Doanh nghiệp siêu nhỏ được miễn hồ sơ dữ liệu cá nhân khi nào?

Doanh nghiệp siêu nhỏ được miễn hồ sơ dữ liệu cá nhân khi nào?

Doanh nghiệp siêu nhỏ được miễn một số nghĩa vụ về hồ sơ và nhân sự bảo vệ dữ liệu khi đáp ứng đúng điều kiện. Bảng tự kiểm tra dưới đây kết hợp tiêu chí lao động, doanh thu hoặc nguồn vốn với các ngoại lệ theo hoạt động và dữ liệu.

Doanh nghiệp siêu nhỏ không phải thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân nếu không thuộc các trường hợp loại trừ. Để áp dụng, doanh nghiệp phải xác định đúng quy mô siêu nhỏ và kiểm tra việc kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt quy mô từ 100.000 chủ thể dữ liệu theo cách tính luật định. Cơ chế này không đồng nghĩa miễn toàn bộ nghĩa vụ bảo vệ dữ liệu, cũng không tự miễn hồ sơ chuyển dữ liệu xuyên biên giới lần đầu. Căn cứ trực tiếp là khoản 3 Điều 38 Luật 91/2025/QH15 và khoản 2 Điều 41 Nghị định 356/2025/NĐ-CP.

“Miễn hồ sơ dữ liệu cá nhân” cần hiểu trong phạm vi nào?

Điều 21 Luật 91 quy định đánh giá tác động xử lý dữ liệu cá nhân; Điều 22 quy định cập nhật hồ sơ đánh giá tác động xử lý và hồ sơ chuyển dữ liệu xuyên biên giới; khoản 2 Điều 33 quy định việc chỉ định bộ phận, nhân sự hoặc thuê dịch vụ bảo vệ dữ liệu cá nhân theo nội dung của khoản này. Khoản 3 Điều 38 chỉ loại trừ việc thực hiện những quy định được liệt kê, khi đáp ứng điều kiện.

Vì vậy, kết luận “được miễn” phải ghi rõ miễn nghĩa vụ nào và dựa trên dữ kiện nào. Doanh nghiệp vẫn cần xử lý dữ liệu đúng phạm vi, mục đích; có căn cứ phù hợp; bảo đảm quyền của cá nhân và các biện pháp bảo vệ theo Điều 3, Điều 4, Điều 9 và các quy định liên quan của Luật. Việc không phải lập một loại hồ sơ không thay thế các nghĩa vụ vận hành này.

Nghĩa vụ đánh giá tác động chuyển dữ liệu xuyên biên giới lần đầu nằm ở Điều 20, không nằm trong danh sách khoản 3 Điều 38. Nếu dùng phần mềm hoặc có luồng dữ liệu ra nước ngoài, phải đối chiếu Điều 20 và ngoại lệ riêng của hoạt động đó. Có thể xem thêm bài Chuyển dữ liệu cá nhân ra nước ngoài có phải lập hồ sơ không?; không lấy quy mô siêu nhỏ làm căn cứ miễn mọi hồ sơ chuyển dữ liệu.

Tiêu chí doanh nghiệp siêu nhỏ gồm những điều kiện nào?

Khoản 1 Điều 5 Nghị định 80/2021/NĐ-CP phân biệt hai nhóm lĩnh vực. Trong mỗi nhóm, doanh nghiệp phải đáp ứng tiêu chí lao động, đồng thời đáp ứng ít nhất một trong hai tiêu chí tài chính: doanh thu hoặc tổng nguồn vốn.

Ví dụ, một doanh nghiệp dịch vụ có bình quân 8 lao động thuộc tiêu chí trên, doanh thu 12 tỷ đồng và tổng nguồn vốn 2,5 tỷ đồng vẫn đáp ứng tiêu chí tài chính theo nhánh tổng nguồn vốn. Ngược lại, một doanh nghiệp có doanh thu thấp nhưng vượt ngưỡng lao động không thể chỉ dùng doanh thu để kết luận là siêu nhỏ. Đây mới là bước phân loại quy mô; doanh nghiệp còn phải qua bước kiểm tra ngoại lệ dữ liệu.

Lấy số liệu ở đâu, có được dùng vốn điều lệ không?

Điều 6 Nghị định 80 xác định lĩnh vực theo ngành, nghề kinh doanh chính đã đăng ký. Khoản 2 Điều 7 tính số lao động có tham gia bảo hiểm xã hội bình quân năm bằng tổng số của các tháng trong năm trước liền kề chia 12; số của tháng xác định tại cuối tháng, căn cứ chứng từ nộp bảo hiểm xã hội. Không dùng riêng số người đang có tại ngày kiểm tra để thay cho phép tính bình quân.

