Căn cứ: Luật số 91/2025/QH15 · Nghị định số 356/2025/NĐ-CP · Nghị định số 330/2026/NĐ-CP — xem văn bản gốc ↓
Nghĩa vụ bảo vệ dữ liệu cá nhân nói chung áp dụng theo việc có xử lý dữ liệu cá nhân hay không — gần như mọi tổ chức có khách hàng, nhân viên đều thuộc phạm vi Luật. Nhưng riêng hồ sơ đánh giá tác động (DPIA) ở Điều 21 và việc cập nhật ở Điều 22 thì Luật đặt ngưỡng theo quy mô, nên câu trả lời khác nhau giữa một hộ kinh doanh và một công ty lớn.
Điều 38 khoản 3 Luật 91/2025/QH15: hộ kinh doanh và doanh nghiệp siêu nhỏ KHÔNG phải thực hiện Điều 21, Điều 22 và khoản 2 Điều 33. Điều 38 khoản 2: doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền chọn thực hiện hoặc không, trong 05 năm kể từ 01/01/2026. Cả hai miễn trừ đều mất hiệu lực trong ba trường hợp giống nhau, và Nghị định 356/2025/NĐ-CP Điều 41 lượng hóa trường hợp thứ ba thành một con số cụ thể: từ 100 nghìn chủ thể dữ liệu cá nhân trở lên, tính tích lũy trên tổng lượng dữ liệu đã xử lý. Tiêu chí xác định siêu nhỏ / nhỏ lấy theo pháp luật hỗ trợ doanh nghiệp nhỏ và vừa, không phải theo Luật này.
Khi nghĩa vụ phát sinh: bên kiểm soát dữ liệu cá nhân và bên kiểm soát và xử lý dữ liệu cá nhân lập, lưu hồ sơ và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân (Điều 21 khoản 1 Luật; Nghị định 356/2025 Điều 19 khoản 4 — Báo cáo theo Mẫu số 10, kèm Mẫu số 02a/02b). Cơ quan chuyên trách trả kết quả đạt / không đạt trong 15 ngày (Điều 19 khoản 5). Bên xử lý dữ liệu cá nhân lập và lưu hồ sơ theo thỏa thuận với bên kiểm soát (Điều 21 khoản 3). Cơ quan nhà nước có thẩm quyền không phải thực hiện Điều này (Điều 21 khoản 6).
DPIA làm 01 lần cho suốt thời gian hoạt động (Điều 21 khoản 2), cập nhật định kỳ 06 tháng khi có thay đổi, và cập nhật ngay khi tổ chức lại / chấm dứt hoạt động / giải thể / phá sản, khi đổi đơn vị cung cấp dịch vụ bảo vệ dữ liệu, hoặc khi phát sinh, thay đổi ngành nghề liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ (Điều 22 khoản 1, khoản 2). Việc cập nhật thực hiện trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân hoặc tại cơ quan chuyên trách (Điều 22 khoản 3).
Văn bản cũ: Nghị định 13/2023/NĐ-CP hết hiệu lực từ 01/01/2026 (Nghị định 356/2025/NĐ-CP Điều 42 khoản 2). Chuyển tiếp theo Điều 39 Luật: hồ sơ DPIA đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026 tiếp tục được sử dụng và không phải lập lại theo Luật mới — chỉ việc cập nhật sau ngày đó là theo Luật mới; sự đồng ý đã có theo Nghị định 13/2023 cũng không phải xin lại.
Chế tài: Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026) Điều 55 khoản 1 điểm a quy định phạt tiền từ 20.000.000 đến 30.000.000 đồng với hành vi bắt đầu xử lý dữ liệu cá nhân nhưng không lập, không duy trì hồ sơ đánh giá tác động xử lý dữ liệu cá nhân tại trụ sở doanh nghiệp theo Điều 21 Luật. Mức tiền ở phần dữ liệu cá nhân của Nghị định này là mức áp dụng cho tổ chức; cá nhân có cùng hành vi chịu một phần hai mức đó (Điều 7 khoản 1).
Văn bản gốc do cơ quan nhà nước công bố. Nội dung trên trang này là tóm tắt của vandap — đối chiếu điều, khoản được viện dẫn trong văn bản gốc trước khi áp dụng.