Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, lực lượng bảo vệ dữ liệu cá nhân gồm những ai?

20/07/2026
3 lượt xem
0 bình luận

Bốn thành phần, từ cơ quan nhà nước tới bộ phận nội bộ trong doanh nghiệp và đơn vị cung cấp dịch vụ. Biết cấu trúc này giúp chọn đúng phương án tuân thủ.

Khái niệm "lực lượng bảo vệ dữ liệu cá nhân" nghe có vẻ thuộc về khu vực nhà nước, nhưng thực tế phần lớn thành phần trong đó lại nằm ở khu vực tư.

Bốn thành phần

Khoản 1 Điều 33 Luật 91/2025/QH15 quy định lực lượng bảo vệ dữ liệu cá nhân bao gồm:

Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an;
Bộ phận, nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức;
Tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
Tổ chức, cá nhân được huy động tham gia bảo vệ dữ liệu cá nhân.

Ba thành phần sau đều nằm ngoài nhà nước

Cách thiết kế này phản ánh thực tế: dữ liệu cá nhân nằm chủ yếu trong hệ thống của doanh nghiệp, nên việc bảo vệ trước hết là trách nhiệm của chính các tổ chức đó.

Nghĩa vụ phát sinh cho tổ chức

Khoản 2 Điều 33 quy định cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Đây là câu tạo ra nghĩa vụ, và cũng cho phép ba cách đáp ứng tương ứng với thành phần thứ hai và thứ ba của lực lượng.

Điều kiện cho từng thành phần

Khoản 3 Điều 33 giao Chính phủ quy định về điều kiện, nhiệm vụ của bộ phận, nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức; tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; dịch vụ xử lý dữ liệu cá nhân.

Nghị định 356/2025/NĐ-CP cụ thể hóa như sau:

Điều 13 — điều kiện của nhân sự, bộ phận bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức: trình độ cao đẳng trở lên, ít nhất 02 năm kinh nghiệm trong một trong tám lĩnh vực được liệt kê, và đã được đào tạo, bồi dưỡng;
Điều 14 — nhiệm vụ của bộ phận và nhân sự bảo vệ dữ liệu cá nhân;
Điều 15 — cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân: yêu cầu cao hơn với ít nhất 03 năm kinh nghiệm và đào tạo chuyên sâu;
Điều 16 — tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân: tối thiểu 03 nhân sự đạt điều kiện tại khoản 2 Điều 15, cùng các điều kiện về ngành nghề và kinh nghiệm.

Có thể kết hợp nhiều thành phần

Điều 16 Nghị định 356/2025/NĐ-CP nêu cơ quan, tổ chức tùy theo nhu cầu có thể đồng thời chỉ định nhân sự bảo vệ dữ liệu cá nhân, bộ phận bảo vệ dữ liệu cá nhân và thuê cá nhân, tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Mô hình phổ biến trong thực tế là một đầu mối nội bộ kết hợp với đơn vị tư vấn bên ngoài cho phần chuyên môn sâu.

Cơ quan chuyên trách

Điều 39 Nghị định 356/2025/NĐ-CP quy định cơ quan chuyên trách bảo vệ dữ liệu cá nhân là đơn vị trực thuộc Bộ Công an, có trách nhiệm giúp Bộ trưởng Bộ Công an thực hiện chức năng quản lý nhà nước về bảo vệ dữ liệu cá nhân.

Đây là đầu mối tiếp nhận hồ sơ đánh giá tác động, thông báo vi phạm, hồ sơ xin cấp Giấy chứng nhận và thực hiện hoạt động kiểm tra.

Ai được miễn nghĩa vụ chỉ định

Khoản 2 Điều 38 Luật 91/2025/QH15 cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp quyền lựa chọn thực hiện hoặc không thực hiện khoản 2 Điều 33 trong 05 năm. Khoản 3 Điều 38 quy định hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện khoản 2 Điều 33.

Cả hai đều kèm ba ngoại lệ: kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu — với ngưỡng 100 nghìn chủ thể theo Điều 41 Nghị định 356/2025/NĐ-CP.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 33
Nghị định 356/2025/NĐ-CP Điều 13
Nghị định 356/2025/NĐ-CP Điều 16

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.