Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — hộ kinh doanh, doanh nghiệp nhỏ cần làm gì

Tình huống điển hình, không phải vụ việc cụ thể: một chủ shop bán hàng online lưu file Excel gần 2.000 khách — họ tên, số điện thoại, địa chỉ giao hàng, có người còn ghi cả số căn cước để xác minh khi mua trả góp. File này nằm trên máy tính cá nhân, thỉnh thoảng gửi qua Zalo cho nhân viên mới để “làm quen khách”. Từ 01/01/2026, việc này đã thuộc phạm vi điều chỉnh của một luật mới — Luật Bảo vệ dữ liệu cá nhân.

Sếp đọc tới đây có thể đang lo: vậy có phải lập hồ sơ, thuê nhân sự chuyên trách như doanh nghiệp lớn không? Bài này trả lời đúng câu đó cho hộ kinh doanh và doanh nghiệp nhỏ.

1. Căn cứ pháp lý đang áp dụng

1.1. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Quốc hội thông qua 26/06/2025, hiệu lực từ 01/01/2026, 5 chương, 39 điều.
1.2. Nghị định 356/2025/NĐ-CP — hướng dẫn thi hành, ban hành 31/12/2025, hiệu lực cùng ngày với Luật (01/01/2026), thay thế Nghị định 13/2023/NĐ-CP.
1.3. Nghị định 330/2026/NĐ-CP — xử phạt vi phạm hành chính lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, hiệu lực 19/08/2026.

Trạng thái hiệu lực nêu trên tra ngày 30/09/2026 tại Cơ sở dữ liệu quốc gia về văn bản pháp luật (vbpl.vn). Sếp tự kiểm lại theo số hiệu khi dùng ở thời điểm khác.

2. Ba nguyên tắc bắt buộc — không phân biệt quy mô

2.1. Chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng đã báo cho khách (Điều 3 Luật 91/2025/QH15).

2.2. Dữ liệu cá nhân được thu thập phải có sự đồng ý của chủ thể dữ liệu trước khi thu thập, trừ vài trường hợp luật cho phép không cần đồng ý — ví dụ cấp bách bảo vệ tính mạng, sức khoẻ (Điều 11, Điều 19).

2.3. Không được chuyển giao dữ liệu cho bên khác nếu chưa được đồng ý, trừ vài trường hợp luật liệt kê rõ như chia, tách, sáp nhập doanh nghiệp (Điều 17).

Ba nguyên tắc này áp dụng cho MỌI quy mô, kể cả hộ kinh doanh một người. File Excel gửi qua Zalo cho nhân viên mới không có gì sai — miễn khách đã được báo trước dữ liệu của họ dùng vào việc gì, và không bị đem bán hay chia sẻ ngoài mục đích đó.

3. Hồ sơ đánh giá tác động — phần nặng nhất, nhưng đa số hộ kinh doanh được miễn

3.1. Luật yêu cầu bên kiểm soát dữ liệu lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, gửi cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu, và chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân (Điều 21, Điều 22, khoản 2 Điều 33).

3.2. Hộ kinh doanh và doanh nghiệp siêu nhỏ KHÔNG phải làm việc này — Điều 38 Luật 91/2025/QH15 miễn hẳn, không phải chờ hết thời hạn.

3.3. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp thì được lựa chọn làm hoặc không làm trong 5 năm kể từ 01/01/2026 — không phải miễn hẳn như hộ kinh doanh, nhưng cũng chưa bắt buộc ngay.

4. Ba trường hợp KHÔNG được miễn — dù là hộ kinh doanh

Điều 38 nêu rõ miễn trừ ở mục 3 không áp dụng nếu hộ kinh doanh, doanh nghiệp siêu nhỏ rơi vào một trong ba trường hợp:

4.1. Kinh doanh dịch vụ xử lý dữ liệu cá nhân (ví dụ: cung cấp phần mềm quản lý khách hàng cho đơn vị khác).
4.2. Trực tiếp xử lý dữ liệu cá nhân nhạy cảm (sức khoẻ, tôn giáo, sinh trắc học, tài chính…).
4.3. Xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu (mức cụ thể chờ Chính phủ quy định chi tiết tại khoản 4 Điều 38 — chưa có văn bản hướng dẫn số lượng cụ thể tại thời điểm bài này viết, 30/09/2026).

