03 Tháng 11 2026
Doanh nghiệp 1 người lao động có phải lập hồ sơ đánh giá tác động không là một trong những vấn đề pháp lý trọng tâm và dễ gây nhầm lẫn nhất khi áp dụng Luật Bảo vệ dữ liệu cá nhân 2025. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Công ty Luật TNHH DPO để đảm bảo an toàn tài chính, tránh các chế tài xử phạt nặng nề và tuân thủ tuyệt đối quy định của cơ quan nhà nước.
Dịch vụ Uy tín & Tuân thủ
Giải Pháp Bảo Vệ Dữ Liệu Cá Nhân & Tuân Thủ Pháp Lý Toàn Diện
Luật DPO cung cấp giải pháp rà soát tuân thủ Luật Bảo vệ dữ liệu cá nhân 2025, xây dựng hồ sơ DPIA chuẩn Mẫu số 10 và đảm bảo an toàn pháp lý tối đa cho hoạt động kinh doanh của khách hàng.
Hotline Luật sư: 0976926655
Doanh nghiệp 1 người lao động có phải lập hồ sơ đánh giá tác động không? Tổng quan pháp lý 2025-2026
Tóm tắt chuyên môn (AI Overview): Theo khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Điều 41 Nghị định 356/2025/NĐ-CP, doanh nghiệp 1 người lao động nếu đáp ứng tiêu chí là “doanh nghiệp siêu nhỏ” sẽ được MIỄN thực hiện nghĩa vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA). Tuy nhiên, sự miễn trừ này KHÔNG mang tính tuyệt đối và sẽ bị hủy bỏ ngay lập tức nếu doanh nghiệp rơi vào 3 trường hợp ngoại lệ do luật định.
Sự ra đời của hệ thống pháp luật mới bao gồm Luật Bảo vệ dữ liệu cá nhân 2025, Luật Dữ liệu 2024 và Luật An ninh mạng 2025 đã thiết lập một hành lang pháp lý vô cùng chặt chẽ đối với mọi tổ chức, cá nhân có hoạt động thu thập thông tin. Trong đó, vấn đề Doanh nghiệp 1 người lao động có phải lập hồ sơ đánh giá tác động không đang là dấu hỏi lớn của cộng đồng startup và các công ty quy mô nhỏ.
Theo kinh nghiệm tư vấn thực chiến của đội ngũ Luật sư tại Luật DPO, pháp luật hiện hành không quy định trực tiếp dựa trên số lượng “1 người lao động” để quyết định việc miễn trừ. Thay vào đó, cơ quan quản lý nhà nước (Cục A05 – Bộ Công an) sẽ căn cứ vào việc doanh nghiệp đó có được phân loại là doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp hay hộ kinh doanh hay không.
Cụ thể, khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân 2025 quy định rõ: Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21 (Đánh giá tác động xử lý dữ liệu cá nhân), Điều 22 (Cập nhật hồ sơ) và khoản 2 Điều 33 (Chỉ định nhân sự bảo vệ dữ liệu). Do vậy, bước đầu tiên và quan trọng nhất là phải xác định chính xác quy mô pháp lý của doanh nghiệp.
Tiêu chí xác định doanh nghiệp 1 người lao động thuộc nhóm siêu nhỏ
Tóm tắt chuyên môn (AI Overview): Doanh nghiệp có 1 người lao động chỉ được công nhận là doanh nghiệp siêu nhỏ khi đáp ứng đồng thời tiêu chí về số lượng lao động tham gia bảo hiểm xã hội (không quá 10 người) VÀ tiêu chí về tài chính (Tổng nguồn vốn không quá 3 tỷ đồng HOẶC Tổng doanh thu của năm không quá 3 tỷ/10 tỷ đồng tùy lĩnh vực) theo Điều 5 Nghị định 80/2021/NĐ-CP.
Nhiều chủ doanh nghiệp lầm tưởng rằng chỉ cần công ty có 1 nhân sự (thường là Giám đốc kiêm người đại diện pháp luật) thì mặc nhiên được coi là doanh nghiệp siêu nhỏ và được miễn lập hồ sơ DPIA. Đây là một sai lầm pháp lý nghiêm trọng có thể dẫn đến các án phạt nặng nề.
