Ảnh sinh trắc và Luật Bảo vệ dữ liệu cá nhân 2025: quý vị có quyền gìBiometric photos and Vietnam's 2025 Personal Data Protection Law: what are your rights

Luật 91/2025/QH15: văn bản nào, hiệu lực từ bao giờLaw 91/2025/QH15: which text, in force since when

Văn bản chính là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Câu cuối của Luật ghi: "Luật này được Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam khóa XV, kỳ họp thứ 9 thông qua ngày 26 tháng 6 năm 2025." Điều 38 khoản 1 ghi: "Luật này có hiệu lực thi hành từ ngày 01 tháng 01 năm 2026."

The main text is the Personal Data Protection Law No. 91/2025/QH15. Its closing line records that it was passed by the 15th National Assembly of the Socialist Republic of Viet Nam at its 9th session on 26 June 2025. Article 38(1) reads: "This Law takes effect on 1 January 2026."

Đi kèm là Nghị định 356/2025/NĐ-CP "quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân", ban hành tại Hà Nội ngày 31 tháng 12 năm 2025, có hiệu lực từ ngày 1/1/2026. Chính Nghị định này ban hành danh mục dữ liệu cá nhân nhạy cảm mà Luật giao cho Chính phủ.

Alongside it is Decree 356/2025/NĐ-CP "detailing a number of articles and measures to implement the Personal Data Protection Law", issued in Hanoi on 31 December 2025 and in force from 1 January 2026. This Decree issues the list of sensitive personal data that the Law leaves to the Government.

Dữ liệu sinh trắc học là dữ liệu nhạy cảmBiometric data is sensitive data

Luật chia dữ liệu cá nhân làm hai loại, cơ bản và nhạy cảm. Điều 2 khoản 3 định nghĩa: "Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành." Nghị định 356/2025/NĐ-CP, tại Điều 4 về danh mục dữ liệu cá nhân nhạy cảm, có mục "Dữ liệu sinh trắc học, đặc điểm di truyền".

The Law splits personal data into two kinds, basic and sensitive. Article 2(3) defines sensitive personal data as personal data tied to an individual's privacy which, if infringed, directly affects the lawful rights and interests of agencies, organisations or individuals, and which is on the list issued by the Government. Decree 356/2025/NĐ-CP, in Article 4 on the list of sensitive personal data, includes the item "biometric data, genetic characteristics".

Dữ liệu sinh trắc học được Luật định nghĩa ở Điều 31, điều mang tên "Bảo vệ dữ liệu cá nhân đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học": "Dữ liệu sinh trắc học là dữ liệu về thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định của một người để xác định người đó."

Biometric data is defined in Article 31, titled "Protection of personal data for personal location data and biometric data": "Biometric data is data on the physical attributes and the distinct, stable biological characteristics of a person, used to identify that person."

Điều 31 còn ghi về việc bảo vệ loại dữ liệu này: "Cơ quan, tổ chức, cá nhân thu thập và xử lý dữ liệu sinh trắc học phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải dữ liệu sinh trắc học của mình, hạn chế quyền truy cập vào dữ liệu sinh trắc học, có hệ thống theo dõi để phòng ngừa, phát hiện hành vi xâm phạm dữ liệu sinh trắc học, tuân thủ quy định của pháp luật và tiêu chuẩn quốc tế có liên quan." Và: "Trường hợp xử lý dữ liệu sinh trắc học gây thiệt hại cho chủ thể dữ liệu cá nhân thì tổ chức, cá nhân thu thập và xử lý dữ liệu sinh trắc học phải thông báo cho chủ thể dữ liệu cá nhân đó theo quy định của Chính phủ."

Article 31 goes on to set out how this kind of data is protected: agencies, organisations and individuals that collect and process biometric data must physically secure the equipment that stores and transmits it, restrict access to it, run monitoring to prevent and detect breaches, and comply with the law and relevant international standards. And where processing biometric data causes harm to a data subject, whoever collects and processes it must notify that person as the Government provides.

