Tuân Thủ Bảo Vệ Dữ Liệu Cá Nhân Cho Doanh Nghiệp Nhỏ Và Vừa: Bạn Được Miễn Những Gì Và Không Được Miễn Những Gì

Từ đầu năm 2026, chủ một cửa hàng có khoảng 2.000 khách quen liên tục nhận được lời chào mời: doanh nghiệp phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, phải chỉ định nhân sự bảo vệ dữ liệu, nếu không sẽ bị phạt rất nặng. Gói tư vấn tuân thủ được báo giá hàng chục triệu đồng.

Phần lớn thông tin đó đúng về mặt tên gọi nhưng sai về mặt đối tượng áp dụng.

Luật Bảo vệ dữ liệu cá nhân 2025 có một điều khoản mà rất ít bài viết nhắc tới: hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện chính ba nghĩa vụ nặng nhất, còn doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn làm hoặc không làm trong 05 năm.

Nhưng miễn trừ này có ba ngoại lệ, và có một nhóm nghĩa vụ mà không một doanh nghiệp nào được miễn, kể cả hộ kinh doanh một người. Đó mới là phần cần quan tâm.

Câu hỏi đúng không phải "doanh nghiệp tôi có phải tuân thủ không". Câu hỏi đúng là "tôi thuộc nhóm nào, được miễn phần nào, và phần nào thì dù nhỏ đến đâu cũng vẫn phải làm".

Trả Lời Nhanh

Bảng Tóm Tắt Nhanh

Những Tình Huống Thực Tế Thường Gặp

Bị chào bán gói tuân thủ không phù hợp quy mô

Doanh nghiệp vài chục nhân sự được báo giá một gói tuân thủ trọn vẹn gồm hồ sơ đánh giá tác động, quy chế nội bộ và nhân sự bảo vệ dữ liệu. Trong khi theo luật, doanh nghiệp đó có thể đang thuộc nhóm được lựa chọn chưa thực hiện trong 05 năm.

Nghĩ rằng không thu thập gì nên không liên quan

Đây là hiểu nhầm theo hướng ngược lại. Doanh nghiệp cho rằng mình không phải công ty công nghệ nên không xử lý dữ liệu cá nhân. Thực tế danh sách khách hàng, hồ sơ ứng viên, hợp đồng lao động, dữ liệu người dùng trên website hay ứng dụng đều là dữ liệu cá nhân.

Giữ nguyên quy trình xây theo Nghị định 13/2023

Nhiều doanh nghiệp đã xây quy chế nội bộ theo Nghị định 13/2023/NĐ-CP trong các năm trước. Văn bản này đã được thay thế từ 01/01/2026, nên quy trình cũ cần rà lại thay vì mặc định tiếp tục dùng.

Xin đồng ý nhưng không lưu được bằng chứng

Có ô tích đồng ý trên website hoặc biểu mẫu giấy, nhưng không lưu nhật ký ai đồng ý, đồng ý vào lúc nào và đồng ý nội dung gì. Khi cơ quan kiểm tra hoặc khi khách hàng khiếu nại, doanh nghiệp không chứng minh được.

Mặc định coi im lặng là đồng ý

Gửi thông báo cho khách hàng, không nhận phản hồi, rồi coi như đã được đồng ý và tiếp tục xử lý dữ liệu. Đây là hành vi có chế tài riêng.

Doanh Nghiệp Tôi Thuộc Nhóm Nào

Đây là bước phải làm đầu tiên, trước khi bàn tới bất kỳ việc gì khác. Xác định sai nhóm dẫn tới hai loại sai ngược nhau: hoặc chi tiền cho việc chưa cần làm, hoặc bỏ sót nghĩa vụ bắt buộc.

Căn Cứ Pháp Lý

Nguyên văn phần miễn trừ, quy định trong Luật Bảo vệ dữ liệu cá nhân 2025:

"Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này trong thời gian 05 năm kể từ ngày Luật này có hiệu lực thi hành, trừ doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân."

Và với nhóm nhỏ nhất:

"Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này."

Ba Nghĩa Vụ Được Miễn Là Gì

Ba nghĩa vụ này là phần tốn công và tốn chi phí nhất trong toàn bộ khung tuân thủ. Hiểu đúng chúng là gì giúp doanh nghiệp biết mình đang được miễn cái gì.