Shop bán hàng online lưu 2.000 số điện thoại khách ở ví dụ đầu bài — chưa chắc thuộc diện “số lượng lớn” theo nghĩa luật định, nhưng đây đúng là câu cần hỏi lại khi Chính phủ ra văn bản hướng dẫn cụ thể mức nào tính là lớn.

5. Việc cần làm ngay dù được miễn hồ sơ

5.1. Soát lại toàn bộ nơi đang lưu dữ liệu khách: file Excel, Zalo, phần mềm bán hàng, giấy tờ giao hàng.
5.2. Với khách mới, có một câu thông báo ngắn khi thu thập thông tin — ví dụ: “Số điện thoại dùng để giao hàng và chăm sóc sau bán, không dùng vào việc khác.”
5.3. Không chuyển file khách cho bên thứ ba (kể cả đối tác, bên giao hàng ngoài) khi chưa có căn cứ rõ hoặc chưa báo khách.
5.4. Nếu có thuê dịch vụ CRM, phần mềm quản lý khách hàng bên ngoài — kiểm bên đó có cam kết bảo mật dữ liệu theo đúng luật không, vì lúc đó Sếp là bên kiểm soát dữ liệu, chịu trách nhiệm cuối.

6. Mức phạt nếu vi phạm

6.1. Theo Nghị định 330/2026/NĐ-CP, mức phạt tối đa cho vi phạm thông thường là 3 tỷ đồng với tổ chức, cá nhân bằng một nửa mức đó.

6.2. Riêng hành vi mua, bán dữ liệu cá nhân — mức phạt tính theo 10 lần khoản thu có được từ hành vi vi phạm.

6.3. Vi phạm về chuyển dữ liệu cá nhân xuyên biên giới sai quy định — phạt tới 5% doanh thu năm trước liền kề của tổ chức vi phạm.

Mức phạt này áp cho vi phạm thật sự nghiêm trọng (mua bán dữ liệu, để lộ hàng loạt) — không phải hộ kinh doanh cứ có file Excel khách hàng là bị phạt. Nhưng đúng là từ 01/01/2026, “tôi không biết luật này” không còn là lý do được chấp nhận.

Bắt buộc phải tuân luật, nhưng phần việc thật sự phải làm cho hộ kinh doanh nhỏ hơn nhiều người tưởng — đúng ba nguyên tắc cơ bản ở mục 2 là phần lớn công việc đã xong.

7. Việc cần làm ngay trong tuần này

Liệt kê hết nơi đang lưu dữ liệu khách hàng: file, phần mềm, giấy tờ.
Soát xem có đang chia sẻ dữ liệu khách cho bên nào ngoài mục đích ban đầu không.
Thêm một câu thông báo ngắn khi thu thập thông tin khách mới.
Nếu có dùng phần mềm/CRM của bên ngoài — hỏi lại bên đó cam kết bảo mật dữ liệu ra sao.
Nếu công ty thuộc diện doanh nghiệp nhỏ, khởi nghiệp — theo dõi thêm hướng dẫn của Chính phủ về mức “số lượng lớn” ở khoản 4 Điều 38, vì đây là ranh giới quyết định có phải lập hồ sơ đánh giá tác động hay không.

Bước 1 — đọc thêm. Dữ liệu cá nhân nhạy cảm là gì, khi nào cần xin phép riêng — tụi mình sẽ có bài chi tiết tiếp theo.

Bước 2 — mở cổng khách hàng, không mất phí. Sếp chỉ cần mã số thuế là vào được hotro.tckn.vn, xem hồ sơ công ty mình đang có, hỏi tụi mình việc này áp dụng cho công ty mình ra sao.

Bước 3 — nhắn tụi mình rà giúp. Sếp gửi danh sách nơi đang lưu dữ liệu khách hàng, tụi mình soát cùng xem có chỗ nào cần sửa trước khi có ai hỏi tới, hoặc hẹn một buổi tại tckn.vn/hen-gap-tu-van.

Miễn trừ trách nhiệm

Bài viết chỉ mang tính chất chia sẻ kinh nghiệm và phổ biến kiến thức. Không thay thế cho tư vấn pháp lý chính thức. Người đọc nên tự tìm hiểu văn bản pháp luật hiện hành hoặc liên hệ cơ quan chức năng, luật sư hoặc chuyên gia để được tư vấn cụ thể. Việc áp dụng thông tin trong bài viết là tự nguyện và người áp dụng tự chịu trách nhiệm.

#tuanthuthue
#hoachdinhthue
#taichinhkhoinghiep
#baovedulieucanhan
#hokinhdoanh