Chỉ định nhân sự bảo vệ dữ liệu cá nhân cần hồ sơ gì?

Chỉ định nhân sự bảo vệ dữ liệu cá nhân cần hồ sơ gì?

Khi thuộc diện phải bố trí lực lượng bảo vệ dữ liệu cá nhân, doanh nghiệp cần lựa chọn người hoặc bộ phận đáp ứng điều kiện, ban hành văn bản phân công và xác định nhiệm vụ, quyền hạn, trách nhiệm bảo mật. Nếu thuê bên ngoài, phải kiểm tra điều kiện tương ứng và ký hợp đồng phù hợp. Một dòng ghi “phòng nhân sự phụ trách dữ liệu” chưa đủ để chứng minh đã thực hiện đầy đủ nghĩa vụ.

Hồ sơ cần làm rõ năng lực, công việc và cơ chế phối hợp theo hoạt động xử lý thực tế của doanh nghiệp.

Doanh nghiệp nào phải bố trí nhân sự hoặc bộ phận phụ trách?

Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Cần kiểm tra cơ chế riêng tại khoản 2–3 Điều 38 trước khi kết luận nghĩa vụ của từng doanh nghiệp.

Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc không thực hiện một số quy định, gồm khoản 2 Điều 33, trong 5 năm kể từ ngày Luật có hiệu lực 01/01/2026. Hộ kinh doanh, doanh nghiệp siêu nhỏ có cơ chế không phải thực hiện các quy định được liệt kê. Tuy nhiên, cả hai cơ chế đều có điều kiện loại trừ.

Theo Điều 41 Nghị định 356/2025/NĐ-CP, trường hợp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên theo tổng lượng dữ liệu đã xử lý tích lũy không được áp dụng cơ chế tương ứng. Không thể dựa riêng vào số nhân viên để kết luận được miễn. Các nghĩa vụ khác về bảo vệ dữ liệu vẫn phải được xem xét.

Người được chỉ định phải đáp ứng điều kiện gì?

Khoản 2 Điều 13 Nghị định 356/2025/NĐ-CP yêu cầu nhân sự nội bộ được chỉ định có trình độ cao đẳng trở lên; ít nhất 2 năm kinh nghiệm công tác kể từ khi tốt nghiệp trong một trong các lĩnh vực được liệt kê; đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

Các lĩnh vực kinh nghiệm gồm pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự hoặc tổ chức cán bộ. Nếu thành lập bộ phận, các nhân sự trong bộ phận phải đáp ứng điều kiện tại khoản 2 theo khoản 3 Điều 13.

Doanh nghiệp chịu trách nhiệm đánh giá, lựa chọn theo khoản 4 Điều 13. Nên lưu bằng cấp, tài liệu về quá trình công tác và đào tạo đủ để đối chiếu từng điều kiện. Đây là cách chứng minh được khuyến nghị; không mặc định một bản giới thiệu kinh nghiệm hoặc một giấy tham dự bất kỳ đã đáp ứng toàn bộ yêu cầu.

Quyết định phân công cần ghi những nội dung nào?

Khoản 1 Điều 13 yêu cầu việc chỉ định được thực hiện bằng văn bản chính thức, thể hiện phân công, chức năng, nhiệm vụ, quyền hạn và các yêu cầu khác đối với công tác bảo vệ dữ liệu trong tổ chức. Doanh nghiệp có thể cụ thể hóa bằng quyết định kèm mô tả nhiệm vụ và quy chế phối hợp.

Nên ghi rõ người hoặc bộ phận được chỉ định, phạm vi pháp nhân và hoạt động phụ trách, ngày có hiệu lực, đầu mối báo cáo, quyền đề nghị cung cấp tài liệu và cơ chế xử lý vấn đề vượt thẩm quyền. Các chi tiết quản trị này phải phù hợp cơ cấu và thẩm quyền thực tế.

Điều 14 Nghị định 356/2025/NĐ-CP quy định nhiệm vụ của bộ phận và nhân sự bảo vệ dữ liệu, gồm chính sách, quy trình, thực hiện quyền, đánh giá tuân thủ, hồ sơ đánh giá tác động, báo cáo vi phạm và hoạt động bảo vệ liên quan. Khi chuyển vào quyết định, cần phân biệt nhiệm vụ tổ chức triển khai của bộ phận với nhiệm vụ tham mưu, tham gia của nhân sự theo điều khoản tương ứng.

Bảng tài liệu để kiểm tra trước khi ban hành quyết định

Bảng sau là công cụ rà soát nội bộ, không phải một bộ hồ sơ hành chính thống nhất do pháp luật quy định. Doanh nghiệp có thể thêm người phụ trách và tình trạng hoàn thành cho từng dòng.

Không nên gom mọi tài liệu nhân sự vào một thư mục được chia sẻ rộng. Bằng chứng năng lực cũng chứa dữ liệu cá nhân, cần được tiếp cận theo nhiệm vụ và mục đích phù hợp.

Thuê người hoặc tổ chức bên ngoài có khác không?

Có. Theo khoản 2 Điều 15 Nghị định 356/2025/NĐ-CP, cá nhân cung cấp dịch vụ phải có trình độ cao đẳng trở lên, ít nhất 3 năm kinh nghiệm sau tốt nghiệp liên quan đến pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro hoặc kiểm soát tuân thủ; đã được đào tạo, bồi dưỡng chuyên sâu. Không áp dụng máy móc điều kiện 2 năm và danh mục lĩnh vực của nhân sự nội bộ.

Doanh nghiệp phải xem xét năng lực, giao kết hợp đồng sử dụng nhân sự và công khai thông tin về nhân sự cung cấp dịch vụ cho chủ thể dữ liệu, các bên liên quan theo khoản 3 Điều 15.

Với tổ chức cung cấp dịch vụ, Điều 16 Nghị định 356/2025/NĐ-CP quy định về chức năng, ngành nghề, kinh nghiệm cung cấp sản phẩm, dịch vụ liên quan và tối thiểu 3 nhân sự đáp ứng khoản 2 Điều 15. Bên thuê cần xem hồ sơ năng lực, ký hợp đồng và thỏa thuận xử lý dữ liệu, đồng thời công khai thông tin theo khoản 3 Điều 16. Pháp luật cho phép kết hợp phân công nội bộ và thuê ngoài tùy nhu cầu.

Phân công thế nào để người phụ trách thực hiện được nhiệm vụ?

Tình huống minh họa: doanh nghiệp chỉ định một nhân sự pháp chế nhưng bộ phận kinh doanh không có trách nhiệm chuyển yêu cầu xóa dữ liệu, còn kỹ thuật chỉ nhận yêu cầu của giám đốc. Khi khách gửi yêu cầu, người phụ trách có tên trên quyết định nhưng không nhận đủ thông tin để xử lý.

Trong trường hợp này, nên bổ sung kênh tiếp nhận, người cung cấp dữ liệu, người phê duyệt và đầu mối kỹ thuật. Mốc phối hợp nội bộ phải đủ sớm để thực hiện thời hạn pháp luật; người vắng mặt cần có phương án bàn giao. Không nên giao một cá nhân “chịu mọi trách nhiệm” rồi xem đó là căn cứ để các bộ phận khác không phối hợp.

Điều 37 Luật 91/2025/QH15 vẫn quy định trách nhiệm theo vai trò của doanh nghiệp. Việc chỉ định hoặc thuê dịch vụ cần giúp doanh nghiệp thực hiện những trách nhiệm đó; không tự chuyển toàn bộ nghĩa vụ pháp lý sang người phụ trách.

Cần rà soát hồ sơ phân công của doanh nghiệp?

Justix hỗ trợ xác định mô hình, rà soát quyết định và cơ chế phối hợp trong dịch vụ thiết lập hệ thống tuân thủ dữ liệu cá nhân. Doanh nghiệp nên chuẩn bị sơ đồ tổ chức, danh mục hoạt động dữ liệu và tài liệu năng lực hiện có để trao đổi qua 0372717888 / 0878853686.