91/2025/QH15Còn hiệu lực
DPO (nhân sự bảo vệ dữ liệu cá nhân) có những nhiệm vụ gì theo luật Việt Nam? (Checklist 2026)
Tài liệu tổng hợp · Ban hành 26.06.2025 · Hiệu lực 01.01.2026
Công ty tôi phải chỉ định nhân sự/bộ phận bảo vệ dữ liệu cá nhân (DPO) theo luật mới. Vai trò này có bắt buộc với mọi doanh nghiệp không, gồm những nhiệm vụ gì, có thời hạn nào phải tuân thủ, người đảm nhiệm cần điều kiện gì, và khác gì so với DPO theo GDPR?
Pháp luật Việt Nam không dùng thuật ngữ "DPO" hay "chuyên gia bảo vệ dữ liệu". Vai trò này được quy định là BỘ PHẬN, NHÂN SỰ BẢO VỆ DỮ LIỆU CÁ NHÂN trong nội bộ tổ chức, hoặc TỔ CHỨC, CÁ NHÂN CUNG CẤP DỊCH VỤ BẢO VỆ DỮ LIỆU CÁ NHÂN thuê ngoài. Từ 01/01/2026, MỌI cơ quan, tổ chức đều phải chỉ định hoặc thuê vai trò này. Khung pháp lý là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (thay Nghị định 13/2023/NĐ-CP).
1) AI PHẢI CHỈ ĐỊNH DPO
Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: "Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân."
Nghĩa vụ này áp dụng cho MỌI cơ quan, tổ chức - không giới hạn ở nơi xử lý dữ liệu nhạy cảm hay quy mô lớn. Đây là thay đổi lớn so với quy định cũ (Nghị định 13/2023 chỉ đặt nghĩa vụ này ở điều về dữ liệu nhạy cảm). Tổ chức có hai phương án: (A) chỉ định bộ phận/nhân sự nội bộ bằng văn bản; hoặc (B) ký hợp đồng thuê tổ chức/cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (có thể kết hợp cả hai).
Về vị trí: khoản 1 Điều 33 xác định "lực lượng bảo vệ dữ liệu cá nhân" gồm cơ quan chuyên trách thuộc Bộ Công an; bộ phận, nhân sự trong cơ quan, tổ chức; tổ chức, cá nhân cung cấp dịch vụ; và lực lượng được huy động. DPO là cầu nối giữa tổ chức và cơ quan chuyên trách.
2) BẢY NHÓM NHIỆM VỤ CỐT LÕI (Điều 14 Nghị định 356/2025/NĐ-CP)
Bộ phận bảo vệ dữ liệu cá nhân có các nhiệm vụ sau (nhân sự bảo vệ DLCN thực hiện với vai trò tham mưu, tham gia):
(1) Xây dựng chính sách, quy trình, biểu mẫu để tổ chức tuân thủ pháp luật về bảo vệ dữ liệu cá nhân.
(2) Tổ chức thực hiện các quyền của chủ thể dữ liệu cá nhân (tiếp nhận, xử lý yêu cầu đúng thời hạn - xem mục 4).
(3) Đánh giá tuân thủ định kỳ: rà soát mức độ tuân thủ, lập báo cáo và đề xuất biện pháp kiểm soát rủi ro.
(4) Lập hồ sơ và làm việc với cơ quan chuyên trách: chuẩn bị hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài; tiếp nhận và báo cáo vi phạm; đáp ứng yêu cầu của cơ quan chức năng.
(5) Lập kế hoạch và tổ chức đào tạo, tập huấn định kỳ về bảo vệ dữ liệu cá nhân.
(6) Triển khai biện pháp bảo mật kỹ thuật, tiêu chuẩn kỹ thuật và phương án ứng phó khẩn cấp với sự cố dữ liệu cá nhân.
(7) Nghiên cứu, đề xuất các quyết định về bảo vệ dữ liệu cá nhân của tổ chức.
3) BA NGHĨA VỤ CÓ THỜI HẠN BẮT BUỘC (phần dễ bị xử phạt nhất)
a) THÔNG BÁO VI PHẠM - CHẬM NHẤT 72 GIỜ. Khoản 1 Điều 23 Luật 91/2025/QH15: khi phát hiện vi phạm về bảo vệ dữ liệu cá nhân "có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân thì phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm." Phải lập biên bản xác nhận vi phạm (khoản 2). Nội dung thông báo (Điều 28 Nghị định 356/2025): tính chất vi phạm (thời gian, địa điểm, hành vi, loại và số lượng dữ liệu); chi tiết liên lạc của bộ phận/nhân sự bảo vệ DLCN; hậu quả có thể xảy ra; biện pháp khắc phục - theo Mẫu số 08. Bên xử lý phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát.
b) HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG XỬ LÝ DỮ LIỆU CÁ NHÂN - GỬI TRONG 60 NGÀY. Khoản 1 Điều 21 Luật 91/2025/QH15: bên kiểm soát, bên kiểm soát và xử lý "lập, lưu trữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân". Hồ sơ (Điều 19 Nghị định 356/2025) gồm báo cáo theo Mẫu số 10, bản sao hợp đồng/thỏa thuận xử lý, chính sách - quy trình - biểu mẫu; báo cáo phải ghi chi tiết liên lạc của bộ phận/nhân sự bảo vệ DLCN, mục đích, loại dữ liệu, luồng dữ liệu, chính sách đồng ý và lưu trữ, biện pháp bảo mật, tự đánh giá tuân thủ và rủi ro. Cơ quan chức năng trả kết quả trong 15 ngày; nếu thiếu thì cho 30 ngày để hoàn thiện. Hồ sơ phải "luôn có sẵn" để phục vụ kiểm tra. Cơ quan nhà nước được miễn.
c) HỒ SƠ ĐÁNH GIÁ TÁC ĐỘNG CHUYỂN DỮ LIỆU RA NƯỚC NGOÀI - GỬI TRONG 60 NGÀY. Khoản 2 Điều 20 Luật 91/2025/QH15: cơ quan, tổ chức, cá nhân chuyển dữ liệu cá nhân xuyên biên giới "phải lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày đầu tiên chuyển". Hồ sơ theo Điều 18 Nghị định 356/2025 (Mẫu số 09), cũng ghi chi tiết liên lạc của DPO và đánh giá mức độ bảo vệ của bên nhận. Một số trường hợp được miễn (cơ quan nhà nước; tổ chức lưu dữ liệu nhân sự của mình trên đám mây; cá nhân tự chuyển dữ liệu của mình).
4) THỜI HẠN XỬ LÝ YÊU CẦU CỦA CHỦ THỂ DỮ LIỆU (Điều 5 Nghị định 356/2025/NĐ-CP)
DPO phải xây dựng quy trình để chủ thể dữ liệu thực hiện các quyền tại Điều 4 Luật 91/2025 (được biết, đồng ý/rút đồng ý, xem/chỉnh sửa, yêu cầu cung cấp/xóa/hạn chế/phản đối, khiếu nại - khởi kiện - bồi thường, yêu cầu biện pháp bảo vệ). Mọi yêu cầu phải được PHẢN HỒI TRONG 02 NGÀY LÀM VIỆC; thời hạn thực hiện:
- Rút đồng ý, hạn chế, phản đối xử lý: thực hiện trong 15 ngày (20 ngày nếu qua bên xử lý/bên thứ ba); gia hạn một lần tối đa 15 ngày.
- Xem, chỉnh sửa, cung cấp dữ liệu: 10 ngày (15 ngày nếu qua bên xử lý/bên thứ ba); gia hạn tối đa 10 ngày.
- Xóa dữ liệu: 20 ngày (30 ngày nếu qua bên xử lý/bên thứ ba); gia hạn tối đa 20 ngày.
- Yêu cầu áp dụng biện pháp bảo vệ: 15 ngày; gia hạn tối đa 15 ngày.
Mỗi lần gia hạn phải thông báo cho chủ thể dữ liệu kèm lý do.
5) HỒ SƠ PHẢI LƯU TRỮ VÀ CẬP NHẬT
- Hồ sơ đánh giá tác động xử lý DLCN và hồ sơ chuyển dữ liệu xuyên biên giới: lưu từ thời điểm bắt đầu, luôn có sẵn để kiểm tra (Điều 21 Luật; Điều 18-19 Nghị định).
- Cập nhật hồ sơ ĐỊNH KỲ 6 THÁNG khi có thay đổi; cập nhật ngay khi tổ chức lại/giải thể, đổi bên cung cấp dịch vụ, hoặc thay đổi ngành nghề liên quan xử lý dữ liệu (Điều 22 Luật 91/2025).
- Biên bản xác nhận vi phạm mỗi khi xảy ra vi phạm (khoản 2 Điều 23 Luật).
- Văn bản chỉ định nhân sự/bộ phận (nêu chức năng, quyền hạn) và thỏa thuận bảo mật với nhân sự (Điều 13 Nghị định); hồ sơ năng lực nếu thuê tổ chức dịch vụ (Điều 16).
6) ĐIỀU KIỆN NĂNG LỰC CỦA DPO VÀ NGHĨA VỤ CÔNG KHAI
- Nhân sự nội bộ (khoản 2 Điều 13 Nghị định 356/2025): "a) Có trình độ cao đẳng trở lên; b) Có ít nhất 02 năm kinh nghiệm công tác… liên quan đến một trong các lĩnh vực về pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ; c) Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân." Việc chỉ định phải bằng văn bản nêu rõ chức năng, quyền hạn; tổ chức ký thỏa thuận bảo mật và phải đào tạo nhân sự này.