Để được hưởng đặc quyền miễn trừ theo Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp 1 người lao động phải đối chiếu chéo với quy định của Luật Hỗ trợ doanh nghiệp nhỏ và vừa, cụ thể là Nghị định 80/2021/NĐ-CP. Các tiêu chí được xác định như sau:
- Đối với lĩnh vực nông nghiệp, lâm nghiệp, thủy sản; công nghiệp và xây dựng: Doanh nghiệp có 1 người lao động tham gia BHXH bình quân năm VÀ có tổng nguồn vốn không quá 3 tỷ đồng HOẶC tổng doanh thu của năm không quá 3 tỷ đồng.
- Đối với lĩnh vực thương mại và dịch vụ: Doanh nghiệp có 1 người lao động tham gia BHXH bình quân năm VÀ có tổng nguồn vốn không quá 3 tỷ đồng HOẶC tổng doanh thu của năm không quá 10 tỷ đồng.
Như vậy, nếu một doanh nghiệp thương mại điện tử chỉ có 1 người lao động nhưng doanh thu năm đạt 15 tỷ đồng, doanh nghiệp này sẽ bị xếp vào nhóm doanh nghiệp nhỏ (chứ không phải siêu nhỏ). Khi đó, theo khoản 2 Điều 38 Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp này chỉ được miễn trừ trong thời gian 05 năm đầu kể từ khi thành lập, sau đó vẫn phải lập hồ sơ bình thường.
Xác định đúng quy mô doanh nghiệp là bước đầu tiên để tuân thủ Luật Bảo vệ dữ liệu cá nhân.
3 Trường hợp ngoại lệ: Khi nào doanh nghiệp siêu nhỏ BẮT BUỘC phải lập hồ sơ DPIA?
Tóm tắt chuyên môn (AI Overview): Theo khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân 2025 và khoản 3 Điều 43 Nghị định 356/2025/NĐ-CP, quyền miễn trừ lập hồ sơ DPIA của doanh nghiệp siêu nhỏ sẽ bị tước bỏ hoàn toàn nếu doanh nghiệp: (1) Kinh doanh dịch vụ xử lý dữ liệu cá nhân; (2) Trực tiếp xử lý dữ liệu cá nhân nhạy cảm; (3) Xử lý dữ liệu của từ 100.000 chủ thể trở lên.
Đây là “cái bẫy pháp lý” lớn nhất mà các doanh nghiệp 1 người lao động thường mắc phải. Dù bạn thỏa mãn 100% tiêu chí là doanh nghiệp siêu nhỏ, nhưng nếu mô hình kinh doanh chạm vào 1 trong 3 “lằn ranh đỏ” dưới đây, bạn bắt buộc phải lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Mẫu số 10) về Cục A05 trong vòng 60 ngày.
1. Kinh doanh dịch vụ xử lý dữ liệu cá nhân
Nếu doanh nghiệp 1 người của bạn hoạt động trong lĩnh vực cung cấp phần mềm CRM, dịch vụ email marketing, dịch vụ lưu trữ đám mây (Cloud), hoặc dịch vụ phân tích dữ liệu khách hàng cho các đối tác khác (đóng vai trò là Bên xử lý dữ liệu cá nhân theo Điều 39 Nghị định 356/2025/NĐ-CP), bạn bắt buộc phải lập hồ sơ. Hơn thế nữa, bạn còn phải xin cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân (Mẫu số 04).
2. Trực tiếp xử lý dữ liệu cá nhân nhạy cảm
Việc tìm hiểu Dữ liệu cá nhân nhạy cảm là gì mang tính quyết định. Theo khoản 4 Điều 2 Nghị định 356/2025/NĐ-CP, dữ liệu nhạy cảm bao gồm: thông tin sức khỏe (hồ sơ bệnh án), thông tin tài chính (thẻ ngân hàng, lịch sử giao dịch), dữ liệu sinh trắc học (vân tay, khuôn mặt), dữ liệu vị trí định vị, v.v. Nếu doanh nghiệp 1 người của bạn là một phòng khám tư nhân nhỏ, một ứng dụng theo dõi sức khỏe, hoặc một công ty môi giới tài chính có thu thập sao kê ngân hàng, bạn KHÔNG được miễn lập hồ sơ DPIA.
