Ví dụ thực tế về Doanh nghiệp — Trang 25

Câu trả lời ngắn: theo danh mục đã công bố, một công cụ AI tra cứu pháp luật không nằm trong diện rủi ro cao. Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao đã được Thủ tướng Chính phủ ban hành kèm theo Quyết định 33/2026/QĐ-TTg ngày 30/6/2026, có hiệu lực từ ngày 15/8/2026. Trong phần danh mục đọc được, không có mục nào nói về tra cứu thông tin pháp luật hay dịch vụ pháp lý. Một lưu ý: phần phụ lục của văn bản mà bài này đối chiếu được dừng ở mục 31 của lĩnh vực giao thông vận tải, nên kết luận trên dựa vào phần danh mục đã đọc được, chưa kiểm tra được phần nào nằm sau mục đó. VỀ KHUNG PHÂN LOẠI ĐÃ CÓ: Điều 9 Luật Trí tuệ nhân tạo 134/2025/QH15 chia hệ thống AI thành ba mức rủi ro (cao, trung bình, thấp) dựa trên các tiêu chí định tính: mức độ tác động đến quyền con người, an toàn, an ninh; lĩnh vực sử dụng; phạm vi người dùng và quy mô ảnh hưởng. Khoản 3 Điều 9 giao Chính phủ quy định chi tiết điều này. VỀ VIỆC AI TRA CỨU PHÁP LUẬT CÓ THUỘC DIỆN RỦI RO CAO HAY KHÔNG: xét theo tinh thần các tiêu chí định tính tại Điều 9 (mức độ tác động đến quyền con người, phạm vi người dùng), có thể lập luận theo cả hai hướng. Một mặt, công cụ tra cứu pháp luật không TRỰC TIẾP ra quyết định thay con người (không tự động phê duyệt khoản vay, không tự động ra phán quyết) mà chỉ hỗ trợ tra cứu, cung cấp thông tin để người dùng (luật sư, doanh nghiệp, cá nhân) tự đưa ra quyết định, phù hợp với nguyên tắc tại khoản 2 Điều 4: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người." Mặt khác, nếu công cụ được dùng rộng rãi để tư vấn pháp lý, và người dùng tin tưởng tuyệt đối vào kết quả tra cứu mà không kiểm chứng, một câu trả lời sai (trích dẫn nhầm điều luật, dùng văn bản đã hết hiệu lực) có thể dẫn đến hậu quả pháp lý thực sự cho người dùng. Đây chính là loại rủi ro mà khung phân loại của Luật hướng tới xử lý. Khoản 4 Điều 13 Luật quy định rõ: "Thủ tướng Chính phủ quy định Danh mục hệ thống trí tuệ nhân tạo có rủi ro cao, bao gồm danh mục hệ thống trí tuệ nhân tạo phải chứng nhận sự phù hợp trước khi đưa vào sử dụng." Danh mục đó nay là Phụ lục kèm Quyết định 33/2026/QĐ-TTg. Phần đọc được gồm sáu lĩnh vực: giáo dục, dân tộc và tôn giáo, y tế, ngân hàng, tố tụng, giao thông vận tải. Lĩnh vực gần với pháp luật nhất là tố tụng, nhưng chỉ có một mục: "Hệ thống trí tuệ nhân tạo nhận dạng sinh trắc học diện rộng phục vụ giải quyết vụ án dân sự công ích". Công cụ tìm và trích dẫn văn bản luật không làm việc này. Phần lớn các mục còn lại chỉ áp dụng khi hệ thống tự ra quyết định hoặc tự thực thi mà không có con người xem xét, phê duyệt lại, trong khi công cụ tra cứu pháp luật chỉ đưa thông tin để người dùng tự quyết. Điều 2 Quyết định 33/2026/QĐ-TTg cũng chỉ xếp vào rủi ro cao những hệ thống không thuộc trường hợp loại trừ tại khoản 2 Điều 8 Nghị định 142/2026/NĐ-CP. Điểm d khoản này loại trừ hệ thống "Chỉ thực hiện chức năng phân tích, dự báo, đánh giá, khuyến nghị mang tính tham khảo; nhà cung cấp và bên triển khai không được sử dụng kết quả đầu ra làm căn cứ duy nhất để ra quyết định cuối cùng." Một công cụ tra cứu pháp luật dùng đúng vai trò tham khảo khớp với trường hợp này. Danh mục có thể được sửa đổi, bổ sung theo Điều 7 Nghị định 142/2026/NĐ-CP, nên cần xem lại khi có quyết định mới. ĐIỀU VẪN PHẢI LÀM DÙ KHÔNG THUỘC DIỆN RỦI RO CAO: theo khoản 1 Điều 11 Luật về minh bạch, hệ thống AI tương tác trực tiếp với con người phải được thiết kế để người dùng biết mình đang tương tác với AI. Điều 15 Luật còn buộc nhà cung cấp và bên triển khai hệ thống rủi ro trung bình, thấp giải trình khi cơ quan nhà nước có thẩm quyền yêu cầu. Với một công cụ tra cứu pháp luật, điều này có nghĩa: (a) phải trích dẫn rõ nguồn, đúng Điều, Khoản, đúng văn bản, để người dùng có thể tự đối chiếu, không chỉ đưa câu trả lời không kiểm chứng được; (b) phải phân biệt rõ giữa luật đã ban hành, đã có hiệu lực và những gì còn đang chờ văn bản hướng dẫn; (c) không được để người dùng lầm tưởng AI đang "ra phán quyết" thay vì hỗ trợ tra cứu, đúng tinh thần khoản 2 Điều 4 nêu trên. Điểm (c) nay còn quan trọng hơn: chính việc chỉ đưa kết quả tham khảo, để con người ra quyết định cuối cùng, là lý do công cụ này nằm ngoài danh mục rủi ro cao. Về trách nhiệm nếu công cụ tra cứu gây thiệt hại: khoản 2 Điều 29 Luật quy định riêng cho hệ thống AI rủi ro cao. Dù được vận hành đúng quy định mà vẫn gây thiệt hại, bên triển khai (đơn vị cung cấp dịch vụ AI cho người dùng cuối) phải bồi thường trước, sau đó mới yêu cầu nhà cung cấp, nhà phát triển hoàn trả nếu có thỏa thuận. Vì công cụ tra cứu pháp luật không có trong danh mục, quy định này không áp dụng trực tiếp. Nhưng khoản 1 Điều 29 vẫn áp dụng: gây thiệt hại thì phải bồi thường theo pháp luật dân sự. Vì vậy, trích dẫn chính xác và không suy diễn quá những gì luật quy định vẫn nên là cách vận hành mặc định. KẾT LUẬN THỰC TẾ: bất kỳ ai đang đánh giá một công cụ AI tra