Chỉ có một nhân viên, doanh nghiệp có phải lập hồ sơ dữ liệu?

Chỉ có một nhân viên, doanh nghiệp có phải lập hồ sơ dữ liệu?

Một nhân viên không phải tiêu chí quyết định việc lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Ba tình huống dưới đây cho thấy vì sao phải kiểm tra thêm số liệu tài chính, dữ liệu thực tế và các trường hợp loại trừ.

Doanh nghiệp chỉ có một nhân viên vẫn phải xác định nghĩa vụ hồ sơ dữ liệu cá nhân theo vai trò, quy mô và hoạt động xử lý thực tế. Nếu thuộc nhóm siêu nhỏ và không có ngoại lệ, doanh nghiệp có cơ chế không phải thực hiện một số quy định; nếu thuộc nhóm nhỏ, cần xét cơ chế lựa chọn có thời hạn. Số nhân viên thấp không loại trừ việc trực tiếp xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu hoặc đã đạt ngưỡng chủ thể tích lũy. Căn cứ cần đối chiếu là Điều 21, khoản 2–3 Điều 38 Luật 91/2025/QH15 và Điều 41 Nghị định 356/2025/NĐ-CP.

Vì sao không thể kết luận chỉ từ một nhân viên?

Trước hết, cần làm rõ “một nhân viên” là số người tại ngày hỏi hay số lao động có tham gia bảo hiểm xã hội bình quân theo quy định. Điều 7 Nghị định 80/2021/NĐ-CP xác định cách tính bình quân năm, có cách tính riêng cho doanh nghiệp hoạt động dưới một năm. Một công ty vừa giảm nhân sự còn một người không tự có số bình quân năm bằng một.

Tiếp theo, Điều 5 Nghị định 80/2021/NĐ-CP kết hợp tiêu chí lao động với doanh thu hoặc tổng nguồn vốn theo lĩnh vực. Một người lao động có thể làm việc tại doanh nghiệp có doanh thu hoặc nguồn vốn lớn. Vốn điều lệ trên đăng ký doanh nghiệp cũng không thay cho tổng nguồn vốn xác định theo Điều 8.

Cuối cùng, nhân viên chỉ là một nhóm người mà doanh nghiệp xử lý dữ liệu. Dữ liệu khách hàng, ứng viên, người liên hệ đối tác và lịch sử sử dụng dịch vụ đều cần được xem xét theo thực tế. Bởi vậy, doanh nghiệp một người không đồng nghĩa chỉ xử lý dữ liệu của một chủ thể.

Thực hiện hai bước kiểm tra độc lập

Bước về quy mô: Xác định lĩnh vực chính, lao động tham gia BHXH bình quân, doanh thu và tổng nguồn vốn theo Điều 5–9 Nghị định 80. Trong lĩnh vực thương mại, dịch vụ, nhóm siêu nhỏ cần không quá 10 lao động theo tiêu chí luật định và doanh thu không quá 10 tỷ đồng hoặc tổng nguồn vốn không quá 3 tỷ đồng. Hai nhánh tài chính là lựa chọn thay thế, còn điều kiện lao động vẫn phải đáp ứng.

Bước về dữ liệu: Nếu đáp ứng nhóm quy mô được xem xét, tiếp tục kiểm tra ba ngoại lệ tại Điều 41 Nghị định 356: kinh doanh dịch vụ xử lý dữ liệu cá nhân; trực tiếp xử lý dữ liệu nhạy cảm; hoặc đạt từ 100.000 chủ thể theo kết quả tích lũy tổng lượng dữ liệu đã xử lý. Không bỏ qua bước này chỉ vì kế toán đã xác định là siêu nhỏ.

Ba tình huống doanh nghiệp một người

Các tình huống sau là giả định để minh họa cách áp dụng, không phải thông tin khách hàng Justix. Các số liệu đều giả định đã được xác định đúng kỳ và có chứng từ; việc không có dữ liệu nhạy cảm phải được kiểm tra ở toàn bộ hoạt động, không suy từ tên ngành.

Tình huống 1: doanh thu trên 10 tỷ đồng nhưng vẫn có thể là siêu nhỏ

Doanh nghiệp A hoạt động thương mại, có một lao động tham gia BHXH bình quân năm, doanh thu 14 tỷ đồng và tổng nguồn vốn 2,2 tỷ đồng. A không kinh doanh dịch vụ xử lý dữ liệu, chưa đạt ngưỡng 100.000 chủ thể tích lũy và trong giả định không trực tiếp xử lý dữ liệu nhạy cảm ở các hoạt động còn lại.

Theo khoản 1 Điều 5 Nghị định 80, A không đạt nhánh doanh thu không quá 10 tỷ đồng nhưng đạt nhánh tổng nguồn vốn không quá 3 tỷ đồng, đồng thời đáp ứng tiêu chí lao động. Vì vậy, không được kết luận A mất quy mô siêu nhỏ chỉ do doanh thu 14 tỷ đồng. Sau khi xác minh không thuộc ngoại lệ, A có cơ sở áp dụng khoản 3 Điều 38 Luật 91 trong phạm vi Điều 21, Điều 22 và khoản 2 Điều 33.

