Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, cá nhân làm dịch vụ bảo vệ dữ liệu cần điều kiện gì?

13/07/2026
4 lượt xem
0 bình luận

Yêu cầu cao hơn nhân sự nội bộ: 03 năm kinh nghiệm thay vì 02, và phải được đào tạo chuyên sâu chứ không chỉ là đã được đào tạo.

Khoản 2 Điều 33 Luật 91/2025/QH15 cho phép tổ chức thuê cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân thay vì chỉ định nhân sự nội bộ. Điều 15 Nghị định 356/2025/NĐ-CP quy định điều kiện với người làm dịch vụ này.

Định nghĩa

Điều 15 Nghị định 356/2025/NĐ-CP quy định cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân là người đáp ứng đủ các điều kiện năng lực quy định tại Điều này, được cơ quan, tổ chức thuê làm nhân sự bảo vệ dữ liệu cá nhân.

Ba điều kiện năng lực

Có trình độ cao đẳng trở lên;
Có ít nhất 03 năm kinh nghiệm công tác kể từ thời điểm tốt nghiệp, liên quan đến một trong các lĩnh vực về pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ;
Đã được đào tạo, bồi dưỡng chuyên sâu kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

So với nhân sự nội bộ có hai điểm khác

Điều 13 Nghị định 356/2025/NĐ-CP quy định nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức cần ít nhất 02 năm kinh nghiệm và đã được đào tạo, bồi dưỡng. Với cá nhân cung cấp dịch vụ, yêu cầu là 03 năm và đào tạo, bồi dưỡng chuyên sâu.

Danh sách lĩnh vực kinh nghiệm cũng khác. Điều 13 liệt kê tám lĩnh vực gồm cả quản lý nhân sự và tổ chức cán bộ; Điều 15 liệt kê sáu lĩnh vực, thay hai lĩnh vực đó bằng "xử lý dữ liệu cá nhân".

Hai khác biệt này hợp lý: người làm dịch vụ chuyên nghiệp cho nhiều khách hàng cần chuyên môn sâu hơn người phụ trách nội bộ ở một tổ chức.

Trách nhiệm của bên thuê

Điều 15 Nghị định 356/2025/NĐ-CP quy định cơ quan, tổ chức có nhu cầu thuê cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân tiến hành:

Xem xét điều kiện năng lực theo quy định;
Giao kết hợp đồng sử dụng nhân sự bảo vệ dữ liệu cá nhân;
Công khai thông tin về nhân sự bảo vệ dữ liệu cá nhân cho chủ thể dữ liệu cá nhân và các bên liên quan được biết.

Nghĩa vụ công khai là điểm dễ quên

Thông tin về người phụ trách bảo vệ dữ liệu cá nhân phải được công bố cho chủ thể dữ liệu. Về mặt thực hành, đây là một mục trong chính sách bảo vệ dữ liệu cá nhân đăng trên website, kèm cách liên hệ.

Điều này cũng khớp với yêu cầu tại Điều 19 Nghị định 356/2025/NĐ-CP rằng báo cáo đánh giá tác động phải có chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân, và tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân nếu có.

Ba trách nhiệm của người cung cấp dịch vụ

Thực hiện dịch vụ theo đúng phạm vi và nhiệm vụ trong hợp đồng, thỏa thuận;
Không lợi dụng việc cung cấp dịch vụ để thực hiện các hành vi vi phạm pháp luật;
Thực hiện xóa, hủy dữ liệu cá nhân xử lý trong quá trình cung cấp dịch vụ sau khi đã hoàn thành hợp đồng và theo quy định pháp luật.

Trách nhiệm thứ ba nên được đưa thẳng vào hợp đồng với thời hạn cụ thể, vì trong thực tế người làm dịch vụ thường giữ lại tài liệu và dữ liệu của khách hàng cũ trên máy tính cá nhân.

Khi nào nên thuê ngoài

Phương án thuê phù hợp với doanh nghiệp chưa có nhân sự đạt điều kiện, hoặc khối lượng công việc chưa đủ để tuyển toàn thời gian. Cần lưu ý rằng việc thuê ngoài không chuyển trách nhiệm pháp lý: điểm g khoản 1 Điều 37 Luật 91/2025/QH15 vẫn đặt trách nhiệm trước chủ thể dữ liệu lên bên kiểm soát dữ liệu cá nhân.

Điều 16 Nghị định 356/2025/NĐ-CP cũng nêu cơ quan, tổ chức tùy theo nhu cầu có thể đồng thời chỉ định nhân sự, bộ phận bảo vệ dữ liệu cá nhân và thuê cá nhân, tổ chức cung cấp dịch vụ — nên hai phương án không loại trừ nhau.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Nghị định 356/2025/NĐ-CP Điều 15
Luật 91/2025/QH15 Điều 33
Nghị định 356/2025/NĐ-CP Điều 13

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.