Chụp ảnh CCCD khi thuê xe máy: dữ liệu nhạy cảm theo NĐ 356/2025, im lặng không phải đồng ý

Chụp ảnh CCCD khi thuê xe máy, theo cách đọc của người viết, là một hoạt động xử lý dữ liệu cá nhân, và theo Nghị định 356/2025/NĐ-CP thì hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân thuộc danh mục dữ liệu cá nhân nhạy cảm. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 viết rằng sự đồng ý chỉ có hiệu lực khi tự nguyện và biết rõ, còn sự im lặng hoặc không phản hồi không được coi là đồng ý; luật cũng có những trường hợp được xử lý mà không cần đồng ý. Bài không kết luận việc chụp CCCD khi thuê xe thuộc hay không thuộc các trường hợp đó, chỉ giúp bạn hiểu văn bản nói gì và nên hỏi cửa hàng điều gì. Các văn bản được đọc ngày 22/10/2026.

Ảnh chụp CCCD khi thuê xe máy là loại dữ liệu nào

Luật 91/2025/QH15, được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026, chia dữ liệu cá nhân thành hai nhóm. Điều 2 mô tả dữ liệu cá nhân cơ bản là dữ liệu phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội. Dữ liệu cá nhân nhạy cảm là dữ liệu gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. Danh mục chi tiết của cả hai nhóm do Chính phủ ban hành.

Danh mục đó nằm ở Nghị định 356/2025/NĐ-CP, ban hành ngày 31/12/2025 và có hiệu lực từ 01/01/2026.

• Điều 3 liệt kê dữ liệu cơ bản, trong đó có họ tên, ngày sinh, nơi đăng ký thường trú, quốc tịch, hình ảnh của cá nhân và “số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe”.
• Điều 4 khoản 1 liệt kê dữ liệu nhạy cảm. Một điểm ghi: thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân.

Ghép hai danh mục lại, có ba điều đáng chú ý cho người thuê xe. Thứ nhất, văn bản gọi tên “hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân” là dữ liệu nhạy cảm. Theo cách đọc của người viết, một tấm ảnh chụp hoặc bản photo mặt thẻ là hình ảnh của thẻ, nên nằm trong nhóm này. Thứ hai, số hộ chiếu và số giấy phép lái xe được xếp vào dữ liệu cơ bản; danh mục không ghi hình ảnh hộ chiếu hay giấy phép lái xe là dữ liệu nhạy cảm, nên bài không coi chúng là nhạy cảm. Thứ ba, một bản chụp giấy tờ có thể chứa nhiều thông tin cùng lúc, như ảnh khuôn mặt, ngày sinh hay nơi thường trú, nên việc “chụp một tấm” có thể gom nhiều loại dữ liệu vào một tệp.

Cửa hàng là bên nào theo cách gọi của luật

Điều 2 định nghĩa “xử lý dữ liệu cá nhân” là hoạt động tác động đến dữ liệu cá nhân, gồm thu thập, phân tích, tổng hợp, mã hóa, chỉnh sửa, xóa, hủy, cung cấp, công khai, chuyển giao và hoạt động khác tác động đến dữ liệu. “Bên kiểm soát dữ liệu cá nhân” là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu; “bên kiểm soát và xử lý dữ liệu cá nhân” là bên quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu.

Theo cách đọc của người viết, một cửa hàng tự quyết định chụp hay photo giấy tờ nào, lưu ở đâu, dùng vào việc gì và trực tiếp cầm điện thoại để chụp có thể được hiểu là bên kiểm soát và xử lý. Đây là suy luận để người thuê biết mình nên hỏi ai và hỏi gì, không phải nhận định rằng một cửa hàng cụ thể làm đúng hay sai. Văn bản không nói riêng về cửa hàng cho thuê xe.

Khi nào sự đồng ý có hiệu lực theo Điều 9

Điều 9 Luật 91/2025/QH15 mô tả sự đồng ý là việc chủ thể dữ liệu cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác. Khoản 2 đặt điều kiện: sự đồng ý chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ ba nhóm thông tin.

• Loại dữ liệu cá nhân được xử lý và mục đích xử lý.
• Bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu.
• Các quyền, nghĩa vụ của chủ thể dữ liệu.

