Dữ liệu cá nhân 2026: doanh nghiệp nhỏ được miễn gì, phải làm gì

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được chọn làm hay không làm hồ sơ đánh giá tác động xử lý dữ liệu và việc chỉ định bộ phận, nhân sự bảo vệ dữ liệu trong 05 năm; hộ kinh doanh, doanh nghiệp siêu nhỏ không phải làm các việc đó. Các nghĩa vụ còn lại như xin đồng ý đúng cách, lưu bằng chứng đồng ý, bảo mật, đáp ứng quyền của người có dữ liệu vẫn áp dụng. Vi phạm bị phạt theo Nghị định 330/2026/NĐ-CP từ 19/8/2026.

Phần được miễn và điều kiện mất miễn

Khoản 2, 3 Điều 38 Luật 91/2025 và Điều 41 Nghị định 356/2025/NĐ-CP: miễn hoặc cho lựa chọn đối với Điều 21 (lập và gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân), Điều 22 (cập nhật hồ sơ đó) và khoản 2 Điều 33 (chỉ định bộ phận, nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ). Doanh nghiệp nhỏ, khởi nghiệp được lựa chọn trong 05 năm kể từ 01/01/2026; hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện.

Ưu đãi này mất khi doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu của từ 100 nghìn chủ thể trở lên tính cộng dồn. Danh mục dữ liệu nhạy cảm tại Điều 4 Nghị định 356/2025/NĐ-CP khá rộng, có cả tình trạng sức khỏe, sinh trắc học, hình ảnh thẻ căn cước, tên đăng nhập, mật khẩu tài khoản ngân hàng, thông tin thẻ và lịch sử giao dịch ngân hàng.

Phần miễn không gồm chuyển dữ liệu cá nhân xuyên biên giới tại Điều 20 của Luật.

Việc vẫn phải làm: xin đồng ý đúng cách

Điều 9 Luật 91/2025: đồng ý chỉ có hiệu lực khi tự nguyện và người có dữ liệu biết rõ loại dữ liệu, mục đích xử lý, ai là bên kiểm soát, quyền và nghĩa vụ của họ; đồng ý theo từng mục đích; không kèm điều kiện bắt buộc đồng ý cho mục đích khác; im lặng không được coi là đồng ý. Điều 6 Nghị định 356/2025/NĐ-CP cho phép xin đồng ý bằng văn bản, cuộc gọi ghi âm, tin nhắn, thư điện tử, trên website, ứng dụng có thiết lập kỹ thuật, nhưng phải kiểm chứng được ai đồng ý, lúc nào, đồng ý gì. Doanh nghiệp phải lưu sự đồng ý, tự chứng minh khi có tranh chấp, không đặt sẵn đồng ý mặc định.

Dữ liệu người lao động và sự cố

Điều 25 Luật 91/2025: khi tuyển dụng chỉ hỏi thông tin phục vụ tuyển dụng, phải được người dự tuyển đồng ý và phải xóa, hủy hồ sơ người không trúng tuyển trừ khi có thỏa thuận khác; dữ liệu người lao động lưu theo thời hạn luật định hoặc thỏa thuận và xóa, hủy khi chấm dứt hợp đồng trừ khi pháp luật hoặc thỏa thuận khác; camera, phần mềm theo dõi phải cho người lao động biết rõ. Khi phát hiện vi phạm có thể gây tổn hại đến tính mạng, sức khỏe, danh dự, tài sản của người có dữ liệu, Điều 23 buộc thông báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ.

Mức phạt

Mục 6 Chương II Nghị định 330/2026/NĐ-CP ghi mức phạt cho tổ chức; cá nhân và hộ kinh doanh bằng một nửa. Ví dụ: xử lý dữ liệu khi chưa có đồng ý, đặt đồng ý mặc định, không lưu được bằng chứng đồng ý phạt từ 30 đến 50 triệu đồng (khoản 1 Điều 43); coi im lặng là đồng ý phạt từ 50 đến 70 triệu đồng; không xóa, hủy dữ liệu người lao động khi chấm dứt hợp đồng hoặc lắp camera, phần mềm theo dõi mà không báo phạt từ 50 đến 70 triệu đồng (khoản 2 Điều 61); báo sự cố chậm hơn 72 giờ phạt từ 40 đến 60 triệu đồng (khoản 3 Điều 54). Trần luật định tại Điều 8 Luật 91/2025 là 03 tỷ đồng với vi phạm thông thường của tổ chức.

Bài tổng hợp theo văn bản còn hiệu lực đến 29/09/2026, không thay văn bản gốc. Việc xác định quy mô doanh nghiệp nhỏ, siêu nhỏ và trường hợp riêng đối chiếu văn bản gốc và cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an.