cứu pháp luật, kể cả tự đánh giá sản phẩm của chính mình, nên đặt ra hai câu hỏi trước khi tin tưởng kết quả: (1) công cụ có trích dẫn được đúng Điều/Khoản, đúng văn bản còn hiệu lực, để tự đối chiếu hay không; (2) công cụ có phân biệt rõ ràng giữa "luật đã quy định" và "đang chờ văn bản hướng dẫn" hay đưa ra câu trả lời khẳng định chắc nịch mà không dẫn được nguồn. Danh mục hệ thống rủi ro cao là ví dụ trực tiếp: câu trả lời đúng phải dẫn được số hiệu văn bản (Quyết định 33/2026/QĐ-TTg), ngày có hiệu lực (15/8/2026), và nói rõ phần nào của danh mục đã đối chiếu được.Nguồn: Điều 4, Điều 9, Điều 11, Điều 13, Điều 15, Điều 29 Luật Trí tuệ nhân tạo 134/2025/QH15; Điều 2, Điều 3 và Phụ lục Quyết định 33/2026/QĐ-TTg; Điều 7, Điều 8 Nghị định 142/2026/NĐ-CP

Có khả năng cao là có — việc công ty mẹ ở nước ngoài truy cập được dữ liệu khách hàng Việt Nam, dù không phải "gửi file" theo cách hiểu thông thường, vẫn có thể bị coi là chuyển dữ liệu xuyên biên giới theo luật hiện hành, và đi kèm nghĩa vụ nộp hồ sơ đánh giá tác động trong một thời hạn cụ thể. Căn cứ khoản 2 Điều 20 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: bên chuyển dữ liệu cá nhân ra nước ngoài phải lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài và nộp bản gốc cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 NGÀY kể từ ngày bắt đầu xử lý (lần chuyển đầu tiên). Điểm quan trọng: khái niệm "chuyển dữ liệu ra nước ngoài" trong thực tiễn áp dụng ở nhiều khung pháp lý tương tự thường không giới hạn ở việc chủ động gửi file — bao gồm cả trường hợp một bên ở nước ngoài được CẤP QUYỀN TRUY CẬP vào hệ thống lưu trữ dữ liệu, dù dữ liệu vật lý vẫn nằm trên máy chủ tại Việt Nam. Với tình huống công ty mẹ ở Singapore có quyền truy cập hệ thống chung để phân tích dữ liệu khách hàng Việt Nam, đây rất có thể rơi vào phạm vi cần đánh giá — công ty nên rà soát kỹ, tốt nhất tham vấn đơn vị tư vấn pháp lý về phạm vi truy cập cụ thể để xác định chắc chắn có thuộc diện phải nộp hồ sơ hay không, vì cách xác định phụ thuộc nhiều vào tính chất, mức độ, mục đích của quyền truy cập đó. Về các trường hợp được miễn nghĩa vụ này, khoản 6 Điều 20 liệt kê một số trường hợp loại trừ, bao gồm: cơ quan nhà nước thực hiện theo chức năng, nhiệm vụ; chính chủ thể dữ liệu tự mình chuyển dữ liệu của bản thân ra nước ngoài; và đáng chú ý — người sử dụng lao động lưu trữ dữ liệu của CHÍNH NHÂN VIÊN mình trên nền tảng đám mây/hệ thống của họ đặt ở nước ngoài. Lưu ý trường hợp miễn này chỉ áp dụng cho dữ liệu NHÂN VIÊN của chính doanh nghiệp, không áp dụng cho dữ liệu KHÁCH HÀNG — nên tình huống công ty bạn nêu (dữ liệu khách hàng, không phải nhân viên) không thuộc diện miễn trừ này. Về nội dung hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, đây là văn bản cần mô tả: loại dữ liệu được chuyển, mục đích chuyển và xử lý ở nước tiếp nhận, bên tiếp nhận dữ liệu, các biện pháp bảo vệ dữ liệu áp dụng, và đánh giá rủi ro liên quan — cấu trúc cụ thể của hồ sơ do Nghị định 356/2025/NĐ-CP quy định chi tiết thêm. Một điểm cần lưu ý về mặt thời hạn: quy định nói "60 ngày kể từ ngày bắt đầu xử lý" (tức lần chuyển dữ liệu đầu tiên) — nếu công ty đã hoạt động theo mô hình chia sẻ dữ liệu với công ty mẹ từ TRƯỚC ngày 01/01/2026 (khi Luật có hiệu lực), cần đối chiếu với điều khoản chuyển tiếp tại Điều 39 Luật: nếu đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023/NĐ-CP cũ và đã được cơ quan chuyên trách tiếp nhận, hồ sơ đó vẫn có giá trị, không phải nộp lại — chỉ khi có thay đổi hoặc đây là lần đầu tiên công ty thực hiện việc chia sẻ dữ liệu kiểu này thì mới tính mốc 60 ngày từ thời điểm phát sinh. Công ty nên làm gì: 1) Xác định rõ bản chất kỹ thuật của việc "công ty mẹ có quyền truy cập": là truy cập trực tiếp vào hệ thống đặt tại Việt Nam, hay dữ liệu thực sự được đồng bộ/sao lưu sang máy chủ đặt tại Singapore? Cách trả lời ảnh hưởng đến việc xác định có phải chuyển dữ liệu ra nước ngoài hay không. 2) Kiểm tra xem trước đây công ty đã từng nộp hồ sơ đánh giá tác động chuyển dữ liệu theo Nghị định 13/2023 cũ chưa — nếu có và đã được tiếp nhận, có thể không cần nộp lại theo điều khoản chuyển tiếp. 3) Nếu chưa từng nộp và việc chia sẻ dữ liệu với công ty mẹ đã/đang diễn ra, nên khẩn trương chuẩn bị hồ sơ đánh giá tác động và nộp cho cơ quan chuyên trách, tính từ thời điểm sớm nhất có thể xác định là "ngày bắt đầu xử lý" để tránh vi phạm thời hạn 60 ngày. 4) Rà soát hợp đồng/thỏa thuận nội bộ tập đoàn về việc chia sẻ dữ liệu giữa công ty mẹ và chi nhánh Việt Nam, đảm bảo có điều khoản về bảo vệ dữ liệu, phạm vi sử dụng, thời hạn lưu trữ rõ ràng — đây thường là một phần nội dung cần thể hiện trong hồ sơ đánh giá tác động.Nguồn: Điều 20, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Nghị định 356/2025/NĐ-CP

