DPO thuê ngoài: hợp đồng cần xác định phạm vi và trách nhiệm gì?

DPO thuê ngoài: hợp đồng cần xác định phạm vi và trách nhiệm gì?

Hợp đồng DPO thuê ngoài cần chỉ rõ bên cung cấp nhận những nhiệm vụ nào, ai thực hiện và doanh nghiệp phải phối hợp ra sao. Khung phạm vi dưới đây giúp đối chiếu điều kiện năng lực, đầu ra, thời gian phản hồi, quyền tiếp cận dữ liệu và việc bàn giao khi kết thúc dịch vụ.

Hợp đồng DPO thuê ngoài cần xác định đúng cá nhân hoặc tổ chức cung cấp dịch vụ, điều kiện năng lực, nhiệm vụ được nhận và phần việc doanh nghiệp tiếp tục thực hiện. Nội dung phải làm rõ sản phẩm bàn giao, cơ chế phối hợp, thời gian xử lý, quyền truy cập, bảo mật và trách nhiệm khi có vi phạm. Khi thuê tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân, khoản 3 Điều 16 Nghị định 356/2025/NĐ-CP yêu cầu xem xét hồ sơ năng lực, giao kết hợp đồng dịch vụ và thỏa thuận xử lý dữ liệu, đồng thời công khai thông tin theo quy định. Một hợp đồng tư vấn pháp lý thường xuyên chưa tự chứng minh đã thuê đủ nhiệm vụ và đáp ứng điều kiện của mô hình này; cần đối chiếu Điều 15 và Điều 16 Nghị định 356 với công việc thực tế.

Xác định đang thuê tư vấn hay thuê thực hiện nhiệm vụ bảo vệ dữ liệu

DPO là tên gọi thường dùng từ Data Protection Officer. Khi sử dụng cụm “DPO thuê ngoài”, doanh nghiệp cần chuyển tên gói dịch vụ thành nhiệm vụ cụ thể theo pháp luật Việt Nam. Có hợp đồng chỉ tư vấn khi được hỏi, có hợp đồng nhận rà soát một bộ hồ sơ, có hợp đồng nhận các nhiệm vụ bảo vệ dữ liệu trong một thời gian xác định. Những phạm vi này tạo ra cách phối hợp và đầu ra khác nhau.

Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cho phép thực hiện nghĩa vụ tổ chức lực lượng bằng phương án chỉ định bộ phận, nhân sự đủ năng lực hoặc thuê tổ chức, cá nhân cung cấp dịch vụ. Đối với cá nhân cung cấp dịch vụ, Điều 15 Nghị định 356 điều chỉnh điều kiện và hợp đồng sử dụng nhân sự. Đối với tổ chức, Điều 16 quy định điều kiện, hồ sơ năng lực và các yêu cầu giao kết.

Nên bắt đầu bằng danh mục việc doanh nghiệp cần có người thực hiện: chính sách, quyền của chủ thể, đánh giá tuân thủ, hồ sơ đánh giá tác động, tiếp nhận và báo cáo vi phạm, đào tạo, phối hợp bảo mật. Sau đó đối chiếu nhiệm vụ theo Điều 14 và khoản 5 Điều 16, xác định bên cung cấp nhận phần nào và ai thực hiện phần còn lại. Một điều khoản “hỗ trợ tuân thủ toàn diện” không đủ để xác định người xử lý một yêu cầu đang có hạn.

Việc thuê dịch vụ cũng không tự chứng minh doanh nghiệp phải thuê trong mọi trường hợp. Nếu đang đánh giá nghĩa vụ bố trí lực lượng, cần xem cơ chế tại khoản 2, khoản 3 Điều 38 Luật và Điều 41 Nghị định. Khi đã lựa chọn thuê theo mô hình dịch vụ bảo vệ dữ liệu, vẫn phải kiểm tra đúng điều kiện của bên cung cấp và phạm vi sử dụng.