Điều 21: đánh giá tác động xử lý dữ liệu cá nhân

Đây là việc doanh nghiệp phải lập một bộ hồ sơ mô tả toàn bộ hoạt động xử lý dữ liệu cá nhân của mình: xử lý loại dữ liệu gì, mục đích gì, ai tiếp cận, lưu ở đâu, bảo vệ bằng biện pháp nào, rủi ro ra sao.

Hồ sơ này phải nộp cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày, và phải lưu giữ để xuất trình khi được kiểm tra.

Điều 22: cập nhật hồ sơ

Hồ sơ đánh giá tác động không phải làm một lần rồi thôi. Điều 22 quy định nghĩa vụ cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, theo cơ chế định kỳ và khi có thay đổi.

Với doanh nghiệp có hoạt động thay đổi thường xuyên, đây là gánh nặng lặp lại chứ không phải việc làm một lần.

Khoản 2 Điều 33: nhân sự bảo vệ dữ liệu cá nhân

Doanh nghiệp phải chỉ định bộ phận hoặc nhân sự đủ điều kiện năng lực để bảo vệ dữ liệu cá nhân, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Đây là nghĩa vụ tạo chi phí thường xuyên, vì hoặc phải có người chuyên trách, hoặc phải trả phí dịch vụ hằng kỳ.

Ba Nhóm Không Được Miễn Trừ

Miễn trừ không áp dụng nếu doanh nghiệp rơi vào một trong ba nhóm dưới đây, bất kể quy mô nhỏ đến mức nào.

Nhóm 1: kinh doanh dịch vụ xử lý dữ liệu cá nhân

Doanh nghiệp lấy việc xử lý dữ liệu cá nhân làm dịch vụ bán cho bên khác. Nghị định 356/2025/NĐ-CP đặt ra khung riêng cho nhóm này, gồm điều kiện kinh doanh, trách nhiệm và thủ tục cấp, cấp đổi, cấp lại, thu hồi giấy chứng nhận.

Nhóm 2: trực tiếp xử lý dữ liệu cá nhân nhạy cảm

Đây là nhóm dễ rơi vào mà không nhận ra. Dữ liệu cá nhân nhạy cảm gắn với những thông tin mà việc bị lộ gây ảnh hưởng nghiêm trọng tới quyền và lợi ích hợp pháp của người đó.

Các mô hình kinh doanh thường chạm tới nhóm này gồm: phòng khám và cơ sở y tế, phòng tập và dịch vụ chăm sóc sức khỏe, trung tâm tư vấn tâm lý, dịch vụ tài chính và cho vay, và một số hoạt động liên quan đến dữ liệu sinh trắc học như chấm công bằng vân tay hoặc khuôn mặt.

Nhóm 3: xử lý dữ liệu cá nhân của số lượng lớn chủ thể

Đây là ngưỡng định lượng. Theo hướng dẫn tại Nghị định 356/2025/NĐ-CP, ngưỡng số lượng lớn chủ thể dữ liệu được xác định từ 100.000 chủ thể trở lên.

Những Nghĩa Vụ Không Ai Được Miễn

Đây là phần quan trọng nhất của bài viết, và cũng là phần hay bị hiểu sai nhất.

Miễn trừ trong Luật chỉ áp dụng cho ba điều cụ thể: Điều 21, Điều 22 và khoản 2 Điều 33. Toàn bộ phần còn lại của Luật vẫn áp dụng cho mọi tổ chức, cá nhân có xử lý dữ liệu cá nhân, kể cả hộ kinh doanh một người.

Các nghĩa vụ cơ bản mà không nhóm nào được miễn gồm:

Nhìn danh sách này sẽ thấy điều quan trọng: phần lớn nghĩa vụ thực chất không tốn tiền, mà tốn sự cẩn thận trong cách vận hành. Sửa lại biểu mẫu thu thập thông tin, bật chức năng lưu nhật ký đồng ý, đặt quy tắc xóa dữ liệu sau khi hết mục đích. Đây là những việc doanh nghiệp nhỏ hoàn toàn tự làm được.

Mức Phạt Theo Quy Định Áp Dụng Từ 19/08/2026

Nghị định 330/2026/NĐ-CP ngày 19/08/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực ngay từ ngày ban hành. Nghị định gồm 4 chương, 82 điều.

Các mức phạt gắn với nghĩa vụ mà không ai được miễn

Biện pháp đi kèm thường nặng hơn tiền phạt

Ngoài phạt tiền, Nghị định quy định các biện pháp khắc phục hậu quả, trong đó có ba biện pháp có tác động thực tế rất lớn với doanh nghiệp:

Buộc hủy, xóa tới mức không thể khôi phục đối với dữ liệu đã xử lý sai phạm vi, sai mục đích, lưu quá hạn hoặc thu thập không có sự đồng ý hợp lệ. Với doanh nghiệp mà danh sách khách hàng là tài sản chính, đây là thiệt hại lớn hơn nhiều so với khoản tiền phạt.

