Công cụ tuân thủ dữ liệu · Cập nhật 31/10/2026
Nghị định 356/2025 cho công ty nhỏ: có phải làm hồ sơ không?
Nghị định 356/2025/NĐ-CP (ban hành 31/12/2025, hiệu lực 01/01/2026) hướng dẫn Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và thay thế Nghị định 13/2023/NĐ-CP. Trang này tóm tắt phần công ty nhỏ hay hỏi nhất, dẫn đúng điều khoản, rồi cho bạn tự đánh giá trong vài phút.
Tự kiểm tra nhanh: bạn thuộc diện nào?
Trả lời hai câu, trang sẽ cho biết Điều 41 nói gì về trường hợp của bạn. Câu trả lời không được gửi đi đâu.
Điều 41: ai được miễn, miễn cái gì
Điều 38 Luật Bảo vệ dữ liệu cá nhân (số 91/2025/QH15) cho phép miễn một số nghĩa vụ đối với doanh nghiệp nhỏ, khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ. Điều 41 Nghị định 356/2025/NĐ-CP quy định chi tiết như sau.
- Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 của Luật (khoản 2 Điều 41).
- Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện các quy định đó trong 05 năm kể từ ngày Luật có hiệu lực, tức từ 01/01/2026 (khoản 1 Điều 41).
- Ba quy định được miễn nói về: Điều 21 là lập, lưu hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi cơ quan chuyên trách; Điều 22 là cập nhật hồ sơ đó; khoản 2 Điều 33 là chỉ định bộ phận, nhân sự đủ điều kiện bảo vệ dữ liệu hoặc thuê tổ chức, cá nhân cung cấp dịch vụ.
- Ngoại lệ, không được miễn: doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân kể từ thời điểm quy mô đạt từ 100 nghìn chủ thể dữ liệu trở lên, tính theo kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.
Việc nền tảng vẫn phải làm dù được miễn
- Sự đồng ý hợp lệ. Theo Điều 9 Luật, sự đồng ý chỉ có hiệu lực khi dựa trên sự tự nguyện và người có dữ liệu biết rõ loại dữ liệu được xử lý, mục đích, bên kiểm soát, cùng quyền và nghĩa vụ của mình. Công cụ có mẫu thông báo và đồng ý không đặt sẵn ô đồng ý.
- Quy trình đáp ứng quyền của người có dữ liệu. Điều 5 Nghị định yêu cầu có quy trình, thủ tục, biểu mẫu rõ ràng, và các mốc thời hạn trong bảng dưới đây.
- Thông báo vi phạm. Khoản 1 Điều 23 Luật: khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của người có dữ liệu thì phải thông báo cho cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện. Có mẫu quy trình ứng phó sự cố để chuẩn bị trước.
- Giữ dữ liệu an toàn trong thực tế. Giới hạn ai xem được dữ liệu, bật xác thực hai lớp, thu hồi quyền khi nhân viên nghỉ việc. Đây là việc công cụ rà soát tài khoản hỗ trợ.
Thời hạn xử lý yêu cầu của người có dữ liệu (Điều 5 Nghị định)
Với mọi loại yêu cầu, phải phản hồi trong 02 ngày làm việc kể từ khi nhận yêu cầu đúng thủ tục. Cột thực hiện tính từ thời điểm đó. Gia hạn tối đa một lần, phải báo lý do cho người có dữ liệu và chứng minh việc gia hạn là cần thiết, hợp lý.
| Loại yêu cầu | Thực hiện trong | Gia hạn thêm |
|---|---|---|
| Xem, chỉnh sửa, cung cấp dữ liệu (khoản 3) | 10 ngày | tối đa 10 ngày |
| Rút đồng ý, hạn chế, phản đối xử lý (khoản 2) | 15 ngày | tối đa 15 ngày |
| Xóa dữ liệu (khoản 4) | 20 ngày | tối đa 20 ngày |
Nếu cần bên xử lý dữ liệu hoặc bên thứ ba cùng thực hiện thì thời hạn dài hơn theo từng khoản; xem toàn văn Điều 5.
