Theo Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp siêu nhỏ khác doanh nghiệp nhỏ chỗ nào?

Khác nhau ở hai chữ: "được quyền lựa chọn trong 05 năm" so với "không phải thực hiện". Một bên có thời hạn, một bên thì không.

Khoản 2 và khoản 3 Điều 38 Luật 91/2025/QH15 nhìn qua thì giống nhau, nhưng cách diễn đạt khác nhau ở điểm quan trọng.

Khoản 2 — doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp

Khoản 2 Điều 38 quy định doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật trong thời gian 05 năm kể từ ngày Luật có hiệu lực thi hành.

Khoản 3 — hộ kinh doanh và doanh nghiệp siêu nhỏ

Khoản 3 Điều 38 quy định hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật.

Hai khác biệt

Về thời hạn. Khoản 2 giới hạn 05 năm. Khoản 3 không nêu thời hạn nào. Luật có hiệu lực từ 01/01/2026 theo khoản 1 Điều 38, nên khoảng miễn trừ của doanh nghiệp nhỏ và khởi nghiệp kéo tới hết năm 2030.

Về tính chất. "Được quyền lựa chọn" hàm ý doanh nghiệp có thể chủ động làm nếu muốn — điều nhiều đơn vị chọn khi làm việc với khách hàng lớn hoặc đối tác nước ngoài. "Không phải thực hiện" là miễn trừ trực tiếp.

Ba nội dung được miễn là giống nhau

Cả hai khoản đều nói tới cùng ba nội dung:

• Điều 21 — đánh giá tác động xử lý dữ liệu cá nhân;
• Điều 22 — cập nhật hồ sơ đánh giá tác động;
• Khoản 2 Điều 33 — chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ.

Mọi nghĩa vụ khác trong Luật vẫn áp dụng đầy đủ cho cả hai nhóm.

Ba ngoại lệ áp dụng cho cả hai

Cả khoản 2 và khoản 3 đều loại trừ đơn vị:

• Kinh doanh dịch vụ xử lý dữ liệu cá nhân;
• Trực tiếp xử lý dữ liệu cá nhân nhạy cảm;
• Xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.

Điều 41 Nghị định 356/2025/NĐ-CP xác định ngưỡng thứ ba: từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên, dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.

Ngoại lệ về dữ liệu nhạy cảm loại nhiều đơn vị nhất

Danh mục dữ liệu nhạy cảm tại Điều 4 Nghị định 356/2025/NĐ-CP gồm cả tình trạng sức khỏe, dữ liệu sinh trắc học, hình ảnh thẻ căn cước, lịch sử giao dịch tài khoản ngân hàng, và dữ liệu theo dõi hành vi sử dụng dịch vụ trên không gian mạng.

Một hộ kinh doanh dùng máy chấm công vân tay, một cơ sở làm đẹp ghi tình trạng sức khỏe khách, một cửa hàng giữ ảnh căn cước khách thuê thiết bị — tất cả đều đang trực tiếp xử lý dữ liệu nhạy cảm và không được miễn.

Việc cần theo dõi

Với doanh nghiệp nhỏ và khởi nghiệp, có hai mốc cần theo dõi song song: hết năm 2030, và thời điểm vượt ngưỡng 100 nghìn chủ thể dữ liệu tích lũy. Mốc nào tới trước thì áp dụng mốc đó.

Với hộ kinh doanh và doanh nghiệp siêu nhỏ, chỉ cần theo dõi ba ngoại lệ. Nhưng nếu chuyển đổi lên quy mô lớn hơn thì tư cách thay đổi và chế độ miễn trừ cũng thay đổi theo.

Đọc thêm cùng chủ đề

• Xử lý bao nhiêu người thì hết được miễn trừ hồ sơ?
• Hết 5 năm miễn trừ thì doanh nghiệp phải làm gì?
• Hộ kinh doanh có phải tuân thủ không?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 38
• Nghị định 356/2025/NĐ-CP Điều 41

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.