Doanh nghiệp nhỏ có thuộc đối tượng áp dụng Nghị định 363/2026/NĐ-CP không?

Câu trả lời ngắn

Không nên hiểu rằng doanh nghiệp nhỏ đương nhiên được miễn, cũng không nên cho rằng mọi startup dùng dữ liệu đều chịu chế tài giống nhau. Cần đối chiếu chủ thể, hoạt động dữ liệu và từng hành vi bị xử phạt trong Nghị định 363/2026/NĐ-CP, có hiệu lực từ 11/11/2026.

Vì sao quy mô doanh nghiệp không đủ để trả lời?

Một startup hai nhân viên có thể vận hành nền tảng xử lý dữ liệu phức tạp, trong khi một doanh nghiệp lớn chỉ sử dụng một số hệ thống nội bộ. Nghị định xử phạt theo hành vi và phạm vi dữ liệu được pháp luật điều chỉnh, chứ không đơn giản chia thành doanh nghiệp dưới hoặc trên một số lao động. Vì thế, câu hỏi đúng cần là “chúng tôi đang thực hiện những hoạt động xử lý dữ liệu nào?”

Ba lớp kiểm tra nên được đặt cạnh nhau: (1) tổ chức hoặc cá nhân thực hiện hành vi; (2) hành vi cụ thể được mô tả trong điều khoản nào; (3) có thuộc phạm vi nghị định khác về an ninh mạng hoặc bảo vệ dữ liệu cá nhân hay không. Đây là cách đọc thận trọng phù hợp với khoản 2 Điều 1 Nghị định 363.

Trường hợp nào startup cần nghiên cứu kỹ?

Startup nền tảng số. Nếu sản phẩm vận hành các chức năng thu thập, tạo lập, phân tích hoặc kết nối, chia sẻ dữ liệu, đội kỹ thuật cần đọc các điều tương ứng. Cần kiểm tra liệu hoạt động có liên quan đến dữ liệu quan trọng, dữ liệu cốt lõi hoặc nguồn dữ liệu phải đáp ứng điều kiện riêng không.

Doanh nghiệp dịch vụ. Công ty tư vấn, kế toán hoặc agency thường nhận dữ liệu từ khách hàng qua email, biểu mẫu hoặc phần mềm. Không thể áp dụng máy móc một mức phạt của Nghị định 363 cho mọi cách trao đổi file. Cần kiểm tra bản chất dữ liệu, quyền được sử dụng, việc chuyển giao và nghĩa vụ theo các luật liên quan.

Doanh nghiệp nhiều điểm làm việc. Khi mở chi nhánh hoặc sử dụng coworking, trọng tâm là phân quyền, điểm lưu trữ, trách nhiệm nhân sự và đối tác công nghệ. Bản thân địa điểm thuê văn phòng không làm phát sinh hay chấm dứt nghĩa vụ về dữ liệu.

Bảng tự đánh giá sơ bộ

Câu hỏi	Mục đích
Doanh nghiệp đang tạo lập những tập dữ liệu nào?	Nhận diện hoạt động và nguồn dữ liệu
Ai là chủ sở hữu, chủ thể hoặc đơn vị có quyền quản lý?	Rà soát cơ sở pháp lý của quyền xử lý
Có kết nối với cơ sở dữ liệu chuyên ngành hoặc quốc gia không?	Xem xét nghĩa vụ và chuẩn chuyên biệt
Có chuyển dữ liệu cho nhà cung cấp hay đối tác không?	Xác định phạm vi chia sẻ, trách nhiệm
Có dữ liệu cốt lõi, dữ liệu quan trọng theo pháp luật không?	Kiểm tra yêu cầu quản lý chuyên biệt
Có dữ liệu cá nhân không?	Đối chiếu khung pháp luật bảo vệ dữ liệu cá nhân

Đây là bảng sàng lọc quản trị, không phải mẫu kê khai nhà nước. Kết luận áp dụng cần văn bản và hồ sơ thực tế.

