Dữ liệu nhạy cảm là gì theo Luật Bảo vệ dữ liệu cá nhân (PDPL)? Vì sao form trên website của bạn có thể đang thu thập mà không hay

Khi nghe “dữ liệu nhạy cảm”, hầu hết chúng ta nghĩ ngay đến hồ sơ bệnh án, số tài khoản ngân hàng, hay kết quả xét nghiệm ADN.

Không sai — nhưng chưa đủ.

Theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, danh sách dữ liệu nhạy cảm dài hơn nhiều so với những gì bạn tưởng. Và một phần đáng kể trong danh sách đó đang xuất hiện ở những nơi rất bình thường trên website doanh nghiệp — form giao hàng, tính năng tìm cửa hàng gần bạn, đăng ký tư vấn bảo hiểm, thậm chí phần upload ảnh đại diện.

Vấn đề không nằm ở việc bạn có những form đó. Vấn đề nằm ở chỗ dữ liệu nhạy cảm chịu một mức bảo vệ cao hơn hẳn trong luật — và nếu bạn không biết mình đang thu loại nào, bạn không thể xin đúng loại sự đồng ý cần có.

Dữ liệu cá nhân nhạy cảm là gì? Định nghĩa theo Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15

Theo Điều 2 – Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, dữ liệu cá nhân nhạy cảm là dữ liệu gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của chủ thể dữ liệu. Danh sách bao gồm:

• Dữ liệu sức khỏe: tình trạng bệnh lý, lịch sử khám chữa bệnh, kết quả xét nghiệm, đơn thuốc
• Dữ liệu tài chính: số tài khoản ngân hàng, lịch sử giao dịch, hạn mức tín dụng, thông tin vay nợ
• Dữ liệu vị trí: vị trí địa lý thực tế hoặc lịch sử di chuyển của cá nhân
• Dữ liệu sinh trắc học: vân tay, nhận diện khuôn mặt, mống mắt, giọng nói, ADN
• Quan điểm chính trị, tôn giáo, triết học: bao gồm cả thành viên tổ chức, đảng phái
• Đời sống tình dục, xu hướng tính dục
• Dữ liệu về tội phạm, vi phạm pháp luật
• Dữ liệu về trẻ em

Điểm quan trọng cần nắm: Pháp luật không phân loại dữ liệu nhạy cảm theo cảm tính (“cái này nghe có vẻ nghiêm trọng”). Phân loại dựa trên loại thông tin, không phụ thuộc vào mục đích bạn thu thập hay mức độ bạn thực sự sử dụng nó. Thu dữ liệu vị trí dù chỉ để giao hàng một lần — vẫn là dữ liệu nhạy cảm, vẫn cần consent riêng biệt.

Sự khác biệt giữa dữ liệu thông thường và dữ liệu nhạy cảm trong thực tế

Dữ liệu cá nhân thông thường — họ tên, ngày sinh, giới tính, địa chỉ email, số điện thoại, nghề nghiệp, địa chỉ nhà — chịu yêu cầu consent theo luật, nhưng không yêu cầu sự đồng ý riêng biệt cho từng loại.

Dữ liệu cá nhân nhạy cảm chịu thêm hai yêu cầu bổ sung:

Thứ nhất — Sự đồng ý phải được thể hiện riêng biệt. Không thể gộp vào một checkbox “Tôi đồng ý với điều khoản sử dụng” chung. Phải có một hành động đồng ý rõ ràng, chỉ dành riêng cho loại dữ liệu nhạy cảm đó, và phải nêu rõ mục đích xử lý.

Thứ hai — Phải thông báo rõ rằng đây là dữ liệu nhạy cảm ngay tại thời điểm xin đồng ý. Người dùng cần biết họ đang trao cho bạn loại thông tin có mức bảo vệ cao hơn — không phải sau khi đã điền xong form.

Những tính năng website phổ biến đang âm thầm thu thập dữ liệu nhạy cảm

Đây là phần mà nhiều doanh nghiệp bị bất ngờ nhất.

