DPO là gì? DPO được quy định như thế nào trong pháp luật Việt Nam?
DPO (Data Protection Officer) thường được hiểu là người phụ trách bảo vệ dữ liệu hoặc cán bộ bảo vệ dữ liệu. Đây là một vị trí quen thuộc trong hệ thống quản trị và bảo vệ dữ liệu cá nhân tại nhiều quốc gia trên thế giới, có vai trò giám sát việc tuân thủ các quy định về bảo vệ dữ liệu và tư vấn cho tổ chức trong quá trình xử lý dữ liệu cá nhân.
Tại Việt Nam, Luật Bảo vệ dữ liệu cá nhân 2025 không sử dụng trực tiếp thuật ngữ “DPO”. Thay vào đó, Khoản 1 Điều 33 quy định về lực lượng bảo vệ dữ liệu cá nhân, bao gồm:
- Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an;
- Bộ phận, nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức;
- Tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
- Tổ chức, cá nhân được huy động tham gia bảo vệ dữ liệu cá nhân.
Đối với cơ quan, tổ chức, Khoản 2 Điều 33 quy định trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
Có thể thấy, dù pháp luật Việt Nam không quy định một chức danh chính thức mang tên DPO, nhưng trên thực tế, thuật ngữ này vẫn thường được sử dụng để chỉ nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức. Tùy theo nhu cầu và mô hình hoạt động, doanh nghiệp có thể tự bố trí nguồn lực nội bộ hoặc thuê đơn vị cung cấp dịch vụ để thực hiện chức năng này.
Bên cạnh việc xác định chủ thể thực hiện, Luật cũng giao Chính phủ quy định chi tiết về điều kiện năng lực và nhiệm vụ của lực lượng bảo vệ dữ liệu cá nhân. Trên cơ sở đó, Nghị định số 356/2025/NĐ-CP đã quy định cụ thể điều kiện của nhân sự, bộ phận bảo vệ dữ liệu cá nhân tại Điều 13 và nhiệm vụ của các chủ thể này tại Điều 14. Theo đó, việc chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức; đồng thời nhân sự được chỉ định phải đáp ứng các yêu cầu về trình độ, kinh nghiệm và kiến thức, kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
Điều này cho thấy bảo vệ dữ liệu cá nhân không còn là một công việc mang tính kiêm nhiệm hoặc xử lý tình huống đơn lẻ. Nhân sự hoặc bộ phận phụ trách cần được xác định rõ chức năng, nhiệm vụ, quyền hạn và phải đáp ứng các điều kiện năng lực theo quy định pháp luật.
Cơ quan, tổ chức nào phải bố trí DPO?
Tổ chức, doanh nghiệp thuộc diện phải bố trí DPO
Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân 2025 quy định cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Đây là căn cứ pháp lý trực tiếp xác định trách nhiệm của cơ quan, tổ chức trong việc bố trí lực lượng thực hiện công tác bảo vệ dữ liệu cá nhân.
Tuy nhiên, pháp luật không bắt buộc mọi đơn vị phải thành lập một bộ phận chuyên trách hoặc bổ nhiệm một chức danh cho nhân sự bảo vệ dữ liệu cá nhân. Tùy theo mô hình và nhu cầu, cơ quan, tổ chức có thể lựa chọn chỉ định nhân sự bảo vệ dữ liệu cá nhân, thành lập bộ phận bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân theo quy định của pháp luật.
Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được áp dụng cơ chế đặc thù
Mặc dù khoản 2 Điều 33 đặt ra trách nhiệm chung đối với cơ quan, tổ chức, Luật Bảo vệ dữ liệu cá nhân 2025 vẫn dành một cơ chế đặc thù cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp. Cụ thể, Điều 38 của Luật cho phép các doanh nghiệp này được lựa chọn thực hiện hoặc không thực hiện quy định tại khoản 2 Điều 33 trong thời hạn 05 năm kể từ ngày Luật có hiệu lực.
Tuy nhiên, cơ chế lựa chọn này không áp dụng đối với doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp thuộc một trong các trường hợp sau:
- Kinh doanh dịch vụ xử lý dữ liệu cá nhân;
- Trực tiếp xử lý dữ liệu cá nhân nhạy cảm;
- Xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.
