Luật Bảo vệ dữ liệu cá nhân 2025 là văn bản quy phạm pháp luật do Quốc hội ban hành, được thông qua vào kỳ họp thứ 8 khóa XV và chính thức có hiệu lực thi hành vào ngày 01/01/2026. Luật này xác lập nguyên tắc xử lý dữ liệu cá nhân, quyền và nghĩa vụ của chủ thể dữ liệu, trách nhiệm của bên kiểm soát và bên xử lý dữ liệu, cùng chế tài xử phạt vi phạm.
Song song với Luật, Chính phủ đã ban hành Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 có hiệu lực đồng thời từ ngày 01/01/2026 về hướng dẫn chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
Doanh nghiệp dù nhỏ vẫn phải tuân theo các nguyên tắc, quy định pháp luật về bảo vệ dữ liệu cá nhân theo Luật Bảo vệ dữ liệu 2025 và các văn bản hướng dẫn quy định, nhưng doanh nghiệp nhỏ cần lưu ý vấn đề pháp lý sau.
Căn cứ Điều 38 Luật Bảo vệ dữ liệu 2025 và Điều 41 Nghị định số 356/2025/NĐ-CP, doanh nghiệp nhỏ được quyền lựa chọn thực hiện hoặc không thực hiện các nghĩa vụ:
2.1. Đánh giá tác động xử lý dữ liệu cá nhân.
2.2. Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
2.3. Chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
Ngoài ra, thời hạn để doanh nghiệp nhỏ được hưởng cơ chế ưu đãi trên chỉ trong 05 năm kể từ ngày Luật Bảo vệ dữ liệu 2025 có hiệu lực. Tức sau 05 năm kể từ Luật này có hiệu lực thì doanh nghiệp nhỏ phải thực hiện các thủ tục trên theo luật định.
Trừ trường hợp các doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân. Những doanh nghiệp được liệt kê trong trường hợp này buộc phải thực hiện các thủ tục nêu trên.
Doanh nghiệp thực hiện kiểm soát, xử lý dữ liệu cá nhân phải lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
3.1.1. Hồ sơ gồm:
a. Báo cáo đánh giá tác động xử lý dữ liệu cá nhân (Mẫu 10 Phụ lục Nghị định này);
b. Bản sao hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân;
c. Tài liệu khác có liên quan.
3.1.2. Thủ tục
Nộp 01 bản chính hồ sơ trên kèm theo Thông báo gửi hồ sơ (Mẫu số 02s Phụ lục Nghị định này) bằng hình thức:
a. Cổng dịch vụ công Bộ Công an hoặc;
b. Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an.
Cơ quan đánh giá và trả kết quả đạt yêu cầu hoặc không đạt yêu cầu trong 15 ngày. Nếu chưa đạt, Cơ quan yêu cầu hoàn thiện hồ sơ trong 30 ngày.
Hồ sơ đạt yêu cầu, doanh nghiệp cập nhật, bổ sung hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo mục 3.2.
3.2.1. Các trường hợp cần cập nhật định kỳ 06 tháng kể từ lần đầu nộp gồm:
a. Có mục đích chuyển dữ liệu, xử lý dữ liệu cá nhân mới;
b. Phát sinh hoặc thay đổi bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân bên xử lý dữ liệu cá nhân, bên thứ ba.
3.2.2. Các trường hợp thay đổi cần cập nhật ngay trong thời hạn 10 ngày gồm:
a. Doanh nghiệp tổ chức lại, chấm dứt hoạt động, giải thể, phá sản;
b. Thay đổi thông tin về bộ phận bảo vệ dữ liệu cá nhân;
c. Phát sinh hoặc thay đổi ngành, nghề kinh doanh về xử lý dữ liệu cá nhân.
3.2.3. Hồ sơ gồm:
a. Thông báo cập nhật hồ sơ đánh giá tác động (Mẫu 03a Phụ lục Nghị định này);
b. Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Mẫu 09 Phụ lục này);
c. Tài liệu khác có liên quan.
3.2.4. Thủ tục
Nộp 01 bản chính hồ sơ trên kèm theo Thông báo gửi hồ sơ (Mẫu số 02a Phụ lục Nghị định này) bằng hình thức:
a. Cổng dịch vụ công Bộ Công an hoặc;
b. Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an.
Cơ quan đánh giá hồ sơ cập nhật trong 15 ngày. Sau thẩm định, Cơ quan gửi thông báo kết quả hồ sơ. Nếu hồ sơ chưa đầy đủ, Cơ quan yêu cầu hoàn thiện hồ sơ trong 30 ngày.
Doanh nghiệp có thể chỉ định bộ phận, nhân sự nội bộ công ty để thực hiện với điều kiện từ Điều 13 đến Điều 16 Nghị định này số 356/2025/NĐ-CP hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân với điều kiện từ Điều 21 đến Điều 27 Nghị định này.
Để chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân, doanh nghiệp phải ra văn bản chính thức như quyết định, thỏa thuận,….