Buộc nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.

Buộc công khai xin lỗi chủ thể dữ liệu trên phương tiện thông tin đại chúng với hành vi dùng dữ liệu cá nhân của người khác trái pháp luật.

Phân Tích Ba Trường Hợp Thực Tế

Trường hợp 1: cửa hàng có 2.000 khách quen

Bối cảnh. Hộ kinh doanh bán lẻ, lưu danh sách khách hàng gồm tên, số điện thoại, địa chỉ giao hàng để chăm sóc và gửi khuyến mãi.

Phân loại. Là hộ kinh doanh, không xử lý dữ liệu nhạy cảm, số chủ thể xa ngưỡng 100.000, không kinh doanh dịch vụ xử lý dữ liệu. Thuộc nhóm không phải thực hiện Điều 21, Điều 22 và khoản 2 Điều 33.

Việc thực tế phải làm. Không cần lập hồ sơ đánh giá tác động, không cần chỉ định nhân sự bảo vệ dữ liệu. Nhưng vẫn phải: xin đồng ý rõ ràng khi thu số điện thoại để gửi khuyến mãi, lưu được bằng chứng đồng ý, cho khách hàng dừng nhận tin khi họ yêu cầu, và không bán danh sách khách cho bên khác.

Kết luận. Gói tuân thủ hàng chục triệu đồng là không tương xứng với nghĩa vụ thực tế. Việc cần làm là chỉnh lại cách thu thập và lưu đồng ý.

Trường hợp 2: ứng dụng khởi nghiệp có 150.000 người dùng

Bối cảnh. Doanh nghiệp khởi nghiệp công nghệ, doanh thu còn nhỏ, đội ngũ dưới 15 người, nhưng ứng dụng đã có khoảng 150.000 tài khoản đăng ký.

Phân loại. Xét theo quy mô doanh thu và lao động thì thuộc nhóm được lựa chọn trong 05 năm. Nhưng số chủ thể dữ liệu đã vượt ngưỡng 100.000, nên rơi vào ngoại lệ thứ ba và không được hưởng miễn trừ.

Việc phải làm. Thực hiện đầy đủ Điều 21, Điều 22 và khoản 2 Điều 33, gồm lập hồ sơ đánh giá tác động và nộp trong thời hạn quy định, duy trì cơ chế cập nhật, và chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ.

Bài học. Với doanh nghiệp số, quy mô dữ liệu đi trước quy mô doanh thu. Cần theo dõi số người dùng như một mốc pháp lý, không chỉ như một chỉ số tăng trưởng.

Trường hợp 3: phòng khám nhỏ

Bối cảnh. Phòng khám tư nhân quy mô nhỏ, vài nghìn hồ sơ bệnh nhân.

Phân loại. Số chủ thể rất xa ngưỡng 100.000, quy mô thuộc nhóm nhỏ hoặc siêu nhỏ. Nhưng phòng khám trực tiếp xử lý dữ liệu cá nhân nhạy cảm, nên rơi vào ngoại lệ thứ hai và không được miễn trừ.

Bài học. Đây là trường hợp hay bị bỏ sót nhất, vì chủ cơ sở thường nghĩ quy mô nhỏ thì đương nhiên được miễn. Trong khi tiêu chí quyết định ở đây là loại dữ liệu, không phải quy mô. Các mô hình khác cũng cần tự kiểm tra tiêu chí này gồm cơ sở chăm sóc sức khỏe, tư vấn tâm lý, dịch vụ tài chính, và nơi dùng vân tay hoặc khuôn mặt để chấm công.

Quy Trình Tuân Thủ Tối Thiểu

Năm bước dưới đây áp dụng cho mọi doanh nghiệp, kể cả nhóm được miễn trừ. Với nhóm không được miễn thì đây là nền, còn phải làm thêm ba nghĩa vụ tại Điều 21, Điều 22 và khoản 2 Điều 33.

Bước 1: liệt kê dữ liệu cá nhân doanh nghiệp đang giữ

Ghi ra tất cả nơi đang có dữ liệu cá nhân: danh sách khách hàng, hồ sơ nhân sự, hồ sơ ứng viên, dữ liệu người dùng website hoặc ứng dụng, camera, máy chấm công, nhóm chat chăm sóc khách hàng.

