Doanh nghiệp nào không phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân?

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/06/2025 và chính thức có hiệu lực từ ngày 01/01/2026, đánh dấu một bước ngoặt lớn quy định thống nhất và chặt chẽ hơn trong việc xử lý các vi phạm về dữ liệu cá nhân.

Trong đó, có các quy định siết chặt trách nhiệm doanh nghiệp trong việc lập hồ  sơ đánh giá tác động xử lý dữ liệu cá nhân. Tuy nhiên, Luật cũng quy định một số trường hợp ngoại lệ hoặc “nới lỏng” thời gian áp dụng nhằm giảm tải thủ tục cho các doanh nghiệp quy mô nhỏ, mới thành lập hoặc kinh doanh các hoạt động ít rủi ro về dữ liệu cá nhân.

Dưới đây là chi tiết về các nhóm doanh nghiệp không phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo quy định mới.

1. Doanh nghiệp nào không cần lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân?

Theo Điều 38 Luật 91/2025/QH15, danh sách các đối tượng được miễn trừ bao gồm:

Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong thời gian 05 năm kể từ ngày Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực thi hành, trừ doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.

Hộ kinh doanh, doanh nghiệp siêu nhỏ, trừ hộ kinh doanh, doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.

Lời khuyên cho Doanh nghiệp

Để xác định doanh nghiệp của bạn có thuộc trường hợp được miễn trừ nghĩa vụ lập hồ sơ đánh giá tác động hay không, cần thực hiện rà soát sơ bộ các tiêu chí sau đây trước ngày 01/01/2026:

• Kiểm tra tiêu chí quy mô và thời gian thành lập, hoạt động của doanh nghiệp để xác định loại hình doanh nghiệp: doanh nghiệp nhỏ, doanh nghiệp siêu nhỏ, doanh nghiệp vừa, …
• Rà soát hoạt động xử lý Dữ liệu cá nhân nhạy cảm: Dù là doanh nghiệp siêu nhỏ vẫn có thể phát sinh nghĩa vụ ngay lập tức nếu có xử lý dữ liệu cá nhân nhạy cảm như: Tình trạng sức khỏe và đời tư, Thông tin liên quan đến nguồn gốc chủng tộc, nguồn gốc dân tộc,  Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân, … các thông tin gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân.

Lưu ý một số trường hợp doanh nghiệp nhỏ hoặc siêu nhỏ không được miễn trừ báo cáo xử lý dữ liệu cá nhân:

• Kinh doanh dịch vụ xử lý dữ liệu cá nhân: Một công ty khởi nghiệp nhỏ cung cấp dịch vụ email marketing cho các khách hàng khác. Mặc dù là doanh nghiệp khởi nghiệp, nhưng do bản chất kinh doanh là xử lý dữ liệu thay mặt người khác, họ không được miễn trừ.
• Trực tiếp xử lý dữ liệu cá nhân nhạy cảm: Một công ty nhỏ phát triển một ứng dụng theo dõi sức khỏe, hoặc một cửa hàng nhỏ sử dụng hệ thống chấm công bằng dữ liệu vân tay. Các hoạt động này đều liên quan đến dữ liệu nhạy cảm và không được miễn trừ.
• Xử lý dữ liệu của số lượng lớn chủ thể: Ngưỡng “số lượng lớn” sẽ được Chính phủ quy định chi tiết trong các văn bản hướng dẫn thi hành Luật. Tuy nhiên, các doanh nghiệp có tệp khách hàng lớn cần phải lưu ý đến điều kiện này.

2. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân có bắt buộc phải có tại doanh nghiệp?

Căn cứ tại khoản 4 Điều 24 Nghị định 13/2023/NĐ-CP về đánh giá tác động xử lý dữ liệu cá nhân như sau:

“Đánh giá tác động xử lý dữ liệu cá nhân

…

4. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải luôn có sẵn để phục vụ hoạt động kiểm tra, đánh giá của Bộ Công an và gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) 01 bản chính theo Mẫu số 04 tại Phụ lục của Nghị định này trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân.”

Như vậy, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân phải luôn có sẵn tại doanh nghiệp để phục vụ hoạt động kiểm tra, đánh giá của Bộ Công an.

Trêm đây là các trường hợp doanh nghiệp không phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Mọi ý kiến đóng góp hoặc vướng mắc cần giải đáp vui lòng liên hệ Hotline: 0982 466 166/0979 80 1111 để được tư vấn trực tiếp và chuyên sâu.