Luật bảo vệ dữ liệu cá nhân 2026: doanh nghiệp nhỏ, hộ kinh doanh cần làm gì?

Cửa hàng nào cũng giữ số điện thoại, địa chỉ giao hàng của khách, hồ sơ, số căn cước của nhân viên. Đó đều là dữ liệu cá nhân. Từ ngày 01/01/2026, việc thu thập, sử dụng các thông tin này phải tuân theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Trang này tóm tắt luật bằng lời dễ hiểu, chỉ ra việc doanh nghiệp nhỏ, hộ kinh doanh bắt buộc làm, việc được miễn và mức phạt tối đa.

Luật bảo vệ dữ liệu cá nhân là văn bản nào, hiệu lực từ khi nào?

✔ Luật Bảo vệ dữ liệu cá nhân: Luật 91/2025/QH15, Quốc hội thông qua ngày 26/06/2025, có hiệu lực từ ngày 01/01/2026 (khoản 1 Điều 38).

✔ Nghị định hướng dẫn: Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025, có hiệu lực từ ngày 01/01/2026 theo khoản 1 Điều 42. Đây là văn bản người tìm "nghị định 356" đang cần.

✔ Nghị định 13/2023/NĐ-CP hết hiệu lực: Nghị định 356/2025/NĐ-CP (khoản 2 Điều 42) chấm dứt hiệu lực của nghị định 13 về bảo vệ dữ liệu cá nhân từ ngày 01/01/2026. Sự đồng ý của khách đã lấy đúng theo nghị định 13 thì không phải xin lại (khoản 1 Điều 39 Luật 91/2025/QH15).

✔ Sửa đổi mới: Chương VII Nghị định 392/2026/NĐ-CP sửa thủ tục nộp hồ sơ đánh giá tác động trong Nghị định 356/2025/NĐ-CP, có hiệu lực từ ngày 15/11/2026 (Điều 48).

Dữ liệu cá nhân gồm những gì?

Theo khoản 1 Điều 2 Luật 91/2025/QH15, dữ liệu cá nhân là thông tin xác định hoặc giúp xác định một con người cụ thể, gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu đã khử nhận dạng thì không còn là dữ liệu cá nhân.

Danh mục dữ liệu nhạy cảm nằm ở Điều 4 Nghị định 356/2025/NĐ-CP. Doanh nghiệp nhỏ thường gặp các loại sau:

✔ Hình ảnh thẻ căn cước, căn cước công dân, chứng minh nhân dân; tên đăng nhập và mật khẩu tài khoản định danh điện tử.

✔ Tình trạng sức khỏe, dữ liệu sinh trắc học như vân tay, khuôn mặt dùng để chấm công.

✔ Vị trí cá nhân xác định qua dịch vụ định vị; thông tin tài khoản, thẻ ngân hàng, lịch sử giao dịch.

Khi xử lý dữ liệu nhạy cảm, tổ chức phải có quy định phân quyền truy cập, quy trình xử lý và biện pháp bảo mật (khoản 2 Điều 4 Nghị định 356/2025/NĐ-CP).

Nghĩa vụ chính của doanh nghiệp nhỏ, hộ kinh doanh:

Cửa hàng, công ty tự quyết định thu thập dữ liệu của khách, nhân viên để làm gì thì là "bên kiểm soát dữ liệu cá nhân" (khoản 7 Điều 2 Luật 91/2025/QH15). Các nghĩa vụ áp dụng cho mọi quy mô:

✔ Xin sự đồng ý đúng cách: nói rõ loại dữ liệu, mục đích, bên xử lý, quyền của khách; đồng ý cho từng mục đích; im lặng không được coi là đồng ý (Điều 9 Luật 91/2025/QH15).

✔ Bảo đảm quyền của khách: được biết, đồng ý hoặc rút lại sự đồng ý, xem, chỉnh sửa, yêu cầu xóa, hạn chế xử lý dữ liệu (khoản 1 Điều 4).

✔ Không mua, bán dữ liệu cá nhân, không cố ý làm lộ, làm mất dữ liệu (khoản 6, khoản 7 Điều 7).

✔ Dữ liệu nhân viên: chỉ hỏi thông tin phục vụ tuyển dụng; xóa hồ sơ ứng viên không trúng tuyển, trừ khi có thỏa thuận khác (khoản 1 Điều 25).

✔ Thuê bên ngoài xử lý (phần mềm bán hàng, kế toán, giao hàng): phải có hợp đồng nêu rõ trách nhiệm các bên (điểm a khoản 1 Điều 37).

✔ Báo khi bị lộ dữ liệu: vi phạm có thể gây hại cho khách thì báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 giờ từ khi phát hiện (khoản 1 Điều 23).

Có website bán hàng thì cần chính sách bảo mật đăng trên web. Bộ mẫu tham khảo có trong trang thông báo website với Bộ Công Thương.

Ai phải lập hồ sơ đánh giá tác động (DPIA), ai được miễn?

Bên kiểm soát dữ liệu phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (khoản 1 Điều 21 Luật 91/2025/QH15). Hồ sơ lập 01 lần và cập nhật khi có thay đổi (khoản 2 Điều 21, Điều 22). Quy mô doanh nghiệp quyết định có phải làm hay không:

✔ Hộ kinh doanh, doanh nghiệp siêu nhỏ: không phải lập hồ sơ đánh giá tác động và không phải chỉ định nhân sự bảo vệ dữ liệu, theo Luật 91/2025/QH15 (khoản 3 Điều 38).