Với mỗi nhóm, ghi rõ: dữ liệu gì, thu từ đâu, dùng làm gì, ai trong công ty tiếp cận được, lưu ở đâu.

Bước này quyết định tất cả các bước sau, và cũng là bước tự trả lời được câu hỏi doanh nghiệp có rơi vào ba ngoại lệ hay không.

Bước 2: xác định nhóm và ngoại lệ

Đối chiếu quy mô doanh nghiệp theo pháp luật về hỗ trợ doanh nghiệp nhỏ và vừa, rồi kiểm tra ba ngoại lệ: có kinh doanh dịch vụ xử lý dữ liệu không, có xử lý dữ liệu nhạy cảm không, số chủ thể dữ liệu đã tới 100.000 chưa.

Kết quả bước này quyết định doanh nghiệp phải làm ba nghĩa vụ nặng hay không.

Bước 3: sửa lại cách xin và lưu sự đồng ý

Đây là việc có giá trị cao nhất so với công sức bỏ ra, vì nhóm hành vi vi phạm về sự đồng ý chiếm phần lớn các mức phạt.

Ba việc cụ thể: bỏ mọi ô tích sẵn và mọi cách diễn đạt gây hiểu lầm; tách riêng từng mục đích để khách hàng đồng ý từng phần; và bật cơ chế lưu nhật ký ghi nhận ai đồng ý, lúc nào, nội dung gì.

Bước 4: đặt quy tắc xóa dữ liệu và xử lý yêu cầu của khách hàng

Quy định rõ dữ liệu loại nào giữ bao lâu, hết thời hạn thì xóa. Đồng thời có một đầu mối và một quy trình ngắn để xử lý khi khách hàng yêu cầu xem, sửa, ngừng xử lý hoặc rút lại sự đồng ý.

Bước 5: rà lại quy trình cũ xây theo Nghị định 13/2023

Nghị định 13/2023/NĐ-CP đã được thay thế từ 01/01/2026. Doanh nghiệp đã có quy chế nội bộ về dữ liệu cá nhân từ các năm trước cần rà lại toàn bộ thay vì mặc định tiếp tục áp dụng.

Chi Phí Và Cách Tiếp Cận Hợp Lý

Chi phí tuân thủ chênh lệch rất lớn giữa các nhóm, nên việc xác định nhóm trước khi chi tiền là quan trọng nhất.

Mức phí dịch vụ tham khảo tại N.H Legal

Một lưu ý về cách chọn dịch vụ: nếu được chào một gói tuân thủ trọn vẹn mà bên tư vấn chưa hỏi doanh nghiệp xử lý loại dữ liệu gì và có bao nhiêu chủ thể dữ liệu, thì báo giá đó chưa dựa trên nghĩa vụ thực tế của doanh nghiệp.

Với nhóm được miễn trừ, hướng hợp lý là làm một lượt rà soát và chỉnh sửa quy trình, thay vì ký gói dịch vụ dài hạn cho những nghĩa vụ chưa phát sinh.

Khi Nào Cần Luật Sư

Khi chưa chắc mình có rơi vào ba ngoại lệ hay không. Đây là nhóm việc có giá trị cao nhất, vì kết luận sai ở đây kéo theo hoặc chi phí không cần thiết, hoặc rủi ro bị xử phạt.

Khi doanh nghiệp xử lý dữ liệu nhạy cảm. Nhóm này không được miễn trừ dù quy mô nhỏ, và chịu thêm nghĩa vụ thông báo riêng cho chủ thể dữ liệu.

Khi có chuyển dữ liệu ra nước ngoài. Bao gồm cả trường hợp dùng dịch vụ lưu trữ đám mây hoặc phần mềm có máy chủ đặt ở nước ngoài. Nhóm này có hồ sơ riêng và cơ chế cập nhật riêng.

Khi đã có sự cố lộ lọt dữ liệu. Thời điểm và cách thông báo ảnh hưởng trực tiếp tới trách nhiệm, nên cần xử lý ngay chứ không chờ.

Khi quy chế nội bộ đang xây theo Nghị định 13/2023. Văn bản này đã hết hiệu lực từ 01/01/2026.

5 Sai Lầm Thường Gặp

Sai lầm 1: cho rằng doanh nghiệp nhỏ thì đương nhiên được miễn hết. Miễn trừ chỉ áp dụng cho ba điều là Điều 21, Điều 22 và khoản 2 Điều 33. Toàn bộ nghĩa vụ về sự đồng ý, mục đích xử lý, thời hạn lưu trữ và các hành vi bị cấm vẫn áp dụng đầy đủ.

