cá nhân;

c) Cơ quan, tổ chức, cá nhân phải thực hiện hoạt động đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới;

d) Cơ quan, tổ chức, cá nhân có liên quan đến các vụ, việc vi phạm quy định về bảo vệ dữ liệu cá nhân.

3. Nội dung kiểm tra công tác bảo vệ dữ liệu cá nhân:

a) Hiện trạng tuân thủ công tác bảo vệ dữ liệu cá nhân;

b) Hoạt động đánh giá tác động xử lý dữ liệu cá nhân và đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới;

c) Hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân.

4. Cơ quan chuyên trách bảo vệ dữ liệu cá nhân ban hành quyết định kiểm tra và thông báo cho đối tượng kiểm tra quy định tại khoản 2 Điều này trước 15 ngày về thời gian, nội dung và thành phần đoàn kiểm tra. Trường hợp kiểm tra đột xuất để kịp thời xác minh, phát hiện, ngăn chặn hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân, cơ quan chuyên trách bảo vệ dữ liệu cá nhân có quyền tiến hành kiểm tra ngay mà không cần thông báo trước.

5. Đối tượng kiểm tra phải chuẩn bị đầy đủ các nội dung kiểm tra phù hợp theo quy định tại khoản 3 Điều này và theo yêu cầu cụ thể tại quyết định kiểm tra do cơ quan chuyên trách về bảo vệ dữ liệu cá nhân ban hành.

Theo đó, kiểm tra hoạt động bảo vệ dữ liệu cá nhân được tiến hành thường xuyên, đột xuất, trong trường hợp sau đây:

- Khi có căn cứ nghi vấn về hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;

- Khi có chỉ đạo của cơ quan, người có thẩm quyền quản lý nhà nước về bảo vệ dữ liệu cá nhân;

- Thực hiện công tác quản lý nhà nước theo quy định của pháp luật.