Đầu ra cần giữ là bảng tính lao động bình quân, báo cáo tài chính, kết quả phân loại và danh mục dữ liệu đã rà soát. Kết luận phải ghi đúng các dữ kiện giả định trên; nếu thực tế A đang giữ ảnh thẻ căn cước hoặc dữ liệu sức khỏe của nhân viên thì phải chuyển sang kiểm tra ngoại lệ, không tiếp tục dùng kết luận này.

Tình huống 2: một lao động nhưng không thuộc nhóm siêu nhỏ hoặc nhỏ

Doanh nghiệp B hoạt động dịch vụ, có một lao động tham gia BHXH bình quân, doanh thu 115 tỷ đồng và tổng nguồn vốn 55 tỷ đồng. B đã hoạt động ổn định và được xác minh không thuộc nhóm doanh nghiệp khởi nghiệp để áp dụng cơ chế riêng. B quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu khách hàng trong hệ thống của mình.

Đối chiếu khoản 1–3 Điều 5 Nghị định 80, B vượt cả hai nhánh tài chính của nhóm siêu nhỏ và nhóm nhỏ trong lĩnh vực thương mại, dịch vụ. Với các dữ kiện giả định này, B thuộc quy mô vừa, dù chỉ có một lao động. Do đó, B không thể dựa vào quy mô siêu nhỏ hoặc nhỏ để áp dụng khoản 2 hoặc khoản 3 Điều 38.

Với vai trò vừa quyết định vừa trực tiếp xử lý, B phải đối chiếu nghĩa vụ lập, lưu trữ và gửi hồ sơ theo khoản 1 Điều 21 Luật 91 nếu không có căn cứ loại trừ khác thực sự áp dụng. Đầu ra là kết luận quy mô, mô tả vai trò, danh mục hoạt động và kế hoạch hồ sơ; một bảng kê nhân sự một người không thay được các tài liệu này.

Tình huống 3: đủ quy mô siêu nhỏ nhưng trực tiếp lưu ảnh căn cước

Doanh nghiệp C cũng hoạt động thương mại, có một lao động tham gia BHXH bình quân, doanh thu 4 tỷ đồng và tổng nguồn vốn 1,5 tỷ đồng. Trong thư mục nhân sự, C trực tiếp thu và lưu ảnh thẻ căn cước của nhân viên để thực hiện công việc đã xác định. Các dữ kiện về căn cứ và mức độ cần thiết của việc thu ảnh phải được kiểm tra riêng.

Hình ảnh thẻ căn cước thuộc dữ liệu nhạy cảm tại điểm i khoản 1 Điều 4 Nghị định 356. Khi C trực tiếp xử lý nhóm dữ liệu này, trường hợp loại trừ tại khoản 2 Điều 41 phải được áp dụng; không có điều kiện phải có nhiều nhân viên hoặc nhiều ảnh căn cước thì ngoại lệ mới xuất hiện. C không được kết luận miễn theo cơ chế siêu nhỏ chỉ từ số người và doanh thu.

Việc nhân viên đã ký đồng ý không xóa ngoại lệ. C cần xác định nghĩa vụ hồ sơ theo vai trò, đồng thời rà soát vì sao cần ảnh, người được tiếp cận, thời gian lưu và phương thức bảo vệ. Đầu ra gồm danh mục dữ liệu nhạy cảm, căn cứ xử lý, kết luận nghĩa vụ và công việc khắc phục nếu cách thu thập hiện tại chưa phù hợp.

Bảng đối chiếu kết quả ba tình huống

Khi không được miễn, cần lập, lưu hay gửi hồ sơ?

Phải xác định vai trò trước khi giao việc. Khoản 1 Điều 21 Luật 91 yêu cầu bên kiểm soát, bên kiểm soát và xử lý lập, lưu trữ hồ sơ và gửi một bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý, trừ trường hợp luật quy định. Khoản 3 Điều này quy định bên xử lý lập và lưu theo thỏa thuận với bên kiểm soát, bên kiểm soát và xử lý. Điều 19 Nghị định 356 cần được đối chiếu thêm theo đúng vai trò và hoạt động.

Không mặc định mọi công ty có một nhân viên đều vừa kiểm soát vừa xử lý hoặc đều phải tự gửi hồ sơ theo cùng một cách. Cũng không coi việc mua phần mềm mới là ngày đầu tiên doanh nghiệp bắt đầu xử lý dữ liệu nếu hoạt động đã diễn ra từ trước. Nếu trước đây có căn cứ miễn nhưng nay phát sinh ngoại lệ, phải xác định thời điểm thay đổi và nghĩa vụ tương ứng; không tự đặt một thời gian ân hạn mới.