Sai lầm 2: chỉ nhìn doanh thu và số lao động để xác định nhóm. Ba ngoại lệ dựa trên loại hình dịch vụ, loại dữ liệu và số lượng chủ thể. Một ứng dụng khởi nghiệp có thể vượt ngưỡng 100.000 chủ thể khi doanh thu vẫn còn rất nhỏ.

Sai lầm 3: có ô đồng ý nhưng không lưu được bằng chứng. Việc không ghi nhận, không lưu nhật ký về sự đồng ý và không chứng minh được khi có yêu cầu là một hành vi có chế tài riêng, mức 30 đến 50 triệu đồng.

Sai lầm 4: coi im lặng là đồng ý. Thu thập và xử lý dữ liệu khi chủ thể giữ im lặng hoặc không phản hồi, rồi tự coi là đồng ý, nằm ở khung phạt cao hơn, 50 đến 70 triệu đồng.

Sai lầm 5: giữ nguyên quy chế cũ theo Nghị định 13/2023. Nghị định 356/2025/NĐ-CP đã thay thế văn bản này từ 01/01/2026. Quy trình nội bộ xây theo bản cũ cần rà lại, không mặc định tiếp tục dùng.

Câu Hỏi Thường Gặp

Doanh nghiệp nhỏ có phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không?

Không bắt buộc ngay, nếu không rơi vào ngoại lệ. Luật Bảo vệ dữ liệu cá nhân 2025 cho phép doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 trong thời gian 05 năm kể từ ngày Luật có hiệu lực, tức từ 01/01/2026. Ngoại lệ là doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể.

Hộ kinh doanh có phải tuân thủ Luật Bảo vệ dữ liệu cá nhân không?

Có, nhưng không phải toàn bộ. Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật. Các nghĩa vụ còn lại vẫn áp dụng đầy đủ, trong đó có xin sự đồng ý hợp lệ, lưu bằng chứng đồng ý, xử lý đúng mục đích và không mua bán dữ liệu cá nhân. Miễn trừ này cũng không áp dụng nếu hộ kinh doanh rơi vào một trong ba ngoại lệ.

Bao nhiêu chủ thể dữ liệu thì bị coi là số lượng lớn?

Theo hướng dẫn tại Nghị định 356/2025/NĐ-CP, ngưỡng số lượng lớn chủ thể dữ liệu được xác định từ 100.000 chủ thể trở lên. Cần lưu ý con số tính theo số người, không phải số bản ghi hay số giao dịch. Doanh nghiệp vượt ngưỡng này thì không được hưởng miễn trừ, kể cả khi quy mô doanh thu và lao động vẫn thuộc nhóm nhỏ.

Dữ liệu cá nhân nhạy cảm là gì và ai hay rơi vào nhóm này?

Dữ liệu cá nhân nhạy cảm gắn với những thông tin mà việc bị lộ gây ảnh hưởng nghiêm trọng tới quyền và lợi ích hợp pháp của người đó. Các mô hình kinh doanh thường chạm tới nhóm này gồm phòng khám và cơ sở y tế, dịch vụ chăm sóc sức khỏe, tư vấn tâm lý, dịch vụ tài chính và cho vay, cùng một số hoạt động dùng dữ liệu sinh trắc học như chấm công bằng vân tay hoặc khuôn mặt. Doanh nghiệp thuộc nhóm này không được miễn trừ dù quy mô nhỏ.

Danh sách khách hàng có phải dữ liệu cá nhân không?

Có. Tên, số điện thoại, địa chỉ, thư điện tử của khách hàng đều là dữ liệu cá nhân. Đây cũng là lý do gần như mọi doanh nghiệp đều thuộc phạm vi điều chỉnh của Luật, kể cả doanh nghiệp không hoạt động trong lĩnh vực công nghệ. Ngoài ra danh sách khách hàng còn có thể đồng thời là bí mật kinh doanh, nhưng hai nhóm nghĩa vụ này độc lập với nhau.

Không tuân thủ thì bị phạt bao nhiêu?