Kiểm tra năng lực trước khi chốt hợp đồng

Cá nhân cung cấp dịch vụ phải có trình độ cao đẳng trở lên, ít nhất 3 năm kinh nghiệm công tác sau tốt nghiệp liên quan đến pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro hoặc kiểm soát tuân thủ; đã được đào tạo, bồi dưỡng chuyên sâu về pháp luật và kỹ năng chuyên môn bảo vệ dữ liệu. Đây là điều kiện tại khoản 2 Điều 15, khác với tiêu chuẩn 2 năm và danh mục lĩnh vực dành cho người được chỉ định theo Điều 13.

Tổ chức cung cấp dịch vụ phải đáp ứng khoản 1 Điều 16, gồm chức năng, nhiệm vụ hoặc ngành nghề, lĩnh vực phù hợp; tối thiểu 3 nhân sự đủ điều kiện tại khoản 2 Điều 15; kinh nghiệm cung cấp sản phẩm, dịch vụ liên quan được quy định. Khoản 2 yêu cầu tổ chức xây dựng hồ sơ năng lực và cung cấp cho bên có nhu cầu sử dụng, thể hiện cả phạm vi, kinh nghiệm, chính sách dịch vụ, năng lực nhân sự và giấy tờ minh chứng.

Hợp đồng nên ghi người phụ trách thực hiện, cách thông báo thay người và tài liệu để kiểm tra người thay thế. Điều kiện tối thiểu 3 nhân sự của tổ chức không tự có nghĩa khách hàng được sử dụng 3 chuyên gia toàn thời gian. Số người tham gia, trách nhiệm, khả năng đáp ứng và phạm vi tính phí cần được thỏa thuận rõ.

Một giấy giới thiệu dịch vụ hoặc tư cách nghề nghiệp riêng của người tư vấn chưa thay thế việc đối chiếu toàn bộ điều kiện trên. Doanh nghiệp cần xác minh hồ sơ thực tế, không tự suy nhà cung cấp đủ điều kiện chỉ từ tên thương hiệu hoặc việc đã ký hợp đồng tư vấn ở lĩnh vực khác.

Khung phạm vi hợp đồng DPO thuê ngoài

Bảng sau là khung đàm phán đề xuất, không phải mẫu hợp đồng bắt buộc. Các yêu cầu pháp luật về năng lực, giao kết, thỏa thuận xử lý dữ liệu và công khai thông tin phải được thực hiện; cách chia đầu ra, lịch báo cáo và cơ chế nghiệm thu cần phù hợp nhu cầu thực tế.

Với mỗi nhóm việc, nên ghi điều kiện bắt đầu, tài liệu đầu vào, thời điểm bàn giao và cách xác định hoàn thành. Nếu một nội dung ngoài gói, cần chỉ rõ người hoặc bộ phận đảm nhiệm. Việc phân chia dịch vụ không được làm mất các nhiệm vụ doanh nghiệp phải tổ chức thực hiện theo pháp luật.

Thỏa thuận xử lý dữ liệu cần phản ánh quyền tiếp cận thực tế

Đối với tổ chức cung cấp dịch vụ bảo vệ dữ liệu, khoản 3 Điều 16 nêu riêng hợp đồng sử dụng dịch vụ và thỏa thuận xử lý dữ liệu cá nhân. Doanh nghiệp có thể tổ chức tài liệu theo cấu trúc phù hợp, nhưng phải bảo đảm nội dung thỏa thuận xử lý được xác lập rõ, không bỏ qua chỉ vì hợp đồng chính đã có một câu bảo mật.

Cần xác định dữ liệu bên cung cấp được tiếp cận, mục đích, thao tác, hệ thống, thời hạn, nơi lưu và người có quyền sử dụng. Trường hợp bên cung cấp thực hiện vai trò bên xử lý, điểm a khoản 2 Điều 37 Luật yêu cầu có thỏa thuận, hợp đồng xử lý trước khi tiếp nhận dữ liệu. Vai trò pháp lý phải được xác định theo hoạt động, không tự gán tất cả bên tư vấn cùng một vai trò chỉ vì họ được gọi là DPO.

