Khi nào không phải đánh giá tác động xử lý dữ liệu cá nhân?

Luật Bảo vệ dữ liệu cá nhân năm 2025 có hiệu lực từ ngày 01/01/2026 đã tạo ra bước chuyển lớn trong cách doanh nghiệp tiếp cận hoạt động xử lý dữ liệu cá nhân. Một trong những nghĩa vụ được quan tâm nhiều nhất là lập hồ sơ đánh giá tác động trước khi triển khai các hoạt động xử lý dữ liệu có rủi ro cao.

Tuy nhiên, pháp luật không đặt ra nghĩa vụ này một cách tuyệt đối. Điều 38 Luật Bảo vệ dữ liệu cá nhân cùng với Điều 41 Nghị định 356/2025/NĐ-CP đã thiết lập cơ chế miễn trừ và cơ chế lựa chọn áp dụng đối với một số nhóm chủ thể nhất định. Điều đó đồng nghĩa rằng không phải mọi doanh nghiệp khi tiến hành xử lý dữ liệu cá nhân đều bắt buộc phải lập hồ sơ đánh giá tác động.

Bài viết dưới đây của Y&P Law Firm phân tích chi tiết các trường hợp doanh nghiệp có thể không phải đánh giá tác động khi triển khai hoạt động xử lý dữ liệu, dưới góc nhìn pháp lý thực tiễn và định hướng tuân thủ dài hạn.

Play

1. Tổng quan nghĩa vụ đánh giá tác động xử lý dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân 2025

Luật Bảo vệ dữ liệu cá nhân năm 2025 đưa ra nhiều yêu cầu mới đối với tổ chức khi tiến hành xử lý dữ liệu cá nhân, trong đó đánh giá tác động là cơ chế kiểm soát rủi ro quan trọng nhằm bảo vệ quyền riêng tư của chủ thể dữ liệu.

Theo quy định tại khoản 1 Điều 21 Luật Bảo vệ dữ liệu cá nhân năm 2025 thì Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân, trừ trường hợp cơ quan nhà nước có thẩm quyền không phải thực hiện quy định về đánh giá tác động xử lý dữ liệu cá nhân quy định.

Về bản chất, đánh giá tác động không chỉ là thủ tục pháp lý bắt buộc mà còn là công cụ quản trị nội bộ giúp doanh nghiệp:

- Xác định phạm vi và mục đích xử lý dữ liệu của cá nhân;

- Nhận diện rủi ro phát sinh trong quá trình xử lý dữ liệu của cá nhân;

- Thiết lập biện pháp bảo mật phù hợp với từng loại dữ liệu.

Đặc biệt, khi hoạt động xử lý dữ liệu của cá nhân liên quan đến dữ liệu nhạy cảm hoặc số lượng lớn chủ thể dữ liệu, nghĩa vụ đánh giá tác động có vai trò như một cơ chế phòng ngừa trách nhiệm pháp lý ngay từ đầu.

Tuy nhiên, pháp luật cũng thừa nhận rằng không phải mọi tổ chức đều có cùng mức độ rủi ro. Chính vì vậy, Điều 38 của Luật Bảo vệ dữ liệu cá nhân năm 2025 đã thiết kế cơ chế linh hoạt để giảm gánh nặng tuân thủ đối với các doanh nghiệp có quy mô nhỏ hoặc mức độ xử lý dữ liệu thấp.

2. Các trường hợp không phải đánh giá tác động xử lý dữ liệu cá nhân

Điều 38 Luật Bảo vệ dữ liệu cá nhân năm 2025 cùng với Điều 41 Nghị định 356/2025/NĐ-CP tạo thành nền tảng pháp lý quan trọng để xác định khi nào doanh nghiệp có thể không phải thực hiện nghĩa vụ đánh giá tác động trong quá trình xử lý dữ liệu của cá nhân. Hai quy định này cần được đọc và áp dụng đồng thời, bởi Luật đặt ra nguyên tắc chung, trong khi Nghị định 356/2025/NĐ-CP làm rõ tiêu chí áp dụng trên thực tế.