Trang tổng Sinh Trắc Tam Tướng ghi: "Ảnh sinh trắc là dữ liệu nhạy cảm theo Luật Bảo vệ dữ liệu cá nhân 2025. Thầy chỉ dùng ảnh để soạn cuốn của quý vị, không đưa cho ai, không dùng để huấn luyện máy." Bài này không tự kết luận một tấm ảnh cụ thể thuộc loại dữ liệu nào theo luật. Việc ấy thuộc cơ quan có thẩm quyền và người làm nghề luật.

The Three Readings hub states: "Biometric photos are sensitive personal data under Vietnam's 2025 Personal Data Protection Law. They are used only to write your book, never shared, never used to train any machine." This article does not itself decide how the law classifies any particular photo. That is for the competent authorities and legal professionals.

Quý vị có những quyền gìWhat rights you have

Luật gọi người được dữ liệu phản ánh là chủ thể dữ liệu cá nhân. Với ảnh vân tay, lòng bàn tay, khuôn mặt của mình, đó là quý vị. Điều 4 khoản 1 liệt kê quyền của chủ thể dữ liệu cá nhân, nguyên văn:

The Law calls the person the data reflects the data subject. For photos of your own fingerprints, palms and face, that is you. Article 4(1) lists the data subject's rights, verbatim:

• a) Được biết về hoạt động xử lý dữ liệu cá nhân
• b) Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân
• c) Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân
• d) Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân, gửi yêu cầu phản đối xử lý dữ liệu cá nhân
• đ) Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật
• e) Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật

• a) To be informed about the processing of personal data
• b) To consent or not consent, and to ask to withdraw consent to the processing of personal data
• c) To view, correct or ask for correction of personal data
• d) To ask for personal data to be provided, deleted or its processing restricted, and to object to processing
• đ) To complain, denounce, sue and claim damages as the law provides
• e) To ask the competent authority, or the agencies, organisations and individuals involved in processing, to apply measures and solutions protecting their personal data as the law provides

Cùng Điều 4, khoản 2 nêu nghĩa vụ của chủ thể dữ liệu, điểm đầu tiên là: "Tự bảo vệ dữ liệu cá nhân của mình". Khoản 3 dặn khi dùng quyền phải theo đúng luật, không gây khó khăn cho bên xử lý dữ liệu làm đúng nghĩa vụ, không xâm phạm quyền lợi của người khác.

In the same Article, clause 2 sets out the data subject's duties, and the first is "to protect one's own personal data". Clause 3 adds that rights must be used within the law, without obstructing those who process data from meeting their legal duties, and without harming the lawful interests of others.

Sự đồng ý: khi nào mới có hiệu lựcConsent: when it counts

Điều 9 khoản 2: "Sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ các thông tin sau đây:"

Article 9(2): consent is valid only when it is voluntary and the data subject clearly knows the following:

1. Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân
2. Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân
3. Các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân

1. The type of personal data processed and the purpose of processing
2. The data controller, or the controller and processor
3. The rights and obligations of the data subject

Điều 9 khoản 4 nêu các nguyên tắc sự đồng ý phải bảo đảm:

Article 9(4) sets the principles that consent must meet:

• Thể hiện sự đồng ý đối với từng mục đích
• Không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận
• Sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc theo quy định của pháp luật
• Sự im lặng hoặc không phản hồi không được coi là sự đồng ý

• Consent is given for each purpose
• It must not come with a condition forcing consent to purposes other than those agreed
• Consent stays valid until the data subject changes it, or as the law provides
• Silence or no response is not consent

Khi nào dữ liệu được xóa, hủyWhen data is deleted or destroyed

Quyền yêu cầu xóa ở Điều 4 đi cùng Điều 14, mang tên "Xóa, hủy, khử nhận dạng dữ liệu cá nhân". Khoản 1 ghi việc xóa, hủy dữ liệu cá nhân được thực hiện trong các trường hợp sau:

The right to ask for deletion in Article 4 goes with Article 14, "Deletion, destruction and de identification of personal data". Clause 1 lists the cases in which personal data is deleted or destroyed:

• Chủ thể dữ liệu cá nhân có yêu cầu và chấp nhận các rủi ro, thiệt hại có thể xảy ra đối với mình. Yêu cầu của chủ thể dữ liệu cá nhân trong trường hợp này phải tuân thủ đầy đủ các nguyên tắc quy định tại khoản 3 Điều 4 của Luật này
• Đã hoàn thành mục đích xử lý dữ liệu cá nhân
• Hết thời hạn lưu trữ theo quy định của pháp luật
• Thực hiện theo quyết định của cơ quan nhà nước có thẩm quyền
• Thực hiện theo thỏa thuận
• Trường hợp khác theo quy định của pháp luật