Quyền xem hồ sơ để tư vấn không tự bao gồm quyền tải toàn bộ, gửi cho người khác hoặc dùng làm dữ liệu đào tạo. Nếu chỉ cần kiểm tra cấu trúc biểu mẫu, có thể chuẩn bị bản đã lược dữ liệu thật. Với việc cần dữ liệu cụ thể, phải xác định căn cứ, phạm vi và biện pháp bảo vệ tương ứng. Bài hợp đồng xử lý dữ liệu cá nhân DPA cần có những điều khoản nào giúp đối chiếu riêng phần này.

Nếu sử dụng hệ thống cloud, cần làm rõ cấu hình, người quản lý tài khoản và trách nhiệm thực hiện yêu cầu tại Điều 12 Nghị định 356, gồm mã hóa ở trạng thái nghỉ, khi truyền và phân quyền nghiêm ngặt theo khoản 4. Dịch vụ hoặc người hỗ trợ ở nước ngoài còn có thể làm phát sinh luồng cần rà theo Điều 20 Luật và Điều 17 Nghị định. Không nên gửi dữ liệu trước rồi mới hỏi nơi lưu hoặc ai đã được xem.

Thời gian phản hồi phải gắn với thời hạn của từng việc

Hợp đồng nên phân biệt thời gian xác nhận đã nhận thông tin, thời gian phân tích và thời điểm bàn giao kết quả. Nếu bên cung cấp chỉ phản hồi trong giờ làm việc, cần xác định ai tiếp nhận vấn đề khẩn cấp ngoài khoảng đó. Không để một thông báo vi phạm nằm chờ đến lịch họp định kỳ vì không có đầu mối thay thế.

Điều 23 Luật quy định mốc chậm nhất 72 giờ kể từ khi phát hiện đối với các chủ thể và trường hợp vi phạm có thể gây tổn hại hoặc xâm phạm các lợi ích được khoản 1 liệt kê. Bên xử lý có nghĩa vụ thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý khi phát hiện vi phạm. Đây không phải thời hạn phản hồi chung cho mọi email tư vấn hoặc mọi yêu cầu của chủ thể dữ liệu.

Doanh nghiệp và bên cung cấp cần thiết kế thời gian phối hợp đủ sớm để người có trách nhiệm thực hiện nghĩa vụ pháp luật. Hợp đồng nên ghi cách xử lý khi thiếu thông tin, người có quyền yêu cầu tài liệu, việc phải báo ngay và cách lưu thời điểm tiếp nhận. Chưa xác minh đủ dữ kiện không phải lý do để giấu việc đã nhận một thông tin cần đánh giá.

Đối với yêu cầu của chủ thể, đối chiếu đúng quyền và thời hạn tại Điều 5 Nghị định 356. Đối với hồ sơ đánh giá tác động, phân biệt hoàn thành dự thảo, gửi, được tiếp nhận, bổ sung và cập nhật. Cam kết thời gian dịch vụ phải gắn với công việc bên cung cấp kiểm soát được, không hứa thay kết quả của cơ quan có thẩm quyền.

Tình huống hợp đồng chỉ ghi hỗ trợ theo yêu cầu

Tình huống giả định: Công ty A ký với tổ chức B một gói mang tên DPO thuê ngoài. Phạm vi chỉ ghi “tư vấn theo yêu cầu qua email”; không xác định người trực, đầu mối nội bộ hoặc ai tìm dữ liệu trong hệ thống. Cuối tuần, khách hàng yêu cầu xóa thông tin, đồng thời A phát hiện một liên kết chia sẻ hồ sơ đã mở sai quyền.

A cần tách hai công việc. Yêu cầu xóa phải được tiếp nhận, xác minh, đối chiếu căn cứ và thực hiện theo quy trình quyền. Việc mở sai quyền cần được bảo toàn chứng cứ, kiểm soát truy cập và đánh giá nghĩa vụ thông báo, phối hợp theo Điều 23 Luật. Không chờ B trả lời email rồi mới xác định người xử lý trong doanh nghiệp.

