Doanh nghiệp có phải bổ nhiệm DPO không? Về nguyên tắc là có. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân yêu cầu cơ quan, tổ chức chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân, hoặc thuê đơn vị cung cấp dịch vụ này. Luật không bắt buộc dùng đúng chức danh DPO. Một số nhóm doanh nghiệp nhỏ được miễn hoặc hoãn nghĩa vụ. Quyền đó sẽ mất nếu doanh nghiệp xử lý dữ liệu nhạy cảm hoặc dữ liệu của từ 100.000 chủ thể trở lên.
Bài viết của Global Vietnam Lawyers (GV Lawyers) giúp doanh nghiệp xác định mình thuộc nhóm nào, ai đủ điều kiện đảm nhiệm vai trò này và nên tự bố trí hay thuê ngoài.
DPO Là Gì Và Doanh Nghiệp Có Phải Bổ Nhiệm DPO Không?
DPO là viết tắt của Data Protection Officer, tức người phụ trách bảo vệ dữ liệu cá nhân trong một tổ chức. Thuật ngữ này phổ biến từ Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR). Văn bản pháp luật Việt Nam gọi đây là “bộ phận, nhân sự bảo vệ dữ liệu cá nhân”. Giới chuyên môn gọi tắt là DPO.
Căn cứ chính nằm ở Điều 33 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Theo khoản 2 điều này, cơ quan, tổ chức phải chỉ định bộ phận hoặc nhân sự đủ năng lực bảo vệ dữ liệu cá nhân. Nếu không tự bố trí, tổ chức có thể thuê tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
Vì vậy, câu hỏi doanh nghiệp có phải bổ nhiệm DPO không cần được trả lời theo ba ý:
- Nghĩa vụ chung: doanh nghiệp phải có người hoặc bộ phận phụ trách, hoặc thuê dịch vụ bên ngoài;
- Chức danh: luật không bắt buộc gọi là DPO, quan trọng là điều kiện năng lực và văn bản phân công;
- Ngoại lệ: một số nhóm doanh nghiệp quy mô nhỏ được miễn hoặc hoãn, với điều kiện không thuộc trường hợp loại trừ.
Gần như doanh nghiệp nào cũng xử lý dữ liệu cá nhân của người lao động và khách hàng. Nghĩa vụ này không chỉ dành cho tập đoàn lớn.
Nhóm Doanh Nghiệp Được Miễn Hoặc Hoãn Nghĩa Vụ
Khoản 2 và khoản 3 Điều 38 của Luật tạo ra chế độ riêng cho doanh nghiệp quy mô nhỏ. Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết chế độ này. Có thể tóm tắt như sau:
| Nhóm đối tượng | Nghĩa vụ chỉ định nhân sự, bộ phận |
|---|---|
| Hộ kinh doanh, doanh nghiệp siêu nhỏ | Không phải thực hiện, nếu không thuộc trường hợp loại trừ |
| Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp | Được chọn thực hiện hoặc không trong 05 năm kể từ ngày 01/01/2026, nếu không thuộc trường hợp loại trừ |
| Doanh nghiệp vừa, doanh nghiệp lớn | Phải thực hiện |
| Doanh nghiệp thuộc trường hợp loại trừ, bất kể quy mô | Phải thực hiện |
Quy mô doanh nghiệp được xác định theo tiêu chí của pháp luật về hỗ trợ doanh nghiệp nhỏ và vừa.
Quyền được miễn hoặc hoãn không còn nếu doanh nghiệp thuộc một trong ba trường hợp:
- Kinh doanh dịch vụ xử lý dữ liệu cá nhân;
- Trực tiếp xử lý dữ liệu cá nhân nhạy cảm;
- Xử lý dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu.
Với trường hợp thứ ba, Nghị định 356/2025/NĐ-CP đưa ra ngưỡng cụ thể: tổng lượng dữ liệu tích lũy đạt từ 100.000 chủ thể dữ liệu cá nhân trở lên. Một cửa hàng trực tuyến hoặc chuỗi dịch vụ có cơ sở khách hàng lâu năm có thể chạm ngưỡng này nhanh hơn dự tính.
Trường hợp thứ hai cần rà soát kỹ nhất. Theo phân tích của giới tư vấn, Nghị định 356/2025/NĐ-CP mở rộng danh mục dữ liệu nhạy cảm. Danh mục này gồm tình trạng sức khỏe, tài khoản ngân hàng, lịch sử giao dịch tài chính và ảnh căn cước công dân. Hồ sơ nhân sự của nhiều doanh nghiệp chứa đúng các thông tin này. Việc đó có đưa doanh nghiệp vào nhóm loại trừ hay không cần đánh giá theo từng trường hợp.
Cũng cần hiểu đúng phạm vi miễn trừ. Khoản 2 Điều 38 chỉ cho phép doanh nghiệp nhỏ và khởi nghiệp chọn không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33. Hai điều đầu liên quan đến hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Các nghĩa vụ bảo vệ dữ liệu khác vẫn áp dụng bình thường.
Điều Kiện Và Nhiệm Vụ Của Người Được Chỉ Định
Nghị định 356/2025/NĐ-CP yêu cầu việc chỉ định phải lập thành văn bản chính thức. Văn bản nêu rõ phân công, chức năng, nhiệm vụ và quyền hạn. Người được chỉ định phải đáp ứng ba điều kiện:
- Có trình độ cao đẳng trở lên;
- Có ít nhất 02 năm kinh nghiệm kể từ khi tốt nghiệp, thuộc một trong các lĩnh vực: pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự hoặc tổ chức cán bộ;
- Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
Nếu lập bộ phận, mọi thành viên đều phải đáp ứng các điều kiện trên. Doanh nghiệp tự chịu trách nhiệm đánh giá và lựa chọn nhân sự. Doanh nghiệp cũng phải ký thỏa thuận trách nhiệm bảo mật và tổ chức đào tạo cho người được chỉ định.
Về nhiệm vụ, người hoặc bộ phận này thường phụ trách:
- Xây dựng chính sách và quy trình bảo vệ dữ liệu cá nhân;
- Tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu;
- Đánh giá mức độ tuân thủ định kỳ;
- Lập hồ sơ đánh giá tác động, xem hướng dẫn tại bài lập hồ sơ đánh giá tác động DPIA;
- Xử lý sự cố rò rỉ dữ liệu và đào tạo nhân viên.
Tự Bổ Nhiệm Hay Thuê Dịch Vụ Bên Ngoài?
Luật cho doanh nghiệp hai lựa chọn, và Nghị định 356/2025/NĐ-CP cho phép kết hợp cả hai. Doanh nghiệp có thể chỉ định nhân sự nội bộ, đồng thời thuê đơn vị bên ngoài hỗ trợ những phần chuyên sâu.
Đơn vị cung cấp dịch vụ cũng phải đạt chuẩn. Cá nhân cần trình độ cao đẳng trở lên, ít nhất 03 năm kinh nghiệm và được đào tạo chuyên sâu về bảo vệ dữ liệu cá nhân. Tổ chức phải có tối thiểu 03 nhân sự đạt chuẩn của cá nhân cung cấp dịch vụ và lập hồ sơ năng lực.
Nhân sự nội bộ hiểu rõ dòng dữ liệu hằng ngày. Đơn vị bên ngoài có sẵn chuyên môn và đánh giá khách quan hơn. Doanh nghiệp chưa có nhân sự đủ điều kiện thường nghiêng về thuê ngoài.
Dù chọn phương án nào, doanh nghiệp có thể làm theo năm bước:
- Rà soát loại dữ liệu cá nhân đang xử lý và xác định nhóm quy mô;
- Quyết định phương án: tự bố trí, thuê ngoài hoặc kết hợp;
- Ban hành văn bản chỉ định, ghi rõ phân công, chức năng, nhiệm vụ, quyền hạn;
- Ký thỏa thuận bảo mật và tổ chức đào tạo cho người được chỉ định;
- Lưu hồ sơ và rà soát định kỳ khi quy mô hoặc loại dữ liệu thay đổi.