• The data subject requests it and accepts the risks and harm that may result for them. Such a request must fully follow the principles in clause 3 of Article 4
• The purpose of processing has been fulfilled
• The storage period set by law has ended
• A competent state authority so decides
• As agreed
• Other cases provided by law

Xin để ý trường hợp đầu: yêu cầu xóa của chủ thể dữ liệu đi kèm việc chấp nhận rủi ro có thể xảy ra với chính mình và phải theo các nguyên tắc của khoản 3 Điều 4. Bài chép đúng như vậy, không diễn giải thêm.

Note the first case: a data subject's request for deletion comes with accepting the risks that may result for themselves, and must follow the principles in Article 4(3). The article quotes it as written, without further interpretation.

Dữ liệu của trẻ emChildren's data

Điều 24 bàn riêng về dữ liệu của trẻ em và người bị mất hoặc hạn chế năng lực hành vi dân sự. Khoản 2 nguyên văn: "Đối với trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự hoặc người có khó khăn trong nhận thức, làm chủ hành vi thì người đại diện theo pháp luật thay mặt thực hiện các quyền của chủ thể dữ liệu cá nhân, trừ các trường hợp quy định tại khoản 1 Điều 19 của Luật này. Việc xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên thì phải có sự đồng ý của trẻ em và người đại diện theo pháp luật."

Article 24 deals with the data of children and people who have lost or have limited civil capacity. Clause 2 reads: for children, people who have lost or have limited civil capacity, or who have difficulty perceiving or controlling their behaviour, the legal representative exercises the data subject's rights on their behalf, except in the cases in Article 19(1). "Processing a child's personal data in order to publish or disclose information about the private life or personal secrets of a child aged 7 or over requires the consent of both the child and the legal representative."

Cổng thông tin điện tử Chính phủ (xaydungchinhsach.chinhphu.vn), bài đăng ngày 25/7/2025, chép lại cùng câu về trẻ từ đủ 7 tuổi. Khoản 3 cùng điều ghi việc xử lý dữ liệu của trẻ phải ngừng khi người đã đồng ý rút lại sự đồng ý, trừ trường hợp pháp luật có quy định khác. Câu về trẻ từ đủ 7 tuổi nói đúng việc xử lý nhằm công bố, tiết lộ đời sống riêng tư, bí mật cá nhân của trẻ. Bài không suy rộng nó ra việc khác.

The Government portal (xaydungchinhsach.chinhphu.vn), in a post of 25 July 2025, repeats the same sentence about children aged 7 and over. Clause 3 of the same Article says processing a child's data must stop when the person who consented withdraws that consent, unless the law provides otherwise. The sentence about children aged 7 and over concerns processing to publish or disclose a child's private life or personal secrets. This article does not stretch it to other cases.

Cha mẹ muốn lấy vân tay của con xin đọc thêm bài vân tay trẻ em, có lời dặn chỉ cha mẹ chụp, giữ ảnh trong máy, không đưa vào nhóm chat hay ứng dụng lạ.

Parents who want to take their child's prints can read the article on children's fingerprints, which advises that only parents take the photos, keep them on the device, and never send them to chat groups or unknown apps.

Vì sao ảnh vân tay rõ nét cần giữ kỹWhy sharp fingerprint photos need care

Mật khẩu lộ còn đổi được, vân tay thì không. Bài sinh trắc vân tay là gì đã dẫn: sau khi sinh ra, dạng vân giữ nguyên suốt đời, và chính vì thế vân tay dùng được để nhận dạng người.

A leaked password can be changed, a fingerprint cannot. As the article what is fingerprint biometrics notes, the pattern stays for life after birth, which is exactly why fingerprints can identify people.