Khoản 3 yêu cầu sự đồng ý được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, kể cả dưới dạng điện tử hoặc định dạng kiểm chứng được. Khoản 4 nêu bốn nguyên tắc: đồng ý đối với từng mục đích; không kèm điều kiện bắt buộc phải đồng ý các mục đích khác với nội dung thỏa thuận; có hiệu lực cho đến khi chủ thể thay đổi hoặc theo quy định của pháp luật; và “sự im lặng hoặc không phản hồi không được coi là sự đồng ý”.

Nghị định 356/2025/NĐ-CP đi thêm một bước ở Điều 6. Các phương thức xin đồng ý phải bảo đảm kiểm chứng được người đồng ý, thời điểm và nội dung được đồng ý, như văn bản, cuộc gọi ghi âm, cú pháp tin nhắn, thư điện tử hoặc ứng dụng có thiết lập kỹ thuật xin đồng ý. Bên kiểm soát phải lưu trữ sự đồng ý, và khi có tranh chấp thì trách nhiệm chứng minh thuộc về bên kiểm soát. Không được thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý. Riêng với dữ liệu nhạy cảm, chủ thể phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.

Với người thuê xe, điều này có nghĩa là một câu “đưa giấy tờ đây tôi chụp” chưa nói rõ mục đích, nơi lưu, thời gian lưu hay quyền của bạn. Việc bạn lặng lẽ đưa giấy tờ cũng không phải là câu trả lời mà văn bản coi là đồng ý theo nghĩa của Điều 9.

Ngoại lệ không cần đồng ý ở Điều 19 và điều bài không kết luận

Điều 19 khoản 1 liệt kê các trường hợp xử lý dữ liệu không cần sự đồng ý của chủ thể:

• a) Bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp trong trường hợp cấp bách, hoặc bảo vệ quyền, lợi ích chính đáng trước hành vi xâm phạm; bên xử lý có trách nhiệm chứng minh trường hợp này.
• b) Giải quyết tình trạng khẩn cấp, nguy cơ đe dọa an ninh quốc gia; phòng, chống bạo loạn, khủng bố, tội phạm và vi phạm pháp luật.
• c) Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật.
• d) “Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật”.
• đ) Trường hợp khác theo quy định của pháp luật.

Điểm d là điểm người thuê xe dễ nghĩ tới, vì việc thuê xe là một thỏa thuận. Bài không kết luận việc chụp hay photo CCCD khi thuê xe thuộc hay không thuộc điểm này. Các văn bản đã đọc không trả lời câu hỏi đó, và nó phụ thuộc vào việc chụp có “theo quy định của pháp luật” hay không, một điều bài không đánh giá được. Nếu cửa hàng nói “không cần bạn đồng ý vì đây là thỏa thuận thuê xe”, bạn có thể hỏi họ dựa vào điều khoản nào.

Khoản 2 cho thấy ngoại lệ không phải là “tự do xử lý”. Cơ quan, tổ chức, cá nhân liên quan phải thiết lập cơ chế giám sát, gồm quy trình xử lý và xác định trách nhiệm, biện pháp bảo vệ phù hợp, kiểm tra định kỳ và cơ chế tiếp nhận phản ánh, kiến nghị.

Với dữ liệu nhạy cảm cần thêm những gì

Theo Nghị định 356/2025/NĐ-CP, Điều 4 khoản 2: trong quá trình xử lý dữ liệu nhạy cảm, cơ quan, tổ chức phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật. Trang pháp luật tỉnh Cà Mau tóm tắt quy định này là phải thiết lập quy định phân quyền, giới hạn quyền truy cập, xây dựng quy trình xử lý chặt chẽ và áp dụng biện pháp bảo mật phù hợp nhằm ngăn ngừa nguy cơ lộ, lọt, xâm phạm dữ liệu.

Có một chi tiết dành cho cửa hàng nhỏ mà bài nêu để tránh hiểu lầm hai chiều. Điều 38 khoản 3 của Luật nói hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện Điều 21, Điều 22 và khoản 2 Điều 33, trừ hộ kinh doanh, doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể. Ba điều khoản này nói về đánh giá tác động xử lý dữ liệu, cập nhật hồ sơ đánh giá và việc chỉ định nhân sự, bộ phận bảo vệ dữ liệu. Miễn trừ này chỉ nêu ba điều khoản đó, Điều 9 về sự đồng ý không nằm trong danh sách, và bài không kết luận một cửa hàng cụ thể thuộc nhóm nào.

