Bảy nhóm nhiệm vụ cho bộ phận, và một bộ nhiệm vụ song song nhưng ở vai trò tham mưu cho cá nhân được chỉ định. Khác biệt giữa hai vai này rất đáng lưu ý.
Chỉ định xong rồi thì người đó làm gì? Điều 14 Nghị định 356/2025/NĐ-CP liệt kê nhiệm vụ khá cụ thể, và có sự phân biệt rõ giữa bộ phận và cá nhân.
Bảy nhiệm vụ của bộ phận bảo vệ dữ liệu cá nhân
- Tổ chức xây dựng chính sách, quy trình, quy định, biểu mẫu để tuân thủ pháp luật về bảo vệ dữ liệu cá nhân;
- Tổ chức triển khai thực hiện các quyền của chủ thể dữ liệu cá nhân;
- Định kỳ tổ chức đánh giá thực trạng tuân thủ bằng báo cáo đánh giá mức độ thực hiện các nghĩa vụ, để đề xuất biện pháp nâng cao hiệu quả tuân thủ, phòng ngừa và kiểm soát rủi ro trong hoạt động xử lý dữ liệu cá nhân;
- Lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, tiếp nhận và báo cáo vi phạm, thực hiện các yêu cầu khác của cơ quan có thẩm quyền;
- Xây dựng kế hoạch và triển khai đào tạo, bồi dưỡng định kỳ về bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức;
- Tổ chức triển khai các biện pháp kỹ thuật bảo mật dữ liệu cá nhân, tiêu chuẩn, quy chuẩn bảo vệ dữ liệu cá nhân, kế hoạch ứng cứu khẩn cấp sự cố bảo vệ dữ liệu cá nhân;
- Nghiên cứu và đề xuất các quyết định liên quan đến bảo vệ dữ liệu cá nhân.
Với cá nhân được chỉ định, vai trò là tham mưu
Điều 14 Nghị định 356/2025/NĐ-CP quy định nhiệm vụ của nhân sự bảo vệ dữ liệu cá nhân theo hướng khác: tham mưu xây dựng chính sách, quy trình, quy định, biểu mẫu; tham gia triển khai thực hiện các quyền của chủ thể dữ liệu; tham gia hoạt động định kỳ đánh giá thực trạng tuân thủ và đề xuất biện pháp; thực hiện lập hồ sơ đánh giá tác động, tiếp nhận và báo cáo vi phạm.
Vì sao khác biệt này quan trọng
Động từ được dùng cho bộ phận là "tổ chức", còn cho cá nhân là "tham mưu" và "tham gia". Điều đó phản ánh thực tế: một người kiêm nhiệm không thể tự mình triển khai biện pháp kỹ thuật trên toàn hệ thống hay tự quyết định ngân sách đào tạo.
Với doanh nghiệp chỉ định một cá nhân, hệ quả là ban lãnh đạo vẫn giữ trách nhiệm quyết định. Người được chỉ định đưa ra khuyến nghị; nếu khuyến nghị bị bỏ qua thì trách nhiệm không tự động chuyển sang họ. Đây là lý do nên lưu lại văn bản khuyến nghị và ý kiến phản hồi.
Nhiệm vụ nào nên làm trước
Nếu bắt đầu từ con số không, thứ tự thực tế thường là:
- Đầu tiên, lập danh mục các luồng dữ liệu đang có. Không có bản đồ này thì mọi việc còn lại đều làm mò.
- Thứ hai, dựng quy trình tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu, vì đây là nghĩa vụ có thời hạn cụ thể và có thể bị khiếu nại bất cứ lúc nào.
- Thứ ba, lập hồ sơ đánh giá tác động, vì có mốc thời gian pháp lý gắn với ngày bắt đầu xử lý dữ liệu.
- Sau đó mới đến chính sách, biểu mẫu, đào tạo định kỳ và kế hoạch ứng cứu sự cố.
Đánh giá định kỳ là phần hay bị bỏ
Nhiệm vụ định kỳ đánh giá thực trạng tuân thủ bằng báo cáo là thứ dễ trôi nhất, vì nó không có ai thúc. Nhưng chính bản báo cáo này là bằng chứng cho thấy tổ chức có hệ thống quản lý thật, chứ không chỉ có một tập tài liệu soạn một lần rồi để đó. Đặt lịch cố định mỗi sáu tháng và giữ lại bản báo cáo là cách rẻ nhất để chứng minh điều đó.
Đọc thêm cùng chủ đề
- Doanh nghiệp có bắt buộc phải có nhân sự bảo vệ dữ liệu?
- Nhân sự bảo vệ dữ liệu cá nhân cần điều kiện gì?
- Cá nhân làm dịch vụ bảo vệ dữ liệu cần điều kiện gì?
Căn cứ pháp lý
- Nghị định 356/2025/NĐ-CP Điều 14
- Nghị định 356/2025/NĐ-CP Điều 13
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.