DPO (nhân sự bảo vệ dữ liệu cá nhân) có những nhiệm vụ gì theo luật Việt Nam? (Checklist 2026)

Trả lời

Từ 01/01/2026, mọi cơ quan, tổ chức phải chỉ định bộ phận hoặc nhân sự đủ năng lực bảo vệ dữ liệu cá nhân, hoặc thuê dịch vụ bên ngoài — không còn giới hạn ở nơi xử lý dữ liệu nhạy cảm như quy định cũ. Điều 33.2

Ai phải chỉ định, theo phương án nào

Khoản 2 Điều 33 quy định: “Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.” Luật xếp hai nhóm này vào “lực lượng bảo vệ dữ liệu cá nhân”, đứng giữa tổ chức và cơ quan chuyên trách thuộc Bộ Công an. Điều 33.1

Phương án A — nội bộ. Chỉ định bộ phận hoặc nhân sự bằng văn bản nêu rõ chức năng, quyền hạn; ký thỏa thuận bảo mật; tổ chức phải đào tạo nhân sự này. NĐ 356 · Điều 13.1, 13.5, 13.6
Phương án B — thuê ngoài. Ký hợp đồng với tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; bên cung cấp thực hiện nhiệm vụ của bộ phận theo hợp đồng. Có thể kết hợp cả A và B. NĐ 356 · Điều 16.4, 16.5

Bảy nhóm nhiệm vụ cốt lõi

Nghị định 356 liệt kê nhiệm vụ của bộ phận bảo vệ dữ liệu cá nhân; nhân sự bảo vệ dữ liệu thực hiện các nội dung này với vai trò tham mưu, tham gia. NĐ 356 · Điều 14

Chính sách, quy trình, biểu mẫu. Xây dựng và duy trì hệ thống văn bản nội bộ để tổ chức tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.
Quyền của chủ thể dữ liệu. Tổ chức tiếp nhận và thực hiện yêu cầu của chủ thể dữ liệu đúng thời hạn luật định.
Đánh giá tuân thủ định kỳ. Rà soát mức độ tuân thủ, lập báo cáo và đề xuất biện pháp kiểm soát rủi ro.
Hồ sơ và làm việc với cơ quan chuyên trách. Chuẩn bị hồ sơ đánh giá tác động xử lý, hồ sơ chuyển dữ liệu ra nước ngoài; tiếp nhận và báo cáo vi phạm; đáp ứng yêu cầu của cơ quan chức năng.
Đào tạo, tập huấn. Lập kế hoạch và tổ chức đào tạo định kỳ về bảo vệ dữ liệu cá nhân.
Kỹ thuật và ứng phó sự cố. Triển khai biện pháp bảo mật, tiêu chuẩn kỹ thuật và phương án ứng phó khẩn cấp với sự cố dữ liệu.
Tham mưu quyết định. Nghiên cứu, đề xuất các quyết định về bảo vệ dữ liệu cá nhân của tổ chức.

Ba nghĩa vụ có thời hạn bắt buộc

Đây là phần DPO trực tiếp vận hành và cũng là phần dễ bị xử phạt nhất khi chậm trễ.

Thông báo vi phạm — chậm nhất 72 giờ. Khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh, trật tự an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, phải thông báo cho cơ quan chuyên trách “chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm”, kèm biên bản xác nhận. Thông báo nêu tính chất vi phạm, chi tiết liên lạc của bộ phận/nhân sự bảo vệ dữ liệu, hậu quả và biện pháp khắc phục (Mẫu số 08). Bên xử lý phát hiện vi phạm phải báo kịp thời cho bên kiểm soát. Điều 23 · NĐ 356 Điều 28
Hồ sơ đánh giá tác động xử lý dữ liệu — gửi trong 60 ngày. Bên kiểm soát và bên kiểm soát–xử lý lập, lưu trữ hồ sơ và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý. Hồ sơ gồm báo cáo theo Mẫu số 10 (ghi rõ chi tiết liên lạc của DPO, mục đích, loại dữ liệu, luồng dữ liệu, biện pháp bảo mật, tự đánh giá rủi ro), bản sao hợp đồng xử lý và bộ chính sách – quy trình. Cơ quan chức năng trả kết quả trong 15 ngày; nếu thiếu, cho 30 ngày hoàn thiện. Hồ sơ phải “luôn có sẵn” để kiểm tra. Cơ quan nhà nước được miễn. Điều 21 · NĐ 356 Điều 19
Hồ sơ chuyển dữ liệu ra nước ngoài — gửi trong 60 ngày. Áp dụng khi có chuyển dữ liệu cá nhân xuyên biên giới: lập và gửi 01 bản chính trong 60 ngày kể từ ngày đầu tiên chuyển (Mẫu số 09), trong đó đánh giá mức độ bảo vệ của bên nhận. Miễn cho cơ quan nhà nước, tổ chức lưu dữ liệu nhân sự của mình trên đám mây, và cá nhân tự chuyển dữ liệu của mình. Điều 20 · NĐ 356 Điều 18

Thời hạn xử lý yêu cầu của chủ thể dữ liệu

DPO phải xây dựng quy trình để chủ thể dữ liệu thực hiện các quyền tại Điều 4 (được biết, đồng ý và rút đồng ý, xem và chỉnh sửa, yêu cầu cung cấp – xóa – hạn chế – phản đối, khiếu nại – khởi kiện, yêu cầu biện pháp bảo vệ). Mọi yêu cầu phải được phản hồi trong 02 ngày làm việc; thời hạn thực hiện như sau. NĐ 356 · Điều 5

Rút đồng ý, hạn chế, phản đối xử lý. Thực hiện trong 15 ngày; 20 ngày nếu qua bên xử lý hoặc bên thứ ba; gia hạn một lần tối đa 15 ngày.
Xem, chỉnh sửa, cung cấp dữ liệu. 10 ngày; 15 ngày nếu qua bên xử lý hoặc bên thứ ba; gia hạn tối đa 10 ngày.
Xóa dữ liệu. 20 ngày; 30 ngày nếu qua bên xử lý hoặc bên thứ ba; gia hạn tối đa 20 ngày.
Yêu cầu áp dụng biện pháp bảo vệ. 15 ngày; gia hạn tối đa 15 ngày. Mọi lần gia hạn phải thông báo cho chủ thể dữ liệu kèm lý do.