Câu hỏi người thuê có thể đặt trước khi đưa giấy tờ

Danh sách dưới đây là gợi ý của người viết, không phải điều luật. Bạn có thể hỏi bằng lời hoặc nhắn tin, và nên giữ lại câu trả lời.

1. Cửa hàng chụp hay photo giấy tờ nào: căn cước, hộ chiếu hay giấy phép lái xe? Có cần cả hai mặt không?
2. Mục đích là gì: đối chiếu người thuê lúc giao xe, làm hợp đồng hay một việc khác? Nếu có nhiều mục đích, mỗi mục đích có hỏi riêng không?
3. Ảnh được lưu ở đâu: điện thoại cá nhân, máy tính, sổ giấy hay một ứng dụng? Ai được xem?
4. Ảnh có được gửi vào nhóm chat hoặc cho người khác không?
5. Lưu trong bao lâu và bao giờ xóa?
6. Cửa hàng có ghi nhận việc bạn đồng ý không, và ghi nhận bằng cách nào?
7. Nếu bạn không đồng ý để chụp, có phương án khác theo thỏa thuận hợp pháp không?

Về chuyện giữ giấy tờ gốc thay vì chụp ảnh, bài về giữ thẻ căn cước khi thuê xe máy theo Điều 7, Điều 29 Luật Căn cước đã đọc các văn bản liên quan; bài này không bàn lại việc giữ thẻ. Nếu muốn có dấu vết bằng văn bản, bạn có thể đối chiếu với danh mục nội dung hợp đồng thuê xe máy theo Điều 398 và bài về hóa đơn và chứng từ thuê xe máy. Du khách nước ngoài nghĩ đến việc để lại hộ chiếu có thể xem bài về để lại hộ chiếu khi thuê xe và nhận phòng. Khoản tiền hoặc vật giữ làm tin được gọi là ký cược, như trong bài về ký cược khi thuê xe máy theo Điều 329.

Quyền sau khi trả xe: rút lại đồng ý, hạn chế và xóa dữ liệu

Điều 4 khoản 1 Luật liệt kê quyền của chủ thể dữ liệu, trong đó có được biết về hoạt động xử lý, đồng ý hoặc không đồng ý và yêu cầu rút lại sự đồng ý, xem và chỉnh sửa dữ liệu, yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu và khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường theo quy định.

Điều 10 nói về rút lại đồng ý và hạn chế xử lý. Chủ thể có quyền yêu cầu khi nghi ngờ phạm vi, mục đích xử lý hoặc tính chính xác của dữ liệu, trừ trường hợp thuộc Điều 19 hoặc pháp luật có quy định khác. Yêu cầu phải thể hiện bằng văn bản, gồm cả dạng điện tử hoặc định dạng kiểm chứng được, và gửi cho bên kiểm soát. Việc rút lại không áp dụng cho hoạt động xử lý trước thời điểm yêu cầu.

Thời hạn xử lý nằm ở Điều 5 Nghị định 356/2025/NĐ-CP, và văn bản nhắc yêu cầu phải làm “theo đúng thủ tục”.

• Với yêu cầu rút lại đồng ý, hạn chế hoặc phản đối xử lý: phản hồi trong 02 ngày làm việc, cung cấp thông tin về thủ tục ngừng xử lý và thực hiện trong 15 ngày, trừ trường hợp xử lý theo Điều 19. Nếu cần yêu cầu bên xử lý hoặc bên thứ ba ngừng thì thời hạn là 20 ngày.
• Với yêu cầu xóa dữ liệu: phản hồi trong 02 ngày làm việc, cung cấp thông tin về thủ tục và thực hiện trong 20 ngày; nếu cần yêu cầu bên xử lý hoặc bên thứ ba thì là 30 ngày.
• Tùy tính chất và mức độ phức tạp, được gia hạn tối đa một lần, không quá 15 ngày với nhóm đầu và không quá 20 ngày với yêu cầu xóa. Bên kiểm soát phải thông báo lý do và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý.