Hai cách hiểu dễ gây sai lệch

“Chúng tôi chưa có phòng IT nên không liên quan”

Một nghĩa vụ pháp lý không được xác định bằng việc công ty có thuê IT chuyên trách hay không. Startup có thể giao một người phụ trách tổng hợp hệ thống, phối hợp với bên cung cấp dịch vụ và chuyên gia pháp lý để đánh giá.

“Chúng tôi chỉ dùng Google Sheets nên bị phạt theo Nghị định 363”

Không có cơ sở để khẳng định tự động như vậy. Công cụ chỉ là phương tiện; cần chứng minh hành vi cụ thể thuộc điều khoản xử phạt, cùng các yếu tố cấu thành liên quan. Việc chọn công cụ phù hợp và thiết lập quyền chia sẻ vẫn rất nên làm vì giảm rủi ro vận hành.

Kịch bản minh họa: doanh nghiệp có ba nhân viên

Một công ty mới có ba người, lưu báo giá và danh sách giao dịch trong thư mục trực tuyến. Người quản lý chủ động giới hạn quyền theo vai trò, tắt liên kết công khai, thống nhất kênh tiếp nhận dữ liệu và thu hồi quyền truy cập khi nhân viên nghỉ việc. Đây là các bước quản trị có lợi ngay cả trước khi phân tích một nghĩa vụ cụ thể theo Nghị định 363.

Ngược lại, nếu công ty nhận dữ liệu từ đối tác mà chưa rõ quyền sử dụng, điều cần làm là làm rõ nguồn và căn cứ xử lý. Không nên chờ tới lúc hồ sơ trở nên lớn mới kiểm tra.

Checklist cho người sáng lập

1. Lập danh sách tất cả nền tảng dùng để nhận, lưu và chuyển dữ liệu.
2. Chỉ định một người quản lý quyền truy cập và thay đổi nhân sự.
3. Kiểm tra quyền sử dụng dữ liệu từ đối tác.
4. Đọc Điều 1, Điều 6 và các điều mô tả hoạt động thực tế của công ty.
5. Phân biệt yêu cầu theo Luật Dữ liệu với bảo vệ dữ liệu cá nhân, an ninh mạng và hợp đồng.
6. Ghi chép kết quả rà soát, vướng mắc cần tư vấn.

FAQ

Startup chỉ bán hàng offline có cần quan tâm?

Có thể cần nếu phát sinh hoạt động dữ liệu thuộc phạm vi điều chỉnh, nhưng không thể kết luận chỉ từ kênh bán hàng.

Thuê văn phòng ảo có giúp miễn nghĩa vụ dữ liệu?

Không. Dịch vụ văn phòng phục vụ nhu cầu địa điểm và vận hành theo hợp đồng; nghĩa vụ pháp lý về dữ liệu cần xét theo từng chủ thể và hoạt động.

Doanh nghiệp có nên kiểm tra ngay trước hiệu lực?

Có. Việc rà soát quy trình trước 11/11/2026 giúp phát hiện khoảng trống và lập kế hoạch phù hợp.

Văn bản và nguồn tham khảo

• Nghị định 363/2026/NĐ-CP – Cổng văn bản Chính phủ.
• Nghị định 363/2026/NĐ-CP – Công báo Chính phủ.
• Thông tin giới thiệu Nghị định 363 – Cổng thông tin Kiểm toán nhà nước.

Lưu ý biên tập: Bài viết nhằm phổ biến kiến thức pháp luật tại ngày 20/10/2026; chưa thay thế việc đối chiếu hồ sơ, hành vi và văn bản hiện hành khi xử lý vụ việc thực tế. Các checklist được đề xuất theo góc độ quản trị, không mặc nhiên là danh sách nghĩa vụ luật định áp dụng giống nhau cho mọi doanh nghiệp.