Về hợp đồng, A và B phải đối chiếu dịch vụ đã cam kết với điều kiện và nhiệm vụ của mô hình tại Điều 16. Nếu B chỉ nhận tư vấn pháp lý một số việc, A phải có phương án thực hiện những nhiệm vụ còn lại. Nếu B nhận nhiệm vụ bảo vệ dữ liệu rộng hơn, cần cụ thể hóa quy trình phối hợp, người phụ trách và đầu ra; đồng thời kiểm tra hồ sơ năng lực, thỏa thuận xử lý dữ liệu và việc công khai thông tin theo khoản 3 Điều 16.

Đầu ra sửa đổi có thể gồm phụ lục phạm vi theo từng nhiệm vụ, danh sách đầu mối, kênh báo việc khẩn cấp, quyền tiếp cận đã phê duyệt và cách ghi nhận kết quả. Việc sửa hợp đồng phải đi cùng xử lý yêu cầu đang tồn; không ký lùi ngày hoặc dùng phụ lục mới để coi những nghĩa vụ quá khứ đã hoàn thành.

Trách nhiệm và giới hạn dịch vụ cần được viết cụ thể

Khoản 4 Điều 15 và khoản 6 Điều 16 yêu cầu bên cung cấp thực hiện đúng phạm vi, nhiệm vụ theo hợp đồng, không lợi dụng dịch vụ để vi phạm pháp luật và xử lý xóa, hủy dữ liệu sau khi hoàn thành hợp đồng theo quy định. Doanh nghiệp cũng có trách nhiệm theo vai trò tại Điều 37 Luật. Thuê ngoài không tự chuyển toàn bộ nghĩa vụ của bên kiểm soát sang đơn vị tư vấn.

Các bên nên quy định cách ghi nhận chậm trễ, thiếu đầu vào, yêu cầu sửa kết quả và xử lý công việc không đạt phạm vi thỏa thuận. Điều khoản về trách nhiệm, bồi thường, giới hạn hoặc miễn trừ cần được rà theo pháp luật áp dụng cho hợp đồng và hành vi cụ thể. Không thể chỉ ghi “DPO chịu mọi trách nhiệm” rồi coi doanh nghiệp không còn nghĩa vụ với chủ thể dữ liệu.

Cũng cần làm rõ quyền đại diện. Việc được thuê tư vấn hoặc chuẩn bị hồ sơ không tự chứng minh người cung cấp được ký, nộp hay đưa ra mọi cam kết nhân danh doanh nghiệp. Nếu có đại diện, phải xác định đúng người, phạm vi và căn cứ thẩm quyền tương ứng. Người có quyền phê duyệt hoạt động dữ liệu, ngân sách hoặc thay hệ thống vẫn cần được chỉ ra trong cơ chế nội bộ.

Phí nên gắn với phạm vi, khối lượng và các việc phát sinh đã thống nhất, chẳng hạn thêm pháp nhân, hệ thống hoặc đợt đào tạo. Không có căn cứ để mặc định mọi hợp đồng DPO thuê ngoài bao gồm không giới hạn số hồ sơ, sự cố và lần giải trình. Những nội dung này cần được thương lượng và ghi rõ trước khi triển khai.

Công khai thông tin và bàn giao khi thay bên cung cấp

Khoản 3 Điều 15 yêu cầu công khai thông tin về nhân sự cung cấp dịch vụ; khoản 3 Điều 16 yêu cầu công khai thông tin về tổ chức cung cấp dịch vụ cho chủ thể dữ liệu và các bên liên quan được biết. Hợp đồng nên phân công ai chuẩn bị, ai kiểm tra và ai cập nhật thông tin. Nội dung công khai cần phục vụ việc nhận biết, liên hệ phù hợp, không tự bao gồm toàn bộ hồ sơ bằng cấp hoặc dữ liệu riêng tư của chuyên gia.

Khi chấm dứt, cần bàn giao hồ sơ, yêu cầu chưa hoàn tất, lịch nghĩa vụ, quyền truy cập và bản dữ liệu còn giữ. Nghĩa vụ xóa, hủy theo điểm c khoản 4 Điều 15 hoặc điểm c khoản 6 Điều 16 phải được thực hiện theo pháp luật. Nếu có phần cần giữ trên căn cứ hợp lệ, phải xác định rõ phạm vi, mục đích, thời gian và biện pháp bảo vệ, tránh giữ toàn bộ kho dữ liệu chỉ vì có khả năng phát sinh tranh chấp.

