Theo Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp nhỏ có phải làm hồ sơ đánh giá tác động?

Được quyền lựa chọn trong 05 năm — nhưng có ba nhóm ngoại lệ khiến không ít doanh nghiệp nhỏ vẫn phải làm ngay từ đầu.

Đây là câu hỏi mà chủ doanh nghiệp nhỏ quan tâm nhất, vì hồ sơ đánh giá tác động là phần tốn công nhất trong khối lượng tuân thủ.

Quy định miễn trừ

Khoản 2 Điều 38 Luật 91/2025/QH15 quy định doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật trong thời gian 05 năm kể từ ngày Luật có hiệu lực thi hành.

Ba nội dung được miễn tương ứng với: đánh giá tác động xử lý dữ liệu cá nhân, cập nhật hồ sơ đánh giá tác động, và nghĩa vụ chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân.

Đây là quyền lựa chọn, không phải lệnh cấm

Cách diễn đạt "được quyền lựa chọn thực hiện hoặc không thực hiện" có nghĩa doanh nghiệp vẫn có thể chủ động làm. Nhiều doanh nghiệp nhỏ làm việc với khách hàng lớn hoặc đối tác nước ngoài chọn làm sớm, vì bộ hồ sơ này thường được yêu cầu trong quá trình thẩm định nhà cung cấp.

Ba nhóm không được miễn

Khoản 2 Điều 38 loại trừ doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp thuộc một trong ba trường hợp:

• Kinh doanh dịch vụ xử lý dữ liệu cá nhân;
• Trực tiếp xử lý dữ liệu cá nhân nhạy cảm;
• Xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.

Nhóm thứ hai loại nhiều doanh nghiệp hơn tưởng

Danh mục dữ liệu cá nhân nhạy cảm tại Điều 4 Nghị định 356/2025/NĐ-CP bao gồm cả tình trạng sức khỏe, dữ liệu sinh trắc học, hình ảnh thẻ căn cước, lịch sử giao dịch tài khoản ngân hàng và dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng.

Một phòng khám nhỏ, một cửa hàng yêu cầu khách chụp căn cước khi thuê thiết bị, một ứng dụng có chấm công bằng vân tay — tất cả đều đang trực tiếp xử lý dữ liệu nhạy cảm và vì vậy không thuộc diện miễn trừ.

Ngưỡng "số lượng lớn" là bao nhiêu

Điều 41 Nghị định 356/2025/NĐ-CP cụ thể hóa: ngoại lệ áp dụng từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên, dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.

Chữ "tích lũy" rất quan trọng. Đây không phải số khách hàng đang hoạt động tại một thời điểm, mà là tổng số người mà doanh nghiệp đã từng xử lý dữ liệu. Một cửa hàng trực tuyến hoạt động vài năm có thể vượt mốc này mà chủ doanh nghiệp không để ý, vì trong đầu họ chỉ có con số khách hàng thường xuyên.

Thời hạn 05 năm và điều xảy ra sau đó

Luật có hiệu lực từ ngày 01 tháng 01 năm 2026 theo khoản 1 Điều 38, nên khoảng miễn trừ kéo dài tới hết năm 2030. Đây là thời gian chuyển tiếp, không phải miễn trừ vĩnh viễn.

Với doanh nghiệp đang tăng trưởng, mốc rời khỏi diện miễn trừ có thể đến sớm hơn 05 năm — ngay khi vượt ngưỡng tích lũy hoặc khi bắt đầu xử lý dữ liệu nhạy cảm. Vì vậy nên theo dõi hai chỉ số này thay vì chỉ nhớ mốc năm 2030.

Việc nên làm dù đang được miễn

Miễn trừ chỉ áp dụng cho Điều 21, Điều 22 và khoản 2 Điều 33. Mọi nghĩa vụ khác vẫn giữ nguyên: xin đồng ý hợp lệ, đáp ứng quyền của chủ thể dữ liệu theo thời hạn, thông báo khi có vi phạm, không mua bán dữ liệu, bảo vệ dữ liệu nhạy cảm bằng phân quyền truy cập.

Nói cách khác, miễn trừ bỏ được phần giấy tờ nặng nhất chứ không bỏ phần vận hành hằng ngày. Doanh nghiệp nhỏ hiểu nhầm điều này rất dễ rơi vào tình trạng không làm gì cả.

Đọc thêm cùng chủ đề

• Hết 5 năm miễn trừ thì doanh nghiệp phải làm gì?
• Xử lý bao nhiêu người thì hết được miễn trừ hồ sơ?
• Doanh nghiệp siêu nhỏ khác doanh nghiệp nhỏ chỗ nào?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 38
• Nghị định 356/2025/NĐ-CP Điều 41
• Luật 91/2025/QH15 Điều 21

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.