2.1. Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp – Quyền lựa chọn có điều kiện trong 05 năm đầu

Khoản 2 Điều 38 Luật Bảo vệ dữ liệu cá nhân cho phép doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện các nghĩa vụ đánh giá tác động xử lý dữ liệu cá nhân trong thời hạn 05 năm kể từ ngày 01/01/2026. Trong nhiều trường hợp, cơ chế này đồng nghĩa với việc doanh nghiệp có thể chưa phải lập hồ sơ đánh giá tác động khi triển khai hoạt động xử lý dữ liệu của cá nhân.

Tuy nhiên, Điều 41 Nghị định 356/2025/NĐ-CP đã giới hạn rõ phạm vi áp dụng quyền lựa chọn này. Theo đó, doanh nghiệp nhỏ hoặc startup sẽ không còn được miễn trừ nếu:

- Kinh doanh dịch vụ xử lý dữ liệu cá nhân;

- Trực tiếp xử lý dữ liệu cá nhân nhạy cảm;

- Hoặc hoạt động xử lý dữ liệu cá nhân đạt quy mô từ 100.000 chủ thể dữ liệu trở lên dựa trên tổng lượng dữ liệu tích lũy.

Quy định này cho thấy pháp luật chuyển từ cách tiếp cận dựa vào loại hình doanh nghiệp sang đánh giá mức độ rủi ro thực tế phát sinh từ hoạt động xử lý dữ liệu.

2.2. Hộ kinh doanh và doanh nghiệp siêu nhỏ – Trường hợp được miễn nhưng không tuyệt đối

Khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân quy định hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các nghĩa vụ lập hồ sơ đánh giá tác động nêu trên khi tiến hành xử lý dữ liệu của cá nhân. Đây là cơ chế giảm gánh nặng tuân thủ cho các mô hình kinh doanh quy mô rất nhỏ, nơi việc xử lý dữ liệu thường chỉ phục vụ vận hành nội bộ.

Tuy nhiên, Điều 41 Nghị định 356/2025/NĐ-CP tiếp tục làm rõ rằng việc miễn trừ này sẽ không áp dụng nếu các chủ thể:

- Kinh doanh dịch vụ xử lý dữ liệu cá nhân;

- Trực tiếp xử lý dữ liệu cá nhân nhạy cảm;

- Hoặc đạt quy mô xử lý dữ liệu từ 100.000 chủ thể dữ liệu trở lên.

Như vậy, dù là doanh nghiệp siêu nhỏ, nghĩa vụ đánh giá tác động vẫn có thể phát sinh nếu bản chất hoạt động xử lý dữ liệu cá nhân mang tính rủi ro cao.

2.3. Tiêu chí cốt lõi để xác định miễn nghĩa vụ đánh giá tác động xử lý dữ liệu cá nhân

Khi đối chiếu đồng thời Điều 38 Luật Bảo vệ dữ liệu cá nhân và Điều 41 Nghị định 356/2025/NĐ-CP, có thể thấy việc miễn đánh giá tác động không dựa vào một yếu tố duy nhất mà phụ thuộc vào ba nhóm tiêu chí chính:

- Loại hình doanh nghiệp: nhỏ, siêu nhỏ hoặc khởi nghiệp;

- Quy mô dữ liệu tích lũy: đặc biệt là ngưỡng 100.000 chủ thể dữ liệu;

- Tính chất hoạt động xử lý dữ liệu của cá nhân: bao gồm việc có xử lý dữ liệu nhạy cảm hay cung cấp dịch vụ xử lý dữ liệu cho bên thứ ba hay không.

Việc đánh giá đầy đủ các yếu tố này sẽ giúp doanh nghiệp xác định chính xác nghĩa vụ pháp lý trước khi triển khai hoạt động xử lý dữ liệu của cá nhân trên thực tế.

3. Rủi ro pháp lý nếu hiểu sai cơ chế miễn trừ đánh giá tác động xử lý dữ liệu cá nhân

Việc được miễn đánh giá tác động không đồng nghĩa với việc được miễn toàn bộ nghĩa vụ pháp lý. Trong quá trình xử lý dữ liệu của cá nhân, doanh nghiệp vẫn phải tuân thủ các nguyên tắc cơ bản khi xử lý dữ liệu cá nhân theo quy định, ví dụ như:

- Minh bạch mục đích xử lý;

- Bảo mật thông tin;

- Giới hạn phạm vi sử dụng dữ liệu.

