Doanh nghiệp được giữ dữ liệu cá nhân của khách hàng trong bao lâu?

Luật không đặt một con số chung. Doanh nghiệp chỉ được giữ dữ liệu cá nhân của khách trong thời gian phù hợp với mục đích đã thu thập, trừ khi luật khác buộc giữ lâu hơn (Điều 3 khoản 3 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, hiệu lực 01/01/2026). Phải xóa, hủy dữ liệu khi (Điều 14 khoản 1): • Đã xong mục đích, ví dụ đã giao hàng và hết bảo hành, khách đã đóng tài khoản; • Hết thời hạn lưu trữ theo quy định; • Khách yêu cầu xóa; • Theo thỏa thuận hoặc quyết định của cơ quan có thẩm quyền. Được từ chối yêu cầu xóa nếu dữ liệu thuộc trường hợp xử lý không cần đồng ý, như đang thực hiện thỏa thuận với chính khách hàng (Điều 14 khoản 2, Điều 19), nhưng phải báo lý do cho khách (Điều 14 khoản 5). Khi khách yêu cầu xóa: phản hồi trong 2 ngày làm việc, xóa trong 20 ngày, gia hạn tối đa một lần thêm 20 ngày (Điều 5 khoản 4 Nghị định 356/2025/NĐ-CP). Nên ghi rõ thời gian lưu trữ từng loại dữ liệu trong chính sách bảo mật và đặt lịch xóa định kỳ. Phạt doanh nghiệp theo Nghị định 330/2026/NĐ-CP: lưu trữ quá thời gian cần thiết 20 đến 40 triệu đồng (Điều 39 khoản 1); không xóa khi luật buộc xóa 30 đến 50 triệu đồng (Điều 51 khoản 2); xóa trễ hạn theo yêu cầu của khách 30 đến 40 triệu đồng (Điều 44 khoản 3).Nguồn: Điều 3 khoản 3, Điều 14 khoản 1, 2, 3, 5, Điều 19 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 khoản 4 Nghị định 356/2025/NĐ-CP; Điều 39 khoản 1, Điều 44 khoản 3, Điều 51 khoản 2 Nghị định 330/2026/NĐ-CP