Hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn lập hồ sơ đánh giá tác động dữ liệu cá nhân

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026. Điều 38 của Luật quy định các trường hợp được miễn hoặc được lựa chọn thực hiện một số nghĩa vụ về bảo vệ dữ liệu cá nhân.

Chính phủ quy định chi tiết nội dung này tại Điều 41 Nghị định 356/2025/NĐ-CP, ban hành ngày 31/12/2025. Theo Báo Chính phủ, Ủy ban Thường vụ Quốc hội đã chỉ đạo bổ sung quy định miễn trừ nhằm giảm gánh nặng tuân thủ pháp luật cho doanh nghiệp.

Ba nghĩa vụ thuộc diện miễn

Nghĩa vụ thứ nhất nằm ở Điều 21: bên kiểm soát dữ liệu cá nhân phải lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi một bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu.

Nghĩa vụ thứ hai nằm ở Điều 22: hồ sơ đánh giá tác động được cập nhật định kỳ 06 tháng khi có thay đổi. Hồ sơ phải cập nhật ngay khi tổ chức lại, giải thể, đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu hoặc phát sinh ngành nghề mới liên quan đến xử lý dữ liệu.

Nghĩa vụ thứ ba nằm ở khoản 2 Điều 33: cơ quan, tổ chức phải chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ này.

Hộ kinh doanh, doanh nghiệp siêu nhỏ được miễn

Khoản 3 Điều 38 quy định hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện ba nghĩa vụ trên. Cửa hàng hay cơ sở kinh doanh thuộc nhóm này vì vậy không phải nộp hồ sơ đánh giá tác động và không phải có nhân sự bảo vệ dữ liệu riêng.

Doanh nghiệp nhỏ, khởi nghiệp được chọn trong 05 năm

Với doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, khoản 2 của điều luật này cho phép lựa chọn thực hiện hoặc không thực hiện ba nghĩa vụ trên trong thời gian 05 năm kể từ ngày 1/1/2026.

Hết thời hạn này, Luật không còn dành quyền lựa chọn cho nhóm doanh nghiệp nhỏ, khởi nghiệp.

Ba trường hợp không được miễn

Cả hai khoản đều loại trừ ba trường hợp: kinh doanh dịch vụ xử lý dữ liệu cá nhân; trực tiếp xử lý dữ liệu cá nhân nhạy cảm; xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu.

Nghị định 356/2025/NĐ-CP xác định trường hợp thứ ba là kể từ thời điểm quy mô xử lý đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên, dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý. Con số này tính theo số người có dữ liệu được xử lý từ trước tới nay, không tính theo từng tháng hay từng năm.

Một hộ kinh doanh bán hàng trực tuyến vì vậy cần theo dõi tổng số khách hàng có dữ liệu trong hệ thống. Từ thời điểm vượt ngưỡng 100 nghìn người, hộ kinh doanh đó phải thực hiện đủ ba nghĩa vụ như các tổ chức khác.

Nghĩa vụ không nằm trong diện miễn

Điều 38 chỉ nêu ba nghĩa vụ trên. Các nghĩa vụ khác của Luật vẫn áp dụng cho hộ kinh doanh và doanh nghiệp nhỏ.

Trong đó, Điều 23 yêu cầu bên kiểm soát dữ liệu cá nhân phát hiện vi phạm có thể gây tổn hại tới tính mạng, sức khỏe, danh dự, tài sản của chủ thể dữ liệu phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện.

Tổ chức đã nộp hồ sơ đánh giá tác động theo Nghị định 13/2023/NĐ-CP trước khi Luật có hiệu lực được tiếp tục sử dụng hồ sơ đó; việc cập nhật về sau thực hiện theo Luật mới.

Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ ngày 1/1/2026.

Nơi nộp và cập nhật hồ sơ

Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an. Doanh nghiệp thuộc diện phải thực hiện, hoặc doanh nghiệp nhỏ chọn thực hiện, cập nhật hồ sơ đánh giá tác động trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc tại cơ quan chuyên trách này.

Ảnh đại diện của bài là ảnh minh hoạ do AI tạo.

Nguồn tham khảo

• LuatVietnam (toàn văn Luật 91/2025/QH15) — Luật Bảo vệ dữ liệu cá nhân 2025 số 91/2025/QH15
• LuatVietnam (toàn văn Nghị định 356/2025/NĐ-CP) — Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân
• Báo Điện tử Chính phủ — Quốc hội thông qua Luật Bảo vệ dữ liệu cá nhân