Con số là 100 nghìn chủ thể dữ liệu, tính theo tích lũy chứ không phải theo số khách đang hoạt động. Cách tính này khiến ngưỡng đến sớm hơn nhiều doanh nghiệp dự tính.
Luật dùng cụm từ "số lượng lớn chủ thể dữ liệu cá nhân" ở cả khoản 2 và khoản 3 Điều 38 mà không nêu con số. Nghị định 356/2025/NĐ-CP mới là nơi định lượng.
Con số cụ thể
Điều 41 Nghị định 356/2025/NĐ-CP quy định về việc áp dụng khoản 2 và khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân. Theo đó, ngoại lệ đối với miễn trừ áp dụng cho đơn vị xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên, dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.
Vì sao chữ "tích lũy" quan trọng
Nhiều doanh nghiệp đọc con số 100 nghìn rồi yên tâm vì tệp khách hàng hiện tại chỉ vài nghìn người. Nhưng cách tính là tích lũy tổng lượng dữ liệu cá nhân đã xử lý — tức cộng dồn theo thời gian, không phải ảnh chụp tại một thời điểm.
Hệ quả với vài mô hình phổ biến:
- Một cửa hàng trực tuyến bán 150 đơn mỗi ngày, sau ba năm đã chạm mốc nếu phần lớn là khách mới;
- Một ứng dụng có nhiều người tải về rồi bỏ vẫn tính cả những người đó, vì dữ liệu của họ đã được xử lý;
- Một đơn vị tổ chức sự kiện thu thông tin đăng ký nhiều năm cộng dồn lại rất nhanh chạm ngưỡng.
Trừ khi dữ liệu đã được xóa hoặc khử nhận dạng
Điều 2 Luật 91/2025/QH15 xác định dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân. Với dữ liệu đã xóa, hủy theo Điều 14, phần đó cũng không còn nằm trong hoạt động xử lý hiện hành. Đây là một lý do thực tế để doanh nghiệp xây dựng chính sách lưu trữ có thời hạn thay vì giữ mọi thứ vô thời hạn.
Chạm ngưỡng thì phải làm gì
Khi vượt mốc, ba nghĩa vụ trước đây được miễn quay trở lại:
- Lập và gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Điều 21 Luật 91/2025/QH15;
- Cập nhật hồ sơ theo Điều 22;
- Chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân, hoặc thuê dịch vụ, theo khoản 2 Điều 33.
Khoản 1 Điều 21 quy định thời hạn gửi hồ sơ là 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Vì vậy doanh nghiệp cần theo dõi để không rơi vào tình trạng phát hiện đã vượt ngưỡng từ lâu.
Hai ngoại lệ còn lại vẫn độc lập
Cần nhớ ngưỡng 100 nghìn chỉ là một trong ba trường hợp làm mất quyền miễn trừ. Hai trường hợp còn lại tại Điều 38 là kinh doanh dịch vụ xử lý dữ liệu cá nhân và trực tiếp xử lý dữ liệu cá nhân nhạy cảm — không phụ thuộc vào số lượng.
Một phòng khám có 2.000 bệnh nhân vẫn không được miễn, vì tình trạng sức khỏe thuộc danh mục nhạy cảm tại Điều 4 Nghị định 356/2025/NĐ-CP.
Nên theo dõi thế nào
Cách đơn giản là đặt một chỉ số trong báo cáo định kỳ: tổng số chủ thể dữ liệu tích lũy tính đến kỳ báo cáo. Khi con số đạt khoảng 80 nghìn, bắt đầu chuẩn bị hồ sơ đánh giá tác động thay vì đợi tới lúc vượt mốc. Chuẩn bị trước cho phép làm kỹ, còn làm gấp trong 60 ngày thường ra một bộ hồ sơ không phản ánh đúng thực tế.
Đọc thêm cùng chủ đề
- Hết 5 năm miễn trừ thì doanh nghiệp phải làm gì?
- Doanh nghiệp siêu nhỏ khác doanh nghiệp nhỏ chỗ nào?
- Doanh nghiệp nhỏ có phải làm hồ sơ đánh giá tác động?
Căn cứ pháp lý
- Nghị định 356/2025/NĐ-CP Điều 41
- Luật 91/2025/QH15 Điều 38
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.