Theo Luật Bảo vệ dữ liệu cá nhân 2025, hết 5 năm miễn trừ thì doanh nghiệp phải làm gì?

Ba nghĩa vụ quay lại cùng lúc. Với doanh nghiệp đã phát triển sau 5 năm, khối lượng công việc lớn hơn nhiều so với thời điểm mới thành lập.

Khoảng miễn trừ 05 năm là thời gian chuyển tiếp, không phải miễn trừ vĩnh viễn. Chuẩn bị trước giúp tránh phải làm gấp.

Khoảng thời gian được miễn

Khoản 2 Điều 38 Luật 91/2025/QH15 cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 trong thời gian 05 năm kể từ ngày Luật có hiệu lực thi hành. Khoản 1 Điều 38 xác định ngày có hiệu lực là 01 tháng 01 năm 2026.

Ba nghĩa vụ quay lại

Điều 21 — đánh giá tác động xử lý dữ liệu cá nhân. Khoản 1 Điều 21 quy định lập, lưu trữ hồ sơ và gửi 01 bản chính cho cơ quan chuyên trách trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Nội dung hồ sơ theo Điều 19 Nghị định 356/2025/NĐ-CP gồm ba thành phần, với báo cáo có bảy nhóm nội dung.

Điều 22 — cập nhật hồ sơ. Chế độ cập nhật định kỳ 06 tháng và ba trường hợp phải cập nhật ngay, chi tiết tại Điều 20 Nghị định 356/2025/NĐ-CP.

Khoản 2 Điều 33 — chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ. Điều kiện năng lực tại Điều 13 Nghị định 356/2025/NĐ-CP.

Vì sao khối lượng lớn hơn thời điểm mới thành lập

Sau 05 năm hoạt động, doanh nghiệp thường có nhiều hệ thống hơn, nhiều nhà cung cấp hơn, nhiều luồng dữ liệu hơn và khối dữ liệu tích lũy lớn hơn. Lập hồ sơ đánh giá tác động cho một tổ chức như vậy tốn công hơn nhiều so với lập từ khi mới bắt đầu.

Ngoài ra, phần khó nhất của hồ sơ — sơ đồ luồng dữ liệu và sơ đồ thiết kế hệ thống theo Điều 19 Nghị định 356/2025/NĐ-CP — sẽ phức tạp tương ứng.

Có thể hết miễn trừ sớm hơn

Ba ngoại lệ tại khoản 2 Điều 38 có hiệu lực bất cứ lúc nào:

• Bắt đầu kinh doanh dịch vụ xử lý dữ liệu cá nhân — chín nhóm dịch vụ tại Điều 21 Nghị định 356/2025/NĐ-CP;
• Bắt đầu trực tiếp xử lý dữ liệu cá nhân nhạy cảm theo danh mục tại Điều 4 Nghị định;
• Vượt ngưỡng 100 nghìn chủ thể dữ liệu tích lũy theo Điều 41 Nghị định.

Với doanh nghiệp tăng trưởng nhanh, ngưỡng thứ ba thường tới trước năm 2030. Một sản phẩm mới có tính năng dùng vị trí hoặc sinh trắc học cũng có thể kích hoạt ngoại lệ thứ hai ngay lập tức.

Nên chuẩn bị dần từ bây giờ

Ba việc nên làm sớm, đều có giá trị ngay cả khi chưa hết miễn trừ:

• Duy trì bản đồ luồng dữ liệu và cập nhật mỗi khi thêm hệ thống hoặc nhà cung cấp mới. Đây là đầu vào chính của hồ sơ, và cũng cần cho việc xử lý yêu cầu của chủ thể dữ liệu;
• Theo dõi chỉ số tổng số chủ thể dữ liệu tích lũy trong báo cáo định kỳ;
• Cho một nhân sự tham gia đào tạo về bảo vệ dữ liệu cá nhân, vì điều kiện tại Điều 13 Nghị định 356/2025/NĐ-CP đòi hỏi đã được đào tạo, bồi dưỡng — thứ không có được trong một tuần.

Một lưu ý về việc chủ động làm sớm

Do khoản 2 Điều 38 dùng từ "được quyền lựa chọn", doanh nghiệp hoàn toàn có thể lập và nộp hồ sơ trước hạn. Trong thực tế, việc này thường phát sinh từ yêu cầu của khách hàng lớn hoặc đối tác trong quá trình thẩm định nhà cung cấp, chứ không chỉ vì lý do tuân thủ.

Đọc thêm cùng chủ đề

• Doanh nghiệp nhỏ có phải làm hồ sơ đánh giá tác động?
• Xử lý bao nhiêu người thì hết được miễn trừ hồ sơ?
• Doanh nghiệp siêu nhỏ khác doanh nghiệp nhỏ chỗ nào?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 38
• Luật 91/2025/QH15 Điều 21
• Luật 91/2025/QH15 Điều 33
• Nghị định 356/2025/NĐ-CP Điều 41

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.