EN
Câu trả lời ngắn gọn là: có — và phạm vi bắt buộc rộng hơn nhiều doanh nghiệp đang nhận ra.
Khi nào pháp luật bắt buộc phải có nhân sự phụ trách bảo vệ dữ liệu cá nhân?
Theo Luật BVDLCN 2025, doanh nghiệp có trách nhiệm chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân nội bộ, hoặc thuê tổ chức, cá nhân bên ngoài để cung cấp dịch vụ bảo vệ dữ liệu. Đây là nghĩa vụ áp dụng cho hầu hết tổ chức có hoạt động xử lý dữ liệu cá nhân — phạm vi rộng hơn đáng kể so với quy định trước đây tại Nghị định 13/2023/NĐ-CP, vốn chỉ bắt buộc với tổ chức xử lý dữ liệu nhạy cảm.
Nói cách khác, nếu tổ chức của bạn thu thập, lưu trữ, sử dụng hoặc chia sẻ bất kỳ loại dữ liệu cá nhân nào — từ hồ sơ nhân viên, ứng viên, thông tin khách hàng, đến dữ liệu người dùng trên nền tảng số — thì nghĩa vụ bổ nhiệm nhân sự phụ trách bảo vệ dữ liệu gần như chắc chắn phát sinh.
Ngoại lệ rất hẹp chỉ dành cho các doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ — tuy nhiên ngay cả với các nhóm này, miễn trừ không áp dụng nếu tổ chức trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu. Trên thực tế, phần lớn doanh nghiệp dù quy mô nhỏ — từ phòng khám, trường học, ứng dụng giao đồ ăn đến sàn thương mại điện tử — đều không đáp ứng điều kiện ngoại lệ này.
Nghị định 356/2025/NĐ-CP bổ sung điều kiện năng lực cụ thể đối với nhân sự bảo vệ dữ liệu: phải có ít nhất 02 năm kinh nghiệm công tác liên quan đến một trong các lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc quản lý nhân sự; và đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
Yêu cầu “đã được đào tạo” không phải là gợi ý — đây là điều kiện pháp lý bắt buộc để nhân sự được bổ nhiệm hợp lệ. Một tổ chức có DPO trên giấy tờ nhưng người đó chưa qua đào tạo bài bản về bảo vệ dữ liệu, về mặt pháp lý, vẫn có thể bị xem là chưa đáp ứng nghĩa vụ bổ nhiệm.
DPO không chỉ là một chức danh — pháp luật đặt ra yêu cầu cụ thể về năng lực
Điều mà nhiều doanh nghiệp chưa chú ý đúng mức là Luật BVDLCN 2025 không chỉ yêu cầu có DPO, mà còn đặt ra yêu cầu về năng lực của người đảm nhận vai trò này. DPO phải có hiểu biết chuyên môn về pháp luật bảo vệ dữ liệu, có khả năng thực hiện độc lập các nhiệm vụ được giao, và không được đặt trong tình huống xung đột lợi ích với vai trò bảo vệ dữ liệu.
Điều này có nghĩa là một nhân sự được bổ nhiệm DPO mà không có nền tảng đào tạo về bảo vệ dữ liệu — dù có kinh nghiệm pháp lý hay IT lâu năm — vẫn có thể chưa đáp ứng yêu cầu của luật. Trách nhiệm pháp lý trong trường hợp xảy ra sự cố dữ liệu không chỉ nhìn vào việc tổ chức có DPO hay không, mà còn nhìn vào việc DPO đó có thực sự đủ năng lực để ngăn chặn hoặc xử lý sự cố hay không.
Từ góc độ thực tiễn tranh chấp và xử lý vi phạm, đây là điểm mà tôi nhận thấy nhiều tổ chức đang bỏ qua trong giai đoạn triển khai tuân thủ ban đầu: họ bổ nhiệm DPO trên giấy tờ, nhưng không đầu tư vào năng lực thực chất của người đảm nhận vai trò đó.
Đào tạo DPO không phải chi phí — đó là điều kiện để vai trò DPO có giá trị pháp lý
Một DPO được đào tạo bài bản không chỉ giúp tổ chức tuân thủ đúng nghĩa vụ pháp luật — mà còn là người có thể phát hiện sớm rủi ro dữ liệu trước khi rủi ro đó trở thành sự cố, thực hiện đánh giá tác động bảo vệ dữ liệu (DPIA) đúng quy trình, xử lý yêu cầu từ chủ thể dữ liệu trong thời hạn luật định, và là đầu mối đủ thẩm quyền khi cơ quan quản lý tiến hành thanh tra.