Bài Doanh nghiệp nào phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân? giúp đối chiếu khung nghĩa vụ. Việc đã nộp hoặc đã được tiếp nhận không tự chứng minh mọi hoạt động của doanh nghiệp đều tuân thủ.

Nếu được miễn hồ sơ, doanh nghiệp một người còn phải làm gì?

Doanh nghiệp vẫn cần xử lý dữ liệu đúng mục đích, có căn cứ, áp dụng biện pháp bảo vệ phù hợp và bảo đảm quyền của cá nhân theo Điều 3, Điều 4 và các quy định liên quan của Luật 91. Dữ liệu nằm trong điện thoại cá nhân, email hoặc tủ hồ sơ giấy vẫn cần được quản lý theo thực tế; không có phần mềm chuyên nghiệp không đồng nghĩa không có hoạt động xử lý.

Người điều hành nên ghi lại dữ liệu đang giữ, người có thể tiếp cận, các nhà cung cấp và thời hạn lưu có căn cứ; bố trí kênh nhận yêu cầu. Đây là cách tổ chức công việc phù hợp với doanh nghiệp ít người, không phải yêu cầu mọi doanh nghiệp được miễn phải có thêm một bộ máy chuyên trách giống nhau.

Nếu dùng hệ thống ở nước ngoài, phải kiểm tra riêng Điều 20 Luật 91 về chuyển dữ liệu xuyên biên giới và ngoại lệ tương ứng. Cơ chế tại Điều 38 không tự miễn nghĩa vụ Điều 20. Việc thuê phần mềm cũng không thay cho kiểm tra dữ liệu nhạy cảm đang lưu hoặc được sử dụng trong hệ thống.

Trình tự tự kiểm tra dành cho người điều hành

Thứ nhất, chốt dữ kiện quy mô với kế toán và nhân sự. Ghi kỳ số liệu, cách tính bình quân lao động, doanh thu và tổng nguồn vốn. Nếu một người đang kiêm nhiệm, vẫn cần giữ được chứng từ của từng kết luận.

Thứ hai, kiểm tra dữ liệu thật. Mở danh mục hồ sơ, biểu mẫu và chức năng đang dùng; phân loại theo Điều 3, Điều 4 Nghị định 356. Bài Dữ liệu cá nhân cơ bản và nhạy cảm khác nhau thế nào? hỗ trợ nhận diện trước khi kết luận ngoại lệ.

Thứ ba, ghi kết luận theo từng nghĩa vụ. Nêu được miễn, được lựa chọn có thời hạn hay cần thực hiện; kèm căn cứ và nội dung chưa rõ. Đừng ghi chung “doanh nghiệp một người được miễn dữ liệu cá nhân”.

Thứ tư, giao người theo dõi thay đổi. Khi thêm dữ liệu sức khỏe, ảnh căn cước, chấm công sinh trắc học, dịch vụ xử lý hoặc tăng quy mô chủ thể, kiểm tra lại kết luận. Các bước này là khuyến nghị quản trị để doanh nghiệp có thể giải trình.

Câu hỏi thường gặp

Công ty không tuyển thêm người nhưng có nhiều khách hàng thì sao?

Ngưỡng tại Điều 41 Nghị định 356 xét chủ thể dữ liệu theo kết quả tích lũy, không xét số nhân viên. Công ty có một lao động vẫn có thể đạt từ 100.000 chủ thể qua hoạt động kinh doanh và thuộc ngoại lệ. Cần tổng hợp đủ nguồn, không chỉ đếm khách hàng đang còn trên một phần mềm.

Chỉ lưu số căn cước có giống lưu ảnh thẻ căn cước không?

Không được gộp hai trường hợp này khi phân loại. Khoản 7 Điều 3 Nghị định 356 liệt kê số định danh cá nhân trong dữ liệu cơ bản; điểm i khoản 1 Điều 4 liệt kê hình ảnh thẻ căn cước trong dữ liệu nhạy cảm. Vẫn phải xét nội dung, ngữ cảnh và các dữ liệu khác đang được xử lý trước khi kết luận được miễn.

Có phải thành lập riêng một phòng để lập hồ sơ không?

Không suy từ nghĩa vụ hồ sơ thành yêu cầu chung phải lập một phòng riêng. Nghĩa vụ về bộ phận, nhân sự hoặc thuê dịch vụ tại khoản 2 Điều 33 cần được kiểm tra riêng cùng điều kiện và cơ chế Điều 38. Cách tổ chức phải đáp ứng quy định đang áp dụng và phù hợp hoạt động thực tế.

Justix hỗ trợ xác định nghĩa vụ cho doanh nghiệp ít nhân sự

Doanh nghiệp có thể chuẩn bị ngành chính, số liệu tài chính, BHXH, danh mục dữ liệu và phần mềm đang dùng để Justix rà soát trong dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Luật sư hỗ trợ làm rõ vai trò, điều kiện miễn hoặc lựa chọn và tài liệu cần hoàn thiện theo phạm vi thống nhất. Liên hệ 037 27 17 888 hoặc legal@justix.vn.