Ví dụ thực tế về Dữ liệu cá nhân — Trang 6

Bên kiểm soát dữ liệu cá nhân phải xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để chủ thể dữ liệu biết cách thực hiện quyền của mình theo khoản 1 Điều 4 Luật BVDLCN. Khi nhận được yêu cầu, quy trình xử lý gồm: 1. Phản hồi ban đầu trong 2 ngày làm việc — xác nhận yêu cầu, cung cấp thông tin về thủ tục ngừng xử lý dữ liệu. 2. Thực hiện việc hạn chế trong 15 ngày, áp dụng với toàn bộ dữ liệu do chính bên kiểm soát xử lý. 3. Nếu cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba ngừng xử lý thay, thời hạn kéo dài thành 20 ngày. 4. Có thể gia hạn thêm tối đa 15 ngày (chỉ một lần) nếu yêu cầu phức tạp — nhưng phải thông báo lý do cho chủ thể dữ liệu và tự chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý. Lưu ý: việc hạn chế không có hiệu lực hồi tố — không ảnh hưởng đến hoạt động xử lý dữ liệu đã diễn ra trước thời điểm chủ thể dữ liệu gửi yêu cầu (Điều 10 khoản 4 Luật BVDLCN).Nguồn: NĐ 356/2025/NĐ-CP, hướng dẫn Điều 10 Luật 91/2025/QH15

Theo Điều 38 khoản 2, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21 (đánh giá tác động xử lý dữ liệu cá nhân), Điều 22 (cập nhật hồ sơ đánh giá) và khoản 2 Điều 33 (bộ phận bảo vệ dữ liệu cá nhân) trong thời gian 5 năm kể từ ngày 01/01/2026. Ngoại lệ (khoản 2, phần loại trừ): doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu của số lượng lớn chủ thể dữ liệu thì vẫn phải thực hiện đầy đủ, không được miễn. Riêng hộ kinh doanh và doanh nghiệp siêu nhỏ (khoản 3): không phải thực hiện các quy định này — không chỉ 'được chọn' mà là miễn hẳn — với cùng nhóm ngoại lệ nêu trên.Nguồn: Điều 38 khoản 2, 3, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15