HR có thể kiêm nhiệm bảo vệ dữ liệu cá nhân không?

HR có thể kiêm nhiệm bảo vệ dữ liệu cá nhân không?

Doanh nghiệp có thể xem xét nhân sự HR cho nhiệm vụ bảo vệ dữ liệu, nhưng phải kiểm tra năng lực và khả năng thực hiện công việc. Phiếu đánh giá dưới đây giúp làm rõ phần kiêm nhiệm, nguồn lực, người phối hợp và cách xử lý khi người phụ trách phải rà soát chính hoạt động của mình.

HR có thể được xem xét kiêm nhiệm bảo vệ dữ liệu cá nhân nếu đáp ứng điều kiện của nhân sự được chỉ định và được giao nhiệm vụ bằng văn bản phù hợp. Quản lý nhân sự là một lĩnh vực kinh nghiệm được ghi nhận tại điểm b khoản 2 Điều 13 Nghị định 356/2025/NĐ-CP, nhưng chức danh HR không tự chứng minh đủ bằng cấp, thời gian kinh nghiệm và đào tạo. Doanh nghiệp còn phải bố trí quyền hạn, bảo mật, đào tạo và phối hợp để người được chọn thực hiện các nhiệm vụ tại Điều 14. Điều 13 và Điều 14 Nghị định 356 không đặt một lệnh cấm chung đối với HR kiêm nhiệm; việc lựa chọn vẫn thuộc trách nhiệm đánh giá của cơ quan, tổ chức.

Kiểm tra điều kiện trước khi bàn về khối lượng công việc

HR là bộ phận quản lý nhân sự. Người làm HR thường tiếp cận hồ sơ tuyển dụng, lao động, tiền lương và các hệ thống phục vụ nhân viên. Kinh nghiệm này có thể giúp hiểu hoạt động xử lý dữ liệu, nhưng phạm vi bảo vệ dữ liệu của doanh nghiệp còn có thể bao gồm khách hàng, người liên hệ của đối tác hoặc người dùng sản phẩm.

Khoản 2 Điều 13 yêu cầu nhân sự được chỉ định có trình độ cao đẳng trở lên; ít nhất 2 năm kinh nghiệm công tác kể từ thời điểm tốt nghiệp liên quan đến một trong các lĩnh vực được liệt kê; đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn bảo vệ dữ liệu cá nhân. Quản lý nhân sự và tổ chức cán bộ nằm trong danh mục kinh nghiệm đó.

Doanh nghiệp nên đối chiếu nhiệm vụ thực tế, thời gian công tác và nội dung đã học. Người có 4 năm làm tuyển dụng vẫn cần kiểm tra điều kiện đào tạo. Người vừa tốt nghiệp nhưng đã làm cộng tác viên từ trước không nên cộng toàn bộ thời gian trước tốt nghiệp để kết luận đạt ngưỡng. Một giấy xác nhận tham dự phổ biến nội quy cũng chưa tự chứng minh đã được đào tạo đủ nội dung chuyên môn.

Trước khi áp dụng nghĩa vụ chỉ định hoặc thuê dịch vụ, cần xem khoản 2 Điều 33, khoản 2 và khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân, cùng Điều 41 Nghị định 356. Cơ chế dành cho doanh nghiệp nhỏ, khởi nghiệp, siêu nhỏ hoặc hộ kinh doanh có phạm vi và điều kiện loại trừ. Không suy việc được miễn chỉ từ số người trong phòng HR; hoạt động trực tiếp xử lý dữ liệu nhạy cảm hoặc các trường hợp loại trừ khác có thể làm kết luận thay đổi.

Phân biệt người phụ trách với đầu mối cung cấp hồ sơ

Một chuyên viên HR có thể được giao tập hợp hồ sơ lao động cho đợt rà soát mà chưa phải là nhân sự bảo vệ dữ liệu được chỉ định theo Điều 13. Vai trò đầu mối cung cấp thông tin cần được ghi rõ, tránh việc ghi tên vào danh sách liên hệ rồi coi như đã hoàn thành nghĩa vụ tổ chức nhân sự.

