DOANH NGHIỆP NÀO BẮT BUỘC PHẢI LẬP DPIA?

Câu hỏi doanh nghiệp nào bắt buộc phải lập DPIA là một trong những vấn đề pháp lý được nhiều tổ chức, doanh nghiệp tại Việt Nam quan tâm nhất kể từ khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026. Không ít doanh nghiệp thắc mắc: “Công ty tôi quy mô nhỏ, có phải lập DPIA không? Hộ kinh doanh thì sao?”.

Đặc biệt, Điều 38 của Luật và Điều 41 Nghị định 356/2025/NĐ-CP đã phân loại rõ ràng từng nhóm chủ thể với các mức độ nghĩa vụ khác nhau – từ miễn hoàn toàn đến bắt buộc vô điều kiện.

Bài viết dưới đây phân tích chi tiết quy định này, giúp doanh nghiệp xác định chính xác mình có thuộc diện bắt buộc lập DPIA hay không.

Cơ sở pháp lý:

– Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 của Quốc hội nước Cộng hòa xã hội chủ nghĩa Việt Nam (có hiệu lực từ ngày 01/01/2026);

– Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân;

I. DPIA LÀ GÌ?

DPIA (Data Protection Impact Assessment) – Đánh giá tác động xử lý dữ liệu cá nhân được định nghĩa tại Khoản 12, Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: “Đánh giá tác động xử lý dữ liệu cá nhân là việc phân tích, đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân để áp dụng các biện pháp giảm thiểu rủi ro, bảo vệ dữ liệu cá nhân.”

Kết quả của quá trình này được tập hợp thành Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (thường gọi tắt là hồ sơ DPIA), là tài liệu pháp lý quan trọng mà doanh nghiệp phải lập, lưu trữ và gửi cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an.

II. DOANH NGHIỆP BẮT BUỘC PHẢI LẬP DPIA

Hiện nay, pháp luật Việt Nam chưa có văn bản pháp luật nào quy định trực tiếp các doanh nghiệp bắt buộc phải lập Đánh giá tác động xử lý dữ liệu cá nhân (DPIA). Tuy nhiên, Điều 38 Luật Bảo vệ dữ liệu cá nhân 2025 và Điều 41 Nghị định 356/2025/NĐ-CP đã thiết lập các tiêu chí cụ thể để xác định doanh nghiệp nào thuộc diện bắt buộc, doanh nghiệp nào được miễn trừ hoặc có quyền lựa chọn thực hiện.

Theo quy định tại khoản 2, 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân:

• “2. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này trong thời gian 05 năm kể từ ngày Luật này có hiệu lực thi hành, trừ doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.
• 3. Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này, trừ hộ kinh doanh, doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.”

Trong đó, Điều 21, Điều 22 và khoản 2 Điều 33 của Luật Bảo vệ dữ liệu cá nhân bao gồm các hoạt động:

– Đánh giá tác động xử lý dữ liệu cá nhân (Điều 21).

– Cập nhật hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (Điều 22).

–  Chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (khoản 2 Điều 33).

Nghị định 356/2025/NĐ-CP tại khoản 1 Điều 41 cũng đã làm rõ ngưỡng “số lượng lớn” bằng con số cụ thể: “…xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.”

Như vậy: 

• Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện đánh giá tác động xử lý dữ liệu cá nhân trong thời gian từ 01/01/2026 đến hết 31/12/2030.
• Hộ kinh doanh, doanh nghiệp siêu nhỏ thì không phải đánh giá tác động xử lý dữ liệu cá nhân.

Trường hợp bắt buộc phải đánh giá tác động xử lý dữ liệu cá nhân: 

– Doanh nghiệp vừa và doanh nghiệp lớn không được hưởng bất kỳ chế độ ưu tiên hay lộ trình nào theo Điều 38. Nhóm này phải áp dụng đầy đủ các quy định tại Điều 21 (nghĩa vụ lập DPIA), Điều 22 (cập nhật hồ sơ DPIA) và khoản 2 Điều 33 của Luật ngay từ ngày 01/01/2026.

– Hộ kinh doanh; doanh nghiệp nhỏ, siêu nhỏ; doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn (từ 100 nghìn) chủ thể dữ liệu cá nhân.

III.  THỦ TỤC LẬP VÀ GỬI HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN

3.1. Thành phần hồ sơ

Thành phần hồ sơ báo cáo xử lý dữ liệu cá nhân được quy định cụ thể tại khoản 2 và khoản 3 Điều 19 Nghị định 356/2025/NĐ-CP. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân bao gồm các tài liệu sau:

3.2. Hình thức nộp

Khi đã chuẩn bị đầy đủ hồ sơ, doanh nghiệp có thể lựa chọn một trong ba hình thức nộp hồ sơ:

Trực tuyến: Truy cập Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.

Trực tiếp: tại Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao, Bộ Công an.

Bưu chính: Bộ phận tiếp nhận và trả kết quả thủ tục hành chính về bảo vệ dữ liệu cá nhân tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an.

3.3. Cơ quan giải quyết hồ sơ

Cơ quan tiếp nhận và giải quyết hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là Cục An ninh mạng và phòng chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an.

3.4. Thời hạn nộp hồ sơ

Thời hạn gửi hồ sơ trong vòng 60 ngày kể từ ngày Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân tiến hành xử lý dữ liệu cá nhân. 

KẾT LUẬN

Theo đó, việc nắm rõ phân loại theo Điều 38 Luật 91/2025/QH15 và Điều 41 Nghị định 356/2025/NĐ-CP là bước đầu tiên và quan trọng nhất để doanh nghiệp tuân thủ đúng nghĩa vụ pháp lý, tránh rủi ro bị xử phạt nặng trong kỷ nguyên bảo vệ dữ liệu cá nhân.