Một số sai lầm phổ biến bao gồm:

- Không theo dõi số lượng chủ thể dữ liệu đã xử lý;

- Không phân loại dữ liệu nhạy cảm;

- Nhầm lẫn giữa miễn đánh giá tác động và miễn trách nhiệm pháp lý.

4. Góc nhìn thực tiễn từ Y&P Law Firm về áp dụng miễn trừ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

Từ kinh nghiệm tư vấn pháp lý thường xuyên cho doanh nghiệp, Y&P nhận thấy việc áp dụng cơ chế miễn trừ cần dựa trên đánh giá tổng thể hệ thống xử lý dữ liệu của cá nhân.

Doanh nghiệp nên:

- Xác định đúng loại hình doanh nghiệp: Việc xác định mình là doanh nghiệp nhỏ, siêu nhỏ hay startup là bước đầu tiên để biết có được miễn nghĩa vụ hay không khi tiến hành xử lý dữ liệu cá nhân.

- Theo dõi quy mô dữ liệu tích lũy: Khi hoạt động kinh doanh phát triển nhanh, số lượng chủ thể dữ liệu tăng lên, nghĩa vụ đánh giá tác động có thể phát sinh bất cứ lúc nào.

- Rà soát dữ liệu nhạy cảm: Ngay cả doanh nghiệp nhỏ cũng phải thực hiện đánh giá tác động nếu trực tiếp xử lý dữ liệu nhạy cảm.

5. Dịch vụ tư vấn và lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân tại Y&P Law Firm

Trước yêu cầu mới của Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định 356/2025/NĐ-CP, nhiều doanh nghiệp gặp khó khăn khi xác định nghĩa vụ pháp lý liên quan đến xử lý dữ liệu của cá nhân. Y&P Law Firm cung cấp giải pháp tư vấn chuyên sâu, giúp doanh nghiệp đánh giá đúng trường hợp phải lập hồ sơ đánh giá tác động hoặc được miễn trừ theo quy định.

- Phân tích nghĩa vụ pháp lý khi triển khai hoạt động xử lý dữ liệu của cá nhân;

- Đánh giá điều kiện miễn trừ thực hiện lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định 356/2025/NĐ-CP;

- Xây dựng văn bản nội bộ liên quan đến hoạt động xử lý dữ liệu cá nhân như: Văn bản đồng ý cho phép xử lý dữ liệu cá nhân của người lao động/ứng viên/đối tác là cá nhân, Chính sách bảo vệ dữ liệu cá nhân, Thoả thuận chia sẻ dữ liệu,…;

- Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo quy định pháp luật và nộp đến Bộ Công an theo quy định pháp luật;

- Đào tạo về hoạt động bảo vệ dữ liệu cá nhân cho doanh nghiệp;

- Tư vấn chuyên sâu về bảo vệ dữ liệu cá nhân cho doanh nghiệp;

…

Với kinh nghiệm tư vấn pháp lý thường xuyên cho doanh nghiệp, Y&P hướng tới giải pháp thực tiễn, tối ưu chi phí tuân thủ và hạn chế rủi ro khi xử lý dữ liệu của cá nhân.

Tổng kết

Không phải mọi hoạt động xử lý dữ liệu của cá nhân đều phải lập hồ sơ đánh giá tác động. Điều 38 Luật Bảo vệ dữ liệu cá nhân và Điều 41 Nghị định 356/2025/NĐ-CP đã thiết lập cơ chế miễn trừ có điều kiện nhằm cân bằng giữa yêu cầu bảo vệ dữ liệu và khả năng tuân thủ của doanh nghiệp.

Tuy nhiên, việc xác định đúng nghĩa vụ pháp lý đòi hỏi doanh nghiệp phải đánh giá toàn diện về quy mô dữ liệu, loại dữ liệu và vai trò của mình trong chuỗi xử lý. Một chiến lược tuân thủ phù hợp sẽ giúp doanh nghiệp triển khai hoạt động xử lý dữ liệu cá nhân một cách an toàn, hạn chế rủi ro và xây dựng niềm tin bền vững với khách hàng trong môi trường số hóa hiện nay.

Xem thêm tại:

Quy định mới về đánh giá tác động xử lý dữ liệu cá nhân 2025

Dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

Hướng dẫn lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân