Không miễn toàn bộ trách nhiệm bảo vệ dữ liệu cá nhân cho doanh nghiệp siêu nhỏ do phụ nữ làm chủ

Theo TS.LS. Đặng Văn Cường, Trưởng Văn phòng luật sư Chính Pháp (Hà Nội), pháp luật hiện hành có quy định giảm nhẹ một số nghĩa vụ cụ thể cho hộ kinh doanh và doanh nghiệp siêu nhỏ, nhưng không miễn toàn bộ trách nhiệm bảo vệ dữ liệu cá nhân. Đây là điểm cần phân biệt rõ để tránh hiểu rằng cứ kinh doanh nhỏ lẻ hoặc do phụ nữ làm chủ thì được đứng ngoài các quy định về bảo vệ dữ liệu khách hàng.

Căn cứ khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và khoản 2 Điều 41 Nghị định số 356/2025/NĐ-CP, hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện các quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật này. Tuy nhiên, ngoại lệ không áp dụng nếu các chủ thể đó kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân với quy mô từ 100.000 chủ thể dữ liệu trở lên, tính theo tổng lượng dữ liệu cá nhân đã xử lý tích lũy.

Điều 21 và Điều 22 của Luật quy định về đánh giá tác động xử lý dữ liệu cá nhân, cập nhật hồ sơ đánh giá tác động; khoản 2 Điều 33 quy định trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê đơn vị cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Vì vậy, việc được miễn ở đây chỉ liên quan đến những nghĩa vụ được nêu đích danh, không phải là sự miễn trừ chung đối với toàn bộ Luật Bảo vệ dữ liệu cá nhân.

Ví dụ, một hộ kinh doanh do phụ nữ làm chủ, bán quần áo trên sàn thương mại điện tử và xử lý thông tin giao nhận của khách hàng, có thể thuộc diện không phải thực hiện các nghĩa vụ cụ thể nêu trên nếu đáp ứng điều kiện luật định. Tuy nhiên, hộ kinh doanh đó vẫn phải bảo vệ dữ liệu người mua, không được tùy tiện sử dụng hoặc tiết lộ thông tin khách hàng và vẫn phải tuân thủ các quy định pháp luật khác có liên quan.

Cần đặc biệt lưu ý các trường hợp ngoại lệ. Nếu hộ kinh doanh hoặc doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc đạt ngưỡng xử lý dữ liệu từ 100.000 chủ thể trở lên theo tiêu chí pháp luật quy định thì không được mặc nhiên áp dụng cơ chế miễn trừ này.

Đối với doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp, pháp luật có cơ chế riêng: theo khoản 2 Điều 38 Luật Bảo vệ dữ liệu cá nhân và khoản 1 Điều 41 Nghị định số 356/2025/NĐ-CP, các doanh nghiệp này được lựa chọn thực hiện hoặc không thực hiện những nghĩa vụ nói trên trong thời hạn 5 năm kể từ ngày Luật có hiệu lực, trừ các trường hợp ngoại lệ theo quy định.

Doanh nghiệp nhỏ không đồng nhất với doanh nghiệp siêu nhỏ; hộ kinh doanh cũng không đồng nhất với doanh nghiệp nhỏ. Việc xác định đúng loại hình và điều kiện áp dụng có ý nghĩa quyết định. Pháp luật không đặt ra cơ chế miễn trừ chỉ vì chủ hộ kinh doanh hoặc người đại diện doanh nghiệp là phụ nữ. Quyền và nghĩa vụ được xác định theo tư cách pháp lý, quy mô, tính chất hoạt động và phạm vi xử lý dữ liệu, không theo giới tính của người làm chủ.

Từ góc độ thực tiễn, cơ chế giảm nhẹ một số thủ tục là cần thiết để tránh tạo gánh nặng quá lớn cho các cơ sở kinh doanh nhỏ. Tuy nhiên, sự thuận lợi về thủ tục không thể đồng nghĩa với việc xem nhẹ quyền riêng tư của khách hàng. Ngay cả khi không thuộc diện phải lập hồ sơ đánh giá tác động hoặc chỉ định nhân sự chuyên trách, người bán vẫn nên xây dựng quy trình quản lý dữ liệu đơn giản, hạn chế người được tiếp cận thông tin, kiểm soát việc chia sẻ dữ liệu và có cách xử lý khi phát sinh sự cố.

Nói cách khác, pháp luật có thể giảm bớt một số nghĩa vụ về tổ chức và thủ tục cho hộ kinh doanh, doanh nghiệp siêu nhỏ, nhưng không biến dữ liệu cá nhân của khách hàng thành thông tin mà người bán được tự do khai thác. Đây vừa là yêu cầu tuân thủ pháp luật, vừa là điều kiện để kinh doanh trực tuyến có trách nhiệm và tạo dựng niềm tin lâu dài với người tiêu dùng.

Bảo vệ dữ liệu cá nhân không phải là nghĩa vụ chỉ dành cho các doanh nghiệp lớn. Pháp luật có thể tạo điều kiện giảm bớt một số thủ tục cho hộ kinh doanh và doanh nghiệp siêu nhỏ, nhưng trách nhiệm tôn trọng quyền riêng tư của khách hàng vẫn phải được đặt ra.

Người bán cần hiểu rõ giới hạn sử dụng dữ liệu, còn nền tảng phải thực hiện đầy đủ nghĩa vụ bảo vệ thông tin thuộc phạm vi quản lý của mình. Phân định đúng trách nhiệm của từng bên là cách bảo vệ người tiêu dùng, đồng thời tạo môi trường kinh doanh trực tuyến an toàn và công bằng.