Bảo vệ dữ liệu người tiêu dùng – Phần 1
LexNovum Lawyers
12/08/2026
“Thông tin của người tiêu dùng” có đồng nghĩa với “dữ liệu cá nhân” không?
Một khách hàng mua hàng trên một nền tảng thương mại điện tử. Trong quá trình đó, doanh nghiệp có thể biết tên, số điện thoại, địa chỉ giao hàng của khách hàng. Nhưng doanh nghiệp cũng có thể biết người này đã mua sản phẩm nào, thường mua hàng vào thời điểm nào, sử dụng mã giảm giá ra sao, đã từng khiếu nại hay trả lại sản phẩm nào.
Trong thực tế, tất cả những thông tin trên thường được gọi chung là “dữ liệu khách hàng” hoặc “dữ liệu người dùng” (customer data). Tuy nhiên, dưới góc độ pháp lý, trong trường hợp này có một câu hỏi khác cũng cần được làm rõ. Đó là “thông tin của người tiêu dùng” theo Luật Bảo vệ quyền lợi người tiêu dùng có đồng nghĩa với “dữ liệu cá nhân” theo pháp luật bảo vệ dữ liệu cá nhân hay không?
Câu trả lời là: không hoàn toàn. Sự khác biệt này không chỉ mang ý nghĩa về mặt khái niệm. Với doanh nghiệp B2C (Business-to-Consumer), điều này có thể quyết định phạm vi thông tin cần bảo vệ và hệ thống nghĩa vụ pháp lý cần được xem xét khi thu thập, lưu trữ, phân tích hoặc sử dụng mỗi nhóm dữ liệu khách hàng.
Trong bài viết này, LexNovum Lawyers (“LNV”) sẽ bàn luận về phạm vi của hai khái niệm, vùng giao thoa của hai khái niệm này và một số lưu ý dành cho doanh nghiệp khi xây dựng hệ thống quản trị dữ liệu người dùng.
1. Sự khác nhau giữa “Dữ liệu cá nhân” và “Thông tin của người tiêu dùng”
1.1. “Dữ liệu cá nhân” bắt đầu từ mối liên hệ giữa dữ liệu và một con người cụ thể
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (“Luật BVDLCN”) đã có hiệu lực từ ngày 01/01/2026, cùng với Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật đã đặt ra khung pháp lý điều chỉnh việc bảo vệ dữ liệu cá nhân và hoạt động xử lý dữ liệu cá nhân nói chung, không giới hạn trong quan hệ giữa doanh nghiệp và khách hàng.
Với 3 khái niệm nền tảng về dữ liệu tại các khoản 1, 2, 3 Điều 2 Luật BVDLCN, gồm:
“1. Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.
2. Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành.
3. Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành.”
Điểm xuất phát của pháp luật bảo vệ dữ liệu cá nhân nằm ở mối liên hệ giữa thông tin và cá nhân mà thông tin đó phản ánh hoặc giúp xác định. Vì vậy, họ tên, số điện thoại, địa chỉ, thông tin tài khoản hoặc dữ liệu vị trí thường tương đối dễ nhận diện là dữ liệu cá nhân.
Trong môi trường số, vấn đề trở nên phức tạp hơn. Một mã khách hàng, lịch sử tìm kiếm, lịch sử tương tác, nhấp chuột (click) hoặc tập hợp thông tin hành vi có thể không trực tiếp ghi tên một người. Tuy nhiên, nếu những thông tin đó vẫn được gắn với một tài khoản hoặc có thể kết hợp với dữ liệu khác để xác định cá nhân, việc loại bỏ họ tên khỏi tập dữ liệu chưa đương nhiên làm mất đi tính chất dữ liệu cá nhân.
Vì vậy, để xác định một dữ liệu có phải là dữ liệu cá nhân cần được bảo vệ theo Luật BVDLCN hay không, câu hỏi pháp lý không nên chỉ là “Trong file này có tên hoặc số điện thoại không?”, mà còn là: từ tập hợp dữ liệu đang có, doanh nghiệp có thể liên hệ dữ liệu đó với một cá nhân cụ thể hay không?
1.2. “Thông tin của người tiêu dùng” bắt đầu từ một điểm khác: quan hệ tiêu dùng
Luật Bảo vệ quyền lợi người tiêu dùng 2023 (“Luật BVQLNTD”) tiếp cận vấn đề theo một hướng khác. Khoản 3 Điều 3 Luật BVQLNTD quy định “thông tin của người tiêu dùng” bao gồm “thông tin cá nhân của người tiêu dùng, thông tin về quá trình mua, sử dụng sản phẩm, hàng hóa, dịch vụ của người tiêu dùng và thông tin khác liên quan đến giao dịch giữa người tiêu dùng và tổ chức, cá nhân kinh doanh”.
Điểm đáng chú ý là khái niệm này không chỉ quan tâm đến câu hỏi “người này là ai?” mà còn bao quát những thông tin phát sinh trong chính quá trình mua và sử dụng hàng hóa, dịch vụ. Lịch sử mua hàng, khiếu nại, đổi trả, phản hồi, thông tin sử dụng sản phẩm hoặc các thông tin khác gắn với giao dịch đều có thể nằm trong phạm vi cần được xem xét.