Nếu thay đổi thông tin tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu trong hồ sơ thuộc diện cập nhật, điểm b khoản 2 Điều 20 Nghị định 356 đặt mốc cập nhật ngay trong 10 ngày. Việc đổi thông tin liên hệ trên website và việc cập nhật hồ sơ đánh giá tác động là hai phần cần kiểm tra riêng. Có thể đối chiếu thêm bài cập nhật hồ sơ đánh giá tác động khi nào và thực hiện thế nào.

Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026, sửa một số quy định về tiếp nhận, đánh giá, nộp cập nhật hồ sơ; khoản 3 Điều 49 quy định chuyển tiếp đối với hồ sơ đã được tiếp nhận trước thời điểm hiệu lực. Khi hợp đồng bao gồm công việc thực hiện qua mốc này, phải phân công việc rà lại thủ tục. Các sửa đổi tại Chương VII không thay điều kiện dịch vụ ở Điều 15 và Điều 16 Nghị định 356.

Câu hỏi thường gặp

Hợp đồng tư vấn pháp lý hằng tháng có được coi là thuê DPO không?

Phải xem điều kiện bên cung cấp, phạm vi, nhiệm vụ và các tài liệu đã xác lập. Tên gói hoặc phương thức trả phí hằng tháng không quyết định. Một gói chỉ trả lời câu hỏi pháp lý không tự bao gồm vận hành đầu mối quyền, lập hồ sơ, đào tạo và phối hợp vi phạm.

Thuê tổ chức thì có cần biết người thực hiện là ai không?

Nên xác định người phụ trách và cơ chế thay thế để kiểm soát chất lượng, bảo mật và phối hợp. Đồng thời phải xem hồ sơ năng lực của tổ chức theo Điều 16, gồm điều kiện tối thiểu 3 nhân sự theo khoản 2 Điều 15. Danh sách người tham gia từng hợp đồng cần được thống nhất theo phạm vi thực tế.

Có thể vừa giữ nhân sự nội bộ vừa thuê ngoài không?

Có. Khoản 4 Điều 16 cho phép kết hợp. Hợp đồng và phân công nội bộ phải thống nhất ai nhận yêu cầu, ai phân tích, ai thao tác hệ thống và ai phê duyệt; tránh hai bên cùng cho rằng phần việc còn lại do bên kia thực hiện.

Hết hợp đồng thì bên cung cấp có thể gửi một file báo cáo rồi đóng dịch vụ không?

Phải đối chiếu phạm vi bàn giao và nghĩa vụ theo Điều 15 hoặc Điều 16. Ngoài báo cáo, có thể còn dữ liệu cần xóa, quyền cần thu hồi và công việc phải chuyển cho người tiếp nhận. Doanh nghiệp nên xác nhận từng phần theo thực tế, không chỉ dựa vào ngày hết hạn hợp đồng.

Khi xác định đầu vào của hợp đồng, doanh nghiệp có thể dùng bản đồ bộ tài liệu tuân thủ dữ liệu cá nhân để chỉ ra tài liệu đã có, phần thiếu và phần cần bên cung cấp tiếp tục quản lý.

Justix hỗ trợ rà soát mô hình và phạm vi công việc

Doanh nghiệp có thể chuẩn bị hợp đồng hoặc đề xuất dịch vụ, hồ sơ năng lực bên dự kiến thuê, danh mục hệ thống và các nhiệm vụ cần hỗ trợ. Trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, Justix hỗ trợ đối chiếu mô hình nhân sự, phân công và cơ chế phối hợp theo phạm vi thỏa thuận; các hạng mục soạn tài liệu được xác định theo lựa chọn của doanh nghiệp. Có thể gửi mô tả đã lược dữ liệu cá nhân thật qua trang liên hệ Justix để xác định công việc cần rà soát.