Tính năng “Giao hàng tận nơi” hoặc “Tìm cửa hàng gần bạn”

Bất kỳ tính năng nào yêu cầu người dùng bật định vị GPS hoặc nhập địa chỉ hiện tại của họ đều đang thu thập dữ liệu vị trí — một trong những loại dữ liệu nhạy cảm theo luật. Điều này khác với việc khách tự điền địa chỉ giao hàng cố định; dữ liệu vị trí thực tế theo thời gian thực mới thuộc nhóm nhạy cảm.

Form đăng ký tư vấn bảo hiểm, vay vốn, hay thẻ tín dụng

Hầu hết các form này thu thập thông tin về tình hình tài chính — thu nhập hàng tháng, khoản vay hiện có, lịch sử tín dụng. Dù chỉ dùng để “sàng lọc khách hàng tiềm năng”, đây đã là dữ liệu tài chính nhạy cảm theo luật.

Form đăng ký khám sức khỏe, tư vấn dinh dưỡng, hay đặt lịch tại phòng khám

Bất kỳ trường thông tin nào hỏi về tình trạng bệnh lý, dị ứng, hoặc lịch sử điều trị — dù chỉ để “chuẩn bị hồ sơ trước khi đến” — đều là dữ liệu sức khỏe nhạy cảm.

Tính năng đăng nhập bằng nhận diện khuôn mặt hoặc vân tay

Ngày càng nhiều ứng dụng và website tích hợp xác thực sinh trắc học. Đây là dữ liệu sinh trắc học — nhóm nhạy cảm nhất trong luật và cũng là nhóm chịu kiểm soát nghiêm ngặt nhất.

Form đăng ký cho trẻ em tham gia khóa học, sự kiện, hay chương trình

Bất kỳ dữ liệu nào thuộc về trẻ em dưới 16 tuổi đều được xếp vào nhóm nhạy cảm và yêu cầu sự đồng ý của cha mẹ hoặc người giám hộ hợp pháp — không phải của bản thân trẻ.

Một tình huống rất phổ biến và rất dễ bị bỏ qua

Bạn có một website thương mại điện tử. Khách đặt hàng, điền địa chỉ giao hàng — bạn lưu lại để giao đúng nơi. Đến đây hoàn toàn bình thường.

Nhưng sau đó, bạn dùng địa chỉ đó để: phân tích khu vực địa lý khách hàng trong hệ thống BI, chia sẻ với đối tác logistic bên thứ ba, và chạy quảng cáo định vị địa lý trên Facebook Ads nhắm đến khu vực đó.

Bạn đang dùng dữ liệu vị trí — vốn là dữ liệu nhạy cảm — cho 3 mục đích khác nhau, trong khi chỉ có sự đồng ý ban đầu cho mục đích giao hàng.

Đây không phải tình huống hiếm gặp. Đây là cách vận hành marketing-data hoàn toàn tiêu chuẩn — nhưng từ ngày 1/1/2026, mỗi mục đích đó đòi hỏi một lần xin phép riêng.

Vậy khi form thu dữ liệu nhạy cảm, cần làm gì khác đi?

1. Đặt hộp đồng ý riêng biệt — không gộp chung

Với mỗi loại dữ liệu nhạy cảm, cần có một hành động đồng ý độc lập. Không phải một checkbox chung “Tôi đồng ý với chính sách bảo mật” bao gồm mọi thứ bên trong.

Ví dụ thực tế cho một website bất động sản có tính năng “tìm dự án gần bạn”:

❌ Cách làm phổ biến hiện nay:

☑ Tôi đồng ý với điều khoản sử dụng và chính sách bảo mật.

✅ Cách làm đúng chuẩn:

☐ Tôi đồng ý để [Tên công ty] sử dụng vị trí hiện tại của tôi để hiển thị các dự án bất động sản gần tôi nhất. Tôi có thể rút lại sự đồng ý này bất kỳ lúc nào tại [link].

2. Nêu rõ mục đích ngay tại điểm thu thập

Người dùng cần biết: dữ liệu này sẽ được dùng để làm gì, trong bao lâu, và có chia sẻ với ai không. Không phải trong một file PDF “Chính sách bảo mật” 20 trang mà ít ai đọc — mà ngay tại form, ngay lúc họ được hỏi.

