Doanh nghiệp nhỏ, khởi nghiệp được lựa chọn không lập hồ sơ ra sao?

Doanh nghiệp nhỏ, khởi nghiệp được lựa chọn không lập hồ sơ ra sao?

Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp có cơ chế lựa chọn không thực hiện một số nghĩa vụ bảo vệ dữ liệu trong thời hạn luật định. Bài viết làm rõ mốc 5 năm, phạm vi được lựa chọn và phiếu đánh giá để doanh nghiệp lưu căn cứ áp dụng.

Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân trong 5 năm kể từ ngày Luật có hiệu lực 01/01/2026, nếu không thuộc trường hợp loại trừ. Đây là mốc chung của Luật, không phải 5 năm tính riêng từ ngày thành lập mỗi công ty. Doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt ngưỡng quy mô chủ thể theo quy định không được sử dụng cơ chế này. Căn cứ là khoản 2 Điều 38 Luật số 91/2025/QH15 và khoản 1 Điều 41 Nghị định 356/2025/NĐ-CP.

Được lựa chọn không thực hiện những nghĩa vụ nào?

Điều 21 Luật 91 quy định đánh giá tác động xử lý dữ liệu cá nhân; Điều 22 quy định cập nhật hồ sơ đánh giá tác động xử lý và hồ sơ chuyển dữ liệu cá nhân xuyên biên giới. Khoản 2 Điều 33 quy định việc chỉ định bộ phận, nhân sự đủ điều kiện hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Cơ chế tại khoản 2 Điều 38 chỉ áp dụng đối với những quy định được liệt kê này.

Doanh nghiệp có thể lựa chọn thực hiện ngay để phục vụ quản trị, giao dịch hoặc yêu cầu đối tác. Nếu lựa chọn không thực hiện trong phạm vi được phép, cần có căn cứ về đúng đối tượng, đúng thời gian và không thuộc ngoại lệ. Luật không vì thế cho phép doanh nghiệp ngừng bảo vệ dữ liệu hoặc thu thập thông tin mà không xác định mục đích, căn cứ xử lý.

Đặc biệt, Điều 20 về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới không được liệt kê trong khoản 2 Điều 38. Việc được lựa chọn không thực hiện Điều 22 không tự loại bỏ nghĩa vụ hồ sơ chuyển dữ liệu lần đầu tại Điều 20. Nếu dùng nền tảng ngoài Việt Nam hoặc chuyển dữ liệu cho bên nhận ở nước ngoài, doanh nghiệp cần kiểm tra riêng luồng chuyển và ngoại lệ của Điều 20. Bài Chuyển dữ liệu cá nhân ra nước ngoài có phải lập hồ sơ không? trình bày phần đối chiếu này.

Xác định đúng doanh nghiệp nhỏ trước khi áp dụng

“Doanh nghiệp nhỏ” là một nhóm quy mô cụ thể, không đồng nghĩa toàn bộ doanh nghiệp nhỏ và vừa. Khoản 2 Điều 5 Nghị định 80/2021/NĐ-CP yêu cầu đồng thời đáp ứng tiêu chí lao động và ít nhất một tiêu chí tài chính, đồng thời không thuộc nhóm siêu nhỏ:

Lĩnh vực được xác định theo ngành, nghề kinh doanh chính đã đăng ký tại Điều 6 Nghị định 80. Lao động, tổng nguồn vốn và doanh thu cần tính theo Điều 7–9, có kỳ số liệu và chứng từ tương ứng; không dùng riêng số người đang làm việc hoặc vốn điều lệ. Với doanh nghiệp hoạt động dưới một năm hoặc chưa phát sinh doanh thu, cần sử dụng quy tắc riêng trong các điều khoản này, không mặc nhiên suy doanh thu bằng 0 là đủ điều kiện.

Doanh nghiệp siêu nhỏ áp dụng cơ chế riêng tại khoản 3 Điều 38 Luật 91, không lấy thời hạn 5 năm của nhóm nhỏ để giới hạn cơ chế siêu nhỏ. Ngược lại, một doanh nghiệp được xác định là quy mô vừa không thể chỉ dùng tên gọi chung “doanh nghiệp nhỏ và vừa” để áp dụng quyền lựa chọn dành cho doanh nghiệp nhỏ.