Tháng 1 năm 2017, Phys.org đưa tin nhóm của Isao Echizen ở Viện Tin học Quốc gia Nhật Bản (NII) cảnh báo dữ liệu vân tay có thể được tái tạo từ ảnh chụp bằng máy ảnh số ở khoảng cách ba mét, nếu ngón tay rõ nét và ánh sáng mạnh. Bản tin viết việc ấy không cần công nghệ cao, ai cũng có thể sao chép. Ảnh cận đầu ngón chụp để xem vân còn rõ hơn thế nhiều, nên càng cần giữ kỹ.

In January 2017, Phys.org reported that Isao Echizen's team at Japan's National Institute of Informatics (NII) warned that fingerprint data could be recreated from digital camera photos taken three metres away, if the fingers were in focus under strong light. The report said no advanced technology was needed and anyone could copy them. A fingertip close up taken to read the ridges is far sharper than that, so it deserves even more care.

Mẹo tự bảo vệ khi gửi ảnh sinh trắc ở bất cứ đâuProtecting yourself when sending biometric photos anywhere

Luật đặt nghĩa vụ đầu tiên của chủ thể dữ liệu là tự bảo vệ dữ liệu của mình. Dưới đây là những việc quý vị làm được ngay, với bất kỳ ứng dụng, trang web hay dịch vụ nào xin ảnh vân tay, lòng bàn tay, khuôn mặt. Đây là mẹo thực hành của bài, không phải quy định pháp luật.

The Law makes self protection the data subject's first duty. Below are things you can do right away with any app, website or service that asks for fingerprint, palm or face photos. These are practical tips from this article, not legal rules.

1. Hỏi đủ trước khi gửi. Ai nhận ảnh, dùng làm gì, loại dữ liệu nào. Đó chính là những điều Điều 9 khoản 2 nói người đồng ý phải biết rõ. Chỗ nào không nói, đừng gửi.
2. Hỏi thời gian lưu và cách xóa. Ảnh giữ bao lâu, tự xóa khi nào, muốn xóa sớm thì làm thế nào, cần mã gì.
3. Không gửi cho ứng dụng lạ. Ứng dụng không rõ chủ, không có lời nói rõ về dữ liệu, hay chỉ xin ảnh qua tin nhắn thì không gửi.
4. Đọc từng ô đồng ý. Luật đòi đồng ý cho từng mục đích và sự im lặng không phải là đồng ý. Ô nào quý vị không hiểu, đừng đánh dấu.
5. Tắt đồng bộ đám mây cho album chứa ảnh sinh trắc, hoặc chụp xong, gửi xong thì xóa ảnh gốc và dọn luôn mục ảnh đã xóa gần đây trên điện thoại.
6. Không đăng ảnh cận đầu ngón, lòng bàn tay lên mạng xã hội hay nhóm chat.
7. Giữ lại mã hồ sơ và ngày gửi, để khi cần dùng quyền yêu cầu xóa hay hỏi dữ liệu của mình đang được xử lý thế nào thì có căn cứ.

1. Ask before you send. Who receives the photos, for what purpose, what kind of data. Those are exactly what Article 9(2) says a person must clearly know when consenting. If a service does not say, do not send.
2. Ask how long and how to delete. How long photos are kept, when they are deleted, and how to ask for earlier deletion, with what code.
3. No unknown apps. Do not send to apps with no clear owner, no clear data statement, or that ask for photos only by message.
4. Read every consent box. The Law requires consent for each purpose, and silence is not consent. Do not tick a box you do not understand.
5. Turn off cloud sync for the album holding biometric photos, or delete the originals once sent and also empty the recently deleted album on your phone.
6. Never post fingertip or palm close ups on social media or in group chats.
7. Keep the file code and date, so you have a reference when you ask for deletion or ask how your data is being processed.

Chụp thế nào cho đủ rõ mà không phải gửi đi gửi lại nhiều lần, xin xem chụp ảnh xem chỉ tay và cách chụp vân tay. Ảnh đạt ngay từ đầu thì ít bản sao nằm rải rác hơn.

For photos clear enough that you need not send them again and again, see photographing your palms and photographing fingerprints. Getting it right the first time leaves fewer copies lying around.

UK MASTER ACADEMY làm gì với ảnh của quý vịWhat UK MASTER ACADEMY does with your photos

Phần này chỉ chép đúng lời trang tổng Sinh Trắc Tam Tướng và ứng dụng chụp trên trang. Bài không hứa thêm điều gì mà trang tổng không nói.