Nghị định số 356/2025/NĐ-CP đã làm rõ khái niệm "xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu" bằng một tiêu chí định lượng cụ thể. Theo khoản 1 Điều 41, ngưỡng này được xác định kể từ thời điểm doanh nghiệp xử lý dữ liệu của từ 100.000 chủ thể dữ liệu cá nhân trở lên, căn cứ trên tổng lượng dữ liệu cá nhân đã xử lý.
Điều này đồng nghĩa với việc doanh nghiệp nhỏ hoặc doanh nghiệp khởi nghiệp khi đạt ngưỡng trên sẽ không còn thuộc diện được lựa chọn thực hiện hoặc không thực hiện khoản 2 Điều 33, mà phải thực hiện đầy đủ nghĩa vụ theo quy định của pháp luật.
Hộ kinh doanh và doanh nghiệp siêu nhỏ có được miễn không?
Khác với doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ được Luật miễn thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33. Điều này có nghĩa là, về nguyên tắc, các chủ thể này không phải chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân, cũng như không bắt buộc phải thuê tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
Tuy nhiên, quy định miễn này không áp dụng đối với hộ kinh doanh và doanh nghiệp siêu nhỏ thuộc một trong các trường hợp sau:
- Kinh doanh dịch vụ xử lý dữ liệu cá nhân;
- Trực tiếp xử lý dữ liệu cá nhân nhạy cảm;
- Xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu cá nhân.
Khoản 2 Điều 41 Nghị định số 356/2025/NĐ-CP quy định ngưỡng “số lượng lớn” là từ 100.000 chủ thể dữ liệu cá nhân trở lên, được xác định dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý. Khi thuộc một trong các trường hợp ngoại lệ nêu trên, hộ kinh doanh hoặc doanh nghiệp siêu nhỏ không còn thuộc diện được miễn thực hiện khoản 2 Điều 33 của Luật.
DPO cần đáp ứng những điều kiện gì theo pháp luật Việt Nam?
Tùy theo việc cơ quan, tổ chức lựa chọn bố trí nhân sự nội bộ hay thuê dịch vụ bên ngoài, pháp luật quy định các điều kiện năng lực khác nhau đối với người hoặc tổ chức thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân. Nghị định số 356/2025/NĐ-CP hiện chia các chủ thể này thành ba nhóm: nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức; cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân và tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
Điều kiện đối với nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức
Theo Điều 13 Nghị định số 356/2025/NĐ-CP, việc chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức của cơ quan, tổ chức. Văn bản phải thể hiện việc phân công, chức năng, nhiệm vụ, quyền hạn và các yêu cầu khác đối với công tác bảo vệ dữ liệu cá nhân.
Người được cơ quan, tổ chức chỉ định làm nhân sự bảo vệ dữ liệu cá nhân phải đáp ứng đầy đủ các điều kiện sau:
- Có trình độ từ cao đẳng trở lên;
- Có ít nhất 02 năm kinh nghiệm công tác, kể từ thời điểm tốt nghiệp, liên quan đến một trong các lĩnh vực: pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự hoặc tổ chức cán bộ;
- Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
Nếu cơ quan, tổ chức thành lập bộ phận bảo vệ dữ liệu cá nhân, toàn bộ thành viên trong bộ phận đều phải đáp ứng các điều kiện năng lực nêu trên. Đồng thời, cơ quan, tổ chức có trách nhiệm đánh giá, lựa chọn nhân sự phù hợp và tổ chức đào tạo, bồi dưỡng kiến thức, kỹ năng về bảo vệ dữ liệu cá nhân cho người được chỉ định.
Ngoài các yêu cầu về trình độ và kinh nghiệm, Nghị định cũng yêu cầu cơ quan, tổ chức ký thỏa thuận trách nhiệm bảo mật với nhân sự bảo vệ dữ liệu cá nhân. Đây là cơ sở để xác định trách nhiệm trong quá trình thực hiện nhiệm vụ và có thể quy định các trường hợp miễn trừ trách nhiệm khi xảy ra vi phạm hoặc thiệt hại đối với dữ liệu cá nhân được bảo vệ.
Điều kiện đối với cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân
Đối với trường hợp thuê ngoài, pháp luật đặt ra yêu cầu cao hơn về năng lực chuyên môn. Cụ thể, cá nhân cung cấp dịch vụ phải:
- Có trình độ từ cao đẳng trở lên;
- Có ít nhất 03 năm kinh nghiệm công tác, kể từ thời điểm tốt nghiệp, liên quan đến một trong các lĩnh vực: pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro hoặc kiểm soát tuân thủ;
- Đã được đào tạo, bồi dưỡng chuyên sâu về kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
Khi thuê cá nhân cung cấp dịch vụ, cơ quan, tổ chức phải đánh giá điều kiện năng lực, ký kết hợp đồng và công khai thông tin về nhân sự này cho chủ thể dữ liệu cá nhân cũng như các bên liên quan. Trong quá trình cung cấp dịch vụ, cá nhân được thuê phải thực hiện công việc đúng phạm vi đã thỏa thuận, không lợi dụng việc cung cấp dịch vụ để thực hiện hành vi vi phạm pháp luật và có trách nhiệm xóa, hủy dữ liệu cá nhân sau khi hoàn thành hợp đồng theo quy định.
Điều kiện đối với tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân
Nếu lựa chọn thuê tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân, doanh nghiệp cũng cần lưu ý các điều kiện mà tổ chức cung cấp dịch vụ phải đáp ứng theo Điều 16 Nghị định số 356/2025/NĐ-CP.
Để cung cấp dịch vụ, tổ chức phải đáp ứng các điều kiện sau:
- Có tối thiểu 03 nhân sự đáp ứng đầy đủ các điều kiện năng lực áp dụng đối với cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
- Đã cung cấp các sản phẩm hoặc dịch vụ liên quan đến bảo mật, an ninh mạng, công nghệ thông tin, đánh giá tiêu chuẩn hoặc tư vấn về bảo vệ dữ liệu cá nhân;
- Xây dựng hồ sơ năng lực chứng minh khả năng bảo vệ dữ liệu cá nhân và cung cấp hồ sơ này cho cơ quan, tổ chức có nhu cầu sử dụng dịch vụ.
Bên cạnh các điều kiện về nhân sự và kinh nghiệm, tổ chức cung cấp dịch vụ còn phải xây dựng hồ sơ năng lực để chứng minh khả năng cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Hồ sơ này phải thể hiện đầy đủ thông tin về ngành nghề kinh doanh, quy mô và kinh nghiệm cung cấp dịch vụ, chính sách dịch vụ, năng lực nhân sự cũng như các tài liệu chứng minh có liên quan.
Doanh nghiệp có thể kết hợp nhân sự nội bộ và dịch vụ DPO bên ngoài không?
Theo khoản 4 Điều 16 Nghị định số 356/2025/NĐ-CP, tùy theo nhu cầu, cơ quan, tổ chức có thể đồng thời chỉ định nhân sự bảo vệ dữ liệu cá nhân, thành lập bộ phận bảo vệ dữ liệu cá nhân và thuê cá nhân hoặc tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Quy định này tạo cơ sở pháp lý để doanh nghiệp linh hoạt lựa chọn mô hình triển khai phù hợp với nhu cầu thực tế.
Chẳng hạn, doanh nghiệp có thể chỉ định một nhân sự nội bộ làm đầu mối phối hợp, đồng thời thuê đơn vị chuyên môn hỗ trợ xây dựng chính sách, đánh giá mức độ tuân thủ, lập hồ sơ đánh giá tác động, quản trị rủi ro hoặc thực hiện các nhiệm vụ bảo vệ dữ liệu cá nhân theo thỏa thuận.
Không phải mọi doanh nghiệp đều phải triển khai DPO theo cùng một cách, nhưng mọi doanh nghiệp đều cần hiểu rõ nghĩa vụ của mình theo Luật Bảo vệ dữ liệu cá nhân 2025. Việc xác định đúng đối tượng áp dụng, điều kiện năng lực và mô hình triển khai phù hợp sẽ giúp doanh nghiệp chủ động xây dựng hệ thống bảo vệ dữ liệu cá nhân ngay từ đầu, thay vì chỉ xử lý khi phát sinh rủi ro hoặc yêu cầu tuân thủ.