Làm gì tiếp theo
Tự đánh giá
Trả lời các câu hỏi theo quy mô công ty, nhận điểm và danh sách việc còn thiếu.
Soạn văn bản mẫu
Bảng kê dữ liệu, thông báo và đồng ý, quy trình yêu cầu, thỏa thuận đối tác, ứng phó sự cố. Điền thông tin rồi lưu PDF hoặc Word.
Nhờ luật sư rà lại
Mẫu chỉ là bản nháp. Luật sư xác nhận công ty bạn thuộc diện nào và văn bản đã đủ chưa.
Câu hỏi thường gặp
Công ty nhỏ có bắt buộc làm hồ sơ theo Nghị định 356/2025 không?
Không phải mọi nghĩa vụ đều áp dụng. Theo Điều 41 Nghị định 356/2025/NĐ-CP, hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện Điều 21 (đánh giá tác động xử lý dữ liệu), Điều 22 (cập nhật hồ sơ đánh giá tác động) và khoản 2 Điều 33 (chỉ định bộ phận, nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ) của Luật Bảo vệ dữ liệu cá nhân. Doanh nghiệp nhỏ và khởi nghiệp được quyền chọn thực hiện hoặc không trong 5 năm kể từ 01/01/2026. Ngoại lệ: kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu đạt quy mô từ 100 nghìn chủ thể trở lên (tính theo tổng lượng dữ liệu đã xử lý tích lũy). Các nghĩa vụ khác của Luật, như thông báo, xin đồng ý, đáp ứng quyền của người có dữ liệu, vẫn áp dụng.
Doanh nghiệp nhỏ được miễn trong bao lâu?
Theo khoản 1 Điều 41, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện ba quy định nêu trên trong 05 năm kể từ ngày Luật Bảo vệ dữ liệu cá nhân có hiệu lực (01/01/2026), trừ các trường hợp ngoại lệ.
Người có dữ liệu yêu cầu xem, sửa hay xóa dữ liệu thì phải trả lời trong bao lâu?
Theo Điều 5 Nghị định 356/2025/NĐ-CP, phải phản hồi trong 02 ngày làm việc và thực hiện trong 10 ngày (xem, chỉnh sửa, cung cấp dữ liệu), 20 ngày (xóa dữ liệu), hoặc 15 ngày (rút đồng ý, hạn chế, phản đối xử lý). Có thể gia hạn một lần, kèm thông báo lý do cho người có dữ liệu. Nếu cần bên xử lý hoặc bên thứ ba cùng thực hiện thì thời hạn dài hơn theo từng khoản của Điều 5.
Công cụ này có phải tư vấn pháp lý không?
Không. Đây là công cụ tự đánh giá và văn bản mẫu để bạn làm bản nháp. Trang này tóm tắt từ văn bản đăng Công báo, có thể sai lệch hoặc đã lỗi thời. Hãy đối chiếu văn bản gốc và hỏi luật sư trước khi áp dụng cho trường hợp của bạn.
Nguồn văn bản gốc
- Nghị định số 356/2025/NĐ-CP trên Công báo (congbao.chinhphu.vn), bản PDF ký số, Công báo số 18 ngày 18/01/2026. Điều 5, Điều 41, Điều 42.
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Công báo số 971 + 972 ngày 24/7/2025. Điều 9, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38.
- Tra cứu thêm: Cơ sở dữ liệu quốc gia về văn bản pháp luật (vbpl.vn), thuvienphapluat.vn.
Trang này chỉ tóm tắt để tham khảo, không phải tư vấn pháp lý và không thay luật sư. Văn bản có thể được sửa đổi, hướng dẫn thêm sau ngày cập nhật ghi ở đầu trang. Bạn tự chịu trách nhiệm về quyết định của mình.