3. Xử lý dữ liệu cá nhân với quy mô từ 100.000 chủ thể trở lên
Khoản 1 Điều 41 Nghị định 356/2025/NĐ-CP quy định rõ, mốc 100.000 chủ thể được tính dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý. Một doanh nghiệp thương mại điện tử 1 người vận hành hoàn toàn có thể sở hữu tệp khách hàng lên tới hàng trăm ngàn người dùng đăng ký tài khoản. Ngay khi hệ thống ghi nhận user thứ 100.000, quyền miễn trừ lập hồ sơ DPIA lập tức chấm dứt.
DỊCH VỤ LẬP HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG (DPIA) TRỌN GÓI
Luật DPO cung cấp dịch vụ rà soát luồng dữ liệu, soạn thảo hồ sơ DPIA chuẩn Mẫu số 10 và đại diện doanh nghiệp nộp, giải trình trực tiếp với Cục A05 – Bộ Công an, đảm bảo tỷ lệ phê duyệt 100%.
Các nghĩa vụ bảo vệ dữ liệu cá nhân bắt buộc khác dù được miễn lập hồ sơ DPIA
Tóm tắt chuyên môn (AI Overview): Việc được miễn lập hồ sơ đánh giá tác động (DPIA) KHÔNG đồng nghĩa với việc doanh nghiệp được đứng ngoài vòng pháp luật. Doanh nghiệp 1 người lao động vẫn phải tuân thủ nghiêm ngặt các nghĩa vụ cốt lõi: Xin sự đồng ý hợp pháp, bảo đảm an toàn hệ thống, tôn trọng quyền của chủ thể dữ liệu và thông báo vi phạm trong 72 giờ.
Dựa trên các vụ việc tố tụng và rà soát tuân thủ mà Luật DPO đã thực hiện, rất nhiều doanh nghiệp nhỏ lầm tưởng rằng “miễn hồ sơ là miễn tất cả”. Thực tế, Luật Bảo vệ dữ liệu cá nhân 2025 yêu cầu mọi tổ chức, cá nhân có hoạt động xử lý dữ liệu phải thiết lập một cơ chế bảo vệ toàn diện. Dưới đây là 5 nghĩa vụ bắt buộc không có ngoại lệ:
- Thu thập sự đồng ý hợp pháp (Điều 9, Điều 11 NĐ 356): Doanh nghiệp phải thông báo rõ ràng mục đích, loại dữ liệu thu thập và xin sự đồng ý của khách hàng (Opt-in) trước khi xử lý. Không được sử dụng các ô tick sẵn (pre-ticked boxes) gây hiểu lầm.
- Soạn thảo và công khai Chính sách bảo mật (Privacy Policy): Phải niêm yết công khai chính sách bảo mật trên website/ứng dụng, giải thích rõ cách thức thu thập, lưu trữ và chia sẻ dữ liệu.
- Bảo đảm quyền của chủ thể dữ liệu (Điều 9 NĐ 356): Phải cung cấp công cụ hoặc kênh liên lạc để khách hàng thực hiện quyền truy cập, chỉnh sửa, xóa dữ liệu, hoặc rút lại sự đồng ý. Thời hạn phản hồi tối đa là 02 ngày làm việc và thực hiện trong 10-20 ngày tùy yêu cầu.
- Bảo đảm an toàn dữ liệu (Điều 26, 27 NĐ 356): Áp dụng các biện pháp quản lý và kỹ thuật (mã hóa, tường lửa, phân quyền truy cập) để chống lại các hành vi xâm nhập, đánh cắp dữ liệu.