Nếu lựa chọn HR làm nhân sự bảo vệ dữ liệu, khoản 1 Điều 13 yêu cầu văn bản chính thức thể hiện phân công, chức năng, nhiệm vụ, quyền hạn và các yêu cầu liên quan. Khoản 5 yêu cầu thỏa thuận trách nhiệm bảo mật; khoản 6 đặt trách nhiệm đào tạo, bồi dưỡng cho cơ quan, tổ chức chỉ định.

Phân công nên xác định pháp nhân và hoạt động được phụ trách, đầu mối phối hợp, người nhận báo cáo và cách xử lý việc vượt thẩm quyền. Đây là cách cụ thể hóa công việc theo cơ cấu của doanh nghiệp, không phải một mẫu quyết định duy nhất. Bài chỉ định nhân sự bảo vệ dữ liệu cá nhân cần hồ sơ gì trình bày phần tài liệu cần đối chiếu trước khi ban hành.

Điều 14 cũng phân biệt nhiệm vụ của bộ phận với nhiệm vụ của nhân sự. Nhân sự tham mưu chính sách, tham gia thực hiện quyền, đánh giá tuân thủ và các biện pháp bảo vệ; đồng thời thực hiện nhiệm vụ về hồ sơ, tiếp nhận và báo cáo vi phạm theo quy định. Không nên chuyển tất cả các động từ “tổ chức triển khai” của bộ phận thành yêu cầu một người HR phải tự thực hiện toàn bộ công việc pháp lý, kỹ thuật và vận hành.

Kiêm nhiệm cần được kiểm tra ở từng hoạt động thực tế

Vướng mắc thường xuất hiện khi người phụ trách chỉ có quyền tiếp cận dữ liệu HR, trong khi yêu cầu cần xử lý nằm ở bộ phận bán hàng hoặc nhà cung cấp phần mềm. Nếu công ty giao nhiệm vụ trên phạm vi toàn doanh nghiệp, phải có cơ chế yêu cầu các phòng ban cung cấp thông tin và người có thẩm quyền xử lý việc không phối hợp.

Thời gian dành cho nhiệm vụ cũng cần được xác định. Một người vừa chạy tuyển dụng, chốt lương, vừa phải tiếp nhận yêu cầu dữ liệu có thể thiếu khả năng xử lý đúng hạn vào kỳ cao điểm. Pháp luật được viện dẫn trong bài không ấn định một tỷ lệ giờ kiêm nhiệm chung. Doanh nghiệp nên đánh giá theo số hệ thống, lượng yêu cầu, thời điểm công việc và mức hỗ trợ từ pháp chế, IT.

Việc bổ sung nhiệm vụ vào quan hệ lao động phải được xem xét theo hồ sơ và thỏa thuận lao động áp dụng. Một quyết định về bảo vệ dữ liệu không tự giải quyết mọi vấn đề về thay đổi công việc hoặc chế độ của người lao động. Phạm vi bài này tập trung điều kiện và cách tổ chức nhiệm vụ bảo vệ dữ liệu.

Phiếu đánh giá phương án kiêm nhiệm

Phiếu dưới đây là công cụ quản trị đề xuất. Với mỗi dòng, ghi kết quả “đã có căn cứ”, “cần bổ sung” hoặc “chưa phù hợp”, kèm người xác nhận và thời điểm xử lý. Thiếu một điều kiện năng lực bắt buộc phải được giải quyết riêng; không lấy điểm cao ở các tiêu chí khác để bù.

Nên dùng phiếu để đưa ra quyết định có điều kiện cụ thể: công việc nào HR làm, phần nào cần người khác, khi nào phải rà lại mô hình. “Được kiêm nhiệm” không có nghĩa người đó được cấp toàn quyền mọi hệ thống hoặc tự quyết định mọi mục đích xử lý dữ liệu.

Xử lý việc HR phải rà soát chính hoạt động của mình

HR có thể vừa đề xuất một biểu mẫu tuyển dụng, vừa tham gia đánh giá biểu mẫu đó có thu thập quá nhiều thông tin hay không. Đây là tình huống cần cơ chế xem xét khách quan. Không nên mặc nhiên gọi mọi kiêm nhiệm là trái pháp luật, nhưng cũng không bỏ qua khả năng người thực hiện khó tự nhận diện thiếu sót của phương án mình đã lựa chọn.