Đối với tư cách doanh nghiệp khởi nghiệp, cần làm rõ căn cứ xác định và tài liệu của doanh nghiệp trước khi áp dụng. Khoản 2 Điều 38 Luật 91 và khoản 1 Điều 41 Nghị định 356 dùng thuật ngữ này; việc tự gọi là “startup” hoặc mới được cấp đăng ký doanh nghiệp chưa đủ để thay cho bước xác định đối tượng. Nếu doanh nghiệp đã có căn cứ rõ về quy mô nhỏ, có thể đối chiếu theo nhóm đó; nếu chỉ dựa vào tư cách khởi nghiệp còn chưa rõ, cần xác minh trước khi kết luận được lựa chọn. Đây là yêu cầu thận trọng khi áp dụng, không phải một thủ tục xin giấy chứng nhận mới được đặt thêm trong bài viết.

Mốc 5 năm được tính thế nào?

Cụm từ quyết định tại khoản 2 Điều 38 là “kể từ ngày Luật này có hiệu lực thi hành”. Khoản 1 Điều 38 ấn định ngày đó là 01/01/2026. Vì vậy, thời gian doanh nghiệp đã hoạt động trước năm 2026 không tự làm mất cơ chế lựa chọn; doanh nghiệp thành lập sau ngày này cũng không tự có một chu kỳ 5 năm mới.

Dòng thời gian để lập kế hoạch tuân thủ

Dòng thời gian là cách trình bày để tổ chức công việc theo mốc luật định; các bước chuẩn bị nội bộ là khuyến nghị. Ví dụ, doanh nghiệp thành lập năm 2029, nếu thuộc nhóm được lựa chọn và không có ngoại lệ, chỉ xem xét phần thời gian còn lại của mốc chung, không tính đến năm 2034 từ ngày thành lập. Trước thời điểm thực hiện trong tương lai, vẫn cần kiểm tra văn bản có thay đổi hay không.

Ba ngoại lệ phải kiểm tra trong suốt thời gian lựa chọn

Kinh doanh dịch vụ xử lý dữ liệu cá nhân: Khoản 1 Điều 41 Nghị định 356 loại trừ doanh nghiệp thuộc hoạt động này. Cần đối chiếu dịch vụ, hợp đồng và việc thực hiện thực tế; không chỉ xét tên công ty hoặc việc có thu dữ liệu khách hàng để bán hàng. Cũng không tự đặt điều kiện rằng chỉ khi đây là ngành kinh doanh chính thì ngoại lệ mới áp dụng.

Trực tiếp xử lý dữ liệu cá nhân nhạy cảm: Cần đối chiếu danh mục tại Điều 4 Nghị định 356, bao gồm cả dữ liệu nhân sự, không chỉ dữ liệu khách hàng. Tình trạng sức khỏe, dữ liệu sinh trắc học và hình ảnh thẻ căn cước là những nhóm cần lưu ý. Có sự đồng ý hoặc đã ký hợp đồng lao động không làm mất tính chất nhạy cảm và không xóa ngoại lệ hồ sơ.

Đạt từ 100.000 chủ thể dữ liệu cá nhân: Khoản 1 Điều 41 quy định thời điểm đạt ngưỡng dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý. Không thay bằng số tài khoản còn hoạt động, số bản ghi trong một hệ thống hoặc doanh số một năm. Doanh nghiệp nên lưu nguồn số liệu, cách đối chiếu và các hạn chế của dữ liệu lịch sử để có cơ sở kiểm tra.

Phiếu đánh giá trước khi lựa chọn không thực hiện

Phiếu tham khảo do Justix biên soạn, không phải mẫu hành chính bắt buộc. Người phụ trách điền kết quả và tài liệu đối chiếu; một mục chưa rõ cần được xác minh trước khi chốt kết luận.

Tên doanh nghiệp: ........................  Ngày đánh giá: ........................

Người tổng hợp và người xác nhận thông tin: ........................

Kết luận nội bộ có thể ghi: “Tại ngày ........................, trên cơ sở các tài liệu liệt kê, doanh nghiệp thuộc ........................; không phát hiện trường hợp loại trừ trong phạm vi đã kiểm tra; lựa chọn ........................ đối với ........................; đánh giá lại khi ........................”. Nếu dữ liệu thực tế chưa đủ, phải ghi nội dung cần bổ sung thay vì ký một kết luận miễn chung cho mọi hoạt động.

