Bảo Vệ Dữ Liệu Cá Nhân Khi Vay Online: Quyền Của Bạn Theo Luật Mới

Biên tập: Minh Khang · Cập nhật: tháng 10/2026

Nhiều người chỉ nghĩ đến việc "có vay được không" mà quên mất một câu hỏi quan trọng không kém: dữ liệu của mình sẽ đi đâu sau khi bấm đồng ý? Một số điện thoại bị lộ có thể kéo theo vô số cuộc gọi làm phiền. Một bộ ảnh CCCD rơi vào tay kẻ xấu có thể bị dùng để mạo danh. Phần dưới đây giúp bạn hiểu mình đang đứng ở đâu về mặt pháp lý, và làm gì để tự bảo vệ.

Dữ liệu nào bị thu thập khi vay online?

Tùy đơn vị, danh sách dữ liệu có thể gồm:

• Thông tin cơ bản: họ tên, ngày sinh, số điện thoại, địa chỉ, nghề nghiệp, thu nhập.
• Giấy tờ: số CCCD, ảnh hai mặt giấy tờ.
• Dữ liệu sinh trắc học: ảnh khuôn mặt hoặc video khi xác thực danh tính. Quy trình này được giải thích ở bài eKYC là gì.
• Thông tin tài chính: số tài khoản ngân hàng, lịch sử vay nợ.
• Dữ liệu từ thiết bị: loại máy, địa chỉ IP, vị trí, và nếu bạn cấp quyền thì cả danh bạ, ảnh hay tin nhắn.

Không phải thứ nào cũng thật sự cần. Câu hỏi hữu ích bạn nên đặt cho mỗi mục dữ liệu là: "Để làm việc này, họ có cần thứ đó không?"

Luật Bảo vệ dữ liệu cá nhân: những điểm cần biết

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 01/01/2026. Nghị định 356/2025/NĐ-CP, cũng có hiệu lực từ 01/01/2026, hướng dẫn thi hành luật này và thay thế Nghị định 13 trước đó.

Với người dùng bình thường, vài điểm đáng quan tâm là:

• Luật quy định rõ những hành vi bị nghiêm cấm liên quan đến dữ liệu cá nhân.
• Có quy định riêng cho một số nhóm dữ liệu cần bảo vệ chặt hơn, như dữ liệu sinh trắc học và dữ liệu vị trí.
• Tổ chức vi phạm có thể bị xử phạt nặng, mức phạt tối đa lên tới hàng tỷ đồng, và với một số hành vi tính theo tỷ lệ doanh thu.

Bài này chỉ tóm tắt để bạn dễ nắm. Nếu cần xử lý một vụ việc cụ thể, bạn nên đọc văn bản gốc hoặc hỏi luật sư.

Quyền đồng ý, rút đồng ý và yêu cầu xóa

Bạn không chỉ là người "cho" dữ liệu mà còn là chủ thể của dữ liệu đó. Theo luật, bạn có các quyền như:

• Được biết: dữ liệu của bạn được thu thập để làm gì, lưu bao lâu, chia sẻ cho ai.
• Đồng ý hoặc không đồng ý cho đơn vị xử lý dữ liệu, và rút lại sự đồng ý sau đó.
• Yêu cầu truy cập và chỉnh sửa khi thông tin sai.
• Yêu cầu xóa hoặc hạn chế xử lý trong những trường hợp luật cho phép.
• Phản đối việc xử lý dữ liệu trong một số trường hợp.
• Khiếu nại, tố cáo và yêu cầu bồi thường khi bị xâm phạm.

Khi dùng các quyền này, cách làm thực tế là gửi yêu cầu bằng văn bản hoặc email đến đầu mối liên hệ ghi trong chính sách bảo mật, nêu rõ họ tên, thông tin tài khoản và điều bạn yêu cầu. Hãy lưu lại bằng chứng đã gửi. Đơn vị có nghĩa vụ phản hồi trong thời hạn luật quy định, tuy nhiên có những dữ liệu họ vẫn phải giữ lại theo nghĩa vụ pháp lý khác (ví dụ chứng từ của khoản vay đang còn hiệu lực).