Doanh nghiệp có thể quy định vấn đề liên quan trực tiếp đến quyết định của người kiêm nhiệm phải được pháp chế, một người có chuyên môn khác hoặc cấp quản lý phù hợp xem xét bổ sung. Báo cáo cần thể hiện dữ kiện, đề xuất, ý kiến còn khác nhau và người quyết định cuối cùng. Đây là khuyến nghị tổ chức việc kiểm tra; không phải tuyên bố Điều 13 bắt buộc mọi doanh nghiệp phải có một hội đồng độc lập.

Ví dụ, nếu HR là người đã chọn dịch vụ lưu hồ sơ ứng viên, phần đánh giá quyền truy cập và cấu hình xóa cần IT xác nhận; căn cứ và thời hạn lưu cần được người có chuyên môn pháp lý kiểm tra. Việc yêu cầu nhiều bộ phận xác nhận chỉ có ý nghĩa khi mỗi bên kiểm tra đúng phần việc mình biết, thay vì cùng ký một dòng “đã tuân thủ”.

Cơ chế này nên được nối với quy chế bảo vệ dữ liệu cá nhân trong doanh nghiệp, để người kinh doanh và kỹ thuật biết khi nào phải chuyển thông tin, ai có quyền phê duyệt và việc nào cần dừng để xử lý.

Tình huống yêu cầu xóa hồ sơ đến đúng kỳ chốt lương

Tình huống giả định: Công ty A đã xác minh một trưởng nhóm HR đáp ứng điều kiện tại khoản 2 Điều 13 và chỉ định người này kiêm nhiệm bảo vệ dữ liệu. Một ứng viên yêu cầu xóa hồ sơ đúng kỳ chốt lương. Hồ sơ nằm trong hộp thư HR, thư mục của người quản lý tuyển dụng và hệ thống của nhà cung cấp; quyết định chỉ định chưa quy định các đầu mối phối hợp.

Người kiêm nhiệm không thể chỉ xóa bản mình giữ rồi báo đã hoàn tất. A cần tiếp nhận, xác minh yêu cầu, đối chiếu điều kiện xóa và căn cứ giữ lại theo Điều 14 Luật, tổ chức thực hiện quyền theo Điều 5 Nghị định 356. Người quản lý tuyển dụng và nhà cung cấp phải được đưa vào quy trình tìm dữ liệu, xử lý và xác nhận kết quả.

Đối với phương án kiêm nhiệm, lãnh đạo A cần giải quyết phần thiếu nguồn lực: phân công người hỗ trợ tiếp nhận, giao rõ đầu mối kiểm tra từng nơi lưu và điều chỉnh ưu tiên công việc. Vai trò hỗ trợ phải được xác định đúng; không tự coi người trực hộp thư thay thế đã đủ điều kiện làm nhân sự bảo vệ dữ liệu.

Đầu ra gồm hồ sơ yêu cầu, kết quả xác minh, căn cứ xử lý, các xác nhận từ nơi lưu và phản hồi phù hợp. Đồng thời, A cập nhật cơ chế phối hợp để yêu cầu tiếp theo không phụ thuộc một cá nhân đang rảnh hay bận. Không lùi ngày tiếp nhận hoặc coi kỳ chốt lương là lý do tự động kéo dài thời hạn pháp luật.

Khi nào nên bổ sung người hoặc kết hợp thuê dịch vụ

Cần rà lại mô hình khi yêu cầu thường xuyên bị tồn, người kiêm nhiệm không tiếp cận được thông tin cần thiết, phạm vi mở rộng sang hoạt động chưa có chuyên môn hoặc không có người theo dõi việc trong thời gian vắng mặt. Những dấu hiệu này cho thấy cách phân công cần điều chỉnh, dù hồ sơ bằng cấp ban đầu vẫn đáp ứng.