Văn bản không ghi “ngày làm việc” ở các thời hạn thực hiện nói trên, nên bài giữ nguyên chữ “ngày”. Gợi ý của người viết: sau khi trả xe, nếu bạn muốn ảnh giấy tờ được xóa, hãy nhắn bằng văn bản điện tử, nêu rõ giấy tờ nào, ngày thuê và yêu cầu xóa, rồi giữ tin nhắn.

Mức xử phạt trong Nghị định 330/2026 nêu thế nào

Nghị định 330/2026/NĐ-CP ngày 19/8/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ 19/8/2026. Bài đọc nội dung trên cổng thông tin điện tử tỉnh Lai Châu, trang ghi nguồn theo baochinhphu.vn. Phần liên quan đến sự đồng ý gồm hai khung chính.

• Từ 30.000.000 đồng đến 50.000.000 đồng cho các hành vi như xử lý dữ liệu sau khi thu thập mà chưa có sự đồng ý (trừ trường hợp pháp luật có quy định khác), thiết lập phương thức mặc định đồng ý, xin đồng ý không bảo đảm kiểm chứng được, không ghi nhận hoặc lưu nhật ký về sự đồng ý, và không thông báo cho chủ thể biết dữ liệu nhạy cảm của họ đang được xử lý.
• Từ 50.000.000 đồng đến 70.000.000 đồng cho việc cố ý tiếp tục xử lý sau khi chủ thể yêu cầu ngừng hoặc hạn chế, hoặc thu thập, xử lý khi chủ thể im lặng, tự ý coi sự im lặng là đồng ý.

Ngoài ra, hành vi xử lý dữ liệu không đúng phạm vi hoặc mục đích, hoặc lưu trữ vượt thời gian cần thiết, có khung từ 20.000.000 đồng đến 40.000.000 đồng. Nghị định còn nêu biện pháp buộc hủy, xóa dữ liệu thu thập, xử lý khi không có sự đồng ý hợp lệ.

Bài nêu các con số này như thông tin, không nhằm kết luận cửa hàng nào vi phạm. Trang đã đọc không ghi rõ các khung áp dụng cho tổ chức hay cá nhân, còn Điều 8 khoản 6 của Luật nói mức phạt tối đa áp dụng cho tổ chức và cá nhân thực hiện cùng hành vi thì mức tối đa bằng một phần hai. Nghị định 330 ghi hộ kinh doanh, hộ gia đình thực hiện hành vi vi phạm bị áp dụng mức phạt như cá nhân. Vì vậy hãy xem số tiền là thông tin tham khảo, không phải con số dành cho một trường hợp cụ thể.

Những điều bài này không khẳng định

Bài không phải tư vấn pháp lý, không đánh giá cửa hàng cho thuê xe nào đang tuân thủ hay vi phạm, và không bàn chính sách giấy tờ hay cách lưu trữ của bất kỳ cửa hàng nào. Hai văn bản gốc là Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP được đọc qua bản chép của thuvienphapluat.vn, một thư viện pháp luật tư nhân chứ không phải cơ quan nhà nước; các phần về danh mục và khung phạt còn được đối chiếu với trang của hai cổng thông tin tỉnh. Hãy đối chiếu bản chính thức, đặc biệt vì nghị định và hướng dẫn mới có thể được ban hành thêm. Bài cũng không coi hình ảnh hộ chiếu hay giấy phép lái xe là dữ liệu nhạy cảm, vì danh mục chỉ ghi hình ảnh thẻ căn cước, thẻ căn cước công dân và chứng minh nhân dân.

Nguồn tham khảo

• Quy định chi tiết danh mục dữ liệu cá nhân và dữ liệu cá nhân nhạy cảm, trang phổ biến, giáo dục pháp luật tỉnh Cà Mau, đăng ngày 30/12/2025, đọc ngày 22/10/2026.
• Mức xử phạt vi phạm hành chính đối với hành vi vi phạm về bảo vệ dữ liệu cá nhân, cổng thông tin điện tử tỉnh Lai Châu, cập nhật 22/8/2026, đọc ngày 22/10/2026.
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, bản chép trên thuvienphapluat.vn, đọc ngày 22/10/2026.
• Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, bản chép trên thuvienphapluat.vn, đọc ngày 22/10/2026.