Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp có bắt buộc phải có nhân sự bảo vệ dữ liệu?

15/06/2026
4 lượt xem
0 bình luận

Khoản 2 Điều 33 dùng chữ "có trách nhiệm", không phải "được khuyến khích". Nhưng luật cho phép chọn giữa ba cách để đáp ứng nghĩa vụ này.

Câu hỏi này thường được đặt ra sau khi doanh nghiệp nghe nói về khái niệm DPO trong thông lệ quốc tế. Ở Việt Nam, quy định tương ứng nằm tại Điều 33 Luật 91/2025/QH15.

Quy định nói gì

Khoản 1 Điều 33 xác định lực lượng bảo vệ dữ liệu cá nhân gồm bốn thành phần: cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an; bộ phận, nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức; tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; và tổ chức, cá nhân được huy động tham gia bảo vệ dữ liệu cá nhân.

Khoản 2 Điều 33 là phần tạo ra nghĩa vụ: cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Ba cách đáp ứng

Đọc kỹ câu trên sẽ thấy luật cho ba lựa chọn, không bắt buộc phải tuyển thêm người:

Chỉ định một bộ phận bảo vệ dữ liệu cá nhân;
Chỉ định một nhân sự bảo vệ dữ liệu cá nhân;
Thuê ngoài tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Với doanh nghiệp vừa và nhỏ, phương án thứ hai hoặc thứ ba thường phù hợp hơn. Người được chỉ định có thể kiêm nhiệm, miễn là đáp ứng điều kiện năng lực tại Điều 13 Nghị định 356/2025/NĐ-CP.

Việc chỉ định phải bằng văn bản

Điều 13 Nghị định 356/2025/NĐ-CP quy định việc chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức của cơ quan, tổ chức đó, thể hiện việc phân công, chức năng nhiệm vụ, quyền hạn và các yêu cầu khác đối với công tác bảo vệ dữ liệu cá nhân.

Nghĩa là một quyết định miệng trong cuộc họp không đủ. Cần một quyết định hoặc văn bản phân công có nội dung cụ thể, và đây cũng là bằng chứng đầu tiên được hỏi tới khi có kiểm tra.

Còn phải ký thỏa thuận bảo mật

Điều 13 Nghị định 356/2025/NĐ-CP cũng yêu cầu cơ quan, tổ chức ký thỏa thuận trách nhiệm bảo mật với nhân sự bảo vệ dữ liệu cá nhân, và cho phép các bên thỏa thuận về những trường hợp miễn trừ trách nhiệm khi xảy ra vi phạm hoặc thiệt hại đối với dữ liệu được bảo vệ.

Điều khoản miễn trừ này đáng chú ý với người được giao nhiệm vụ: nếu tổ chức không cấp đủ nguồn lực hoặc bỏ qua khuyến nghị, phạm vi trách nhiệm cá nhân nên được làm rõ ngay từ đầu bằng thỏa thuận.

Miễn trừ cho một số nhóm

Khoản 2 Điều 38 Luật 91/2025/QH15 cho phép doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 trong thời gian 05 năm kể từ ngày Luật có hiệu lực. Khoản 3 Điều 38 quy định hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện các quy định đó.

Cả hai khoản đều có ngoại lệ: không áp dụng miễn trừ với đơn vị kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu. Điều 41 Nghị định 356/2025/NĐ-CP làm rõ ngưỡng số lượng lớn là từ 100 nghìn chủ thể dữ liệu cá nhân trở lên, tính theo kết quả tích lũy tổng lượng dữ liệu đã xử lý.

Nên chọn phương án nào

Nếu doanh nghiệp không thuộc diện miễn trừ, cách làm gọn nhất thường là chỉ định một nhân sự nội bộ đủ điều kiện làm đầu mối, kết hợp thuê dịch vụ bên ngoài cho những phần chuyên sâu như lập hồ sơ đánh giá tác động hay xây dựng quy trình.

Điều cần tránh là chỉ định cho có: ghi tên một người vào quyết định rồi không giao thời gian, không cấp quyền tiếp cận hệ thống, không đưa vào quy trình phê duyệt. Khi đó tổ chức vừa không thực chất tuân thủ, vừa đặt cá nhân đó vào vị trí chịu trách nhiệm cho việc mình không kiểm soát được.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 33
Nghị định 356/2025/NĐ-CP Điều 13

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.