Có bắt buộc phải có nhân sự bảo vệ dữ liệu cá nhân (DPO) không?

Nhân sự bảo vệ dữ liệu là gì?

Nhân sự bảo vệ dữ liệu cá nhân (thường gọi tắt là DPO theo tiếng Anh) là người hoặc bộ phận trong tổ chức theo dõi việc xử lý dữ liệu có đúng luật không: ai được truy cập, khách đòi xoá dữ liệu thì ai trả lời, có sự cố lộ dữ liệu thì ai báo.

Điều 33 của Luật 91 nói về lực lượng bảo vệ dữ liệu. Cơ quan chuyên trách là cơ quan thuộc Bộ Công an. Với tổ chức, luật yêu cầu chỉ định bộ phận hoặc nhân sự đủ năng lực, hoặc thuê dịch vụ bên ngoài. Điều luật cho ba lựa chọn: bộ phận, nhân sự hoặc thuê ngoài. Chúng tôi chưa thấy hướng dẫn nào đòi người đó phải là nhân viên chính thức hay phải có vị trí riêng, nhưng chưa đối chiếu hết, nên cần luật sư xác nhận. Chuẩn "đủ năng lực" cụ thể là gì, hiện chưa có hướng dẫn chi tiết mà bài này đối chiếu được.

Ai được miễn?

Điều 38 là điều quy định hiệu lực thi hành, trong đó có phần miễn trừ cho doanh nghiệp nhỏ:

Ba nhóm ngoại lệ:

1. doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu;
2. doanh nghiệp xử lý dữ liệu nhạy cảm (xem danh mục và ví dụ);
3. doanh nghiệp xử lý dữ liệu của số lượng lớn chủ thể. Theo bản tin của EY về Nghị định 356/2025/NĐ-CP, ngưỡng này là từ 100.000 chủ thể trở lên.

Điều 21 và Điều 22 là hồ sơ đánh giá tác động xử lý dữ liệu và việc cập nhật hồ sơ. Bài này chỉ nói về nhân sự, bạn đọc thêm bài về hồ sơ đánh giá tác động.

Chú ý: Pixel và cookie có thể đưa bạn vào nhóm "dữ liệu nhạy cảm"

Nghị định 356/2025/NĐ-CP xác định dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu cá nhân nhạy cảm (theo bản tin EY). Một website bán hàng gắn Pixel quảng cáo, như website của shop gốm Hà Linh (shop tưởng tượng), đang thu loại dữ liệu này.

Vì vậy một doanh nghiệp nhỏ tưởng mình được miễn có thể rơi vào ngoại lệ "xử lý dữ liệu nhạy cảm". Điều này chưa có hướng dẫn chi tiết cho từng trường hợp, ví dụ gắn Pixel ở quy mô nào thì tính là "xử lý dữ liệu nhạy cảm" theo cách hiểu của Điều 38. Hãy hỏi luật sư nếu bạn ở vùng ranh giới. Xem thêm bài về theo dõi hành vi là dữ liệu nhạy cảm.

Miễn không có nghĩa là bỏ mặc

Dù được miễn chỉ định nhân sự, các nghĩa vụ khác vẫn còn, ví dụ:

• xin đồng ý đúng cách và cho khách rút lại đồng ý;
• trả lời yêu cầu xem, sửa, xoá dữ liệu đúng hạn;
• báo cơ quan chuyên trách trong 72 giờ khi phát hiện vi phạm có thể gây tổn hại (Điều 23);
• không mua bán dữ liệu (Điều 7).

Điều 38 chỉ nhắc đến Điều 21, Điều 22 và khoản 2 Điều 33. Nó không nhắc Điều 20 (chuyển dữ liệu ra nước ngoài), nên không nên hiểu doanh nghiệp nhỏ được miễn hồ sơ chuyển dữ liệu ra nước ngoài. Xem bài về chuyển dữ liệu ra nước ngoài.

Khi không có chuyên viên riêng, cách thực tế nhất cho doanh nghiệp nhỏ là cử một người trong ban điều hành, thường là chủ hoặc quản lý, làm "đầu mối" ghi tên vào chính sách bảo mật. Người này không cần danh hiệu DPO, nhưng cần biết khách gửi yêu cầu đến đâu và ai xử lý.

Bạn cần làm gì

• Xác định doanh nghiệp là hộ kinh doanh, siêu nhỏ, nhỏ hay lớn hơn.
• Kiểm tra bạn có rơi vào 3 nhóm ngoại lệ không, nhất là khi có dùng Pixel, theo dõi hành vi hoặc có nhiều dữ liệu khách.
• Nếu không được miễn: chỉ định người hoặc bộ phận, hoặc thuê dịch vụ ngoài, và lưu quyết định bằng văn bản.
• Nếu được miễn: vẫn chọn một người đầu mối và ghi thông tin liên hệ vào chính sách.
• Ghi lại lý do bạn cho rằng mình được miễn, để khi cơ quan chuyên trách hỏi còn có câu trả lời.

Dùng công cụ kiểm tra nghĩa vụ để xem doanh nghiệp của bạn nằm ở đâu, và tạo chính sách miễn phí có chỗ ghi đầu mối liên hệ.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 7, Điều 20, Điều 21, Điều 22, Điều 23, Điều 33, Điều 38.
• Nghị định 356/2025/NĐ-CP (theo bản tin EY 3/2026): dữ liệu theo dõi hành vi là dữ liệu nhạy cảm; ngưỡng số lượng lớn từ 100.000 chủ thể.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.