Nghị định 330/2026/NĐ-CP ngày 19/08/2026 quy định nhiều khung phạt khác nhau. Một số mức thường gặp với doanh nghiệp nhỏ: 20 đến 40 triệu đồng khi xử lý dữ liệu không đúng phạm vi, mục đích hoặc lưu trữ quá thời hạn; 30 đến 50 triệu đồng khi xử lý dữ liệu chưa có sự đồng ý hoặc không lưu được nhật ký đồng ý; 50 đến 70 triệu đồng khi cố ý tiếp tục xử lý sau khi bị yêu cầu ngừng hoặc tự coi im lặng là đồng ý. Ngoài phạt tiền còn có biện pháp buộc hủy, xóa dữ liệu tới mức không thể khôi phục.

Hộ kinh doanh vi phạm thì bị phạt như tổ chức hay như cá nhân?

Nghị định 330/2026/NĐ-CP quy định hộ kinh doanh, hộ gia đình và cộng đồng dân cư thực hiện hành vi vi phạm thì bị áp dụng mức phạt tiền như đối với cá nhân vi phạm hành chính, tức thấp hơn mức áp dụng cho tổ chức. Tuy nhiên các biện pháp khắc phục hậu quả như buộc xóa dữ liệu vẫn được áp dụng bình thường.

Quy chế bảo vệ dữ liệu cá nhân xây năm ngoái còn dùng được không?

Cần rà lại. Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025, có hiệu lực từ 01/01/2026 và thay thế Nghị định 13/2023/NĐ-CP. Doanh nghiệp đã xây quy chế nội bộ theo Nghị định 13/2023 nên đối chiếu lại toàn bộ với khung mới thay vì mặc định tiếp tục áp dụng.

Dùng dịch vụ lưu trữ đám mây nước ngoài có bị coi là chuyển dữ liệu xuyên biên giới không?

Đây là tình huống cần đánh giá cụ thể theo cách dữ liệu được lưu trữ và truy cập. Luật và Nghị định 356/2025/NĐ-CP có quy định riêng về chuyển dữ liệu cá nhân xuyên biên giới, gồm hồ sơ đánh giá tác động riêng, thành phần hồ sơ, thời hạn nộp và cơ chế cập nhật. Doanh nghiệp dùng phần mềm hoặc dịch vụ có máy chủ đặt ở nước ngoài nên rà soát riêng nội dung này.

Miễn trừ 05 năm tính từ khi nào và hết hạn thì sao?

Thời hạn 05 năm tính từ ngày Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực, tức từ 01/01/2026. Đây là quyền lựa chọn chứ không phải lệnh cấm thực hiện, nên doanh nghiệp vẫn có thể chủ động làm sớm nếu thấy cần. Hết thời hạn, nếu vẫn thuộc diện phải thực hiện theo quy mô và loại dữ liệu thì phải thực hiện đầy đủ.

Doanh nghiệp nhỏ có nên chủ động làm sớm ba nghĩa vụ được miễn không?

Tùy tình huống. Hai trường hợp nên cân nhắc làm sớm: doanh nghiệp đang tăng trưởng nhanh về số người dùng và có khả năng vượt ngưỡng 100.000 chủ thể trong thời gian ngắn; hoặc doanh nghiệp làm việc với đối tác lớn, khách hàng doanh nghiệp yêu cầu chứng minh năng lực bảo vệ dữ liệu như một điều kiện hợp tác. Ngoài hai trường hợp đó, nên ưu tiên hoàn thiện các nghĩa vụ cơ bản trước vì đây là phần phát sinh chế tài trên thực tế.

Kết Luận

Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ 01/01/2026 và áp dụng cho gần như mọi doanh nghiệp, vì danh sách khách hàng và hồ sơ nhân sự đều là dữ liệu cá nhân. Nhưng mức độ nghĩa vụ khác nhau rất nhiều giữa các nhóm.

Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện ba nghĩa vụ nặng nhất là Điều 21, Điều 22 và khoản 2 Điều 33. Doanh nghiệp nhỏ và khởi nghiệp được quyền lựa chọn trong 05 năm. Nhưng cả hai miễn trừ đều mất hiệu lực nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu, xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên.

Phần không ai được miễn mới là phần cần làm ngay, và cũng là phần phát sinh chế tài trên thực tế theo Nghị định 330/2026/NĐ-CP: xin đồng ý hợp lệ, lưu được bằng chứng đồng ý, không mặc định đồng ý, không coi im lặng là đồng ý, xử lý đúng mục đích và xóa khi hết thời hạn.

Việc nên làm đầu tiên không phải là mua một gói tuân thủ, mà là liệt kê doanh nghiệp đang giữ dữ liệu cá nhân ở những đâu và đối chiếu với ba ngoại lệ. Kết quả của bước đó quyết định toàn bộ chi phí và khối lượng công việc về sau.