Có — và đây là một trong những điểm doanh nghiệp nhỏ/startup nên biết sớm để không tự đặt gánh nặng tuân thủ quá mức cần thiết, nhưng cũng cần hiểu rõ giới hạn của ưu đãi này để tránh chủ quan. Căn cứ khoản 2 và khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Điều 41 Nghị định 356/2025/NĐ-CP cụ thể hóa: doanh nghiệp nhỏ và khởi nghiệp được TẠM HOÃN thực hiện ba nhóm nghĩa vụ trong thời hạn 5 NĂM kể từ ngày Luật có hiệu lực (tức từ 01/01/2026 đến khoảng 01/01/2031): 1) Điều 21 — lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi tắt là ĐTA, tương đương khái niệm DPIA quốc tế). 2) Điều 22 — cập nhật hồ sơ đánh giá tác động khi có thay đổi đáng kể. 3) Khoản 2 Điều 33 — chỉ định bộ phận/nhân sự chuyên trách bảo vệ dữ liệu cá nhân. Riêng với hộ kinh doanh và doanh nghiệp SIÊU NHỎ, mức ưu đãi còn cao hơn: được MIỄN HOÀN TOÀN ba nghĩa vụ trên, không chỉ tạm hoãn có thời hạn. TUY NHIÊN — đây là phần quan trọng nhất, nhiều startup dễ bỏ sót: ưu đãi này KHÔNG áp dụng vô điều kiện. Có ba trường hợp loại trừ khiến doanh nghiệp dù nhỏ vẫn phải tuân thủ đầy đủ ngay từ đầu, không được hưởng tạm hoãn: (a) Hoạt động cốt lõi của doanh nghiệp là CUNG CẤP DỊCH VỤ XỬ LÝ DỮ LIỆU — ví dụ một startup làm nền tảng CRM, phân tích dữ liệu khách hàng, hoặc dịch vụ xử lý dữ liệu thuê ngoài cho doanh nghiệp khác thì bản thân việc xử lý dữ liệu chính là sản phẩm/dịch vụ, không được coi là hoạt động phụ trợ để hưởng ưu đãi. (b) Doanh nghiệp trực tiếp XỬ LÝ DỮ LIỆU NHẠY CẢM — theo khoản 1 Điều 4 Nghị định 356, dữ liệu nhạy cảm bao gồm cả những loại phổ biến với startup công nghệ như dữ liệu sinh trắc học, dữ liệu tài khoản/thẻ ngân hàng, dữ liệu vị trí, dữ liệu hành vi trên mạng xã hội/viễn thông. Một startup fintech, app quét khuôn mặt, hay app theo dõi vị trí gần như chắc chắn đã chạm ngưỡng này ngay từ đầu, dù quy mô còn rất nhỏ. (c) Số lượng chủ thể dữ liệu đã xử lý LŨY KẾ đạt từ 100.000 NGƯỜI TRỞ LÊN — đây là ngưỡng định lượng cụ thể chỉ nêu tại Nghị định 356 (không có trong bản thân Luật). Với một ứng dụng có lượng người dùng tăng nhanh, mốc 100.000 có thể đến rất sớm — doanh nghiệp cần theo dõi số liệu này liên tục, không chỉ kiểm tra một lần rồi thôi, vì ưu đãi sẽ tự động mất hiệu lực ngay khi vượt ngưỡng. Một lưu ý khác: dù được tạm hoãn ba nghĩa vụ trên, các nghĩa vụ KHÁC trong Luật vẫn áp dụng đầy đủ cho mọi quy mô doanh nghiệp — ví dụ nguyên tắc phải có sự đồng ý trước khi thu thập dữ liệu (Điều 11), quyền rút lại đồng ý và thời hạn xử lý yêu cầu (Điều 10, Điều 5 Nghị định), nghĩa vụ thông báo vi phạm dữ liệu trong 72 giờ (Điều 23). Tạm hoãn CHỈ áp dụng cho ba nghĩa vụ hành chính/tổ chức nội bộ nêu trên (đánh giá tác động, cập nhật đánh giá, chỉ định nhân sự chuyên trách), không phải miễn trừ toàn bộ Luật. Startup nên làm gì: 1) Tự đánh giá xem có rơi vào một trong ba trường hợp loại trừ (a)-(c) hay không — nếu mô hình kinh doanh gắn với dữ liệu nhạy cảm hoặc chính là dịch vụ xử lý dữ liệu, nên chuẩn bị tuân thủ đầy đủ ngay từ đầu thay vì trông chờ vào ưu đãi. 2) Nếu đủ điều kiện tạm hoãn, vẫn nên xây dựng sẵn quy trình cơ bản về xin đồng ý đúng chuẩn, phản hồi yêu cầu của người dùng đúng thời hạn, và có kế hoạch ứng phó sự cố — vì các nghĩa vụ này không nằm trong diện được tạm hoãn. 3) Theo dõi số lượng người dùng/chủ thể dữ liệu theo thời gian thực nếu sản phẩm đang tăng trưởng nhanh, để chủ động chuẩn bị nguồn lực tuân thủ đầy đủ (đánh giá tác động, chỉ định nhân sự) trước khi chạm ngưỡng 100.000, tránh bị động khi ưu đãi hết hiệu lực.Nguồn: Điều 4, Điều 5, Điều 10, Điều 11, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 41 Nghị định 356/2025/NĐ-CP

Với đặc thù ngành tài chính tiêu dùng — xử lý khối lượng lớn dữ liệu nhạy cảm (CCCD, tài khoản ngân hàng, sinh trắc học, lịch sử tín dụng) và số lượng khách hàng thường vượt xa ngưỡng miễn trừ cho doanh nghiệp nhỏ — một công ty như vậy gần như chắc chắn thuộc diện phải tuân thủ đầy đủ, không được hưởng ưu đãi tạm hoãn 5 năm dành cho SME. Dưới đây là khung checklist dựa trên các nghĩa vụ cụ thể trong Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hiện hành — mang tính minh họa cho một công ty điển hình trong ngành, không phải đánh giá cho một doanh nghiệp cụ thể nào. ☐ 1) XÁC ĐỊNH DỮ LIỆU NHẠY CẢM ĐANG XỬ LÝ. Theo khoản 1 Điều 4 Nghị định 356, với một công ty cho vay tiêu dùng, gần như chắc chắn có: số CCCD/thông tin định danh, dữ liệu tài khoản/thẻ ngân hàng và lịch sử giao dịch tài chính, dữ liệu sinh trắc học (khuôn mặt qua eKYC). Vì có xử lý dữ liệu nhạy cảm, công ty KHÔNG thuộc diện miễn trừ SME dù quy mô nhỏ (điều kiện loại trừ ưu đãi tại Điều 41 Nghị định 356). ☐ 2) RÀ SOÁT CƠ CHẾ XIN ĐỒNG Ý. Theo khoản 4 Điều 6 Nghị định 356, với dữ liệu nhạy cảm phải thông báo rõ đây là dữ liệu nhạy cảm khi xin đồng ý — không gộp chung vào điều khoản dịch vụ dài dòng mà khách hàng không thực sự đọc. Giao diện đăng ký khoản vay/app cho vay cần: tách riêng mục xin đồng ý xử lý dữ liệu sinh trắc học/tài chính; không mặc định tick sẵn; lưu vết bằng chứng đồng ý (thời điểm, nội dung, hình thức) để chứng minh khi cần theo khoản 2 