Các Trường Hợp Không Được Miễn Trừ Bổ Nhiệm Nhân Sự Bảo Vệ Dữ Liệu Cá Nhân

Các trường hợp không được miễn trừ bổ nhiệm nhân sự bảo vệ dữ liệu cá nhân là những quy định quan trọng mà doanh nghiệp cần nắm rõ để tránh vi phạm pháp luật và đảm bảo an toàn thông tin. Giải pháp tối ưu từ DPO.VN sẽ giúp doanh nghiệp xác định chính xác nghĩa vụ của mình, cung cấp nhân sự chuyên trách đạt chuẩn và xây dựng hệ thống bảo vệ dữ liệu vững chắc, tuân thủ mọi quy định hiện hành.

Những doanh nghiệp nào bắt buộc phải bổ nhiệm nhân sự bảo vệ dữ liệu ngay lập tức?

Bất kể quy mô, doanh nghiệp sẽ không được miễn trừ nếu kinh doanh xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu ở quy mô lớn (từ 100.000 chủ thể dữ liệu trở lên).

Việc xác định đúng đối tượng phải tuân thủ quy định bổ nhiệm nhân sự bảo vệ dữ liệu là bước đầu tiên và quan trọng nhất trong lộ trình tuân thủ pháp luật. Mặc dù Nghị định 356/20235/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 đều có các điều khoản miễn trừ cho doanh nghiệp nhỏ và siêu nhỏ, nhưng những ưu đãi này không phải là tuyệt đối.

Theo Điều 41 của Nghị định số 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân, các doanh nghiệp nhỏ, siêu nhỏ, hộ kinh doanh và doanh nghiệp khởi nghiệp sẽ mất quyền miễn trừ và phải bổ nhiệm nhân sự bảo vệ dữ liệu ngay nếu thuộc một trong các trường hợp sau:

• Kinh doanh dịch vụ xử lý dữ liệu cá nhân: Đây là hoạt động cốt lõi của doanh nghiệp, nơi dữ liệu là tài sản và công cụ kinh doanh chính.
• Trực tiếp xử lý dữ liệu cá nhân nhạy cảm: Loại dữ liệu này có nguy cơ rủi ro cao đối với quyền riêng tư của chủ thể dữ liệu, đòi hỏi mức độ bảo vệ nghiêm ngặt hơn.
• Xử lý dữ liệu cá nhân quy mô lớn: Khi số lượng chủ thể dữ liệu đạt từ 100.000 người trở lên, mức độ ảnh hưởng tiềm tàng của một sự cố dữ liệu là rất lớn, không thể áp dụng cơ chế miễn trừ.

Hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân bao gồm những gì?

Kinh doanh dịch vụ xử lý dữ liệu cá nhân bao gồm các hoạt động cung cấp hệ thống, phần mềm xử lý dữ liệu, phân tích dữ liệu, tiếp thị dữ liệu, trung gian dữ liệu và các dịch vụ khác liên quan trực tiếp đến việc khai thác giá trị từ dữ liệu cá nhân.

Để làm rõ hơn về trường hợp này, Điều 21 Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân đã liệt kê chi tiết các loại hình dịch vụ được coi là “xử lý dữ liệu cá nhân”. Doanh nghiệp cần đối chiếu kỹ hoạt động của mình với danh sách này:

Nếu doanh nghiệp của bạn cung cấp bất kỳ dịch vụ nào trong số này, bạn thuộc nhóm đối tượng bắt buộc phải có nhân sự bảo vệ dữ liệu cá nhân chuyên trách, không phụ thuộc vào quy mô vốn hay nhân sự của công ty.

Dữ liệu cá nhân nhạy cảm bao gồm những loại nào khiến doanh nghiệp mất quyền miễn trừ?

Dữ liệu nhạy cảm bao gồm thông tin về quan điểm chính trị, tôn giáo, sức khỏe, đời sống tình dục, di truyền, sinh trắc học, vị trí địa lý, thông tin tài chính ngân hàng, và lý lịch tư pháp.

Việc xử lý dữ liệu cá nhân nhạy cảm đặt ra trách nhiệm pháp lý cao hơn rất nhiều so với dữ liệu cơ bản. Điều 4 của Nghị định số 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân đã quy định chi tiết danh mục này. Một số loại dữ liệu thường gặp mà doanh nghiệp có thể vô tình xử lý bao gồm:

• Dữ liệu sức khỏe: Hồ sơ bệnh án, thông tin khám sức khỏe định kỳ của nhân viên.
• Dữ liệu tài chính: Số tài khoản ngân hàng, lịch sử giao dịch, thông tin thẻ tín dụng của khách hàng.
• Dữ liệu sinh trắc học: Vân tay, khuôn mặt dùng để chấm công hoặc mở khóa thiết bị.
• Dữ liệu vị trí: Thông tin GPS từ thiết bị di động của nhân viên giao hàng hoặc người dùng ứng dụng.

