DPO là gì? Khi nào doanh nghiệp phải có nhân sự bảo vệ dữ liệu cá nhân

Trả lời ngắn cho câu hỏi DPO là gì: DPO (Data Protection Officer) là người hoặc bộ phận được doanh nghiệp chỉ định để phụ trách bảo vệ dữ liệu cá nhân; theo Luật 91/2025/QH15, doanh nghiệp phải chỉ định nhân sự đủ điều kiện hoặc thuê dịch vụ, trừ trường hợp được miễn.

Câu hỏi thực tế của giám đốc và phòng nhân sự là: công ty mình có bắt buộc không, tuyển ai, cần bằng cấp gì, có thuê ngoài được không. Phần dưới trả lời theo Nghị định 356/2025/NĐ-CP và mức phạt theo Nghị định 330/2026. Nếu chưa có người phù hợp, xem dịch vụ DPO thuê ngoài của Musk-IS.

Điểm chính

• Khoản 2 Điều 33 Luật 91/2025/QH15 yêu cầu cơ quan, tổ chức chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân đủ điều kiện năng lực, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu.
• Nhân sự được chỉ định phải có trình độ cao đẳng trở lên, ít nhất 2 năm kinh nghiệm trong lĩnh vực liên quan, đã được đào tạo về bảo vệ dữ liệu cá nhân, và được chỉ định bằng văn bản chính thức (Điều 13 Nghị định 356/2025/NĐ-CP).
• Doanh nghiệp nhỏ, khởi nghiệp được chọn chưa chỉ định trong 5 năm từ 01/01/2026, trừ khi xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu của từ 100.000 người.
• Không ban hành văn bản chỉ định hoặc chỉ định người không đủ điều kiện bị phạt 20–30 triệu đồng với tổ chức (Điều 57 Nghị định 330/2026/NĐ-CP).

DPO là gì? Luật Việt Nam gọi chức danh này thế nào?

DPO (Data Protection Officer, nhân viên bảo vệ dữ liệu) là người chịu trách nhiệm tham mưu, giám sát và làm đầu mối cho mọi việc liên quan đến dữ liệu cá nhân trong tổ chức. Luật Việt Nam không dùng chữ “DPO” mà gọi là bộ phận, nhân sự bảo vệ dữ liệu cá nhân, hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Theo khoản 1 Điều 33 Luật Bảo vệ dữ liệu cá nhân 2025 (Luật 91/2025/QH15), lực lượng bảo vệ dữ liệu cá nhân gồm cơ quan chuyên trách thuộc Bộ Công an, bộ phận và nhân sự trong các cơ quan, tổ chức, tổ chức và cá nhân cung cấp dịch vụ, cùng lực lượng được huy động. “DPO” trong doanh nghiệp tương ứng với nhóm thứ hai hoặc thứ ba.

Người tìm “chứng chỉ DPO là gì” thường muốn biết có cần một chứng chỉ riêng không. Nghị định 356 yêu cầu nhân sự “đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân”, nhưng tại thời điểm viết bài chúng tôi chưa thấy văn bản chỉ định một chứng chỉ hay chương trình đào tạo bắt buộc cụ thể. Doanh nghiệp nên lưu giấy chứng nhận khóa học và nội dung đào tạo làm bằng chứng.

Doanh nghiệp nào phải có DPO?

Mặc định, mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam phải chỉ định bộ phận, nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ, theo khoản 2 Điều 33 Luật 91. Khác với GDPR, luật Việt Nam không giới hạn nghĩa vụ ở doanh nghiệp xử lý dữ liệu quy mô lớn hay giám sát có hệ thống.

Ngoại lệ nằm ở Điều 38 Luật 91 và Điều 41 Nghị định 356. Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được chọn chưa thực hiện nghĩa vụ chỉ định trong 5 năm kể từ 01/01/2026; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện. Ngoại lệ mất hiệu lực nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu của từ 100.000 người trở lên tính lũy kế.

Bảng dưới là cây quyết định rút gọn, đi từ trên xuống:

Một nhà máy FDI vài trăm công nhân không phải doanh nghiệp nhỏ nên dừng ngay ở câu 3. Một xưởng được xếp là doanh nghiệp nhỏ nhưng dùng máy chấm công khuôn mặt thì dừng ở câu 4: dữ liệu sinh trắc học là dữ liệu nhạy cảm nên vẫn phải chỉ định.

