DPO (Data Protection Officer) — trong văn bản luật Việt Nam gọi là “Nhân sự bảo vệ dữ liệu cá nhân” — là người/bộ phận chịu trách nhiệm giám sát việc tuân thủ Luật Bảo vệ Dữ liệu Cá nhân trong tổ chức. Nhiều chủ doanh nghiệp nhỏ lo lắng phải thuê thêm nhân sự chuyên trách ngay từ 01/01/2026, nhưng thực tế có cơ chế miễn trừ rõ ràng.
📌 Trả lời nhanh: Doanh nghiệp siêu nhỏ, nhỏ và khởi nghiệp sáng tạo được hoãn nghĩa vụ bổ nhiệm DPO trong 5 năm đầu kể từ khi luật có hiệu lực (theo Điều 41 Nghị định 356/2025/NĐ-CP) — trừ khi doanh nghiệp đó kinh doanh dịch vụ xử lý dữ liệu, hoặc xử lý dữ liệu cá nhân nhạy cảm (y tế, sinh trắc học, tài chính…). Ngoài trường hợp miễn trừ, mọi tổ chức đều phải chỉ định nhân sự/bộ phận bảo vệ dữ liệu hoặc thuê dịch vụ ngoài.
Nguyên tắc chung: mọi tổ chức đều cần có người phụ trách
Theo Điều 41 Nghị định 356/2025, nguyên tắc mặc định là mọi cơ quan, tổ chức đều có trách nhiệm chỉ định bộ phận/nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân, hoặc thuê tổ chức/cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Doanh nghiệp có thể kết hợp cả 2 hình thức — vừa có người phụ trách nội bộ vừa thuê ngoài tư vấn khi cần.
Ai được miễn trừ, ai không?
| Loại doanh nghiệp | Có được hoãn nghĩa vụ bổ nhiệm DPO 5 năm không? |
|---|---|
| Doanh nghiệp siêu nhỏ, nhỏ, khởi nghiệp sáng tạo (thông thường) | Có, được hoãn 5 năm đầu |
| Doanh nghiệp nhỏ nhưng kinh doanh dịch vụ xử lý dữ liệu | Không — vẫn phải có DPO dù quy mô nhỏ |
| Doanh nghiệp nhỏ nhưng xử lý dữ liệu cá nhân nhạy cảm (y tế, tài chính, sinh trắc học…) | Không — vẫn phải có DPO dù quy mô nhỏ |
| Doanh nghiệp vừa và lớn | Không thuộc diện miễn trừ, cần chỉ định DPO/DPD hoặc thuê dịch vụ theo lộ trình chung |
Điểm quan trọng cần lưu ý: “được hoãn nghĩa vụ bổ nhiệm DPO” không có nghĩa là được miễn toàn bộ nghĩa vụ tuân thủ luật. Doanh nghiệp nhỏ vẫn phải tuân thủ đầy đủ các yêu cầu khác (cơ chế đồng ý, chính sách bảo mật, xử lý yêu cầu DSAR, bảo mật dữ liệu…) — chỉ riêng việc bắt buộc có 1 nhân sự chuyên trách chức danh DPO là được hoãn.
DPO cần đáp ứng điều kiện năng lực gì?
Nếu doanh nghiệp thuộc diện phải có DPO (hoặc chủ động muốn có sớm dù được miễn trừ), Nghị định 356/2025 quy định điều kiện năng lực cụ thể: trình độ cao đẳng trở lên và tối thiểu 2 năm kinh nghiệm trong các lĩnh vực liên quan như pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, hoặc quản lý nhân sự.
Không có DPO nội bộ thì làm sao đạt chuẩn?
Với doanh nghiệp nhỏ được miễn trừ nhưng vẫn muốn có đầu mối phụ trách để đảm bảo tuân thủ tốt (không bắt buộc nhưng nên có), có 3 lựa chọn:
- Kiêm nhiệm nội bộ — giao cho 1 nhân sự hiện có (thường là IT Manager, Legal, hoặc người quản lý vận hành) phụ trách thêm mảng này, không cần đạt đủ tiêu chuẩn DPO chính thức nếu doanh nghiệp thuộc diện miễn trừ.
- Thuê dịch vụ tư vấn theo vụ việc — khi cần rà soát/tư vấn cụ thể, không cần hợp đồng dài hạn.
- Dùng công cụ tự động hóa một phần công việc — các công cụ quét compliance, quản lý consent tự động giúp giảm khối lượng công việc thủ công mà 1 DPO chuyên trách phải làm, phù hợp khi chưa đủ nguồn lực thuê nhân sự riêng.
Câu hỏi thường gặp
“Doanh nghiệp siêu nhỏ, nhỏ, khởi nghiệp sáng tạo” được xác định theo tiêu chí nào? Thường theo quy định hiện hành về phân loại doanh nghiệp nhỏ và vừa tại Việt Nam (dựa trên số lao động, doanh thu, hoặc tổng nguồn vốn tùy ngành nghề) — doanh nghiệp nên đối chiếu quy định phân loại cụ thể để xác định mình có thuộc diện miễn trừ hay không.
Sau 5 năm miễn trừ, doanh nghiệp nhỏ có bắt buộc phải có DPO ngay không? Về nguyên tắc, sau thời hạn miễn trừ, nghĩa vụ chung sẽ áp dụng — doanh nghiệp nên chủ động chuẩn bị trước khi hết thời hạn thay vì chờ đến sát ngày mới xử lý.
Doanh nghiệp xử lý dữ liệu khách hàng có sức khỏe (spa, phòng khám nhỏ) có thuộc diện miễn trừ không? Không, vì dữ liệu sức khỏe thuộc nhóm dữ liệu cá nhân nhạy cảm — doanh nghiệp dù quy mô nhỏ vẫn cần có DPO/nhân sự phụ trách theo quy định, không được hưởng miễn trừ 5 năm.
Thuê dịch vụ DPO ngoài có khác gì tự bổ nhiệm nội bộ về mặt pháp lý không? Cả 2 hình thức đều được luật công nhận và có thể kết hợp — quan trọng là nhân sự/tổ chức được chỉ định đáp ứng đủ điều kiện năng lực theo quy định, không phân biệt là nhân sự nội bộ hay thuê ngoài.
Công ty khởi nghiệp công nghệ xử lý dữ liệu người dùng lớn có được miễn trừ không? Cần xem xét cụ thể: nếu công ty khởi nghiệp đó có mô hình kinh doanh là cung cấp dịch vụ xử lý dữ liệu cho bên khác, sẽ không thuộc diện miễn trừ dù đang ở giai đoạn khởi nghiệp quy mô nhỏ.
Nguồn tham khảo
- Nghị định số 356/2025/NĐ-CP, Điều 41 (cơ chế áp dụng với doanh nghiệp nhỏ, khởi nghiệp, hộ kinh doanh)
- Nghị định số 356/2025/NĐ-CP, Điều 15 (điều kiện năng lực nhân sự bảo vệ dữ liệu)
Bài viết mang tính thông tin tham khảo. Doanh nghiệp nên đối chiếu tiêu chí phân loại quy mô cụ thể và tham vấn pháp lý để xác định chính xác nghĩa vụ áp dụng cho trường hợp của mình.