- Thông báo vi phạm (Điều 23 NĐ 356): Khi xảy ra sự cố rò rỉ, mất mát dữ liệu, doanh nghiệp bắt buộc phải thông báo cho Cục A05 (Mẫu số 03) chậm nhất trong vòng 72 giờ.
| Tiêu chí tuân thủ pháp lý | Doanh nghiệp 1 người (Siêu nhỏ – Không ngoại lệ) | Doanh nghiệp thuộc diện phải lập hồ sơ |
|---|---|---|
| Lập và nộp hồ sơ DPIA (Mẫu 10) | Được miễn trừ | Bắt buộc nộp cho Cục A05 trong vòng 60 ngày. |
| Chỉ định nhân sự/Bộ phận DPO | Được miễn trừ | Bắt buộc chỉ định nhân sự nội bộ hoặc thuê ngoài. |
| Xin sự đồng ý của khách hàng | Bắt buộc thực hiện đầy đủ | Bắt buộc thực hiện đầy đủ |
| Thông báo sự cố rò rỉ (72h) | Bắt buộc thực hiện đầy đủ | Bắt buộc thực hiện đầy đủ |
| Lập hồ sơ chuyển dữ liệu ra nước ngoài | Bắt buộc (Nếu có sử dụng Cloud quốc tế) | Bắt buộc (Nếu có sử dụng Cloud quốc tế) |
Rủi ro pháp lý và chế tài xử phạt theo Nghị định 330/2026/NĐ-CP
Tóm tắt chuyên môn (AI Overview): Nghị định 330/2026/NĐ-CP quy định mức phạt cực kỳ nghiêm khắc đối với các vi phạm về dữ liệu cá nhân. Việc không lập hồ sơ DPIA khi thuộc diện bắt buộc bị phạt từ 20-30 triệu đồng. Các vi phạm về thu thập trái phép, làm lộ lọt dữ liệu có thể bị phạt tới 3 tỷ đồng hoặc 5% doanh thu, kèm theo đình chỉ hoạt động.
Khung hình phạt tài chính mới thể hiện sự quyết liệt của nhà nước trong việc dọn dẹp không gian mạng. Việc Không lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bị xử phạt như thế nào là câu hỏi mang tính sống còn. Cụ thể, theo Điều 55 Nghị định 330/2026/NĐ-CP:
- Phạt tiền từ 20.000.000 VNĐ đến 30.000.000 VNĐ: Đối với hành vi bắt đầu xử lý dữ liệu nhưng không lập, không duy trì hồ sơ DPIA; hoặc không gửi bản chính cho Cục A05 trong 60 ngày.
- Phạt tiền từ 50.000.000 VNĐ đến 100.000.000 VNĐ: Đối với hành vi cố tình làm giả số liệu, cung cấp sai lệch thông tin trong hồ sơ DPIA, hoặc từ chối chỉnh sửa khi có yêu cầu từ Cục A05.
- Biện pháp khắc phục hậu quả: Buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành đầy đủ nghĩa vụ nộp hồ sơ.
Đặc biệt, nếu doanh nghiệp 1 người lao động vi phạm các quy định về thu thập trái phép (Điều 48 NĐ 330) hoặc làm lộ lọt dữ liệu nhạy cảm (Điều 64 NĐ 330), mức phạt có thể lên tới hàng trăm triệu đồng. Nếu hệ thống bị đình chỉ hoạt động từ một đến sáu tháng, doanh nghiệp sẽ đối mặt với sự sụp đổ toàn diện về dòng tiền và uy tín thương hiệu.
Chế tài xử phạt vi phạm dữ liệu cá nhân theo Nghị định 330/2026/NĐ-CP là vô cùng nghiêm khắc.
Bảo Vệ Tối Đa Quyền Lợi
Dịch Vụ Tư Vấn Tuân Thủ Pháp Lý Doanh Nghiệp Toàn Diện
Luật DPO cung cấp dịch vụ rà soát mô hình kinh doanh, xác định chính xác nghĩa vụ lập hồ sơ DPIA và xây dựng hệ thống chính sách bảo mật chuẩn quốc tế cho doanh nghiệp.
Hotline Luật sư: 0976926655
Câu hỏi thường gặp (FAQs) về nghĩa vụ bảo vệ dữ liệu của doanh nghiệp nhỏ
Doanh nghiệp siêu nhỏ có được phép tự do chuyển dữ liệu cá nhân ra nước ngoài không?