Hồ sơ phải lưu và cập nhật

Hồ sơ đánh giá tác động và hồ sơ chuyển dữ liệu. Lưu từ thời điểm bắt đầu, luôn sẵn sàng cho kiểm tra. Điều 21 · NĐ 356 Điều 18, 19
Cập nhật định kỳ 6 tháng. Cập nhật khi có thay đổi; cập nhật ngay khi tổ chức lại, giải thể, đổi bên cung cấp dịch vụ hoặc thay đổi ngành nghề liên quan xử lý dữ liệu. Điều 22
Biên bản vi phạm. Lập mỗi khi xảy ra vi phạm về bảo vệ dữ liệu cá nhân. Điều 23.2
Văn bản chỉ định và thỏa thuận bảo mật. Với nhân sự nội bộ; hồ sơ năng lực nếu thuê tổ chức dịch vụ. NĐ 356 · Điều 13, 16

Điều kiện năng lực và nghĩa vụ công khai

Nhân sự nội bộ. Trình độ cao đẳng trở lên; ít nhất 02 năm kinh nghiệm trong pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc nhân sự; đã được đào tạo kiến thức pháp luật và kỹ năng về bảo vệ dữ liệu cá nhân. NĐ 356 · Điều 13.2
Dịch vụ thuê ngoài. Cá nhân: cao đẳng trở lên, ít nhất 03 năm kinh nghiệm, đào tạo chuyên sâu. Tổ chức: có ít nhất 03 nhân sự đủ điều kiện nêu trên. NĐ 356 · Điều 15.2, 16.1
Công khai, không đăng ký. Thông tin về nhân sự hoặc tổ chức bảo vệ dữ liệu phải được công khai cho chủ thể dữ liệu và các bên liên quan. Danh tính DPO đến cơ quan chức năng gián tiếp — qua hồ sơ đánh giá tác động, hồ sơ chuyển dữ liệu và thông báo vi phạm. NĐ 356 · Điều 15.3, 16.3

Điểm mới so với Nghị định 13/2023

Mở rộng phạm vi. Trước đây nghĩa vụ chỉ định nằm trong điều về dữ liệu nhạy cảm (Điều 28 NĐ 13/2023) — chỉ phát sinh khi xử lý dữ liệu nhạy cảm. Nay áp dụng cho mọi cơ quan, tổ chức. Điều 33.2
Bỏ nghĩa vụ thông báo danh tính DPO. NĐ 13/2023 buộc “trao đổi thông tin về bộ phận và cá nhân phụ trách… với Cơ quan chuyên trách”; khung 2026 không còn nghĩa vụ đăng ký riêng này.

Những gì luật Việt Nam không quy định

Đừng nhầm với GDPR. Không có chức danh luật định “chuyên gia bảo vệ dữ liệu cá nhân”; luật chỉ dùng “nhân sự, bộ phận” và “tổ chức, cá nhân cung cấp dịch vụ”.

Không có quy định về tính độc lập. Không có điều nào về xung đột lợi ích, “không nhận chỉ đạo” hay bảo vệ DPO khỏi bị sa thải (khác GDPR Điều 38). Chỉ có văn bản chỉ định và thỏa thuận bảo mật.

Không đăng ký DPO với cơ quan chức năng. Không có nghĩa vụ đăng ký danh tính DPO với A05 như GDPR Điều 37.7 — nghĩa vụ này đã bị bỏ so với NĐ 13/2023. Cũng không có ngưỡng số nhân sự hay hồ sơ để xác định khi nào bắt buộc có DPO.

72 giờ chỉ tính tới cơ quan chức năng. Luật không đặt mốc riêng buộc thông báo trực tiếp cho từng chủ thể dữ liệu bị ảnh hưởng.

Doanh nghiệp nên làm gì

Ra văn bản chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân đủ điều kiện (hoặc ký hợp đồng thuê dịch vụ); ký thỏa thuận bảo mật; công khai thông tin DPO cho chủ thể dữ liệu.Điều 33.2 · NĐ 356 Điều 13, 15, 16
Ban hành chính sách, quy trình, biểu mẫu; xây quy trình tiếp nhận yêu cầu của chủ thể dữ liệu với mốc phản hồi 02 ngày làm việc và thời hạn thực hiện 10–20 ngày.NĐ 356 Điều 5, 14
Lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu (và hồ sơ chuyển dữ liệu xuyên biên giới nếu có) trong 60 ngày; cập nhật định kỳ 6 tháng.Điều 20, 21, 22
Thiết lập quy trình phát hiện – lập biên bản – thông báo vi phạm trong 72 giờ; chuẩn bị phương án ứng phó sự cố.Điều 23 · NĐ 356 Điều 28
Tổ chức đào tạo định kỳ; đánh giá tuân thủ và báo cáo rủi ro theo định kỳ.NĐ 356 Điều 14

Cơ quan chuyên trách là đơn vị trực thuộc Bộ Công an Điều 36 · NĐ 356 Điều 39 — theo biểu mẫu kèm Nghị định là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). Hồ sơ nộp qua đơn vị này hoặc Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân. Mức xử phạt cụ thể nằm ở văn bản xử phạt riêng.