3. Đảm bảo có thể rút lại — và có cơ chế thực thi

Sự đồng ý với dữ liệu nhạy cảm cần có cơ chế rút lại rõ ràng. Quan trọng hơn, khi khách rút lại, hành động đó phải được đồng bộ xuống toàn bộ hệ thống đang dùng dữ liệu đó — không chỉ ghi nhận trong database rồi để đó.

Câu hỏi thường gặp

• Số điện thoại có phải dữ liệu nhạy cảm không? Không — số điện thoại thuộc nhóm dữ liệu cá nhân thông thường theo luật. Tuy nhiên, bạn vẫn cần xin sự đồng ý rõ ràng cho từng mục đích sử dụng số đó: giao hàng là một consent, gửi SMS marketing là một consent khác, chia sẻ với đối tác là một consent khác nữa.
• Địa chỉ nhà (không phải vị trí GPS) có phải dữ liệu nhạy cảm không? Địa chỉ nhà cố định mà khách tự điền thường được xem là dữ liệu thông thường. Dữ liệu vị trí nhạy cảm trong luật chủ yếu chỉ dữ liệu vị trí thực tế, theo thời gian thực — ví dụ GPS location. Tuy nhiên, ranh giới này có thể được làm rõ thêm qua hướng dẫn của cơ quan chức năng, nên cách tiếp cận an toàn nhất là xử lý cẩn thận cả hai.
• Ảnh chụp mặt người dùng upload lên website có phải dữ liệu sinh trắc học không? Chỉ khi ảnh đó được dùng để nhận diện danh tính — tức là qua hệ thống nhận diện khuôn mặt. Một ảnh đại diện thông thường không tự động là dữ liệu sinh trắc học. Nhưng nếu bạn dùng AI để phân tích khuôn mặt từ ảnh đó, ngưỡng đó bị vượt qua.
• Nếu khách hàng tự nguyện chia sẻ thông tin nhạy cảm trong phần chat hỗ trợ, tôi có cần làm gì không? Có. Dù khách chủ động chia sẻ, bạn vẫn có nghĩa vụ xử lý thông tin đó đúng chuẩn — không lưu lâu hơn cần thiết, không dùng cho mục đích khác ngoài hỗ trợ khách hàng trong tình huống đó, và có biện pháp bảo vệ phù hợp.

Kiểm tra nhanh cho website của bạn

Rà soát các tính năng và form hiện có, tự hỏi với mỗi mục:

• Tính năng này có yêu cầu vị trí địa lý không?
• Form này có hỏi thông tin tài chính không?
• Có thu thập bất kỳ thông tin nào liên quan đến sức khỏe không?
• Có tích hợp nhận diện khuôn mặt hoặc vân tay không?
• Có thu thập dữ liệu của người dùng dưới 16 tuổi không?

Nếu bất kỳ câu nào là “có” — cần rà soát lại consent flow cho điểm đó, đảm bảo có hộp đồng ý riêng biệt, nêu rõ mục đích, và có cơ chế rút lại.

Đọc thêm:

• Thu thập dữ liệu khách hàng trên website: làm sao để đúng luật PDPL mà không làm gián đoạn Marketing?
• 5 dấu hiệu website của bạn đang thu thập dữ liệu khách hàng sai luật PDPL

Thông tin thêm về giải pháp CMP do FPT phát triển:
Giải pháp CMP (nền tảng quản lý sự đồng ý của người dùng) của FPT giúp doanh nghiệp quản lý toàn bộ quá trình xin phép và sử dụng dữ liệu khách hàng một cách minh bạch, có hệ thống. Mọi sự đồng ý đều được ghi nhận và lưu trữ đầy đủ, giúp doanh nghiệp tuân thủ quy định, giảm rủi ro pháp lý và vận hành hiệu quả hơn.

Để bắt đầu khám phá giải pháp phù hợp với nhu cầu doanh nghiệp, hãy để lại thông tin ở cuối trang để kết nối với các chuyên gia FPT.