Điều 6. ☐ 3) LẬP HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU (ĐTA). Khoản 1 Điều 21 Luật yêu cầu nộp hồ sơ đánh giá tác động cho cơ quan chuyên trách trong 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Nếu công ty đã hoạt động trước 01/01/2026 và đã nộp hồ sơ theo Nghị định 13/2023 cũ, hồ sơ đó vẫn có giá trị theo điều khoản chuyển tiếp (khoản 2 Điều 39 Luật) — không cần nộp lại, chỉ cập nhật khi có thay đổi đáng kể về mục đích/phạm vi xử lý (Điều 22). ☐ 4) NẾU CÓ CHUYỂN DỮ LIỆU RA NƯỚC NGOÀI (ví dụ dùng nền tảng eKYC/chấm điểm tín dụng đặt máy chủ ở nước ngoài, hoặc công ty mẹ ở nước ngoài truy cập dữ liệu khách hàng Việt Nam): khoản 2 Điều 20 yêu cầu nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới trong 60 NGÀY kể từ lần chuyển đầu tiên — cần rà soát toàn bộ nhà cung cấp dịch vụ (core banking, chấm điểm tín dụng, lưu trữ đám mây) xem máy chủ đặt ở đâu. ☐ 5) CHỈ ĐỊNH BỘ PHẬN/NHÂN SỰ BẢO VỆ DỮ LIỆU. Điều 33 khoản 1-2 Luật yêu cầu có bộ phận/nhân sự phụ trách — Điều 13 Nghị định 356 đặt tiêu chuẩn: trình độ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, CNTT, an ninh mạng, quản trị rủi ro...), được đào tạo về bảo vệ dữ liệu cá nhân. Với công ty tài chính, nhân sự này thường nên phối hợp chặt với bộ phận tuân thủ/pháp chế và bộ phận an ninh thông tin sẵn có. ☐ 6) XÂY DỰNG QUY TRÌNH PHẢN HỒI YÊU CẦU CỦA KHÁCH HÀNG. Theo khoản 2 Điều 5 Nghị định 356: phản hồi yêu cầu rút lại đồng ý/hạn chế xử lý trong 2 NGÀY LÀM VIỆC, hoàn tất trong 15 NGÀY (hoặc 20 ngày nếu có bên thứ ba xử lý dữ liệu liên quan, ví dụ đơn vị chấm điểm tín dụng thuê ngoài). Với ngành cho vay, cần lưu ý ngoại lệ tại Điều 19 Luật — một số dữ liệu vẫn cần giữ lại để thực hiện nghĩa vụ hợp đồng vay đang có hiệu lực, cần nêu rõ căn cứ khi từ chối yêu cầu xóa toàn bộ dữ liệu của khách hàng đang có khoản vay chưa tất toán. ☐ 7) XÂY DỰNG QUY TRÌNH ỨNG PHÓ SỰ CỐ RÒ RỈ DỮ LIỆU. Khoản 1 Điều 23 Luật yêu cầu thông báo cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện vi phạm có khả năng ảnh hưởng đến tính mạng, sức khỏe, danh dự, tài sản của khách hàng. Với công ty tài chính nắm dữ liệu tài khoản ngân hàng của hàng chục nghìn khách hàng, đây là rủi ro cao nếu bị tấn công mạng — cần có quy trình phát hiện sớm, mẫu thông báo (Mẫu số 08 theo Điều 28 Nghị định 356) chuẩn bị sẵn, không phải soạn từ đầu khi sự cố xảy ra. ☐ 8) RÀ SOÁT HỢP ĐỒNG VỚI ĐỐI TÁC XỬ LÝ DỮ LIỆU BÊN NGOÀI. Các nhà cung cấp dịch vụ chấm điểm tín dụng, eKYC, thu hồi nợ thuê ngoài đều là "bên xử lý dữ liệu" hoặc "bên thứ ba" theo Luật — hợp đồng với các đối tác này cần có điều khoản ràng buộc về bảo vệ dữ liệu, phối hợp khi có yêu cầu rút lại đồng ý hoặc sự cố rò rỉ. Mức độ ưu tiên thực tế: với một công ty tài chính tiêu dùng đã hoạt động một thời gian, mục (2) sửa giao diện xin đồng ý và mục (7) quy trình ứng phó sự cố thường là hai điểm rủi ro cao nhất bị bỏ sót trong thực tế, vì đây là chỗ trực tiếp ảnh hưởng đến số đông khách hàng và dễ bị phát hiện vi phạm nhất khi có khiếu nại hoặc thanh tra.Nguồn: Điều 4, Điều 5, Điều 6, Điều 19, Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 39, Điều 41 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP

Có — và luật quy định thời hạn cụ thể theo từng bước, không phải một con số chung chung mơ hồ. Về quyền của khách hàng: khoản 1 Điều 10 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định "Chủ thể dữ liệu cá nhân có quyền yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, yêu cầu hạn chế xử lý dữ liệu cá nhân của mình khi có nghi ngờ về phạm vi, mục đích xử lý dữ liệu cá nhân hoặc tính chính xác của dữ liệu cá nhân, trừ trường hợp quy định tại Điều 19 của Luật này." Yêu cầu này phải được thể hiện bằng văn bản (bao gồm cả dạng điện tử như email, tin nhắn — miễn có thể kiểm chứng được) và gửi cho bên kiểm soát dữ liệu — đúng như tình huống công ty bạn đang gặp. Về thời hạn xử lý cụ thể, đây là phần quan trọng nhất mà nhiều doanh nghiệp bỏ sót vì bản thân Luật chỉ nói chung chung "theo thời hạn quy định của pháp luật" — thời hạn chính xác nằm ở khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP, quy định theo hai bước rõ ràng: Bước 1 — phản hồi ban đầu: "Khi nhận được yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, hạn chế xử lý dữ liệu cá nhân, phản đối xử lý dữ liệu cá nhân theo đúng thủ tục... bên kiểm soát dữ liệu cá nhân... phải phản hồi trong thời hạn 02 NGÀY LÀM VIỆC, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục ngừng xử lý dữ liệu cá nhân..." Bước 2 — thực hiện thực tế: "...và thực hiện trong thời hạn 15 NGÀY." Đây là thời hạn để công ty thực sự ngừng xử lý dữ liệu theo yêu cầu, không chỉ dừng ở việc phản hồi bằng lời. Bước 3 — nếu có bên thứ ba liên quan: "Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba ngừng xử lý dữ liệu cá nhân... thì thực hiện trong thời hạn 20 NGÀY." Tức nếu công ty bạn có chia sẻ dữ liệu của khách hàng này cho một đơn vị xử lý dữ liệu bên ngoài (ví dụ nhà cung cấp dịch vụ CRM, đối tác marketing), thời hạn để đảm bảo cả bên thứ ba đó cũng ngừng xử lý là 20 ngày, dài hơn so với trường hợp chỉ xử lý nội bộ. Về gia hạn: nếu có lý do chính đáng, công ty được phép gia hạn thêm tối đa 15 ngày so với các mốc trên, nhưng phải thông báo rõ lý do cho khách hàng biết trong quá trình xử lý — không được im lặng kéo dài quá thời hạn mà không giải thích. Một điểm quan trọng khác cần lưu ý: theo khoản 4 Điều 10 Luật, việc rút lại đồng ý KHÔNG có hiệu lực hồi tố — nghĩa là việc công ty đã xử lý dữ liệu hợp pháp TRƯỚC thời điểm nhận được yêu cầu rút lại vẫn được coi là hợp pháp, công ty không phải "xóa dấu vết" toàn bộ lịch sử xử lý trước đó, chỉ cần ngừng các hoạt động xử lý MỚI kể từ khi nhận yêu cầu. Cũng cần lưu ý về ngoại lệ tại Điều 19 Luật (được dẫn chiếu ở trên) — có một số trường hợp bên kiểm soát dữ liệu có thể tiếp tục xử lý dữ liệu dù chủ thể dữ liệu đã yêu cầu rút lại đồng ý/hạn chế xử lý, ví dụ khi việc xử lý là cần thiết để thực hiện nghĩa vụ theo hợp đồng đang có hiệu lực với chính chủ thể dữ liệu đó, hoặc theo yêu cầu của pháp luật — công ty nên rà soát kỹ trường hợp cụ thể của mình trước khi từ chối yêu cầu của khách hàng dựa trên ngoại lệ này, tránh viện dẫn sai. Doanh nghiệp nên làm gì khi nhận được yêu cầu như trên: 1) Trong vòng 2 ngày làm việc, phản hồi xác nhận đã nhận được yêu cầu và cung cấp thông tin về thủ tục ngừng xử lý sẽ thực hiện. 2) Rà soát xem dữ liệu của khách hàng này có đang được chia sẻ với bên thứ ba nào không, để tính đúng thời hạn áp dụng (15 ngày nếu chỉ nội bộ, 20 ngày nếu có bên thứ ba). 3) Thực hiện việc ngừng xử lý đúng thời hạn, lưu lại bằng chứng đã hoàn thành (thời điểm, phạm vi đã ngừng xử lý) để có thể chứng minh nếu sau này có khiếu nại. 4) Nếu công ty có lý do để tiếp tục xử lý một phần dữ liệu theo ngoại lệ Điều 19, cần nêu rõ căn cứ pháp lý cụ thể trong phản hồi gửi khách hàng, không nên từ chối chung chung mà không giải thích.Nguồn: Điều 10, Điều 19 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5 Nghị định 356/2025/NĐ-CP

Đúng — nhưng đây không đơn thuần là một nghị định thay một nghị định khác. Từ 01/01/2026, khung pháp lý về bảo vệ dữ liệu cá nhân đã được nâng lên thành LUẬT, không còn dừng ở cấp nghị định như trước. Văn bản gốc hiện hành là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, được Quốc hội thông qua ngày 26/6/2025, có hiệu lực từ 01/01/2026. Đi kèm là Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực cùng ngày 01/01/2026) — quy định chi tiết một số điều và biện pháp thi hành Luật này. Khoản 2 Điều 42 Nghị định 356 nêu rõ: "Nghị định số 13/2023/NĐ-CP ngày 17 tháng 4 năm 2023 của Chính phủ về bảo vệ dữ liệu cá nhân hết hiệu lực kể từ ngày Nghị định này có hiệu lực thi hành." Nói cách khác: Nghị định 13/2023 đã hết hiệu lực từ đúng ngày 01/01/2026 — nếu doanh nghiệp vẫn đang tra cứu và áp dụng theo Nghị định 13, cần cập nhật ngay sang Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Một số thay đổi đáng chú ý so với khung Nghị định 13 cũ mà doanh nghiệp cần nắm: 1) Đánh giá tác động xử lý dữ liệu cá nhân (ĐTA — tương đương DPIA): Điều 21 khoản 1 Luật 91/2025/QH15 yêu cầu bên kiểm soát dữ liệu phải lập hồ sơ đánh giá tác động và nộp bản gốc cho cơ quan chuyên trách trong thời hạn 60 NGÀY kể từ ngày đầu tiên xử lý dữ liệu cá nhân. Đây là nghĩa vụ một lần cho suốt vòng đời hoạt động, cập nhật khi có thay đổi đáng kể (Điều 22). 2) Chuyển dữ liệu ra nước ngoài: khoản 2 Điều 20 áp dụng cùng thời hạn 60 ngày kể từ lần chuyển dữ liệu xuyên biên giới đầu tiên để nộp hồ sơ đánh giá tác động chuyển dữ liệu — có một số trường hợp được miễn tại khoản 6 (cơ quan nhà nước, chủ dữ liệu tự chuyển, người sử dụng lao động lưu trữ dữ liệu nhân viên trên nền tảng đám mây của chính họ...). 3) Nhân sự/bộ phận bảo vệ dữ liệu (tương đương DPO): Điều 33 khoản 1-2 yêu cầu chỉ định một bộ phận/nhân sự nội bộ hoặc thuê đơn vị có chức năng bảo vệ dữ liệu cá nhân. Nghị định 356 Điều 13 đặt tiêu chuẩn cụ thể: trình độ từ cao đẳng trở lên, tối thiểu 2 năm kinh nghiệm liên quan (pháp lý, công nghệ thông tin, an ninh mạng, an toàn dữ liệu, quản trị rủi ro, nhân sự), được đào tạo về pháp luật/kỹ năng bảo vệ dữ liệu cá nhân. 4) Thông báo vi phạm dữ liệu: Điều 23 khoản 1 quy định thời hạn thông báo cho cơ quan chuyên trách CHẬM NHẤT 72 GIỜ kể từ khi phát hiện hành vi vi phạm có khả năng gây ảnh hưởng đến quốc phòng, an ninh, trật tự hoặc đến tính mạng, sức khỏe, danh dự, tài sản của chủ thể dữ liệu. VỀ ƯU ĐÃI CHO DOANH NGHIỆP NHỎ VÀ STARTUP: Điều 38 khoản 2-3 Luật, được Nghị định 356 Điều 41 cụ thể hóa, cho phép doanh nghiệp nhỏ/khởi nghiệp được TẠM HOÃN thực hiện các nghĩa vụ tại Điều 21 (đánh giá tác động), Điều 22 (cập nhật), và khoản 2 Điều 33 (chỉ định bộ phận bảo vệ dữ liệu) trong 5 NĂM kể từ ngày Luật có hiệu lực (tức đến khoảng 01/01/2031); hộ kinh doanh/doanh nghiệp siêu nhỏ được miễn hoàn