- Cá nhân cung cấp dịch vụ (khoản 2 Điều 15): cao đẳng trở lên, ít nhất 03 năm kinh nghiệm, được đào tạo chuyên sâu. Tổ chức cung cấp dịch vụ (khoản 1 Điều 16): có ít nhất 03 nhân sự đủ điều kiện nêu trên.
- CÔNG KHAI, KHÔNG ĐĂNG KÝ: thông tin về nhân sự/tổ chức bảo vệ DLCN phải được công khai cho chủ thể dữ liệu và các bên liên quan (khoản 3 Điều 15, khoản 3 Điều 16). Danh tính DPO đến cơ quan chức năng gián tiếp qua các hồ sơ DPIA, hồ sơ chuyển dữ liệu và thông báo vi phạm.
7) ĐIỂM MỚI SO VỚI NGHỊ ĐỊNH 13/2023
- Mở rộng phạm vi: trước đây nghĩa vụ chỉ định bộ phận/nhân sự bảo vệ DLCN nằm trong điều về dữ liệu nhạy cảm (Điều 28 Nghị định 13/2023); nay áp dụng cho mọi cơ quan, tổ chức.
- Bỏ nghĩa vụ "thông báo danh tính DPO" cho cơ quan chức năng: Nghị định 13/2023 buộc "trao đổi thông tin về bộ phận và cá nhân phụ trách… với Cơ quan chuyên trách"; khung 2026 không còn nghĩa vụ đăng ký riêng này.
8) NHỮNG GÌ LUẬT VIỆT NAM KHÔNG QUY ĐỊNH (đừng nhầm với GDPR)
- Không có chức danh luật định "chuyên gia bảo vệ dữ liệu cá nhân"; luật chỉ dùng "nhân sự/bộ phận" và "tổ chức/cá nhân cung cấp dịch vụ".
- Không quy định về tính độc lập, xung đột lợi ích, "không nhận chỉ đạo" hay bảo vệ DPO khỏi bị sa thải (khác GDPR Điều 38); chỉ có văn bản chỉ định và thỏa thuận bảo mật.
- Không có nghĩa vụ đăng ký danh tính DPO với cơ quan chức năng (khác GDPR Điều 37.7).
- Không có ngưỡng số nhân sự/hồ sơ để xác định khi nào bắt buộc có DPO - nghĩa vụ áp dụng cho mọi tổ chức.
- Mốc 72 giờ chỉ áp dụng khi thông báo cho cơ quan chức năng; luật không đặt mốc riêng buộc thông báo trực tiếp cho từng chủ thể dữ liệu bị ảnh hưởng.
CƠ QUAN CHUYÊN TRÁCH
Bộ Công an là cơ quan đầu mối quản lý nhà nước về bảo vệ dữ liệu cá nhân (Điều 36 Luật 91/2025). Cơ quan chuyên trách là đơn vị trực thuộc Bộ Công an (Điều 39 Nghị định 356/2025) - theo biểu mẫu kèm Nghị định là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05). Hồ sơ nộp qua đơn vị này hoặc Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân.
DOANH NGHIỆP NÊN LÀM GÌ
1) Ra văn bản chỉ định bộ phận/nhân sự bảo vệ dữ liệu cá nhân đủ điều kiện (hoặc ký hợp đồng thuê dịch vụ); ký thỏa thuận bảo mật; công khai thông tin DPO cho chủ thể dữ liệu.
2) Ban hành chính sách, quy trình, biểu mẫu bảo vệ dữ liệu cá nhân; xây quy trình tiếp nhận yêu cầu của chủ thể dữ liệu với các mốc 02 ngày làm việc/10-20 ngày.
3) Lập và nộp hồ sơ đánh giá tác động xử lý DLCN (và hồ sơ chuyển dữ liệu xuyên biên giới nếu có) trong 60 ngày; cập nhật định kỳ 6 tháng.
4) Thiết lập quy trình phát hiện - lập biên bản - thông báo vi phạm trong 72 giờ; chuẩn bị phương án ứng phó sự cố.
5) Tổ chức đào tạo định kỳ; đánh giá tuân thủ và báo cáo rủi ro theo định kỳ.
Mức xử phạt cụ thể nằm ở văn bản xử phạt vi phạm hành chính riêng; hãy đối chiếu bản hợp nhất mới nhất và tham vấn chuyên môn trước khi áp dụng.Nguồn: Điều 4, 20, 21, 22, 23, 33, 36 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 5, 13, 14, 15, 16, 18, 19, 28, 39 Nghị định 356/2025/NĐ-CP; đối chiếu Điều 28 Nghị định 13/2023/NĐ-CP (hết hiệu lực 01/01/2026)