Khoản 1 Điều 8 và khoản 1 Điều 9 sử dụng số liệu trên báo cáo tài chính năm trước liền kề đã nộp cơ quan thuế: tổng nguồn vốn tại cuối năm và doanh thu bán hàng, cung cấp dịch vụ. Vốn điều lệ ghi trên giấy đăng ký doanh nghiệp không tự thay được tổng nguồn vốn trên bảng cân đối kế toán. Kế toán cần ghi rõ kỳ số liệu, nguồn tài liệu và cách tính để người rà soát có thể kiểm tra lại.

Với doanh nghiệp hoạt động dưới một năm, khoản 3 Điều 7 dùng bình quân các tháng hoạt động; khoản 2 Điều 9 yêu cầu căn cứ tiêu chí tổng nguồn vốn theo Điều 8. Điều 8 có quy tắc riêng về số liệu cuối quý liền kề trong trường hợp dưới một năm. Khi vận dụng tiêu chí để xác định quy mô, cần làm rõ kỳ số liệu phù hợp, không tự lấy doanh thu bằng 0 hoặc vốn điều lệ để kết luận. Bài này không coi thủ tục kê khai xin hỗ trợ doanh nghiệp nhỏ và vừa là thủ tục xin miễn hồ sơ dữ liệu.

Ba trường hợp khiến doanh nghiệp siêu nhỏ không được miễn

Kinh doanh dịch vụ xử lý dữ liệu cá nhân

Khoản 2 Điều 41 Nghị định 356 loại trừ doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân. Cần kiểm tra dịch vụ thực tế doanh nghiệp cung cấp, hợp đồng và vai trò trong từng hoạt động; không kết luận chỉ từ tên “công nghệ”, “phần mềm” hoặc “tư vấn”. Nếu thuộc trường hợp này, quy mô lao động thấp không bảo đảm cơ chế miễn tại khoản 3 Điều 38.

Trực tiếp xử lý dữ liệu cá nhân nhạy cảm

Ngoại lệ này không có điều kiện phải đạt một số lượng lớn người. Khoản 1 Điều 4 Nghị định 356 liệt kê dữ liệu nhạy cảm, trong đó có tình trạng sức khỏe tại điểm d, dữ liệu sinh trắc học tại điểm đ và hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân tại điểm i. Một thư mục hồ sơ nhân sự hoặc dữ liệu dùng chấm công có thể làm thay đổi kết luận dù doanh nghiệp chỉ có ít người.

Cần kiểm tra cả khách hàng, nhân viên và những người khác mà dữ liệu đang được xử lý; không chỉ rà soát danh sách bán hàng. Việc đã có sự đồng ý hợp lệ không xóa tính chất nhạy cảm của dữ liệu và không loại bỏ ngoại lệ này. Có thể dùng bài Dữ liệu cá nhân cơ bản và nhạy cảm khác nhau thế nào? để hỗ trợ lập danh mục trước khi đối chiếu.

Đạt từ 100.000 chủ thể dữ liệu cá nhân theo kết quả tích lũy

Khoản 2 Điều 41 Nghị định 356 áp dụng ngoại lệ kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể trở lên, dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý. Đây không phải ngưỡng 100.000 bản ghi đang nằm trong một phần mềm tại một ngày, cũng không phải 100.000 khách hàng mua hàng trong một năm.

Để tự kiểm tra, doanh nghiệp nên tổng hợp các nguồn dữ liệu đã xử lý, nhận diện cùng một người có nhiều bản ghi và lưu phương pháp ước tính, đối chiếu. Đây là khuyến nghị quản trị số liệu, không phải công thức kỹ thuật do Nghị định ban hành. Nếu lịch sử không đầy đủ hoặc số liệu sát ngưỡng, cần làm rõ trước khi chốt được miễn; xóa một phần danh sách hiện tại không tự làm mất việc đã đạt ngưỡng tích lũy.

Bảng tự kiểm tra quy mô và ngoại lệ

Đây là bảng kiểm nội bộ do Justix biên soạn, không phải đơn đề nghị miễn hoặc xác nhận của cơ quan nhà nước. Doanh nghiệp điền kết quả thực tế, tài liệu đã đối chiếu và người phụ trách; nội dung chưa rõ phải được xác minh trước khi kết luận.

Cách kết luận: Chỉ khi đạt điều kiện siêu nhỏ và không thuộc ba ngoại lệ mới áp dụng phạm vi không phải thực hiện tại khoản 3 Điều 38. Bảng kiểm nên ghi ngày đánh giá, kỳ số liệu, người cung cấp thông tin và nội dung cần kiểm tra lại; đây là cách lưu căn cứ nội bộ được khuyến nghị, không thay thế tài liệu gốc.

