Dữ liệu cá nhân nhạy cảm bao gồm những thông tin nào?

1. Dữ liệu cá nhân nhạy cảm bao gồm những thông tin nào?

Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực từ ngày 01/01/2026 đã phân loại dữ liệu cá nhân thành dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, trong đó dữ liệu cá nhân nhạy cảm được áp dụng cơ chế bảo vệ chặt chẽ hơn do gắn trực tiếp với quyền riêng tư và lợi ích hợp pháp của cá nhân.

Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025:

“Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.”

Như vậy, dữ liệu cá nhân là toàn bộ thông tin có thể trực tiếp hoặc gián tiếp xác định danh tính của một cá nhân. Các loại dữ liệu này được chia thành hai nhóm chính: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, mỗi nhóm có phạm vi và mức độ bảo vệ khác nhau.

Bên cạnh đó, theo khoản 3 Điều 2 Luật Bảo vệ dữ liệu cá nhân, dữ liệu cá nhân nhạy cảm là:

“Dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành.”

Như vậy, Luật Bảo vệ dữ liệu cá nhân 2025 không liệt kê trực tiếp từng loại dữ liệu nhạy cảm mà giao Chính phủ ban hành danh mục cụ thể Nghị định 356/2026/NĐ-CP.

2. Dữ liệu cá nhân nhạy cảm bao gồm những thông tin nào?

Điều 4 Nghị định 356/2026/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân có quy định rõ Danh mục dữ liệu cá nhân nhạy cảm. Theo đó, dữ liệu cá nhân nhạy cảm bao gồm 12 nhóm thông tin dưới đây:

- Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;

- Quan điểm về chính trị, tôn giáo, tín ngưỡng;

- Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;

- Tình trạng sức khỏe;

- Dữ liệu sinh trắc học, đặc điểm di truyền;

- Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;

- Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;

- Vị trí của cá nhân được xác định qua dịch vụ định vị;

- Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;

- Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;

- Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;

- Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.

Bên cạnh đó, trong quá trình xử lý dữ liệu cá nhân nhạy cảm, cơ quan, tổ chức phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật.

3. Nguyên tắc bảo vệ đối với dữ liệu cá nhân nhạy cảm

Việc bảo vệ dữ liệu cá nhân nhạy cảm được thực hiện theo các nguyên tắc chung về bảo vệ dữ liệu cá nhân quy định tại Điều 3 Luật Bảo vệ dữ liệu cá nhân.

Theo đó, hoạt động thu thập, xử lý dữ liệu cá nhân, bao gồm cả dữ liệu cá nhân nhạy cảm, phải tuân thủ yêu cầu đúng mục đích, đúng phạm vi, bảo đảm tính chính xác, áp dụng đồng bộ các biện pháp về thể chế, kỹ thuật và con người để phòng ngừa, phát hiện, ngăn chặn hành vi xâm phạm dữ liệu cá nhân.

Đối với việc thu thập và xử lý dữ liệu cá nhân nhạy cảm, nguyên tắc chung là phải có sự đồng ý của chủ thể dữ liệu cá nhân. Quy định này nêu tại khoản 1 và khoản 2 Điều 9 Luật Bảo vệ dữ liệu cá nhân, theo đó sự đồng ý phải dựa trên cơ sở tự nguyện, được thông báo đầy đủ về loại dữ liệu, mục đích xử lý và các quyền của chủ thể dữ liệu.

Trường hợp không có sự đồng ý, dữ liệu cá nhân chỉ được xử lý khi thuộc các trường hợp đặc biệt theo Điều 19 Luật Bảo vệ dữ liệu cá nhân.

Ngoài các nguyên tắc chung nêu trên, Luật còn quy định cơ chế bảo vệ chặt chẽ hơn đối với dữ liệu cá nhân nhạy cảm trong từng lĩnh vực cụ thể. Cụ thể, việc xử lý:

- Dữ liệu cá nhân liên quan đến thông tin sức khỏe và hoạt động kinh doanh bảo hiểm được điều chỉnh tại Điều 26;

- Dữ liệu trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng được điều chỉnh tại Điều 27; 

- Dữ liệu cá nhân trên nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến được quy định tại Điều 29;

- Dữ liệu vị trí cá nhân và dữ liệu sinh trắc học được quy định riêng tại Điều 31 Luật Bảo vệ dữ liệu cá nhân.

Trên đây là thông tin về dữ liệu cá nhân nhạy cảm bao gồm những thông tin nào?