Nhiệm vụ của DPO theo Nghị định 356

Điều 14 Nghị định 356/2025/NĐ-CP giao cho nhân sự bảo vệ dữ liệu sáu nhóm việc: tham mưu xây dựng chính sách; tham gia thực hiện quyền của chủ thể dữ liệu; tham gia đánh giá tuân thủ định kỳ; lập hồ sơ đánh giá tác động, tiếp nhận và báo cáo vi phạm, thực hiện yêu cầu của cơ quan chức năng; tham gia đào tạo; và tham gia biện pháp kỹ thuật, kế hoạch ứng cứu sự cố.

Trong thực tế, ba việc chiếm nhiều thời gian nhất là hồ sơ, yêu cầu của người có dữ liệu và sự cố. DPO là người lập và cập nhật hồ sơ DPIA, và hồ sơ khi doanh nghiệp chuyển dữ liệu cá nhân ra nước ngoài. Khi khách hàng yêu cầu xóa dữ liệu hay ứng viên hỏi công ty giữ hồ sơ của họ đến bao giờ, DPO là người điều phối câu trả lời. Khi xảy ra vi phạm có thể gây hại, DPO tiếp nhận và lo việc báo cáo cơ quan chuyên trách trong 72 giờ theo Điều 23 Luật 91.

Khác biệt đáng chú ý nhất ở dòng thứ ba: GDPR để DPO tư vấn, còn Nghị định 356 giao DPO trực tiếp lập hồ sơ. DPO ở Việt Nam vì vậy cần đọc được cả văn bản luật lẫn sơ đồ hệ thống và luồng dữ liệu.

Điều kiện của DPO và tính độc lập

Theo Điều 13 Nghị định 356, nhân sự bảo vệ dữ liệu phải được chỉ định bằng văn bản chính thức nêu rõ chức năng, nhiệm vụ; có trình độ cao đẳng trở lên; có ít nhất 2 năm kinh nghiệm trong các lĩnh vực như pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự; đã được đào tạo về bảo vệ dữ liệu cá nhân; và ký thỏa thuận bảo mật. Tổ chức chỉ định có trách nhiệm đào tạo cho nhân sự này.

Điều kiện cho bên cung cấp dịch vụ cao hơn. Cá nhân cung cấp dịch vụ cần ít nhất 3 năm kinh nghiệm và đào tạo chuyên sâu (Điều 15). Tổ chức cung cấp dịch vụ phải có ngành nghề liên quan đến công nghệ, pháp lý hoặc tư vấn, có ít nhất 3 nhân sự đủ điều kiện như cá nhân cung cấp dịch vụ, và có hồ sơ năng lực (Điều 16).

Về tính độc lập, GDPR quy định rõ DPO không nhận chỉ thị về cách làm nhiệm vụ, không bị sa thải hay xử phạt vì làm nhiệm vụ, và được kiêm nhiệm nếu không xung đột lợi ích. Trong các điều khoản về nhân sự của Nghị định 356 (Điều 13–16), chúng tôi không thấy quy định tương tự về độc lập hay cấm kiêm nhiệm.

Dù luật không cấm, chúng tôi khuyên tránh để trưởng phòng IT hoặc trưởng phòng marketing một mình làm DPO. Người quyết định cách dùng dữ liệu không nên đồng thời là người đánh giá việc dùng dữ liệu đó có đúng luật không. Cách thường dùng là giao cho pháp chế hoặc nhân sự tuân thủ, có đầu mối kỹ thuật hỗ trợ.

DPO nội bộ hay thuê ngoài?

Doanh nghiệp được chọn một trong hai hình thức, hoặc kết hợp cả hai: khoản 4 Điều 16 Nghị định 356 cho phép đồng thời chỉ định nhân sự nội bộ và thuê dịch vụ bên ngoài. Lựa chọn hợp lý phụ thuộc vào khối lượng dữ liệu, mức nhạy cảm và việc trong công ty đã có người đủ điều kiện hay chưa.

Mô hình kết hợp thường hiệu quả nhất với doanh nghiệp FDI: một nhân sự nội bộ làm đầu mối hằng ngày, đơn vị bên ngoài lo phần hồ sơ, cập nhật luật và làm việc với cơ quan chức năng. Người nội bộ học dần, sau 1–2 năm có thể tự đảm nhận nhiều hơn.

Dịch vụ DPO thuê ngoài gồm những gì?