Đối với trường hợp chỉ định bộ phận, nhân sự nội bộ công ty để thực hiện bảo vệ dữ liệu cá nhân thì phải đáp ứng các điều kiện tại Điều 13 Nghị định này như sau:
3.3.1. Nhân sự phải đáp ứng điều kiện:
a. Trình độ cao đẳng trở lên:
b. Ít nhất 02 năm kinh nghiệm công tác (kể từ thời điểm tốt nghiệp) liên quan đến một trong các lĩnh vực về pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ;
c. Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
3.3.2. Trách nhiệm của doanh nghiệp:
a. Tự chịu trách nhiệm đánh giá, lựa chọn nhân sự;
b. Ký thỏa thuận bảo mật với nhân sự, có thể thỏa thuận về việc miễn trừ trách nhiệm khi có vi phạm hoặc thiệt hại đối với dữ liệu cá nhân;
c. Đào tạo, bồi dưỡng kiến thức, kỹ năng về bảo vệ dữ liệu cá nhân cho nhân sự.
Vi phạm quy định về bảo vệ dữ liệu cá nhân, doanh nghiệp sẽ bị xử lý vi phạm theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025.
4.1. Hành vi mua, bán dữ liệu cá nhân có khoản thu: phạt tiền tối đa 10 lần khoản thu có được từ hành vi vi phạm.
4.2. Tổ chức có hành vi vi phạm về chuyển dữ liệu cá nhân xuyên biên giới có doanh thu: phạt tiền 5% doanh thu của năm trước liền kề.
4.3. Các hành vi vi phạm bị phạt tiền tối đa 3 tỷ đồng:
4.3.1. Hành vi mua, bán dữ liệu cá nhân có khoản thu nhưng mức phạt tính theo khoản thu thấp hơn mức phạt tiền tối đa 3 tỷ.
4.3.2. Hành vi mua, bán dữ liệu cá nhân không có khoản thu.
4.3.3. Tổ chức có hành vi vi phạm về chuyển dữ liệu cá nhân xuyên biên giới có doanh thu nhưng mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa 3 tỷ.
4.3.4. Tổ chức có hành vi vi phạm về chuyển dữ liệu cá nhân xuyên biên giới không có doanh thu.
4.3.5. Các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân.
Trên là mức phạt tiền tối đa đối với tổ chức vi phạm, trường hợp cá nhân vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền tối đa của tổ chức.
Trong thực tế, một số sai lầm lặp lại ở nhiều doanh nghiệp nhỏ khi bắt đầu áp dụng Luật Bảo vệ dữ liệu cá nhân 2025:
5.1. Hiểu nhầm việc miễn đánh giá tác động xử lý dữ liệu đồng nghĩa với miễn toàn bộ nghĩa vụ theo Luật, dẫn đến bỏ qua cả nghĩa vụ về sự đồng ý và thông báo sự cố.
5.2. Không rà soát tiêu chí loại trừ, tức vẫn áp dụng cơ chế ưu đãi 05 năm dành cho doanh nghiệp nhỏ dù doanh nghiệp này đang xử lý dữ liệu cá nhân nhạy cảm hoặc dữ liệu của số lượng lớn chủ thể,… thuộc diện không được lựa chọn miễn trừ.
5.3. Tiếp tục sử dụng mẫu theo Nghị định số 13/2023/NĐ-CP, chưa cập nhật theo biểu mẫu mới của Nghị định số 356/2025/NĐ-CP.
5.4. Không lưu trữ quá trình thu thập sự đồng ý của khách hàng và người lao động, khiến doanh nghiệp không có căn cứ chứng minh khi bị kiểm tra hoặc khi phát sinh khiếu nại.
5.5. Bỏ sót nghĩa vụ xóa dữ liệu cá nhân của người lao động sau khi chấm dứt hợp đồng lao động hoặc không tuyển dụng lao động theo điểm c khoản 1, khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025.
5.6. Lồng ghép điều khoản xử lý dữ liệu vào hợp đồng lao động để nhận sự đồng ý mặc định của người lao động.
Và nhiều rủi ro khác nếu doanh nghiệp nhỏ không nghiên cứu kỹ quy định pháp luật về bảo vệ dữ liệu.
Xem thêm: Tư vấn pháp lý Lao động & Tuân thủ tại Việt Nam
Luật Bảo vệ dữ liệu cá nhân 2025 không miễn trừ doanh nghiệp nhỏ khỏi trách nhiệm pháp lý, mà chỉ cho phép hoãn một số thủ tục trong thời gian nhất định với điều kiện đi kèm. Để tránh áp dụng sai cơ chế miễn trừ và phát sinh rủi ro bị xử phạt, Quý khách hãy liên hệ Lexsol để được tư vấn chi tiết. Lexsol có thể hỗ trợ rà soát trường hợp cụ thể trước khi doanh nghiệp thực hiện thủ tục nào liên quan đến dữ liệu cá nhân
Lexsol là đội ngũ luật sư trẻ trung, năng động với hơn 10 năm kinh nghiệm trong việc tư vấn và giải quyết các vấn đề pháp lý cho cả doanh nghiệp trong nước và quốc tế.
152-154 Võ Văn Kiệt, Phường Bến Thành, Tp.HCM, Việt Nam
Điền thông tin, chúng tôi sẽ liên hệ tư vấn chi tiết cho bạn trong vòng 24h.