Ngược lại, một DPO chưa qua đào tạo bài bản không phải là DPO theo nghĩa của luật — đó chỉ là một chức danh. Và một chức danh không bảo vệ được tổ chức khi sự cố xảy ra.
Không chỉ là trách nhiệm của doanh nghiệp — DPO còn là một cơ hội nghề nghiệp mới
Nhìn từ phía người lao động và các chuyên gia, bức tranh còn một mặt khác. Khi nghĩa vụ bổ nhiệm DPO áp dụng cho hầu hết doanh nghiệp có xử lý dữ liệu cá nhân, thị trường xuất hiện một nhu cầu nhân sự hoàn toàn mới: hàng loạt tổ chức cùng cần người đủ năng lực đảm nhận vai trò này, trong khi nguồn cung nhân sự đã qua đào tạo bài bản về bảo vệ dữ liệu hiện còn rất hạn chế.
Đây là cơ hội nghề nghiệp thực sự cho những người đang làm trong các lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, quản trị rủi ro, kiểm soát tuân thủ và quản lý nhân sự — đúng các lĩnh vực mà Nghị định 356/2025/NĐ-CP công nhận làm nền tảng kinh nghiệm cho DPO. Với 02 năm kinh nghiệm trong một trong các lĩnh vực này, cộng thêm đào tạo chuyên môn về bảo vệ dữ liệu cá nhân, một chuyên gia hoàn toàn có thể chuyển hướng sang một mảng nghề mới đang được định hình.
Trong webinar “DPO – Trách nhiệm mới hay cơ hội nghề nghiệp?” gần đây được phối hợp tổ chức giữa VTA, ACC và 405Cyse, các diễn giả đã chia sẻ về yêu cầu năng lực đối với DPO tại Việt Nam hiện nay không khác biệt quá lớn so với các thị trường đã trưởng thành như Châu Âu hay Singapore. Điều đó có nghĩa là năng lực được xây dựng tại Việt Nam có tính chuyển đổi cao: người làm DPO bài bản không chỉ phục vụ thị trường trong nước, mà còn có thể hướng tới cơ hội tại khu vực và quốc tế, đặc biệt khi được trang bị thêm các chứng chỉ quốc tế về bảo vệ quyền riêng tư và năng lực ngoại ngữ.
Nói cách khác, cùng một quy định pháp luật: với doanh nghiệp, đó là trách nhiệm phải thực hiện nghiêm túc; với người lao động, đó là cánh cửa mở ra một hướng phát triển nghề nghiệp mới — và lợi thế thuộc về những người chuẩn bị sớm.
Nhận thấy nhu cầu thực tế này, VTA phối hợp cùng Viện đào tạo ACC và 405CYSE tổ chức chương trình đào tạo Quản trị Bảo vệ Dữ liệu Cá nhân — Cấp độ nền tảng tại TP. Hồ Chí Minh vào tháng 10/2026, hướng tới những ai cần xây dựng nền tảng kiến thức để đảm nhận trách nhiệm này một cách thực chất — dù với tư cách doanh nghiệp thực hiện nghĩa vụ tuân thủ, hay cá nhân nắm bắt cơ hội nghề nghiệp mới. Thông tin chi tiết về chương trình tại: ĐÂY
____
Đặng Diệu Phương — Trọng tài viên, Phó Chủ tịch VTA
Điều khoản trọng tài mẫu (Model Arbitration Clause) của VTA: “Mọi tranh chấp phát sinh từ hoặc liên quan đến hợp đồng này sẽ được giải quyết bằng trọng tài tại Trung tâm Trọng tài Thương nhân Việt Nam (VTA) theo Quy tắc tố tụng trọng tài của Trung tâm này”. “Any dispute arising out of or in relation with this contract shall be resolved by arbitration at the Vietnam Traders Arbitration Centre (VTA) in accordance with its Rules of Arbitration”.
Trung tâm Trọng tài Thương nhân Việt Nam (VTA) là cơ quan tổ chức, điều phối hoạt động giải quyết tranh chấp trong kinh doanh bằng trọng tài quy chế, với thẩm quyền giải quyết các tranh chấp: (i) Tranh chấp giữa các bên phát sinh từ hoạt động thương mại; (ii) tranh chấp giữa các bên trong đó có ít nhất một bên có hoạt động thương mại; (iii) tranh chấp giữa các bên mà pháp luật quy định giải quyết bằng Trọng tài