Một dịch vụ DPO thuê ngoài đầy đủ thường gồm: làm đầu mối bảo vệ dữ liệu cho doanh nghiệp; rà soát và xây dựng chính sách, quy trình, biểu mẫu; lập và cập nhật hồ sơ đánh giá tác động; tiếp nhận yêu cầu của người có dữ liệu; hướng dẫn xử lý và báo cáo vi phạm; đào tạo nhân viên; và làm việc với cơ quan chức năng khi có yêu cầu.

Khi chọn đơn vị, nên kiểm tra bốn điều theo Điều 16 Nghị định 356: ngành nghề đăng ký có liên quan đến công nghệ, pháp lý hoặc tư vấn; có ít nhất 3 nhân sự đủ điều kiện; đã từng cung cấp sản phẩm, dịch vụ liên quan; và có hồ sơ năng lực. Hợp đồng nên ghi rõ ai chịu trách nhiệm lập hồ sơ, thời hạn phản hồi yêu cầu, và ai báo cáo khi có sự cố trong 72 giờ.

Trên thực tế, một hợp đồng DPO thuê ngoài thường đi theo bốn giai đoạn:

Thời gian hai giai đoạn đầu phụ thuộc số hệ thống và số phòng ban. Một công ty thương mại vài chục nhân viên với phần mềm kế toán, CRM và website thường xong nhanh hơn nhiều so với một bệnh viện tư có hệ thống khám chữa bệnh, xét nghiệm và ứng dụng đặt lịch.

Thuê ngoài không chuyển hết trách nhiệm sang đơn vị dịch vụ. Doanh nghiệp vẫn là bên kiểm soát dữ liệu, vẫn phải ban hành văn bản chỉ định hoặc ký hợp đồng, và khi nộp hồ sơ đánh giá tác động, Quyết định 778/QĐ-BCA-A05 yêu cầu kèm bản sao quyết định phân công hoặc hợp đồng dịch vụ bảo vệ dữ liệu.

Hiểu lầm thường gặp về DPO

Bốn hiểu lầm dưới đây khiến doanh nghiệp hoặc tuyển sai người, hoặc nghĩ mình đã tuân thủ khi chưa.

“Mỗi doanh nghiệp phải có tối thiểu 01 chuyên gia bảo vệ dữ liệu thuộc một trong ba nhóm công nghệ, pháp lý hoặc cả hai.” Cách phân loại này nằm trong bản dự thảo Luật Bảo vệ dữ liệu cá nhân, không có trong Luật 91/2025/QH15 được thông qua. Luật chính thức yêu cầu chỉ định bộ phận, nhân sự đủ điều kiện hoặc thuê dịch vụ, với điều kiện chi tiết tại Nghị định 356.

“Doanh nghiệp nhỏ thì không bao giờ cần DPO.” Ngoại lệ 5 năm không áp dụng nếu doanh nghiệp xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu của từ 100.000 người. Một phòng khám nhỏ hay một startup chấm điểm tín dụng vẫn phải chỉ định.

“Đã giao cho một người phụ trách là xong.” Phải có văn bản chỉ định nêu rõ chức năng, thỏa thuận bảo mật, bằng chứng đào tạo, và người đó phải đủ trình độ, kinh nghiệm. Thiếu các giấy tờ này vẫn có thể bị phạt theo Điều 57 Nghị định 330.

“DPO của công ty mẹ theo GDPR dùng chung cho Việt Nam.” Chỉ dùng được nếu công ty con tại Việt Nam chỉ định người đó bằng văn bản và người đó đáp ứng điều kiện Điều 13 Nghị định 356, kể cả việc được đào tạo về luật Việt Nam. Trên thực tế, DPO tập đoàn ở nước ngoài thường khó làm đầu mối với cơ quan chức năng Việt Nam.

Bổ nhiệm DPO: cần chuẩn bị giấy tờ gì?

Để bổ nhiệm đúng ngay từ đầu, doanh nghiệp cần năm thứ: quyết định chỉ định nêu rõ chức năng, nhiệm vụ theo Điều 14; thỏa thuận bảo mật đã ký; bằng cao đẳng trở lên và xác nhận ít nhất 2 năm kinh nghiệm; giấy chứng nhận đã được đào tạo về bảo vệ dữ liệu cá nhân; và kế hoạch đào tạo định kỳ cho nhân sự này. Theo Quyết định 778/QĐ-BCA-A05, bản sao quyết định phân công nhân sự bảo vệ dữ liệu là thành phần phải nộp kèm hồ sơ DPIA và hồ sơ chuyển dữ liệu ra nước ngoài, nên làm đúng từ đầu sẽ đỡ phải sửa về sau.