Sai Lầm Thường Gặp Khi Chỉ Định DPO
- Cho rằng quy mô nhỏ là đương nhiên được miễn. Doanh nghiệp vẫn phải kiểm tra ba trường hợp loại trừ;
- Chỉ định bằng lời nói. Pháp luật yêu cầu văn bản chính thức;
- Chọn người không đủ điều kiện. Bằng cấp, kinh nghiệm và đào tạo đều cần có hồ sơ chứng minh;
- Bỏ qua dữ liệu người lao động. Hồ sơ nhân sự là nguồn dữ liệu cá nhân lớn của hầu hết doanh nghiệp;
- Có người nhưng không có quy trình. Chỉ định mới là bước đầu, doanh nghiệp vẫn cần quy trình xử lý dữ liệu và ứng phó sự cố.
Hậu quả của việc không tuân thủ được phân tích tại bài xử phạt vi phạm dữ liệu cá nhân 2026. Các nghĩa vụ khác của doanh nghiệp có trong bài luật bảo vệ dữ liệu cá nhân 2026.
Cơ Sở Pháp Lý
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, thông qua ngày 26/06/2025, có hiệu lực từ ngày 01/01/2026 (Điều 33 và Điều 38);
- Nghị định 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP ngày 17/04/2023;
- Pháp luật về hỗ trợ doanh nghiệp nhỏ và vừa, dùng để xác định quy mô doanh nghiệp.
Câu Hỏi Thường Gặp
Doanh nghiệp có phải bổ nhiệm DPO không nếu chỉ có vài nhân viên?
Có thể không. Hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện nghĩa vụ này. Doanh nghiệp nhỏ và khởi nghiệp được chọn thực hiện hoặc không trong 05 năm kể từ ngày 01/01/2026. Điều kiện là doanh nghiệp không kinh doanh dịch vụ xử lý dữ liệu, không trực tiếp xử lý dữ liệu nhạy cảm và chưa đạt ngưỡng 100.000 chủ thể dữ liệu.
Có bắt buộc dùng chức danh DPO không?
Không. Luật yêu cầu chỉ định bộ phận hoặc nhân sự đủ năng lực bảo vệ dữ liệu cá nhân. Tên gọi do doanh nghiệp quyết định, miễn là có văn bản phân công rõ chức năng, nhiệm vụ và quyền hạn.
Doanh nghiệp có thể thuê DPO bên ngoài không?
Được. Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân cho phép thuê tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Doanh nghiệp cũng có thể kết hợp nhân sự nội bộ với dịch vụ bên ngoài.
Không chỉ định nhân sự bảo vệ dữ liệu cá nhân có bị xử phạt không?
Pháp luật có quy định xử phạt đối với vi phạm về bảo vệ dữ liệu cá nhân. Việc chưa chỉ định nhân sự có bị xử phạt riêng hay không, và ở mức nào, phụ thuộc vào văn bản xử phạt đang áp dụng tại thời điểm kiểm tra. Doanh nghiệp nên tham vấn luật sư để đánh giá theo tình huống cụ thể.
Dịch Vụ Tư Vấn Nhân Sự Bảo Vệ Dữ Liệu Tại GV Lawyers
GV Lawyers hỗ trợ doanh nghiệp xác định nhóm quy mô và các trường hợp loại trừ, đồng thời tư vấn phương án tự bố trí hoặc thuê dịch vụ bên ngoài. Luật sư cũng soạn văn bản chỉ định, thỏa thuận bảo mật và chính sách nội bộ. Dịch vụ nằm trong nhóm tư vấn tuân thủ Luật Bảo vệ dữ liệu cá nhân và tư vấn pháp lý thường xuyên.
Nếu doanh nghiệp của bạn đang băn khoăn về nghĩa vụ chỉ định DPO, hãy liên hệ với GV Lawyers. Chúng tôi sẽ rà soát hiện trạng xử lý dữ liệu và đề xuất phương án phù hợp trước khi phát sinh rủi ro.
Bài viết mang tính chất tham khảo pháp lý chung, không thay thế cho ý kiến tư vấn cụ thể của luật sư đối với từng trường hợp. Liên hệ GV Lawyers để được tư vấn chi tiết.