Khoản 4 Điều 16 Nghị định 356 cho phép cơ quan, tổ chức đồng thời chỉ định nhân sự, bộ phận nội bộ và thuê cá nhân, tổ chức cung cấp dịch vụ. Có thể lựa chọn hỗ trợ pháp lý cho phần khó, bổ sung năng lực kỹ thuật hoặc thiết kế lại bộ phận theo nhu cầu. Cần phân biệt hợp đồng tư vấn một số việc với hợp đồng sử dụng dịch vụ bảo vệ dữ liệu có phạm vi nhiệm vụ theo Điều 15 hoặc Điều 16.

Nếu thuê ngoài theo mô hình dịch vụ bảo vệ dữ liệu, phải kiểm tra điều kiện riêng của bên cung cấp. Người đáp ứng tiêu chuẩn nội bộ không mặc nhiên đáp ứng tiêu chuẩn cá nhân cung cấp dịch vụ. Tổ chức tư vấn có nhận một số việc pháp lý cũng không tự được coi là đã nhận toàn bộ nhiệm vụ DPO thuê ngoài.

Điều 37 Luật vẫn đặt trách nhiệm theo vai trò xử lý dữ liệu của doanh nghiệp. Một điều khoản giao HR “chịu mọi trách nhiệm” không tự chuyển toàn bộ nghĩa vụ của doanh nghiệp sang người đó. Báo cáo của người phụ trách cần được chuyển đến người có thẩm quyền quyết định nguồn lực và biện pháp thực hiện.

Câu hỏi thường gặp

Trưởng phòng HR có nhiều năm kinh nghiệm thì có cần đào tạo thêm không?

Phải kiểm tra điều kiện đã được đào tạo, bồi dưỡng tại điểm c khoản 2 Điều 13 và trách nhiệm tiếp tục đào tạo tại khoản 6. Thâm niên quản lý nhân sự không thay thế yêu cầu này. Nội dung cần bổ sung phụ thuộc việc đã học và nhiệm vụ thực tế.

Có thể giao HR chỉ phụ trách dữ liệu nhân viên không?

Có thể phân công theo phạm vi, nhưng doanh nghiệp phải xác định ai thực hiện nhiệm vụ đối với những hoạt động còn lại. Nếu quyết định chỉ bao phủ hồ sơ nhân viên, không được dùng quyết định đó để kết luận mọi hoạt động dữ liệu khách hàng hoặc sản phẩm đã có người phụ trách đầy đủ.

Người kiêm nhiệm có bắt buộc làm toàn thời gian về bảo vệ dữ liệu không?

Điều 13 và Điều 14 được đối chiếu trong bài không đặt một tỷ lệ thời gian chung. Doanh nghiệp phải bảo đảm người được chọn đáp ứng điều kiện và thực hiện được nhiệm vụ. Khi thời gian kiêm nhiệm không đáp ứng công việc, cần điều chỉnh phân công hoặc bổ sung nguồn lực.

Đã ký cam kết bảo mật với toàn bộ nhân viên thì đủ cho HR được chỉ định chưa?

Cần đối chiếu nội dung đã ký với trách nhiệm bảo mật của nhân sự bảo vệ dữ liệu theo khoản 5 Điều 13 và nhiệm vụ cụ thể. Ngoài bảo mật, vẫn phải có năng lực, văn bản chỉ định, đào tạo và cơ chế phối hợp. Một cam kết chung không tự chứng minh đã hoàn tất các phần đó.

Quyết định và phiếu đánh giá cần được nối với bộ tài liệu tuân thủ dữ liệu cá nhân, để phạm vi ghi trên giấy phù hợp với quy trình, quyền truy cập và công việc đang được thực hiện.

Justix hỗ trợ đánh giá phương án kiêm nhiệm

Doanh nghiệp nên chuẩn bị mô tả công việc HR, sơ đồ tổ chức, phạm vi dữ liệu, tài liệu năng lực và các yêu cầu thường phát sinh. Trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, Justix hỗ trợ đối chiếu mô hình nhân sự, nhiệm vụ, quyết định chỉ định và cơ chế phối hợp theo phạm vi lựa chọn. Có thể gửi thông tin đã lược dữ liệu cá nhân không cần thiết qua trang liên hệ Justix.