toàn các nghĩa vụ này. Tuy nhiên, ưu đãi này KHÔNG áp dụng nếu: hoạt động cốt lõi là cung cấp dịch vụ xử lý dữ liệu, doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm, hoặc số lượng chủ thể dữ liệu đã xử lý lũy kế đạt từ 100.000 người trở lên (ngưỡng này chỉ nêu tại Nghị định, không có trong Luật). VỀ GIAI ĐOẠN CHUYỂN TIẾP: khoản 1 Điều 39 Luật quy định hoạt động xử lý dữ liệu đang thực hiện mà đã được sự đồng ý hoặc theo thỏa thuận theo Nghị định 13/2023 (cũ) trước ngày Luật có hiệu lực thì được tiếp tục thực hiện, KHÔNG phải xin lại đồng ý hay thỏa thuận lại. Khoản 2 cũng cho biết hồ sơ đánh giá tác động/chuyển dữ liệu đã nộp và được cơ quan tiếp nhận theo Nghị định 13 cũ vẫn có giá trị, không phải nộp lại — chỉ khi có cập nhật sau ngày Luật có hiệu lực mới áp dụng quy định mới. Doanh nghiệp nên làm ngay: (1) xác định mình có thuộc diện được tạm hoãn 5 năm hay không (dựa vào quy mô, có xử lý dữ liệu nhạy cảm hay không, số chủ thể dữ liệu đã xử lý); (2) nếu KHÔNG thuộc diện tạm hoãn và đã bắt đầu xử lý dữ liệu, tính ngược thời hạn 60 ngày để nộp hồ sơ đánh giá tác động nếu chưa nộp; (3) chỉ định bộ phận/nhân sự phụ trách bảo vệ dữ liệu đúng tiêu chuẩn tại Điều 13 Nghị định 356 nếu thuộc diện bắt buộc; (4) xây dựng quy trình nội bộ để đáp ứng thời hạn 72 giờ thông báo vi phạm nếu có sự cố xảy ra.Nguồn: Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38, Điều 39 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 13, Điều 41, Điều 42 Nghị định 356/2025/NĐ-CP

Luật Trí tuệ nhân tạo số 134/2025/QH15 được Quốc hội thông qua ngày 10/12/2025, có hiệu lực thi hành từ ngày 01/03/2026 (Điều 34). Đây là đạo luật khung (principle-based), tiếp cận theo mức độ rủi ro (risk-based) — về hướng tiếp cận tổng thể có nét tương đồng với EU AI Act, nhưng có một điểm đi xa hơn: luật khẳng định rõ ràng AI không thay thế thẩm quyền của con người, người ra quyết định vẫn phải chịu trách nhiệm pháp lý khi sử dụng AI. BA ĐIỂM CỐT LÕI ĐÃ CÓ TRONG LUẬT: 1) Con người vẫn là người chịu trách nhiệm cuối cùng. Khoản 2 Điều 4 quy định: "Trí tuệ nhân tạo phục vụ con người, không thay thế thẩm quyền và trách nhiệm của con người. Bảo đảm duy trì sự kiểm soát và khả năng can thiệp của con người đối với mọi quyết định và hành vi của hệ thống trí tuệ nhân tạo." Với công ty tài chính, điều này có nghĩa: không thể để một hệ thống AI tự động ra quyết định cuối cùng (ví dụ duyệt/từ chối khoản vay) mà không có cơ chế con người kiểm soát, can thiệp được — kể cả khi hệ thống AI đó do bên thứ ba cung cấp. 2) Nguyên tắc không thiên lệch, không phân biệt đối xử — nhưng chi tiết chưa được luật hóa cụ thể. Khoản 3 Điều 4 nêu nguyên tắc chung: "Bảo đảm công bằng, minh bạch, không thiên lệch, không phân biệt đối xử và không gây hại cho con người hoặc xã hội... thực hiện trách nhiệm giải trình về các quyết định và hệ quả của hệ thống trí tuệ nhân tạo." Cần lưu ý: bản thân Luật KHÔNG liệt kê cụ thể các đặc điểm được bảo vệ (tuổi tác, giới tính, dân tộc...) hay quy định riêng cho lĩnh vực tuyển dụng — đây là nguyên tắc chung. Ví dụ một hệ thống AI tuyển dụng tự động loại ứng viên theo độ tuổi hoặc dân tộc mà không có căn cứ hợp pháp là minh họa cho tinh thần của nguyên tắc này, không phải trích dẫn nguyên văn luật. Chi tiết hóa nguyên tắc công bằng, không phân biệt đối xử được giao cho Khung đạo đức trí tuệ nhân tạo quốc gia (Điều 26) — văn bản này do Bộ trưởng Bộ Khoa học và Công nghệ ban hành, tại thời điểm luật có hiệu lực vẫn CHƯA được ban hành. 3) Phân loại theo mức độ rủi ro. Điều 9 chia hệ thống AI thành ba mức: rủi ro cao (có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe, quyền lợi hợp pháp, an ninh quốc gia), rủi ro trung bình (có khả năng gây nhầm lẫn/thao túng do người dùng không nhận biết đang tương tác với AI), và rủi ro thấp (còn lại). Hệ thống rủi ro cao phải qua đánh giá sự phù hợp trước khi đưa vào sử dụng (Điều 13) — nhưng DANH MỤC cụ thể hệ thống nào được coi là rủi ro cao lại do Thủ tướng Chính phủ ban hành riêng (khoản 4 Điều 13), chưa có trong luật. DEADLINE CỤ THỂ CẦN LƯU Ý NGAY: khoản 1 Điều 35 (điều khoản chuyển tiếp) quy định thời hạn tuân thủ cho các hệ thống AI đã đưa vào hoạt động TRƯỚC ngày luật có hiệu lực: 18 tháng kể từ 01/03/2026 đối với hệ thống AI trong lĩnh vực y tế, giáo dục và TÀI CHÍNH (tức đến khoảng tháng 9/2027); 12 tháng đối với các lĩnh vực còn lại. Trong thời hạn chuyển tiếp, hệ thống vẫn được tiếp tục hoạt động, trừ khi cơ quan quản lý nhà nước xác định hệ thống có nguy cơ gây thiệt hại nghiêm trọng thì có quyền yêu cầu tạm dừng (khoản 2 Điều 35). Với một tổ chức tín dụng/cho vay đang dùng AI (chấm điểm tín dụng, phát hiện gian lận, chatbot tư vấn...), đây là mốc thời gian thực tế đầu tiên cần đưa vào kế hoạch tuân thủ. VỀ TRÁCH NHIỆM BỒI THƯỜNG: đáng chú ý, khoản 2 Điều 29 quy định — ngay cả khi hệ thống AI rủi ro cao được quản lý, vận hành đúng quy định nhưng vẫn gây thiệt hại, bên triển khai (deployer, tức chính doanh nghiệp sử dụng hệ thống) vẫn phải bồi thường trước cho người bị thiệt hại, sau đó mới có thể yêu cầu nhà cung cấp/nhà phát triển hoàn trả nếu có thỏa thuận. Đây gần như trách nhiệm nghiêm ngặt (strict liability) đặt lên bên triển khai — lý do quan trọng để đánh giá kỹ hợp đồng với nhà cung cấp AI (điều khoản bồi hoàn, phân chia trách nhiệm) trước khi triển khai, không đợi đến khi có sự cố. NHỮNG GÌ LUẬT CHƯA QUY ĐỊNH CHI TIẾT — CẦN THEO DÕI: đây là luật khung, Quốc hội cố ý để chi tiết cho nghị định hướng dẫn và quy định chuyên ngành. Riêng trong văn bản này đã có tới 16 điều khoản giao Chính phủ/Thủ tướng/Bộ quy định chi tiết, trong đó quan trọng nhất với doanh nghiệp: (a) tiêu chí và danh mục cụ thể hệ thống rủi ro cao (Điều 9, Điều 13); (b) hình thức đánh giá sự phù hợp, tổ chức đánh giá được công nhận (Điều 13); (c) Khung đạo đức trí tuệ nhân tạo quốc gia — nơi các nguyên tắc công bằng, không phân biệt đối xử sẽ được cụ thể hóa (Điều 26); (d) mức xử phạt hành chính cụ thể cho vi phạm liên quan AI (khoản 5 Điều 29). Tất cả các văn bản này CHƯA được xác nhận ban hành tại thời điểm bài viết — bộ phận pháp chế nên đặt lịch theo dõi Cổng thông tin điện tử một cửa về trí tuệ nhân tạo (Điều 8 của Luật) thay vì giả định chi tiết trước khi có văn bản chính thức. VIỆC CẦN LÀM NGAY với đội pháp chế/tuân thủ: (1) kiểm kê toàn bộ hệ thống AI đang dùng trong nghiệp vụ (chấm điểm tín dụng, KYC/AML, chatbot, hệ thống định giá...), sơ bộ xếp loại theo ba mức rủi ro của Điều 9 để chuẩn bị trước khi có danh mục chính thức; (2) rà soát hợp đồng với nhà cung cấp AI hiện tại — đặc biệt điều khoản trách nhiệm, quyền can thiệp/dừng hệ thống của con người, và nghĩa vụ minh bạch của Điều 11; (3) với hệ thống tài chính đã vận hành trước 1/3/2026, đưa deadline 18 tháng (khoảng 9/2027) vào lịch tuân thủ; (4) chỉ định người/bộ phận chịu trách nhiệm theo dõi các nghị định hướng dẫn khi được ban hành, vì phần lớn nghĩa vụ cụ thể (mức phạt, danh mục rủi ro cao, tiêu chuẩn đánh giá) sẽ nằm ở đó chứ không phải trong luật gốc. — BÌNH LUẬN (không phải trích dẫn luật): với các công cụ AI dùng cho tra cứu, nghiên cứu pháp lý nội bộ, nguyên tắc minh bạch và trách nhiệm giải trình của Luật này cũng đáng để đội pháp chế cân nhắc khi lựa chọn công cụ — dù luật không quy định riêng cho nhóm công cụ tra cứu/legal-research. Hai câu hỏi thực tế nên đặt ra: (a) dữ liệu truy vấn có được lưu trữ/xử lý ở đâu (data residency) — có phù hợp với chính sách bảo mật nội bộ và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 hay không; (b) công cụ có trích dẫn rõ nguồn — đúng Điều, Khoản, đúng văn bản còn hiệu lực — để đội pháp chế tự đối chiếu, hay chỉ đưa ra câu trả lời không kiểm chứng được. Đây là góc nhìn thực tiễn khi đánh giá công cụ, không phải nghĩa vụ luật định. Nếu cần tra cứu nhanh một Điều, Khoản cụ thể của Luật Trí tuệ nhân tạo hay các văn bản liên quan trong lúc rà soát, Lawgical đưa kho 150.000+ văn bản pháp luật Việt Nam — cập nhật hàng ngày — vào thẳng Claude, ChatGPT hoặc Gemini bạn đang dùng, trả lời kèm trích dẫn Điều/Khoản để tự đối chiếu.Nguồn: Điều 4, Điều 7, Điều 9, Điều 11, Điều 13, Điều 26, Điều 29, Điều 34, Điều 35 Luật Trí tuệ nhân tạo 134/2025/QH15

Với một cửa hàng tạp hóa có địa điểm cố định do gia đình tự đứng bán, câu trả lời mặc định gần như chắc chắn là hộ kinh doanh — không phải doanh nghiệp/công ty. Nhưng để chọn đúng và biết khi nào nên cân nhắc lên công ty, cần hiểu rõ ưu nhược điểm của từng loại và cách tính thuế đã thay đổi từ 2026. CẬP NHẬT QUAN TRỌNG (từ 01/01/2026): mức ngưỡng doanh thu miễn thuế nêu trong bài (500 triệu đồng) ĐÃ ĐƯỢC NÂNG LÊN 1 TỶ ĐỒNG theo Nghị định 141/2026/NĐ-CP (sửa đổi Nghị định 68/2026/NĐ-CP), có hiệu lực hồi tố từ 01/01/2026. Toàn bộ các mốc "500 triệu đồng" nhắc đến bên dưới (miễn thuế TNCN, miễn thuế GTGT, ngưỡng tính thuế theo tỷ lệ %) nay áp dụng ở mức 1 TỶ ĐỒNG. Bài viết gốc bên dưới giữ nguyên số liệu tại thời điểm viết (trước khi có Nghị định 141/2026/NĐ-CP) để tham khảo diễn giải, nhưng con số cần dùng hiện nay là 1 tỷ đồng, không phải 500 triệu. Vì sao bắt buộc phải đăng ký, không được bán chui: Điều 82 khoản 3 Nghị định 168/2025/NĐ-CP chỉ miễn đăng ký cho hộ sản xuất nông lâm ngư nghiệp, người bán hàng rong, quà vặt, buôn chuyến, kinh doanh lưu động, thời vụ, thu nhập thấp. Một cửa hàng tạp hóa có địa điểm cố định không thuộc diện này, nên theo khoản 2 Điều 83 nghị định này, bắt buộc phải đăng ký hộ kinh doanh (hoặc doanh nghiệp) mới được hoạt động hợp pháp. 1) HỘ KINH DOANH — lựa chọn mặc định cho tạp hóa gia đình Định nghĩa: theo khoản 2 Điều 3 Nghị quyết 198/2025/QH15, hộ kinh doanh là loại hình do một cá nhân hoặc các thành viên hộ gia đình đăng ký, chịu trách nhiệm bằng TOÀN BỘ TÀI SẢN CỦA MÌNH đối với hoạt động kinh doanh — đây là điểm mấu chốt cần cân nhắc: không có sự tách bạch giữa tài sản kinh doanh và tài sản cá nhân/gia đình. Ưu điểm: thủ tục đăng ký đơn giản, nộp tại UBND cấp xã (Điều 99 Nghị định 168/2025/NĐ-CP); nếu nhiều thành viên gia đình cùng đứng tên thì chỉ cần ủy quyền công chứng cho một người đại diện (khoản 1 Điều 82); sổ sách kế toán đơn giản hơn nhiều so với doanh nghiệp, không cần kế toán trưởng hay báo cáo tài chính theo chuẩn mực doanh nghiệp; không phải nộp thuế thu nhập doanh nghiệp (vì không phải pháp nhân), chỉ nộp thuế thu nhập cá nhân. Nhược điểm: chịu trách nhiệm vô hạn — nếu nợ nần, tranh chấp với nhà cung cấp hay bị kiện, chủ hộ phải trả bằng toàn bộ tài sản cá nhân, không giới hạn ở vốn kinh doanh; mỗi cá nhân chỉ được đăng ký MỘT hộ kinh doanh trên toàn quốc (khoản 1 Điều 83), nên khó mở thêm cửa hàng độc lập dưới hình thức hộ kinh doanh khác; khó vay vốn ngân hàng quy mô lớn hoặc gọi vốn đầu tư vì không có tư cách pháp nhân riêng biệt. Về thuế — thay đổi lớn từ 2026: khoản 6 Điều 10 Nghị quyết 198/2025/QH15 quy định hộ kinh doanh, cá nhân kinh doanh KHÔNG còn áp dụng thuế khoán từ ngày 01/01/2026, phải nộp thuế theo kê khai. Theo Điều 7 Luật Thuế thu nhập cá nhân 109/2025/QH15: nếu doanh thu năm từ 500 triệu đồng trở xuống thì được miễn hoàn toàn thuế thu nhập cá nhân (khoản 1); nếu vượt mức này, được chọn một trong hai cách — (a) tính thuế trên thu nhập tính thuế (doanh thu trừ chi phí) theo biểu suất 15%/17%/20% tùy mức doanh thu (khoản 2), hoặc (b) nộp trực tiếp theo tỷ lệ phần trăm trên phần doanh thu vượt ngưỡng 500 triệu, riêng với hoạt động phân phối, cung cấp hàng hóa (đúng bản chất tạp hóa) thuế suất chỉ 0,5% (khoản 3 điểm b). Ngoài ra khoản 7 Điều 10 Nghị quyết 198/2025/QH15 bãi bỏ hoàn toàn lệ phí môn bài từ 01/01/2026 — áp dụng chung cho cả hộ kinh doanh và doanh nghiệp. Hóa đơn điện tử: dù chọn loại hình nào, vì tạp hóa là bán lẻ trực tiếp đến người tiêu dùng, theo điểm c khoản 1 Điều 6 Nghị định 254/2026/NĐ-CP vẫn bắt buộc dùng hóa đơn điện tử khởi tạo từ máy tính tiền, không phân biệt doanh thu cao hay thấp. 2) DOANH NGHIỆP NHỎ (công ty TNHH một thành viên) — khi nào nên cân nhắc Ưu điểm lớn nhất là trách nhiệm hữu hạn: theo khoản 1 Điều 74 Luật Doanh nghiệp 59/2020/QH14, chủ sở hữu công ty TNHH một thành viên chỉ chịu trách nhiệm về nợ và nghĩa vụ tài sản của công ty trong phạm vi vốn điều lệ đã góp — tài sản cá nhân/gia đình ngoài phần vốn góp được bảo vệ, khác hẳn hộ kinh doanh. (Lưu ý: nếu chọn hình thức doanh nghiệp tư nhân theo Điều 188 thay vì công ty TNHH thì vẫn chịu trách nhiệm vô hạn bằng toàn bộ tài sản như hộ kinh doanh — không có lợi thế này, nên nếu đã lên doanh nghiệp thì công ty TNHH một thành viên thường hợp lý hơn doanh nghiệp tư nhân.) Ưu đãi thuế đáng chú ý cho doanh nghiệp mới: khoản 4 Điều 10 Nghị quyết 198/2025/QH15 quy định miễn HOÀN TOÀN thuế thu nhập doanh nghiệp trong 3 năm kể từ ngày được cấp Giấy chứng nhận đăng ký doanh nghiệp lần đầu — đây là lợi thế thực sự đáng cân nhắc nếu tạp hóa có doanh thu đủ lớn và gia đình có ý định lên doanh nghiệp trong thời gian tới. Nhược điểm: phải có sổ sách kế toán đầy đủ theo Thông tư 99/2025/TT-BTC (chế độ kế toán doanh nghiệp) — phức tạp, thường phải thuê dịch vụ kế toán, tốn chi phí vận hành hơn; thủ tục thành lập, giải thể phức tạp hơn hộ kinh doanh; vẫn phải dùng hóa đơn điện tử khởi tạo từ máy tính tiền như hộ kinh doanh (không khác biệt ở điểm này). KHUYẾN NGHỊ THEO DOANH THU: - Doanh thu dưới 500 triệu đồng/năm: chọn hộ kinh doanh — được miễn hoàn toàn thuế thu nhập cá nhân, thủ tục đơn giản nhất, không có lý do gì để chịu thêm gánh nặng kế toán của doanh nghiệp. - Doanh thu trên 500 triệu đến vài tỷ đồng/năm, gia đình vẫn trực tiếp quản lý, không có kế hoạch vay vốn lớn hay mở nhiều điểm bán: hộ kinh doanh vẫn hợp lý — mức thuế 0,5% trên phần doanh thu vượt ngưỡng (nếu chọn phương pháp tỷ lệ %) khá thấp so với gánh nặng kế toán khi lên doanh nghiệp. - Doanh thu lớn, có kế hoạch mở rộng nhiều chi nhánh, vay vốn ngân hàng quy mô lớn, hoặc muốn tách bạch rủi ro tài sản cá nhân khỏi rủi ro kinh doanh: nên cân nhắc chuyển đổi lên công ty TNHH một thành viên — thủ tục chuyển đổi trực tiếp từ hộ kinh doanh được quy định tại Điều 27 Nghị định 168/2025/NĐ-CP, và nếu làm ngay khi doanh thu còn chưa quá cao, có thể tận dụng trọn 3 năm miễn thuế thu nhập doanh nghiệp theo khoản 4 Điều 10 Nghị quyết 198/2025/QH15. Muốn xem con số cụ thể cho doanh thu của mình? Công cụ So sánh thuế hộ kinh doanh và công ty tại lawgical.vn/tinh/thue-ho-kinh-doanh-hay-cong-ty tính ngay số thuế ước tính cho từng loại hình, có tính cả 3 năm miễn thuế TNDN cho doanh nghiệp mới và khoản thuế 5% khi rút lợi nhuận về cá nhân.Nguồn: Điều 3, Điều 10 Nghị quyết 198/2025/QH15; Điều 82, Điều 83, Điều 27, Điều 99 Nghị định 168/2025/NĐ-CP; Điều 7 Luật Thuế thu nhập cá nhân 109/2025/QH15; Điều 6 Nghị định 254/2026/NĐ-CP; Điều 46, Điều 74, Điều 188 Luật Doanh nghiệp 59/2020/QH14; Điều 1 Nghị định 141/2026/NĐ-CP (nâng ngưỡng 500 triệu lên 1 tỷ đồng, hiệu lực từ 01/01/2026)