Doanh nghiệp nhỏ có phải tuân thủ Luật Bảo vệ dữ liệu cá nhân?

(Lưu ý: Thông tin trong bài viết mang tính chất hướng dẫn tuân thủ, không thay thế cho tư vấn pháp lý chính thức.)

Một doanh nghiệp chỉ có vài nhân sự, nhận CV qua email và lưu hồ sơ ứng viên trên Excel. Với quy mô như vậy, doanh nghiệp có phải tuân thủ Luật Bảo vệ dữ liệu cá nhân không?

Quy mô nhỏ không đồng nghĩa với việc doanh nghiệp nằm ngoài phạm vi áp dụng của Luật.

Tuy nhiên, một số doanh nghiệp nhỏ có thể được áp dụng cơ chế riêng đối với một số nghĩa vụ theo Điều 41 Nghị định 356/2025/NĐ-CP.

Hiểu rõ hai vấn đề này giúp doanh nghiệp tránh cả hai cách hiểu sai: cho rằng quy mô nhỏ đồng nghĩa với việc được miễn toàn bộ Luật, hoặc cho rằng mọi doanh nghiệp đều phải thực hiện tất cả nghĩa vụ theo cùng một cách.

1. Doanh nghiệp nhỏ có nằm trong phạm vi áp dụng của Luật không?

Có. Quy mô nhỏ không tự động khiến doanh nghiệp nằm ngoài phạm vi áp dụng của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Doanh nghiệp cần căn cứ vào phạm vi áp dụng được quy định tại Luật để xác định mình có thuộc đối tượng chịu sự điều chỉnh hay không.

Điều này cần được phân biệt với cơ chế tại Điều 41 Nghị định 356/2025/NĐ-CP. Việc một doanh nghiệp thuộc phạm vi áp dụng của Luật không đồng nghĩa doanh nghiệp đó phải thực hiện tất cả nghĩa vụ theo cùng một cách. Điều 41 quy định cơ chế áp dụng một số nghĩa vụ đối với các nhóm đối tượng cụ thể.

Vì vậy, việc doanh nghiệp ít nhân sự, chưa có hệ thống ATS hay chỉ lưu CV trên Excel không phải là căn cứ để kết luận doanh nghiệp nằm ngoài phạm vi áp dụng của Luật.

Căn cứ pháp lý: Điều 1 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15; Điều 2 Nghị định 356/2025/NĐ-CP.

2. Thế nào là doanh nghiệp nhỏ / siêu nhỏ / khởi nghiệp?

“Doanh nghiệp nhỏ” không có nghĩa đơn giản là “công ty ít người”.

Để xác định quy mô, doanh nghiệp cần đối chiếu với tiêu chí pháp luật hiện hành về doanh nghiệp nhỏ và vừa. Theo Điều 5 Nghị định 80/2021/NĐ-CP, việc xác định doanh nghiệp nhỏ và siêu nhỏ phụ thuộc vào lĩnh vực hoạt động, số lao động tham gia BHXH bình quân năm và doanh thu hoặc tổng nguồn vốn.

Có thể hiểu nhanh như sau:

Vì vậy, công ty có 30 người chưa đủ để kết luận đó là doanh nghiệp nhỏ. HR hoặc người phụ trách tuân thủ cần phối hợp với kế toán/tài chính để xác định đúng quy mô theo dữ liệu thực tế của doanh nghiệp.

Riêng trường hợp “doanh nghiệp khởi nghiệp” được Điều 38 Luật 91 đề cập riêng. Bài viết này không tự xác định thay doanh nghiệp tư cách đó; doanh nghiệp cần đối chiếu hồ sơ và quy định pháp luật áp dụng cho trường hợp cụ thể.

3. Nếu thuộc nhóm được áp dụng cơ chế riêng, doanh nghiệp được giảm những nghĩa vụ nào?

Khoản 2 và khoản 3 Điều 38 Luật 91 đã thiết lập cơ chế riêng đối với doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ. Điều 41 Nghị định 356/2025/NĐ-CP quy định chi tiết việc áp dụng cơ chế này. Doanh nghiệp cần xác định đúng nhóm của mình vì cách áp dụng không hoàn toàn giống nhau.