✔ Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp: được chọn làm hoặc không làm trong 05 năm kể từ ngày 01/01/2026 (khoản 2 Điều 38).

✔ Vẫn phải làm dù nhỏ nếu kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc từ khi xử lý dữ liệu của 100 nghìn người trở lên (cộng dồn) theo Điều 41 Nghị định 356/2025/NĐ-CP.

✔ Hồ sơ gồm: báo cáo đánh giá tác động theo Mẫu số 10, bản sao hợp đồng xử lý dữ liệu, chính sách và quy trình bảo vệ dữ liệu (khoản 2 Điều 19 Nghị định 356/2025/NĐ-CP).

✔ Từ 15/11/2026: nộp qua Cổng Dịch vụ công quốc gia, trực tiếp hoặc bưu chính kèm Mẫu 02a/02b; kết quả "đạt", "đạt cần bổ sung" hoặc "không đạt" trong 11 ngày làm việc; hồ sơ chưa đạt hoàn thiện trong 30 ngày (Điều 44 Nghị định 392/2026/NĐ-CP). Hồ sơ đã nộp trước ngày này vẫn giải quyết theo quy định cũ (khoản 3 Điều 49).

Vi phạm bị xử phạt thế nào?

Điều 8 Luật 91/2025/QH15 quy định mức phạt tiền tối đa đối với tổ chức; cá nhân vi phạm cùng hành vi thì tối đa bằng một nửa:

✔ Mua, bán dữ liệu cá nhân: tối đa 10 lần khoản thu có được từ vi phạm.

✔ Vi phạm quy định chuyển dữ liệu cá nhân ra nước ngoài: tối đa 5% doanh thu năm trước liền kề.

✔ Hành vi khác: tối đa 03 tỷ đồng.

Ngoài phạt tiền, vi phạm có thể bị truy cứu trách nhiệm hình sự và phải bồi thường nếu gây thiệt hại (khoản 1 Điều 8). Mức phạt cụ thể cho từng hành vi do nghị định xử phạt quy định.

Luật dữ liệu và luật bảo vệ dữ liệu cá nhân khác nhau thế nào?

✔ Luật Dữ liệu (Luật 60/2024/QH15, hiệu lực 01/07/2025) quy định chung về dữ liệu số: xây dựng, quản trị, sản phẩm, dịch vụ dữ liệu, Trung tâm dữ liệu quốc gia (Điều 1).

✔ Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) chỉ nói về dữ liệu của con người cụ thể: quyền của người có dữ liệu, nghĩa vụ của bên thu thập, đánh giá tác động, xử phạt.

Kinh doanh dịch vụ xử lý dữ liệu cá nhân là ngành nghề kinh doanh có điều kiện: mục 142 danh mục kèm Nghị quyết 66.17/2026/NQ-CP và mục 136 Phụ lục IV mới tại Luật 24/2026/QH16. Danh sách ngành khác xem tại ngành nghề kinh doanh có điều kiện.

Cần rà soát bảo vệ dữ liệu cá nhân?

Vina Accounting hỗ trợ xác định doanh nghiệp có phải lập hồ sơ đánh giá tác động không, soạn chính sách bảo mật, hợp đồng xử lý dữ liệu; báo phí theo từng hồ sơ trước khi nhận. Gọi 0938 13 32 32.

Câu hỏi thường gặp về luật bảo vệ dữ liệu cá nhân:

Nghị định 13 còn hiệu lực không?
Không. Nghị định 13/2023/NĐ-CP hết hiệu lực từ ngày 01/01/2026, thay bằng Nghị định 356/2025/NĐ-CP hướng dẫn Luật 91/2025/QH15.

Hộ kinh doanh có phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không?
Không, trừ khi hộ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của từ 100 nghìn người trở lên.

Có phải xin giấy phép bảo vệ dữ liệu cá nhân không?
Không có giấy phép chung. Chỉ doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân mới cần Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ này; các doanh nghiệp khác chỉ lập hồ sơ đánh giá tác động nếu thuộc diện phải làm.

Chụp căn cước của khách có vi phạm không?
Hình ảnh thẻ căn cước là dữ liệu nhạy cảm. Chỉ chụp khi có mục đích rõ ràng và có căn cứ hợp pháp, thường là sự đồng ý của khách; người được xem ảnh phải được phân quyền và ảnh phải được bảo mật.

Lộ dữ liệu khách hàng phải báo cho ai?
Báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 giờ kể từ khi phát hiện, nếu vi phạm có thể gây hại cho khách hoặc an ninh, trật tự.

Căn cứ: Luật 91/2025/QH15 (Điều 2, 4, 7, 8, 9, 21, 22, 23, 25, 37, 38, 39); Nghị định 356/2025/NĐ-CP (Điều 4, 19, 41, 42); Nghị định 392/2026/NĐ-CP (Điều 44, 48, 49); Luật 60/2024/QH15 (Điều 1); Nghị quyết 66.17/2026/NQ-CP (Phụ lục); Luật 24/2026/QH16 (Phụ lục IV).

Người duyệt: Vina Accounting · Cập nhật: 02/11/2026.