Theo Điều 57 Nghị định 330/2026/NĐ-CP, không ký thỏa thuận bảo mật, không đào tạo, hoặc văn bản chỉ định không nêu rõ chức năng có thể bị cảnh cáo hoặc phạt 10–20 triệu đồng; không ban hành văn bản chỉ định hoặc chỉ định người không đủ điều kiện bị phạt 20–30 triệu đồng, với tổ chức.

Nếu công ty chưa có người đủ điều kiện, Musk-IS cung cấp dịch vụ DPO thuê ngoài với đội ngũ chuyên gia an toàn thông tin và luật sư dữ liệu cá nhân, làm việc được bằng tiếng Việt, tiếng Hàn, tiếng Nhật. Bạn có thể đặt lịch tư vấn miễn phí để rà soát hiện trạng trước.

Câu hỏi thường gặp về DPO

Doanh nghiệp nào cũng phải có DPO?

Gần như vậy. Khoản 2 Điều 33 Luật 91/2025/QH15 yêu cầu mọi cơ quan, tổ chức chỉ định bộ phận, nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ. Ngoại lệ: hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện; doanh nghiệp nhỏ, khởi nghiệp được chọn chưa thực hiện trong 5 năm, trừ khi xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu hoặc xử lý dữ liệu của từ 100.000 người.

DPO có kiêm nhiệm được không?

Nghị định 356/2025/NĐ-CP không có quy định riêng cấm kiêm nhiệm trong các điều khoản về nhân sự bảo vệ dữ liệu (Điều 13–16), nên nhiều doanh nghiệp giao cho pháp chế hoặc nhân sự tuân thủ kiêm thêm. Nên tránh giao cho người trực tiếp quyết định cách dùng dữ liệu, như trưởng phòng IT hoặc marketing, vì dễ xung đột lợi ích. GDPR cho phép kiêm nhiệm nếu không có xung đột lợi ích.

GDPR và luật Việt Nam yêu cầu DPO khác nhau thế nào?

GDPR chỉ bắt buộc DPO với cơ quan công và doanh nghiệp có hoạt động cốt lõi là giám sát quy mô lớn hoặc xử lý quy mô lớn dữ liệu đặc biệt; không quy định bằng cấp. Luật Việt Nam yêu cầu gần như mọi tổ chức phải chỉ định hoặc thuê dịch vụ, và đặt điều kiện cụ thể: cao đẳng trở lên, ít nhất 2 năm kinh nghiệm, đã được đào tạo, chỉ định bằng văn bản.

Điều kiện nhân sự bảo vệ dữ liệu cá nhân là gì?

Theo Điều 13 Nghị định 356/2025/NĐ-CP, nhân sự phải có trình độ cao đẳng trở lên, ít nhất 2 năm kinh nghiệm trong pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc quản lý nhân sự; đã được đào tạo về bảo vệ dữ liệu cá nhân; được chỉ định bằng văn bản chính thức và ký thỏa thuận bảo mật.

Không chỉ định DPO bị phạt bao nhiêu?

Theo Điều 57 Nghị định 330/2026/NĐ-CP, tổ chức không ban hành văn bản chỉ định nhân sự hoặc không quyết định thành lập bộ phận bảo vệ dữ liệu bị phạt 20–30 triệu đồng, kèm biện pháp buộc ban hành văn bản. Chỉ định người không đủ trình độ, kinh nghiệm hoặc chưa được đào tạo cũng bị phạt ở mức này. Cá nhân vi phạm bị phạt bằng một nửa.

Tài liệu tham khảo

1. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 – Điều 33 về lực lượng bảo vệ dữ liệu cá nhân, Điều 38 về miễn trừ. Quốc hội · 26/06/2025
2. Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân – Điều 13–16 về điều kiện, nhiệm vụ nhân sự và đơn vị cung cấp dịch vụ; Điều 41 về miễn trừ. Chính phủ · 31/12/2025
3. Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân – Tóm tắt Nghị định 330/2026/NĐ-CP, hiệu lực 19/08/2026. Tạp chí Thị trường Tài chính Tiền tệ · 23/08/2026
4. Regulation (EU) 2016/679 (GDPR) – Điều 37–39 về DPO. Liên minh châu Âu · 27/04/2016