Như vậy, từ chính khái niệm tại 2 văn bản, có thể xác định rằng khi xác định một dữ liệu có phải đối tượng cần bảo vệ của mình hay không thì pháp luật bảo vệ dữ liệu cá nhân nhìn vào mối liên hệ giữa thông tin đó với một người cụ thể; còn pháp luật bảo vệ quyền lợi người tiêu dùng nhìn thêm vào mối liên hệ giữa thông tin đó với một quan hệ tiêu dùng. Hai phạm vi này mặc dù có sự giao thoa rõ rệt, nhưng không nên được mặc định là hoàn toàn đồng nhất.
Qua rà soát, LNV thống kê 03 vùng giao thoa thường gặp như sau:
2. Vì sao sự khác biệt này quan trọng với doanh nghiệp?
Lý do lớn nhất là để doanh nghiệp có thể kịp thời thiết lập phạm vi quy định cần tuân thủ đối với các nhóm dữ liệu khác nhau.
Khi lập danh mục dữ liệu, nhiều doanh nghiệp thường có xu hướng tập trung vào hai câu hỏi: (i) dữ liệu này có phải dữ liệu cá nhân hay không, và (ii) nếu có thì thuộc nhóm nào. Đây là những câu hỏi cần thiết. Tuy nhiên, với doanh nghiệp B2C, LNV cho rằng nên bổ sung thêm một câu hỏi tương đương với một lớp rà soát nữa. Đó là (iii) thông tin này có thuộc “thông tin của người tiêu dùng” hay không?
Một quản lý quan hệ khách hàng (Customer Relationship Management) có thể chứa thông tin về những cá nhân chưa từng mua hàng, khách hàng hiện tại, người liên hệ của khách hàng doanh nghiệp, đầu mối liên hệ của nhà cung cấp hoặc dữ liệu được đồng bộ từ hệ thống tiếp thị (marketing). Không phải tất cả đều có cùng tư cách “người tiêu dùng”, nhưng nhiều chủ thể trong số đó vẫn có thể là chủ thể dữ liệu. Vì vậy, việc gọi chung tất cả là “dữ liệu khách hàng” thuận tiện về vận hành nhưng chưa đủ để xác định nghĩa vụ pháp lý.
Bên cạnh đó, Luật BVQLNTD đặt ra các yêu cầu riêng đối với việc thu thập, lưu trữ, sử dụng và bảo đảm an toàn thông tin của người tiêu dùng; đồng thời nhấn mạnh nghĩa vụ thông báo và quyền lựa chọn trong các trường hợp luật định. Vì vậy, doanh nghiệp B2C không nên xây dựng chính sách thông tin khách hàng chỉ quanh khung bảo vệ dữ liệu cá nhân mà bỏ qua lớp nghĩa vụ của pháp luật bảo vệ người tiêu dùng.
Theo góc nhìn của LNV, việc pháp luật sử dụng song song hai khái niệm “dữ liệu cá nhân” và “thông tin của người tiêu dùng” không nhất thiết là sự trùng lặp. Hai hệ thống pháp luật xuất phát từ những mối quan hệ cần bảo vệ khác nhau. Pháp luật bảo vệ dữ liệu cá nhân xây dựng cơ chế bảo vệ đối với dữ liệu gắn với cá nhân và điều chỉnh hoạt động xử lý dữ liệu trong suốt vòng đời của nó. Trong khi đó, pháp luật bảo vệ quyền lợi người tiêu dùng đặt việc bảo vệ thông tin trong chính mối quan hệ giữa người tiêu dùng với tổ chức, cá nhân kinh doanh. Vấn đề thực tế trong quản trị và tuân thủ của doanh nghiệp cũng nằm chính ở vùng giao nhau này. Đối với doanh nghiệp B2C, cùng một hoạt động sử dụng thông tin khách hàng có thể cần được đánh giá đồng thời dưới cả hai lớp pháp luật. Để thực hiện việc phân định, LNV gợi ý một số câu hỏi sau:
Sau khi thực hiện phân loại, một câu hỏi nữa có thể xuất hiện. Đó là nếu cùng một luồng dữ liệu (data flow) đồng thời chịu sự điều chỉnh của Luật BVQLNTD và Luật BVDLCN, doanh nghiệp phải thiết kế hoạt động xử lý như thế nào để đáp ứng cả hai? Đây là nội dung sẽ được tiếp tục phân tích tại Phần 2 của tuyến bài.
Người thực hiện: Cộng sự Hoàng Vy, Luật sư Phan Nhi
Lưu ý:
Bài viết này được thực hiện dựa trên quy định của pháp luật Việt Nam (hiện hành). Những thông tin tại bài viết này chỉ nên được sử dụng nhằm mục đích tham khảo. Chúng tôi không chịu trách nhiệm hay có nghĩa vụ pháp lý đối với bất kỳ cá nhân, tổ chức nào sử dụng thông tin tại bài viết này ngoài mục đích tham khảo. Trước khi đưa ra bất kỳ sự lựa chọn hoặc quyết định nào, Quý khách vui lòng tham vấn thêm các khuyến nghị một cách chính thức, hoặc liên hệ LexNovum Lawyers để nhận được sự tư vấn chuyên sâu từ chúng tôi.
Vui lòng trích dẫn nguồn “LexNovum Lawyers” khi sử dụng hoặc chia sẻ bài viết này tại bất kỳ đâu.