Ba nhóm nghĩa vụ được áp dụng cơ chế riêng

Nếu thuộc nhóm đối tượng và đáp ứng điều kiện áp dụng Điều 41, doanh nghiệp được lựa chọn không thực hiện hoặc không phải thực hiện một số nghĩa vụ sau:

• Điều 21 Luật 91: Đánh giá tác động xử lý dữ liệu cá nhân
• Điều 22 Luật 91: Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới
• Khoản 2 Điều 33 Luật 91: Lực lượng bảo vệ dữ liệu cá nhân

Đây là 3 nhóm nghĩa vụ được áp dụng cơ chế riêng tại Điều 41. Không phải toàn bộ nghĩa vụ bảo vệ dữ liệu cá nhân của doanh nghiệp đều được miễn hoặc giảm.

a. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp

Theo Điều 41 Nghị định 356/2025/NĐ-CP, doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc không thực hiện ba nhóm nghĩa vụ nêu trên.

Cơ chế lựa chọn này được áp dụng trong thời gian 05 NĂM kể từ ngày Luật Bảo vệ dữ liệu cá nhân có hiệu lực thi hành, theo quy định tại Điều 41 Nghị định 356.

b. Hộ kinh doanh và doanh nghiệp siêu nhỏ

Theo Điều 41 Nghị định 356, hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 Luật 91, trừ các trường hợp ngoại lệ được quy định tại Điều này.

Điểm cần phân biệt: doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp có quyền lựa chọn thực hiện hoặc không thực hiện, trong khi hộ kinh doanh và doanh nghiệp siêu nhỏ thuộc trường hợp không phải thực hiện các nghĩa vụ này, nếu đáp ứng điều kiện áp dụng.

4. Trường hợp nào không được áp dụng cơ chế tại Điều 41?

Không phải doanh nghiệp nhỏ hay doanh nghiệp siêu nhỏ nào cũng mặc nhiên được áp dụng cơ chế lựa chọn không thực hiện một số nghĩa vụ. Theo quy định tại Điều 41 Nghị định 356, cơ chế lựa chọn không thực hiện một số nghĩa vụ không áp dụng trong một số trường hợp, gồm:

a. Kinh doanh dịch vụ xử lý dữ liệu cá nhân

Nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, doanh nghiệp không thuộc trường hợp được áp dụng cơ chế tại Điều 41.

b. Trực tiếp xử lý dữ liệu cá nhân nhạy cảm

Trường hợp doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm cũng thuộc ngoại lệ.

Đối với hoạt động tuyển dụng, doanh nghiệp nhỏ vẫn có thể mất quyền áp dụng cơ chế Điều 41 nếu trực tiếp xử lý dữ liệu cá nhân nhạy cảm.

Vì vậy, trước khi kết luận doanh nghiệp được áp dụng cơ chế, HR cần rà soát dữ liệu được thu trong form ứng tuyển, hồ sơ, phỏng vấn và quy trình xác minh ứng viên trước khi kết luận doanh nghiệp được áp dụng cơ chế này.

→ Đọc thêm: Dữ liệu cơ bản và dữ liệu nhạy cảm trong hồ sơ ứng viên

c. Xử lý dữ liệu cá nhân của từ 100.000 chủ thể dữ liệu trở lên

Ngoại lệ cũng áp dụng khi doanh nghiệp xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100.000 chủ thể dữ liệu cá nhân trở lên, dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.

Doanh nghiệp cần kiểm tra số liệu và căn cứ thực tế để đối chiếu ngưỡng này, thay vì chỉ dựa vào số lượng nhân viên hoặc số hồ sơ đang lưu tại một thời điểm.

Như vậy, xác định mình thuộc nhóm doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp hoặc doanh nghiệp siêu nhỏ mới chỉ là bước đầu. Doanh nghiệp vẫn phải kiểm tra các trường hợp ngoại lệ trước khi kết luận mình được áp dụng cơ chế tại Điều 41.

5. Được áp dụng cơ chế tại Điều 41 có đồng nghĩa được miễn toàn bộ Luật không?

Không.

Điều 41 giúp doanh nghiệp xác định một số nghĩa vụ có thể được lựa chọn không thực hiện theo cơ chế riêng; không phải là “giấy miễn trừ” khỏi trách nhiệm bảo vệ dữ liệu cá nhân.

Chẳng hạn, công ty thuộc nhóm doanh nghiệp nhỏ và đủ điều kiện lựa chọn không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33. 