💡 DPO.VN lưu ý: Ngay cả khi doanh nghiệp chỉ lưu trữ vân tay nhân viên để chấm công, đó cũng được coi là xử lý dữ liệu sinh trắc học (dữ liệu nhạy cảm). Do đó, doanh nghiệp cần rà soát kỹ lưỡng toàn bộ dữ liệu mình đang nắm giữ.

Quy mô xử lý dữ liệu bao nhiêu thì bị coi là lớn và không được miễn trừ?

Theo quy định mới nhất, ngưỡng xác định quy mô lớn là khi doanh nghiệp xử lý dữ liệu cá nhân của từ 100.000 chủ thể dữ liệu trở lên, dựa trên kết quả tích lũy tổng lượng dữ liệu đã xử lý.

Con số 100.000 chủ thể dữ liệu là một mốc quan trọng được quy định tại Điều 41 của Nghị định số 356/2025/NĐ-CP. Điều này có nghĩa là, một doanh nghiệp khởi nghiệp (startup) về thương mại điện tử hoặc ứng dụng di động, dù mới thành lập và có ít nhân sự, nhưng nếu có tốc độ tăng trưởng người dùng nhanh chóng và đạt đến con số 100.000 người dùng, họ sẽ ngay lập tức phải tuân thủ đầy đủ các quy định về bảo vệ dữ liệu, bao gồm việc bổ nhiệm nhân sự chuyên trách và lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.

Sự khác biệt giữa quy định miễn trừ trong Nghị định 13 và Luật Bảo vệ dữ liệu cá nhân 2025 là gì?

Luật Bảo vệ dữ liệu cá nhân 2025 mở rộng thời gian miễn trừ cho doanh nghiệp nhỏ và siêu nhỏ từ 2 năm lên 5 năm, nhưng đồng thời quy định chặt chẽ và chi tiết hơn về các trường hợp ngoại lệ không được miễn trừ để đảm bảo an toàn dữ liệu.

Việc so sánh này giúp doanh nghiệp có cái nhìn tổng quan về lộ trình pháp lý và chuẩn bị sẵn sàng cho sự chuyển đổi.

Sự thay đổi này cho thấy xu hướng quản lý ngày càng chặt chẽ hơn, tập trung vào bản chất rủi ro của hoạt động xử lý dữ liệu thay vì chỉ dựa vào quy mô kinh tế của doanh nghiệp.

Doanh nghiệp đối mặt với rủi ro gì nếu xác định sai đối tượng và không bổ nhiệm nhân sự?

Việc tự ý áp dụng quyền miễn trừ sai quy định có thể dẫn đến các chế tài xử phạt vi phạm hành chính nghiêm khắc, bao gồm phạt tiền và các biện pháp khắc phục hậu quả, đồng thời gây tổn hại uy tín khi bị thanh tra, kiểm tra.

Nhiều doanh nghiệp chủ quan cho rằng mình là doanh nghiệp nhỏ nên mặc nhiên được miễn trừ. Tuy nhiên, nếu cơ quan chức năng kiểm tra và phát hiện doanh nghiệp đang xử lý dữ liệu nhạy cảm (ví dụ: khám sức khỏe nhân viên) hoặc kinh doanh dựa trên dữ liệu mà không có bộ phận bảo vệ dữ liệu, doanh nghiệp sẽ bị coi là vi phạm pháp luật.

Các rủi ro cụ thể bao gồm:

• Xử phạt hành chính: Mức phạt cho hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân có thể rất cao, tùy thuộc vào mức độ vi phạm.
• Đình chỉ hoạt động xử lý dữ liệu: Cơ quan chức năng có thể yêu cầu ngừng hoạt động xử lý dữ liệu cho đến khi doanh nghiệp khắc phục được vi phạm, gây gián đoạn hoạt động kinh doanh.
• Mất uy tín thương hiệu: Việc bị công bố vi phạm về bảo vệ dữ liệu sẽ làm giảm lòng tin của khách hàng và đối tác.

Do đó, việc chuẩn bị khi thanh tra bảo vệ dữ liệu cá nhân và chủ động rà soát lại mô hình hoạt động là vô cùng cần thiết.

Các Câu Hỏi Thường Gặp Về Miễn Trừ Bổ Nhiệm Nhân Sự Bảo Vệ Dữ Liệu

Tài liệu tham khảo

• Chính phủ (2023), Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 về bảo vệ dữ liệu cá nhân. Có tại: https://vanban.chinhphu.vn/
• Quốc hội (2025), Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Cổng thông tin điện tử Quốc hội.
• Chính phủ (2025), Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân. Có tại: htttps://vanban.chinhphu,vn/
• Bộ Công an, Cổng thông tin điện tử Bộ Công an – Hướng dẫn thực hiện Nghị định 13/2023/NĐ-CP. Có tại: https://bocongan.gov.vn/
• Thư viện Pháp luật, So sánh Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân.