EN
Câu trả lời ngắn gọn là: có — và phạm vi bắt buộc rộng hơn nhiều doanh nghiệp đang nhận ra.
Khi nào pháp luật bắt buộc phải có nhân sự phụ trách bảo vệ dữ liệu cá nhân?
Theo Luật BVDLCN 2025, doanh nghiệp có trách nhiệm chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân nội bộ, hoặc thuê tổ chức, cá nhân bên ngoài để cung cấp dịch vụ bảo vệ dữ liệu. Đây là nghĩa vụ áp dụng cho hầu hết tổ chức có hoạt động xử lý dữ liệu cá nhân — phạm vi rộng hơn đáng kể so với quy định trước đây tại Nghị định 13/2023/NĐ-CP, vốn chỉ bắt buộc với tổ chức xử lý dữ liệu nhạy cảm.
Nói cách khác, nếu tổ chức của bạn thu thập, lưu trữ, sử dụng hoặc chia sẻ bất kỳ loại dữ liệu cá nhân nào — từ hồ sơ nhân viên, ứng viên, thông tin khách hàng, đến dữ liệu người dùng trên nền tảng số — thì nghĩa vụ bổ nhiệm nhân sự phụ trách bảo vệ dữ liệu gần như chắc chắn phát sinh.
Ngoại lệ rất hẹp chỉ dành cho các doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ — tuy nhiên ngay cả với các nhóm này, miễn trừ không áp dụng nếu tổ chức trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu. Trên thực tế, phần lớn doanh nghiệp dù quy mô nhỏ — từ phòng khám, trường học, ứng dụng giao đồ ăn đến sàn thương mại điện tử — đều không đáp ứng điều kiện ngoại lệ này.
Nghị định 356/2025/NĐ-CP bổ sung điều kiện năng lực cụ thể đối với nhân sự bảo vệ dữ liệu: phải có ít nhất 02 năm kinh nghiệm công tác liên quan đến một trong các lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc quản lý nhân sự; và đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
Yêu cầu “đã được đào tạo” không phải là gợi ý — đây là điều kiện pháp lý bắt buộc để nhân sự được bổ nhiệm hợp lệ. Một tổ chức có DPO trên giấy tờ nhưng người đó chưa qua đào tạo bài bản về bảo vệ dữ liệu, về mặt pháp lý, vẫn có thể bị xem là chưa đáp ứng nghĩa vụ bổ nhiệm.
DPO không chỉ là một chức danh — pháp luật đặt ra yêu cầu cụ thể về năng lực
Điều mà nhiều doanh nghiệp chưa chú ý đúng mức là Luật BVDLCN 2025 không chỉ yêu cầu có DPO, mà còn đặt ra yêu cầu về năng lực của người đảm nhận vai trò này. DPO phải có hiểu biết chuyên môn về pháp luật bảo vệ dữ liệu, có khả năng thực hiện độc lập các nhiệm vụ được giao, và không được đặt trong tình huống xung đột lợi ích với vai trò bảo vệ dữ liệu.
Điều này có nghĩa là một nhân sự được bổ nhiệm DPO mà không có nền tảng đào tạo về bảo vệ dữ liệu — dù có kinh nghiệm pháp lý hay IT lâu năm — vẫn có thể chưa đáp ứng yêu cầu của luật. Trách nhiệm pháp lý trong trường hợp xảy ra sự cố dữ liệu không chỉ nhìn vào việc tổ chức có DPO hay không, mà còn nhìn vào việc DPO đó có thực sự đủ năng lực để ngăn chặn hoặc xử lý sự cố hay không.
Từ góc độ thực tiễn tranh chấp và xử lý vi phạm, đây là điểm mà tôi nhận thấy nhiều tổ chức đang bỏ qua trong giai đoạn triển khai tuân thủ ban đầu: họ bổ nhiệm DPO trên giấy tờ, nhưng không đầu tư vào năng lực thực chất của người đảm nhận vai trò đó.
Đào tạo DPO không phải chi phí — đó là điều kiện để vai trò DPO có giá trị pháp lý
Một DPO được đào tạo bài bản không chỉ giúp tổ chức tuân thủ đúng nghĩa vụ pháp luật — mà còn là người có thể phát hiện sớm rủi ro dữ liệu trước khi rủi ro đó trở thành sự cố, thực hiện đánh giá tác động bảo vệ dữ liệu (DPIA) đúng quy trình, xử lý yêu cầu từ chủ thể dữ liệu trong thời hạn luật định, và là đầu mối đủ thẩm quyền khi cơ quan quản lý tiến hành thanh tra.
Ngược lại, một DPO chưa qua đào tạo bài bản không phải là DPO theo nghĩa của luật — đó chỉ là một chức danh. Và một chức danh không bảo vệ được tổ chức khi sự cố xảy ra.
Nhận thấy nhu cầu thực tế này, VTA phối hợp cùng Viện đào tạo ACC và 405Cyse tổ chức chương trình đào tạo Quản trị Bảo vệ Dữ liệu Cá nhân — Cấp độ nền tảng tại TP. Hồ Chí Minh vào tháng 8/2026, hướng tới những ai cần xây dựng nền tảng kiến thức để đảm nhận trách nhiệm này một cách thực chất. Thông tin chi tiết về chương trình tại vui lòng quét mã QR dưới đây:
Điều khoản trọng tài mẫu (Model Arbitration Clause) của VTA: “Mọi tranh chấp phát sinh từ hoặc liên quan đến hợp đồng này sẽ được giải quyết bằng trọng tài tại Trung tâm Trọng tài Thương nhân Việt Nam (VTA) theo Quy tắc tố tụng trọng tài của Trung tâm này”. “Any dispute arising out of or in relation with this contract shall be resolved by arbitration at the Vietnam Traders Arbitration Centre (VTA) in accordance with its Rules of Arbitration”.
Trung tâm Trọng tài Thương nhân Việt Nam (VTA) là cơ quan tổ chức, điều phối hoạt động giải quyết tranh chấp trong kinh doanh bằng trọng tài quy chế, với thẩm quyền giải quyết các tranh chấp: (i) Tranh chấp giữa các bên phát sinh từ hoạt động thương mại; (ii) tranh chấp giữa các bên trong đó có ít nhất một bên có hoạt động thương mại; (iii) tranh chấp giữa các bên mà pháp luật quy định giải quyết bằng Trọng tài.
