Hộ kinh doanh có phải tuân thủ Luật PDPD không? Có. Hộ kinh doanh xử lý thông tin khách hàng, nhân viên thuộc phạm vi điều chỉnh của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Khoản 3 Điều 38 của Luật chỉ miễn ba nghĩa vụ: lập hồ sơ đánh giá tác động, cập nhật hồ sơ đó và bố trí bộ phận, nhân sự bảo vệ dữ liệu. Ưu đãi này không áp dụng khi hộ kinh doanh trực tiếp xử lý dữ liệu nhạy cảm, xử lý dữ liệu của từ 100.000 người trở lên hoặc kinh doanh dịch vụ xử lý dữ liệu. Các nghĩa vụ còn lại, như xin sự đồng ý, bảo mật dữ liệu, đáp ứng yêu cầu của khách và thông báo khi lộ dữ liệu, vẫn áp dụng đầy đủ.
1. Hộ kinh doanh có phải tuân thủ Luật PDPD 91/2025/QH15 không?#
Theo khoản 2 Điều 1 Luật 91/2025/QH15, Luật áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; và cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam. Điều 1 không liệt kê riêng hộ kinh doanh, nhưng khoản 3 Điều 38 nhắc trực tiếp đến hộ kinh doanh khi quy định các nghĩa vụ được miễn. Điều đó cho thấy hộ kinh doanh thuộc diện phải tuân thủ, chỉ được miễn một số nghĩa vụ cụ thể.
Hộ kinh doanh xử lý dữ liệu cá nhân hằng ngày, ví dụ:
- Lưu họ tên, số điện thoại, địa chỉ của người mua để giao hàng COD.
- Lưu lịch sử mua hàng, ngày sinh của khách trên phần mềm bán hàng (KiotViet, Sapo, Haravan, Excel) để tích điểm.
- Giữ hồ sơ nhân viên (căn cước, số tài khoản ngân hàng, sơ yếu lý lịch, ảnh).
- Lắp camera tại cửa hàng ghi lại hình ảnh khách ra vào.
Các hoạt động này đều là xử lý dữ liệu cá nhân theo khoản 6 Điều 2 Luật. Chủ hộ tự quyết định mục đích và cách xử lý, nên thường là bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân, và chịu các trách nhiệm tại khoản 1 Điều 37 Luật.
2. Hộ kinh doanh được miễn những nghĩa vụ nào theo Điều 38?#
Cơ chế miễn trừ nằm ở khoản 3 Điều 38 Luật 91/2025/QH15 (hướng dẫn tại khoản 2 Điều 41 Nghị định 356/2025/NĐ-CP), theo đó hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 của Luật, trừ ba trường hợp ngoại lệ ở mục 3. Cụ thể:
- Không phải chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (khoản 2 Điều 33 Luật).
- Không phải lập, lưu trữ và gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA, gồm báo cáo theo Mẫu số 10 tại điểm a khoản 2 Điều 19 Nghị định 356). Khoản 3 Điều 38 không đặt thời hạn cho ưu đãi này, khác với thời hạn 05 năm áp dụng cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp.
- Không phải cập nhật hồ sơ đánh giá tác động theo Điều 22 Luật.
Ưu đãi chỉ gồm ba nhóm nghĩa vụ trên. Nếu hộ kinh doanh chuyển dữ liệu cá nhân xuyên biên giới (ví dụ dùng phần mềm lưu dữ liệu khách hàng trên máy chủ ở nước ngoài), nghĩa vụ lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 Luật không thuộc diện được miễn.
3. Ba trường hợp hộ kinh doanh không được miễn#
Khoản 3 Điều 38 Luật và khoản 2 Điều 41 Nghị định 356 loại trừ khỏi ưu đãi những hộ kinh doanh, doanh nghiệp siêu nhỏ thuộc một trong 3 trường hợp dưới đây. Ba ngoại lệ này cũng áp dụng cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp, vốn chỉ được lựa chọn thực hiện hoặc không thực hiện các nghĩa vụ trên trong 05 năm kể từ ngày Luật có hiệu lực (01/01/2026) theo khoản 2 Điều 38 Luật và khoản 1 Điều 41 Nghị định 356.
- Trực tiếp xử lý dữ liệu cá nhân nhạy cảm theo danh mục tại khoản 1 Điều 4 Nghị định 356, ví dụ: tình trạng sức khỏe (hồ sơ bệnh án, tiền sử bệnh), dữ liệu sinh trắc học (khuôn mặt, vân tay), vị trí của cá nhân được xác định qua dịch vụ định vị, hình ảnh thẻ căn cước, tên đăng nhập và mật khẩu tài khoản ngân hàng, thông tin thẻ ngân hàng. Trường hợp này thường gặp ở phòng khám, nha khoa, spa lưu hồ sơ sức khỏe, cửa hàng chấm công bằng vân tay hoặc khuôn mặt, đơn vị lắp thiết bị định vị GPS.
