Doanh nghiệp nhỏ, hộ kinh doanh có phải tuân thủ luật dữ liệu cá nhân?

Trả lời nhanh: Có, chỉ được miễn một phần. Điều 38 Luật 91/2025/QH15 miễn cho hộ kinh doanh và doanh nghiệp siêu nhỏ ba nghĩa vụ: hồ sơ đánh giá tác động (Điều 21, 22) và khoản 2 Điều 33. Xin đồng ý, trả lời yêu cầu của khách, báo khi lộ dữ liệu vẫn áp dụng. Và nếu bạn xử lý dữ liệu nhạy cảm, trong đó có dữ liệu theo dõi hành vi từ Pixel, bạn có thể không còn được miễn.

Câu chủ shop hay hỏi

"Tôi bán hàng nhỏ, chỉ có mình tôi với hai nhân viên, luật này chắc không đến lượt tôi?"

Đây là hiểu lầm hai tầng. Tầng một: nhiều người tưởng miễn trừ nghĩa là không phải làm gì. Thực tế miễn trừ chỉ gạch tên vài nghĩa vụ. Tầng hai: nhiều người tưởng mình không xử lý dữ liệu nhạy cảm vì không thu CCCD hay hồ sơ bệnh án. Nhưng website có Pixel đang thu dữ liệu theo dõi hành vi, mà theo Nghị định 356/2025/NĐ-CP, loại này là dữ liệu nhạy cảm.

Điều 38 miễn chính xác những gì

Ba nghĩa vụ đó là:

• Điều 21: đánh giá tác động xử lý dữ liệu. Bên kiểm soát lập hồ sơ, gửi cơ quan chuyên trách trong 60 ngày kể từ ngày bắt đầu xử lý.
• Điều 22: cập nhật hồ sơ đánh giá tác động.
• Khoản 2 Điều 33: tổ chức phải chỉ định bộ phận hoặc nhân sự đủ năng lực bảo vệ dữ liệu, hoặc thuê dịch vụ bên ngoài.

Xem chi tiết: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và Có bắt buộc phải có nhân sự bảo vệ dữ liệu (DPO) không?.

Lưu ý: bài này không nêu tiêu chí phân loại doanh nghiệp nhỏ, siêu nhỏ, khởi nghiệp vì chưa đối chiếu. Bạn nên xem giấy tờ đăng ký của mình hoặc hỏi kế toán, luật sư để biết mình thuộc loại nào.

Những gì vẫn phải làm dù được miễn

Điều 38 chỉ nhắc ba nghĩa vụ trên. Các nghĩa vụ khác của luật vẫn áp dụng cho mọi bên xử lý dữ liệu, kể cả hộ kinh doanh. Ví dụ:

• xin đồng ý, và cho khách rút lại đồng ý (Điều 9, 10);
• trả lời yêu cầu xem, sửa, xoá dữ liệu đúng hạn (Điều 4, Điều 14, và thời hạn trong Nghị định 356/2025/NĐ-CP);
• không mua bán dữ liệu cá nhân (Điều 7);
• báo khi lộ dữ liệu (Điều 23). Điều 38 không nhắc Điều 23, nhưng cần luật sư xác nhận cho trường hợp của bạn;
• Điều 8 về xử lý vi phạm.

Khi nào mất miễn trừ

Điều 38 nêu ba trường hợp không được miễn:

1. Doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu.
2. Doanh nghiệp xử lý dữ liệu nhạy cảm.
3. Doanh nghiệp xử lý dữ liệu của số lượng lớn chủ thể. Theo bản tin EY về Nghị định 356, ngưỡng là từ 100.000 chủ thể dữ liệu trở lên.

Trường hợp 2 là chỗ chủ shop dễ vướng. Hai ví dụ:

Phòng khám nha khoa nhỏ. Chỉ năm nhân viên, vài trăm bệnh nhân. Nhưng phòng khám giữ hồ sơ bệnh án (dữ liệu sức khoẻ, Điều 26). Khó nói là được miễn.

Shop gốm Hà Linh (tưởng tượng). Chủ shop kiêm cả bán hàng lẫn chạy quảng cáo, chỉ vài đơn mỗi ngày. Shop gắn Meta Pixel và TikTok Pixel. Hai Pixel này gửi hành vi của khách (trang xem, thêm giỏ, mua, mã nhận diện trình duyệt) sang Meta và TikTok. Theo Nghị định 356/2025/NĐ-CP đó là dữ liệu theo dõi hành vi, tức dữ liệu nhạy cảm. Theo cách đọc của chúng tôi, gắn Pixel khiến shop rơi vào nhóm "xử lý dữ liệu nhạy cảm", vì vậy shop không dựa vào Điều 38 được nữa. Đây là cách đọc thận trọng, chưa có hướng dẫn chi tiết nào nói riêng về trường hợp này, và đang chờ luật sư duyệt.