Điều đó không có nghĩa HR có thể bỏ qua các nghĩa vụ khác. Trong tuyển dụng, HR vẫn cần quan tâm đến:

• thu thập và sử dụng dữ liệu đúng mục đích;
• xử lý dữ liệu theo căn cứ pháp lý phù hợp;
• thực hiện quyền của ứng viên;
• kiểm soát việc lưu trữ, truy cập và chia sẻ dữ liệu;
• xóa, hủy dữ liệu khi thuộc trường hợp phải thực hiện;
• tuân thủ các yêu cầu riêng đối với dữ liệu ứng viên tại Điều 25.

Nói cách khác, Điều 41 chỉ tác động đến nhóm nghĩa vụ được quy định trong cơ chế riêng này. Các nghĩa vụ khác vẫn cần được đối chiếu với hoạt động xử lý dữ liệu thực tế của doanh nghiệp.

Riêng trong tuyển dụng, Điều 25 Luật 91 vẫn quy định trực tiếp rằng bên tuyển dụng chỉ được yêu cầu thông tin phục vụ mục đích tuyển dụng và phù hợp với pháp luật; thông tin được sử dụng cho mục đích tuyển dụng hoặc mục đích khác theo thỏa thuận phù hợp; việc xử lý phải theo quy định và có sự đồng ý của người dự tuyển; khi không tuyển dụng thì thông tin đã cung cấp phải được xóa, hủy, trừ trường hợp có thỏa thuận khác.

→ Đọc thêm: Điều 25 Luật Bảo vệ dữ liệu cá nhân: Quy định gì về tuyển dụng?

6. Doanh nghiệp nhỏ có thể tự rà soát điều kiện áp dụng Điều 41 như thế nào?

Sau khi xác định phạm vi áp dụng của Luật, nhóm đối tượng và các ngoại lệ, doanh nghiệp có thể tiến hành rà soát theo theo trình tự:

- Bước 1: Doanh nghiệp có thực sự thuộc nhóm nhỏ/khởi nghiệp/siêu nhỏ/hộ kinh doanh không?
- Bước 2: Thuộc nhóm nào?
- Bước 3: Có rơi vào 1 trong 3 trường hợp loại trừ không?

• dịch vụ xử lý dữ liệu cá nhân;
• trực tiếp xử lý dữ liệu nhạy cảm;
• từ 100.000 chủ thể trở lên theo cách tính của Điều 41.

- Bước 4: Nếu không bị loại trừ, xác định chính xác 3 nhóm nghĩa vụ nào được áp dụng cơ chế.

- Bước 5: Tiếp tục rà soát toàn bộ nghĩa vụ còn lại.

Đặc biệt, việc xác định doanh nghiệp có thuộc nhóm doanh nghiệp nhỏ hoặc doanh nghiệp siêu nhỏ hay không cần căn cứ vào tiêu chí pháp luật hiện hành, không chỉ dựa trên nhận định rằng doanh nghiệp có ít nhân sự.

Kết quả mong muốn của bước rà soát là doanh nghiệp có cơ sở để xác định nhóm đối tượng, kiểm tra điều kiện và nhận diện những nội dung còn cần xác minh. Bảng này là công cụ rà soát sơ bộ, không thay thế việc đánh giá điều kiện pháp lý cụ thể của doanh nghiệp.

Kết luận

Doanh nghiệp nhỏ không nên mặc định mình được miễn tuân thủ Luật Bảo vệ dữ liệu cá nhân. Để xác định có được áp dụng cơ chế tại Điều 41 Nghị định 356/2025/NĐ-CP hay không, doanh nghiệp cần đối chiếu đúng nhóm đối tượng, các nghĩa vụ được quy định và những trường hợp ngoại lệ.

Vì vậy, khi gặp câu hỏi “Doanh nghiệp tôi nhỏ, có được miễn không?”, HR không nên chỉ nhìn vào quy mô doanh nghiệp. Cách rà soát phù hợp là đi theo 4 bước:

Xác định nhóm doanh nghiệp → kiểm tra hoạt động xử lý dữ liệu → đối chiếu các trường hợp ngoại lệ → xác định những nghĩa vụ thực sự thuộc cơ chế tại Điều 41

Nếu chưa đủ căn cứ, cần xác minh thêm thay vì tự kết luận doanh nghiệp được miễn.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 1, Điều 8, Điều 21, Điều 22, khoản 2 Điều 33, Điều 25, Điều 38 và các quy định liên quan.
• Nghị định 356/2025/NĐ-CP: Điều 2, Điều 41 và các quy định liên quan.