- Xử lý dữ liệu cá nhân của số lượng lớn chủ thể: theo Điều 41 Nghị định 356, ngoại lệ áp dụng kể từ thời điểm quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên, tính trên kết quả tích lũy tổng lượng dữ liệu đã xử lý (ví dụ tệp khách hàng tích lũy từ 100.000 người trở lên).
- Kinh doanh dịch vụ xử lý dữ liệu cá nhân: các dịch vụ liệt kê tại Điều 21 Nghị định 356, ví dụ thu thập, xử lý dữ liệu cá nhân trực tuyến từ trang web, ứng dụng, mạng xã hội; phân tích và khai thác dữ liệu cá nhân; chấm điểm, xếp hạng tín nhiệm; cung cấp, vận hành phần mềm xử lý dữ liệu thay mặt bên kiểm soát.
Khi thuộc một trong các trường hợp trên, hộ kinh doanh phải thực hiện đầy đủ ba nghĩa vụ: lập hồ sơ đánh giá tác động (DPIA) và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05, Bộ Công an) trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (khoản 1 Điều 21 Luật; khoản 4 Điều 19 Nghị định 356); cập nhật hồ sơ theo Điều 22 Luật; chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ bảo vệ dữ liệu cá nhân theo khoản 2 Điều 33 Luật.
4. Được miễn một phần, hộ kinh doanh có phải tuân thủ Luật PDPD ở phần còn lại?#
Có. Miễn trừ tại Điều 38 chỉ áp dụng cho thủ tục hồ sơ và nhân sự, không cho phép xử lý dữ liệu của khách tùy ý. Các nghĩa vụ sau vẫn áp dụng cho mọi hộ kinh doanh:
- Xin sự đồng ý: trừ các trường hợp không cần sự đồng ý tại Điều 19 Luật, chỉ được thu thập và sử dụng thông tin khi khách đã biết rõ loại dữ liệu, mục đích xử lý và tự nguyện đồng ý (Điều 9, khoản 1 Điều 11 Luật). Không dùng số điện thoại của khách để quảng cáo khi khách chưa đồng ý.
- Không mua bán dữ liệu cá nhân (khoản 6 Điều 7 Luật): mua data từ shipper, mua danh sách số điện thoại cư dân hay data mẹ và bé để telesale đều vi phạm. Mức phạt tối đa là 10 lần khoản thu có được từ hành vi vi phạm (khoản 3 Điều 8 Luật); tùy tính chất, mức độ, hậu quả, người vi phạm có thể bị truy cứu trách nhiệm hình sự (khoản 1 Điều 8 Luật).
- Bảo đảm an toàn dữ liệu: có biện pháp quản lý, kỹ thuật phù hợp (điểm c khoản 1 Điều 37 Luật) để nhân viên không chụp, sao chép hay mang danh sách khách hàng ra ngoài.
- Thông báo khi ghi hình: cửa hàng lắp camera phải thông báo để khách biết mình đang bị ghi hình (khoản 2 Điều 32 Luật).
- Đáp ứng quyền của khách: khi khách yêu cầu ngừng nhận tin quảng cáo, xóa số điện thoại hay xóa tài khoản thành viên, hộ kinh doanh phải phản hồi trong 02 ngày làm việc và thực hiện trong thời hạn tại Điều 5 Nghị định 356.
- Thông báo vi phạm trong 72 giờ: nếu tài khoản phần mềm bán hàng bị chiếm hoặc file khách hàng bị lộ và vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của khách, chủ hộ phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện (khoản 1 Điều 23 Luật; Mẫu số 08 Nghị định 356).
Vi phạm các nghĩa vụ này bị xử phạt theo Nghị định 330/2026/NĐ-CP, có hiệu lực từ 19/08/2026. Mức phạt tiền trong Nghị định là mức áp dụng cho tổ chức; hộ kinh doanh bị áp dụng mức phạt như cá nhân, tức bằng một phần hai (khoản 3 Điều 2, khoản 1 Điều 7 Nghị định 330; khoản 6 Điều 8 Luật). Mức phạt cụ thể cho từng lỗi thường gặp ở cửa hàng, spa, livestream được tổng hợp trong bài 5 bẫy khiến hộ kinh doanh vi phạm dữ liệu cá nhân.
5. Hộ kinh doanh nên bắt đầu từ đâu?#
Trước hết, xác định cửa hàng có thuộc một trong ba trường hợp ở mục 3 không: có lưu thông tin sức khỏe, vân tay, khuôn mặt của khách hay nhân viên không, và tệp khách hàng tích lũy đã tới 100.000 người chưa. Nếu không, hộ kinh doanh không phải lập hồ sơ đánh giá tác động nhưng vẫn cần thông báo cho khách, xin đồng ý đúng cách và có quy trình xử lý yêu cầu, sự cố. Các bước này, kèm mẫu thông báo dán tại quầy và mẫu phiếu đồng ý, có trong bài xây dựng quy trình bảo vệ dữ liệu khách hàng cho hộ kinh doanh.