Cách đơn giản để giữ miễn trừ: không gắn Pixel, hoặc chỉ cho chạy sau khi khách đồng ý. Nhưng xin đồng ý là nghĩa vụ phải làm dù được miễn hay không, nên đường nào bạn cũng cần banner. Xem Theo dõi hành vi trên mạng là dữ liệu nhạy cảm.

Còn hồ sơ chuyển dữ liệu ra nước ngoài?

Điều 20 quy định chuyển dữ liệu ra nước ngoài, gồm cả việc dùng nền tảng đặt ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài phải gửi cơ quan chuyên trách trong 60 ngày kể từ lần chuyển đầu tiên.

Điều 38 chỉ nhắc Điều 21, Điều 22 và khoản 2 Điều 33. Điều 38 không nhắc Điều 20. Vì vậy chúng tôi không khẳng định doanh nghiệp nhỏ hay hộ kinh doanh được miễn hồ sơ chuyển dữ liệu ra nước ngoài. Chưa có hướng dẫn chi tiết mà chúng tôi đối chiếu được, nên nếu shop bạn dùng Pixel, đám mây hay công cụ đặt ở nước ngoài, hãy hỏi luật sư. Xem Dùng Facebook, Google có phải là chuyển dữ liệu ra nước ngoài không?.

Mức phạt

Theo Điều 8, vi phạm khác có thể bị phạt tối đa 3 tỷ đồng với tổ chức, cá nhân bằng một nửa. Chuyển dữ liệu ra nước ngoài sai quy định tối đa 5% doanh thu năm trước liền kề. Đây là trần, không phải mức mặc định. Theo Nghị định 330/2026/NĐ-CP, coi im lặng là đồng ý bị phạt 50–70 triệu đồng (Điều 43 khoản 2 điểm b); mặc định đồng ý, xin đồng ý không rõ ràng hoặc không lưu nhật ký đồng ý bị phạt 30–50 triệu đồng (Điều 43 khoản 1 điểm c, d, g). Không lập hoặc không nộp đúng hạn hồ sơ chuyển dữ liệu ra nước ngoài bị phạt 30–50 triệu đồng (Điều 56 khoản 1). Mức nặng nhất, 1–5% doanh thu năm trước tại Việt Nam, chỉ áp dụng khi chuyển dữ liệu ra nước ngoài dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, hoặc (mức 3–5%) khi tiếp tục chuyển sau quyết định yêu cầu ngừng gây tổn hại quốc phòng, an ninh quốc gia (Điều 56 khoản 3). Mua bán trái phép dữ liệu bị phạt từ 02 đến 10 lần khoản thu, hoặc từ 70 triệu đến 3 tỷ đồng nếu không có khoản thu (Điều 53). Các mức này áp cho tổ chức, cá nhân bị phạt một nửa. Ngoài tiền phạt, doanh nghiệp có thể bị buộc xoá dữ liệu đã thu khi không có đồng ý hợp lệ (Điều 43 khoản 4 điểm a). Bảng đầy đủ hơn: mức phạt vi phạm dữ liệu cá nhân.

Bạn cần làm gì

• Xác định bạn là hộ kinh doanh, doanh nghiệp siêu nhỏ, nhỏ hay khởi nghiệp (xem giấy đăng ký).
• Liệt kê loại dữ liệu bạn xử lý. Có dữ liệu sức khoẻ, tài chính hay Pixel theo dõi hành vi không?
• Nếu có, coi như bạn có thể không dựa vào miễn trừ Điều 38.
• Dù miễn hay không, xin đồng ý, có chính sách, và lập quy trình trả lời yêu cầu của khách.
• Hỏi luật sư về hồ sơ chuyển dữ liệu ra nước ngoài nếu dùng nền tảng nước ngoài.

Dùng kiểm tra nghĩa vụ để biết nghĩa vụ ban đầu của bạn, và máy quét miễn phí để xem website có đang gửi dữ liệu theo dõi cho nền tảng nào. Bức tranh tổng thể xem ở bài tóm tắt luật. Nếu bạn chỉ bán qua Facebook, Zalo, xem bán hàng online có phải lo luật dữ liệu cá nhân không.

Căn cứ pháp lý

• Luật 91/2025/QH15: Điều 4, 7, 8, 9, 10, 14, 20, 21, 22, 23, 26, 33, 38.
• Nghị định 356/2025/NĐ-CP: dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu nhạy cảm; ngưỡng số lượng lớn từ 100.000 chủ thể (theo bản tin EY tháng 3/2026).
• Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026), Điều 43, 53, 56: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.