This section only quotes the Three Readings hub and its capture app. It promises nothing the hub does not say.

Ở bước đầu, ứng dụng xin quý vị đánh dấu vào ô: "Tôi hiểu ảnh vân tay và khuôn mặt là dữ liệu sinh trắc, thuộc loại dữ liệu nhạy cảm. Ở bước này ảnh chỉ được xử lý trên máy của tôi, chưa gửi đi đâu." Ngay dưới ô ấy là dòng: "Chỉ khi quý vị bấm đặt gói ở bước cuối, ảnh mới được gửi qua kết nối mã hóa tới Thầy, và tự xóa 30 ngày sau khi giao cuốn." Khi ô này chưa được đánh dấu, ứng dụng chưa cho bấm nút Bắt đầu chụp.

At the first step the app asks you to tick: "I understand that fingerprint and face photos are biometric, sensitive personal data. At this stage they are processed only on my own device and sent nowhere." Just below it reads: "Only when you order at the last step are the photos sent to the Master over an encrypted connection, and they are deleted 30 days after delivery." Until that box is ticked, the Start capturing button stays unavailable.

Mục ứng dụng chụp của trang tổng ghi: "Mọi xử lý ở bước này chạy ngay trên máy của quý vị. Chưa có ảnh nào được gửi đi cho tới khi quý vị tự bấm đặt gói." Trong bốn bước của trang, bước đặt gói ghi: "Chọn Sinh Trắc Tam Tướng hoặc Tứ Pháp Hội Tụ. Ảnh chỉ rời máy quý vị lúc này, đã mã hóa."

The capture section of the hub reads: "Everything in this step runs on your own device. No photo is sent anywhere until you choose to order." Among the page's four steps, the order step reads: "Choose Three Readings or The Four Arts United. Only now do your photos leave your device, encrypted."

Ở bước đặt gói có ô đồng ý thứ hai: "Tôi đồng ý gửi [số ảnh] ảnh sinh trắc tới Thầy Ưng Khiêm để soạn cuốn luận. Ảnh được lưu mã hóa, chỉ Thầy xem, không chia sẻ, không dùng huấn luyện máy, tự xóa 30 ngày sau khi giao cuốn hoặc 14 ngày nếu đơn không thanh toán." Chưa đánh dấu ô ấy mà bấm gửi, ứng dụng nhắc: "Quý vị đánh dấu ô đồng ý gửi ảnh giúp Thầy."

At the order step there is a second consent box: "I agree to send my [number] biometric photos to Master Ung Khiem to write my reading. They are stored encrypted, seen only by the Master, never shared or used to train any machine, and deleted 30 days after delivery or 14 days if the order is not paid." Press send without ticking it and the app reminds you: "Please tick the consent box."

Trong phần hỏi đáp, trang tổng trả lời câu hỏi ảnh được giữ thế nào đúng như sau: "Trước khi đặt gói, ảnh chỉ nằm trên máy của quý vị. Khi đặt gói, ảnh được gửi qua kết nối mã hóa, lưu mã hóa, chỉ Thầy xem. Ảnh tự xóa 30 ngày sau khi giao cuốn, hoặc sau 14 ngày nếu đơn không được thanh toán. Quý vị có thể yêu cầu xóa sớm bất cứ lúc nào bằng mã hồ sơ." Ngay dưới hai gói luận, trang tổng ghi: "Ảnh sinh trắc là dữ liệu nhạy cảm theo Luật Bảo vệ dữ liệu cá nhân 2025. Thầy chỉ dùng ảnh để soạn cuốn của quý vị, không đưa cho ai, không dùng để huấn luyện máy."

In its questions section the hub answers how photos are kept in exactly these words: "Before you order, the photos stay on your device. When you order, they travel over an encrypted connection, are stored encrypted and seen only by the Master. They are deleted automatically 30 days after delivery, or after 14 days if the order is not paid. You can ask for earlier deletion at any time with your file code." Just below the two readings it states: "Biometric photos are sensitive personal data under Vietnam's 2025 Personal Data Protection Law. They are used only to write your book, never shared, never used to train any machine."

Đọc tiếpRead next