Tình huống giả định: doanh nghiệp nhỏ mở thêm chức năng nhận diện

Một doanh nghiệp dịch vụ có 24 lao động tham gia BHXH bình quân, doanh thu 28 tỷ đồng và tổng nguồn vốn 9 tỷ đồng được xác định thuộc nhóm nhỏ. Trong giả định ban đầu, doanh nghiệp không kinh doanh dịch vụ xử lý dữ liệu, không trực tiếp xử lý dữ liệu nhạy cảm ở các hoạt động khác và chưa đạt ngưỡng tích lũy. Doanh nghiệp lưu kết quả rà soát và lựa chọn không thực hiện các quy định thuộc khoản 2 Điều 38 trong thời gian còn lại.

Sau đó, doanh nghiệp dự kiến trực tiếp thu dữ liệu vân tay để chấm công. Khi hoạt động được xác định là trực tiếp xử lý dữ liệu sinh trắc học thuộc danh mục nhạy cảm, kết luận lựa chọn trước đây phải được kiểm tra lại theo ngoại lệ tại khoản 1 Điều 41. Không thể viện dẫn việc đã có một văn bản nội bộ để giữ nguyên cơ chế đến hết năm 2030.

Đầu ra cần có là mô tả hệ thống mới, đánh giá loại dữ liệu và vai trò, kết luận nghĩa vụ cùng kế hoạch thực hiện. Ví dụ này minh họa cách theo dõi điều kiện, không phải hồ sơ khách hàng Justix đã xử lý.

Việc cần làm sau khi quyết định lựa chọn

Kế toán và nhân sự cung cấp chứng từ quy mô; kinh doanh, vận hành và kỹ thuật mô tả các luồng dữ liệu. Người phụ trách pháp lý đối chiếu điều kiện, phạm vi và mốc thời gian; người có thẩm quyền của doanh nghiệp xem xét kết quả theo cơ chế nội bộ. Việc lập phiếu và phân công này là khuyến nghị để giữ được căn cứ giải trình, không được mô tả là quyết định miễn do cơ quan nhà nước cấp.

Doanh nghiệp vẫn cần có đầu mối tiếp nhận yêu cầu của cá nhân, kiểm soát quyền truy cập, làm rõ trách nhiệm nhà cung cấp và xử lý thay đổi. Nếu quyết định thực hiện nghĩa vụ về nhân sự bảo vệ dữ liệu, có thể đối chiếu bài Chỉ định nhân sự bảo vệ dữ liệu cá nhân cần hồ sơ gì?. Không nên chờ gần hết thời hạn mới tập hợp thông tin vốn nằm rải rác ở nhiều bộ phận.

Câu hỏi thường gặp

Đã có hồ sơ thì có phải hủy đi để hưởng cơ chế này không?

Không có yêu cầu hủy hồ sơ chỉ để thể hiện lựa chọn. Cần phân biệt hồ sơ đang có, nghĩa vụ đang áp dụng và cách quản lý tài liệu phù hợp. Khoản 2 Điều 39 Luật 91 có điều kiện chuyển tiếp đối với hồ sơ theo Nghị định 13 đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026; không coi mọi bản nháp cũ đều đáp ứng điều kiện này.

Được lựa chọn không lập hồ sơ có được bỏ chính sách và việc giải quyết quyền không?

Không. Phạm vi khoản 2 Điều 38 không miễn Điều 3, Điều 4, Điều 9 và các nghĩa vụ khác đang áp dụng. Doanh nghiệp vẫn phải có căn cứ xử lý, bảo vệ dữ liệu và thực hiện quyền phù hợp. Có thể xem khung nghĩa vụ hồ sơ trong bài Doanh nghiệp nào phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân?.

Justix hỗ trợ đánh giá điều kiện và lập kế hoạch hồ sơ

Justix hỗ trợ xác định vai trò, nghĩa vụ và điều kiện lựa chọn trong dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Doanh nghiệp nên chuẩn bị ngành chính, số liệu tài chính và BHXH, mô tả dịch vụ, danh mục dữ liệu, hệ thống và hồ sơ đã có. Liên hệ 037 27 17 888 hoặc legal@justix.vn để trao đổi thông tin đầu vào và phạm vi hỗ trợ.