Startup nhỏ có được tạm hoãn nghĩa vụ bảo vệ dữ liệu cá nhân 5 năm không?

Có — và đây là một trong những điểm doanh nghiệp nhỏ/startup nên biết sớm để không tự đặt gánh nặng tuân thủ quá mức cần thiết, nhưng cũng cần hiểu rõ giới hạn của ưu đãi này để tránh chủ quan. Căn cứ khoản 2 và khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Điều 41 Nghị định 356/2025/NĐ-CP cụ thể hóa: doanh nghiệp nhỏ và khởi nghiệp được TẠM HOÃN thực hiện ba nhóm nghĩa vụ trong thời hạn 5 NĂM kể từ ngày Luật có hiệu lực (tức từ 01/01/2026 đến khoảng 01/01/2031): 1) Điều 21 — lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi tắt là ĐTA, tương đương khái niệm DPIA quốc tế). 2) Điều 22 — cập nhật hồ sơ đánh giá tác động khi có thay đổi đáng kể. 3) Khoản 2 Điều 33 — chỉ định bộ phận/nhân sự chuyên trách bảo vệ dữ liệu cá nhân. Riêng với hộ kinh doanh và doanh nghiệp SIÊU NHỎ, mức ưu đãi còn cao hơn: được MIỄN HOÀN TOÀN ba nghĩa vụ trên, không chỉ tạm hoãn có thời hạn. TUY NHIÊN — đây là phần quan trọng nhất, nhiều startup dễ bỏ sót: ưu đãi này KHÔNG áp dụng vô điều kiện. Có ba trường hợp loại trừ khiến doanh nghiệp dù nhỏ vẫn phải tuân thủ đầy đủ ngay từ đầu, không được hưởng tạm hoãn: (a) Hoạt động cốt lõi của doanh nghiệp là CUNG CẤP DỊCH VỤ XỬ LÝ DỮ LIỆU — ví dụ một startup làm nền tảng CRM, phân tích dữ liệu khách hàng, hoặc dịch vụ xử lý dữ liệu thuê ngoài cho doanh nghiệp khác thì bản thân việc xử lý dữ liệu chính là sản phẩm/dịch vụ, không được coi là hoạt động phụ trợ để hưởng ưu đãi. (b) Doanh nghiệp trực tiếp XỬ LÝ DỮ LIỆU NHẠY CẢM — theo khoản 1 Điều 4 Nghị định 356, dữ liệu nhạy cảm bao gồm cả những loại phổ biến với startup công nghệ như dữ liệu sinh trắc học, dữ liệu tài khoản/thẻ ngân hàng, dữ liệu vị trí, dữ liệu hành vi trên mạng xã hội/viễn thông. Một startup fintech, app quét khuôn mặt, hay app theo dõi vị trí gần như chắc chắn đã chạm ngưỡng này ngay từ đầu, dù quy mô còn rất nhỏ. (c) Số lượng chủ thể dữ liệu đã xử lý LŨY KẾ đạt từ 100.000 NGƯỜI TRỞ LÊN — đây là ngưỡng định lượng cụ thể chỉ nêu tại Nghị định 356 (không có trong bản thân Luật). Với một ứng dụng có lượng người dùng tăng nhanh, mốc 100.000 có thể đến rất sớm — doanh nghiệp cần theo dõi số liệu này liên tục, không chỉ kiểm tra một lần rồi thôi, vì ưu đãi sẽ tự động mất hiệu lực ngay khi vượt ngưỡng. Một lưu ý khác: dù được tạm hoãn ba nghĩa vụ trên, các nghĩa vụ KHÁC trong Luật vẫn áp dụng đầy đủ cho mọi quy mô doanh nghiệp — ví dụ nguyên tắc phải có sự đồng ý trước khi thu thập dữ liệu (Điều 11), quyền rút lại đồng ý và thời hạn xử lý yêu cầu (Điều 10, Điều 5 Nghị định), nghĩa vụ thông báo vi phạm dữ liệu trong 72 giờ (Điều 23). Tạm hoãn CHỈ áp dụng cho ba nghĩa vụ hành chính/tổ chức nội bộ nêu trên (đánh giá tác động, cập nhật đánh giá, chỉ định nhân sự chuyên trách), không phải miễn trừ toàn bộ Luật. Startup nên làm gì: 1) Tự đánh giá xem có rơi vào một trong ba trường hợp loại trừ (a)-(c) hay không — nếu mô hình kinh doanh gắn với dữ liệu nhạy cảm hoặc chính là dịch vụ xử lý dữ liệu, nên chuẩn bị tuân thủ đầy đủ ngay từ đầu thay vì trông chờ vào ưu đãi. 2) Nếu đủ điều kiện tạm hoãn, vẫn nên xây dựng sẵn quy trình cơ bản về xin đồng ý đúng chuẩn, phản hồi yêu cầu của người dùng đúng thời hạn, và có kế hoạch ứng phó sự cố — vì các nghĩa vụ này không nằm trong diện được tạm hoãn. 3) Theo dõi số lượng người dùng/chủ thể dữ liệu theo thời gian thực nếu sản phẩm đang tăng trưởng nhanh, để chủ động chuẩn bị nguồn lực tuân thủ đầy đủ (đánh giá tác động, chỉ định nhân sự) trước khi chạm ngưỡng 100.000, tránh bị động khi ưu đãi hết hiệu lực.Nguồn: Điều 4, Điều 5, Điều 10, Điều 11, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 41 Nghị định 356/2025/NĐ-CP