Không. Dù được miễn lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong nước (DPIA), nhưng nếu doanh nghiệp có hoạt động chuyển dữ liệu cá nhân ra nước ngoài (ví dụ: sử dụng Google Drive, AWS, Facebook Ads), doanh nghiệp vẫn bắt buộc phải lập Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới (Mẫu số 09) theo Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 và Điều 18 Nghị định 356/2025/NĐ-CP.
Doanh nghiệp được miễn lập hồ sơ đánh giá tác động có phải lưu giữ thông tin về hoạt động xử lý dữ liệu không?
Có. Việc được miễn lập hồ sơ đánh giá tác động không đồng nghĩa với việc doanh nghiệp được bỏ qua việc quản lý, kiểm soát và bảo vệ dữ liệu cá nhân. Doanh nghiệp vẫn phải lưu trữ nhật ký hệ thống (log files) và các văn bản chứng minh sự đồng ý của khách hàng để phục vụ thanh tra, kiểm tra theo Điều 38 Nghị định 356/2025/NĐ-CP.
Quyền miễn trừ lập hồ sơ đánh giá tác động có được áp dụng vĩnh viễn không?
Theo quy định pháp luật hiện hành, chỉ cần doanh nghiệp siêu nhỏ vẫn duy trì quy mô và hoạt động xử lý dữ liệu thuộc diện được miễn trừ (không vi phạm 3 trường hợp ngoại lệ) thì sẽ không phải lập hồ sơ DPIA. Quy định này khác với trường hợp của doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp (chỉ được hoãn trong 05 năm đầu kể từ khi thành lập).
Nếu doanh nghiệp 1 người lao động thay đổi mô hình kinh doanh thì phải thực hiện thủ tục gì?
Nếu mô hình kinh doanh mới không còn thuộc diện được miễn trừ (ví dụ: bắt đầu cung cấp dịch vụ y tế trực tuyến – xử lý dữ liệu nhạy cảm), doanh nghiệp phải lập và nộp hồ sơ DPIA đến Cục A05 trong vòng 60 ngày kể từ ngày bắt đầu phát sinh hoạt động đó. Đồng thời, phải chỉ định nhân sự bảo vệ dữ liệu (DPO) theo quy định.
Doanh nghiệp 1 người lao động thuộc diện siêu nhỏ có được miễn mọi nghĩa vụ về bảo vệ dữ liệu cá nhân không?
Tuyệt đối Không. Doanh nghiệp siêu nhỏ chỉ được miễn nghĩa vụ về lập, nộp, cập nhật hồ sơ DPIA và chỉ định bộ phận bảo vệ dữ liệu cá nhân. Các nghĩa vụ cốt lõi khác như: xin sự đồng ý, bảo mật hệ thống, tôn trọng quyền xóa/sửa dữ liệu của khách hàng, và thông báo sự cố rò rỉ trong 72 giờ vẫn phải được thực hiện đầy đủ 100%.
Giải pháp tuân thủ toàn diện từ Công ty Luật TNHH DPO
Việc xác định chính xác doanh nghiệp 1 người lao động có phải lập hồ sơ đánh giá tác động không đòi hỏi sự am hiểu sâu sắc về sự giao thoa giữa Luật Doanh nghiệp, Luật Hỗ trợ DNNVV và hệ thống pháp luật về An ninh mạng, Dữ liệu cá nhân. Đừng để những sai lầm trong việc tự đánh giá quy mô dẫn đến các án phạt hàng chục triệu đồng và nguy cơ bị đình chỉ hoạt động.
Với triết lý “Đam mê và Danh dự”, cùng bề dày kinh nghiệm chuyên môn sâu sắc, Công ty Luật TNHH DPO cam kết mang đến dịch vụ cá nhân hóa tối đa, giúp doanh nghiệp rà soát toàn diện mô hình kinh doanh, xác định đúng nghĩa vụ pháp lý và thiết lập hệ thống tuân thủ tinh gọn, linh hoạt nhất. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để bảo vệ tối đa quyền lợi và sự phát triển bền vững của doanh nghiệp bạn.
Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO dựa trên các quy định pháp luật mới nhất (Luật Bảo vệ dữ liệu cá nhân 2025, Nghị định 356/2025/NĐ-CP, Nghị định 330/2026/NĐ-CP). Để nhận được giải pháp pháp lý chính xác nhất cho từng trường hợp cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.
