DSAR (Data Subject Access Request) là yêu cầu của một cá nhân gửi tới doanh nghiệp để thực hiện các quyền của mình đối với dữ liệu cá nhân — xem, chỉnh sửa, xóa, hoặc rút lại sự đồng ý đã cấp trước đó. Theo Nghị định 356/2025/NĐ-CP, mỗi loại yêu cầu có thời hạn xử lý riêng, dao động từ 10 đến 30 ngày tùy loại — không có thời hạn chung 72 giờ như nhiều nội dung trên mạng hiểu nhầm.
📌 Trả lời nhanh: DSAR có 4 loại yêu cầu chính với thời hạn khác nhau: (1) Rút lại đồng ý/hạn chế/phản đối xử lý — 15 ngày (20 ngày nếu liên quan bên thứ ba), (2) Xem/chỉnh sửa/cung cấp dữ liệu — 10 ngày (15 ngày nếu liên quan bên thứ ba), (3) Xóa dữ liệu cá nhân — 20 ngày (30 ngày nếu liên quan bên xử lý/bên thứ ba). Trong mọi trường hợp, doanh nghiệp phải phản hồi ban đầu (xác nhận đã nhận yêu cầu) trong 2 ngày làm việc, trước khi tính đến thời hạn xử lý đầy đủ.
Phân biệt DSAR với thông báo vi phạm dữ liệu (data breach notification)
Đây là điểm dễ gây nhầm lẫn nhất: quy định “72 giờ” trong Nghị định 356/2025 áp dụng cho thông báo vi phạm dữ liệu (khi xảy ra sự cố lộ/mất dữ liệu, đặc biệt với dữ liệu vị trí và dữ liệu sinh trắc học) — đây là nghĩa vụ của doanh nghiệp khi có sự cố xảy ra, hoàn toàn khác với DSAR — là quyền của cá nhân chủ động yêu cầu doanh nghiệp thực hiện điều gì đó với dữ liệu của họ, không liên quan đến sự cố. Hai quy trình này cần được doanh nghiệp thiết lập tách biệt, không dùng chung 1 mốc thời gian.
4 loại yêu cầu DSAR và thời hạn xử lý chính xác
| Loại yêu cầu | Thời hạn thực hiện | Nếu liên quan bên xử lý/bên thứ ba |
|---|---|---|
| Rút lại đồng ý / hạn chế xử lý / phản đối xử lý | 15 ngày | 20 ngày |
| Xem / chỉnh sửa / yêu cầu cung cấp dữ liệu cá nhân | 10 ngày | 15 ngày |
| Xóa dữ liệu cá nhân | 20 ngày | 30 ngày |
Trong mọi trường hợp: doanh nghiệp phải phản hồi ban đầu (xác nhận đã tiếp nhận, cung cấp thông tin về thủ tục xử lý) trong 2 ngày làm việc kể từ khi nhận yêu cầu hợp lệ — đây là bước riêng, tách biệt với thời hạn xử lý đầy đủ ở bảng trên.
Gia hạn: nếu yêu cầu phức tạp, doanh nghiệp được gia hạn thêm tối đa 1 lần (10-15 ngày tùy loại yêu cầu), nhưng phải thông báo lý do gia hạn cho chủ thể dữ liệu và có trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý — không được gia hạn tùy tiện không giải trình.
Quy trình xử lý DSAR gồm mấy bước?
Bước 1 — Tiếp nhận và xác minh danh tính người yêu cầu Cần xác minh đúng người gửi yêu cầu là chủ thể dữ liệu (hoặc người được ủy quyền hợp lệ) trước khi xử lý — tránh trường hợp bên thứ ba giả danh để lấy thông tin của người khác.
Bước 2 — Phản hồi xác nhận trong 2 ngày làm việc Xác nhận đã nhận yêu cầu, cung cấp thông tin về thủ tục và thời gian dự kiến xử lý.
Bước 3 — Xác định phạm vi dữ liệu liên quan Rà soát toàn bộ hệ thống đang lưu trữ dữ liệu của người yêu cầu — đây là bước tốn thời gian nhất nếu doanh nghiệp không có hệ thống quản lý dữ liệu tập trung (dữ liệu rải rác trên nhiều Excel, CRM, database khác nhau).
Bước 4 — Thực hiện yêu cầu (xem/sửa/xóa/hạn chế) trong thời hạn tương ứng Theo bảng thời hạn ở trên, tùy loại yêu cầu cụ thể.
Bước 5 — Ghi nhận và lưu vết xử lý Lưu lại hồ sơ đã xử lý yêu cầu (thời gian nhận, thời gian phản hồi, kết quả) — phục vụ việc chứng minh tuân thủ nếu có kiểm tra sau này.
Vì sao doanh nghiệp thường không xử lý được đúng hạn?
Nguyên nhân phổ biến nhất Sunteco quan sát được là dữ liệu cá nhân rải rác không có hệ thống quản lý tập trung — muốn xóa dữ liệu của 1 khách hàng nhưng thông tin nằm ở cả website, CRM, Excel kế toán, Google Drive nội bộ, và có thể cả trong file backup cũ. Nếu không có công cụ hỗ trợ tìm kiếm/xóa xuyên hệ thống, việc xử lý đúng hạn 20 ngày là rất khó với doanh nghiệp có lượng dữ liệu lớn.
Câu hỏi thường gặp
DSAR có phải là thuật ngữ chính thức trong luật Việt Nam không? “DSAR” là thuật ngữ quốc tế phổ biến (gốc từ GDPR), luật Việt Nam gọi chung là “yêu cầu của chủ thể dữ liệu cá nhân” tại Điều 5 Nghị định 356/2025 — bản chất giống nhau.
Nếu không xử lý đúng thời hạn thì bị phạt thế nào? Không xử lý hoặc xử lý không đúng thời hạn quy định thuộc nhóm “các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân”, có thể bị phạt hành chính tối đa 3 tỷ đồng theo Điều 8 Luật 91/2025/QH15.
Doanh nghiệp có quyền từ chối yêu cầu xóa dữ liệu không? Có, trong một số trường hợp — ví dụ dữ liệu cần lưu trữ theo nghĩa vụ pháp lý khác (hóa đơn, hồ sơ kế toán theo luật thuế), hoặc đang có tranh chấp/khiếu nại liên quan. Doanh nghiệp cần giải thích rõ lý do từ chối cho chủ thể dữ liệu, không được từ chối không căn cứ.
Yêu cầu gửi qua hình thức nào được coi là hợp lệ? Nghị định không giới hạn hình thức cụ thể — email, form trên website, văn bản, hay các phương thức khác đều có thể hợp lệ miễn xác minh được đúng danh tính người yêu cầu. Doanh nghiệp nên công khai rõ kênh tiếp nhận chính thức trong Chính sách Bảo mật (xem Mẫu Chính sách Bảo mật, Điều 8).
Công cụ nào giúp xử lý DSAR nhanh hơn? Với doanh nghiệp có dữ liệu rải rác nhiều hệ thống, nên có công cụ quét/tìm kiếm dữ liệu cá nhân theo tên/email xuyên suốt website, CRM, lưu trữ nội bộ để rút ngắn Bước 3 (xác định phạm vi dữ liệu) — đây là bước tốn thời gian nhất trong toàn quy trình.
Nguồn tham khảo
- Nghị định số 356/2025/NĐ-CP, Điều 5 (thời hạn phản hồi và xử lý yêu cầu của chủ thể dữ liệu)
- Luật Bảo vệ Dữ liệu Cá nhân, số 91/2025/QH15, Điều 8 (mức phạt)