Cách đọc chính sách bảo mật trong 3 phút

Đừng đọc từ đầu đến cuối như đọc truyện. Chỉ cần tìm năm câu trả lời:

1. Họ thu thập những gì? Có mục nào quá rộng so với việc vay tiền không (danh bạ, tin nhắn, ảnh)?
2. Họ dùng để làm gì? Chỉ để thẩm định và quản lý khoản vay, hay còn để quảng cáo?
3. Họ chia sẻ cho ai? Có chia sẻ cho "đối tác" nói chung chung hay không?
4. Họ lưu bao lâu? Có nêu thời gian hoặc điều kiện xóa không?
5. Bạn liên hệ ai khi cần? Có email hoặc địa chỉ cụ thể không?

Nếu chính sách không có hoặc quá sơ sài, hoặc không trả lời được ba trong năm câu trên, hãy coi đó là dấu hiệu cần cân nhắc lại. Việc này nằm trong bộ tiêu chí chung để nhận biết dịch vụ đáng ngờ, được tổng hợp ở bài cách nhận biết app vay tín dụng đen.

Thực hành bảo vệ: ảnh CCCD, danh bạ, OTP

Biết luật là một chuyện, quen tay bảo vệ mình là chuyện khác. Một vài thói quen nên có:

• Ảnh CCCD: chỉ gửi khi bạn đã xác minh được đơn vị. Khi buộc phải gửi ảnh cho một cá nhân hay một bên khác, hãy ghi chú rõ mục đích trên ảnh (ví dụ "chỉ dùng để đăng ký dịch vụ X, ngày..."). Cách này giúp hạn chế việc ảnh bị dùng cho mục đích khác.
• Danh bạ: từ chối quyền đọc danh bạ nếu dịch vụ không giải thích được lý do chính đáng.
• OTP và mật khẩu: tuyệt đối không chia sẻ. Không có nhân viên thật nào cần mã OTP ngân hàng của bạn.
• Kênh liên lạc: chỉ làm việc qua kênh chính thức của đơn vị, không gửi giấy tờ qua tài khoản chat cá nhân.
• Theo dõi sau khi vay: để ý tin nhắn, cuộc gọi lạ và biến động tài khoản ngân hàng trong những tuần sau khi đăng ký.

Nếu bạn hay phải so sánh nhiều dịch vụ trước khi chọn, hãy ưu tiên những đơn vị trong bảng tổng hợp có công khai thông tin, như bảng H5 vay mới nhất ở trang chủ, rồi vẫn tự kiểm tra lại từng nơi.

Khi dữ liệu bị lạm dụng

Dấu hiệu bạn có thể nhận thấy: nhận nhiều cuộc gọi, tin nhắn quảng cáo vay tiền sau khi đăng ký, người thân bị liên hệ dù bạn không khai, hoặc có người dùng thông tin của bạn để đăng ký dịch vụ khác.

Các bước nên làm:

1. Thu thập bằng chứng: chụp màn hình tin nhắn, ghi lại số gọi, thời điểm gọi.
2. Gửi yêu cầu xóa hoặc dừng xử lý tới đơn vị bằng văn bản, nêu rõ căn cứ là Luật Bảo vệ dữ liệu cá nhân.
3. Khiếu nại: nếu đơn vị không phản hồi, bạn có thể phản ánh với cơ quan có thẩm quyền. Theo kế hoạch triển khai luật, Bộ Công an dự kiến xây dựng cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân để tiếp nhận phản ánh, nên bạn có thể theo dõi kênh này. Trường hợp bị đe dọa hay quấy rối, hãy làm theo hướng dẫn ở bài bị đòi nợ quấy rối phải làm gì.
4. Bảo vệ tài khoản: đổi mật khẩu, bật xác thực hai lớp, báo ngân hàng nếu thấy giao dịch lạ.

Câu hỏi thường gặp

Tóm tắt 3 ý

1. Khi vay online bạn có thể giao nộp CCCD, khuôn mặt, số điện thoại và cả danh bạ, nên chỉ cung cấp thông tin thật sự cần thiết.
2. Luật 91/2025/QH15 (hiệu lực 01/01/2026) cho bạn quyền được biết, đồng ý hoặc rút đồng ý, chỉnh sửa, xóa và khiếu nại.
3. Đọc chính sách bảo mật bằng năm câu hỏi ngắn, từ chối quyền không liên quan, và lưu bằng chứng khi có dấu hiệu bị lạm dụng.