Tình huống giả định: cùng quy mô nhưng kết luận khác nhau

Doanh nghiệp dịch vụ A có 8 lao động có tham gia BHXH bình quân năm, doanh thu 7 tỷ đồng, chỉ trực tiếp xử lý thông tin liên hệ cơ bản trong tình huống được giả định; không kinh doanh dịch vụ xử lý dữ liệu, chưa đạt ngưỡng tích lũy 100.000 chủ thể và không có dữ liệu nhạy cảm ở các hoạt động khác. Với những dữ kiện đã kiểm chứng này, A có cơ sở áp dụng khoản 3 Điều 38 trong phạm vi luật liệt kê.

Doanh nghiệp B có các số liệu quy mô tương tự nhưng trực tiếp xử lý dữ liệu vân tay để chấm công. Khi xác định đó là dữ liệu sinh trắc học theo điểm đ khoản 1 Điều 4 Nghị định 356, B thuộc trường hợp loại trừ tại khoản 2 Điều 41. Kết luận miễn của A không thể chuyển sang B chỉ vì cùng số người và doanh thu.

Ví dụ cố ý tách các dữ kiện để minh họa phương pháp kiểm tra; trong thực tế, phải rà soát toàn bộ luồng nhân sự, khách hàng và hệ thống. Đầu ra cần có là bản phân loại quy mô kèm chứng từ, danh mục dữ liệu và kết luận nghĩa vụ theo từng hoạt động. Đây không phải tình huống khách hàng đã được Justix thực hiện.

Doanh nghiệp lưu kết quả và kiểm tra lại thế nào?

Kế toán tập hợp số liệu tài chính và nhân sự phối hợp xác định bình quân lao động. Kinh doanh, nhân sự, vận hành và kỹ thuật cung cấp danh mục dữ liệu, dịch vụ, bên tham gia và quy mô đã xử lý. Người phụ trách pháp lý đối chiếu Điều 38, Điều 41, ghi kết luận có điều kiện và trình người có thẩm quyền của doanh nghiệp xem xét; việc chỉ định một đầu mối nội bộ ở đây là khuyến nghị tổ chức công việc.

Nên kiểm tra lại khi có số liệu năm mới, đổi dịch vụ, dùng chấm công sinh trắc học, nhận thêm dữ liệu nhạy cảm hoặc tăng quy mô chủ thể. Nếu không còn đáp ứng điều kiện miễn, phải xác định nghĩa vụ phát sinh và cách thực hiện theo vai trò, thời điểm cụ thể; không tiếp tục dùng kết luận cũ hoặc tự suy có một thời gian ân hạn. Bài Doanh nghiệp nào phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân? trình bày khung nghĩa vụ theo vai trò để đối chiếu tiếp.

Câu hỏi thường gặp

Doanh nghiệp siêu nhỏ chỉ được miễn trong 5 năm đầu thành lập không?

Khoản 3 Điều 38 không đặt mốc 5 năm cho hộ kinh doanh, doanh nghiệp siêu nhỏ. Cơ chế lựa chọn có thời hạn 5 năm tại khoản 2 Điều 38 dành cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp và tính từ ngày Luật có hiệu lực, không mặc định từ ngày thành lập. Cả hai cơ chế đều phải kiểm tra các trường hợp loại trừ; không lấy quy định của nhóm này thay cho nhóm kia.

Thuê nhà cung cấp xử lý dữ liệu có tự giúp doanh nghiệp được miễn không?

Không thể kết luận chỉ từ việc thuê ngoài. Phải xác định doanh nghiệp và nhà cung cấp thực tế làm gì, ai quyết định mục đích, phương tiện và có trực tiếp xử lý dữ liệu nhạy cảm hay không. Việc thuê ngoài không loại bỏ các hoạt động doanh nghiệp vẫn trực tiếp thực hiện hoặc tự chuyển toàn bộ trách nhiệm sang nhà cung cấp.

Justix hỗ trợ xác định điều kiện miễn và nghĩa vụ hồ sơ

Nếu số liệu quy mô, dữ liệu nhạy cảm hoặc vai trò với nhà cung cấp chưa rõ, Justix có thể rà soát điều kiện miễn, nghĩa vụ và phạm vi hồ sơ trong dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Doanh nghiệp nên chuẩn bị thông tin pháp nhân, ngành chính, số liệu BHXH và tài chính, danh mục dữ liệu, hợp đồng với nhà cung cấp, hồ sơ đã có. Liên hệ 037 27 17 888 hoặc legal@justix.vn để xác định thông tin cần bổ sung và công việc phù hợp.