Nhân sự bảo vệ dữ liệu cá nhân cần đáp ứng điều kiện gì?

Nhân sự bảo vệ dữ liệu cá nhân cần đáp ứng điều kiện gì?

Điều kiện của người được doanh nghiệp chỉ định khác với cá nhân cung cấp dịch vụ bảo vệ dữ liệu thuê ngoài. Bảng đối chiếu dưới đây giúp kiểm tra bằng cấp, kinh nghiệm, đào tạo và tài liệu chứng minh trước khi lựa chọn nhân sự.

Nhân sự bảo vệ dữ liệu cá nhân được cơ quan, tổ chức chỉ định phải có trình độ cao đẳng trở lên, ít nhất 2 năm kinh nghiệm phù hợp kể từ thời điểm tốt nghiệp và đã được đào tạo, bồi dưỡng về pháp luật, kỹ năng chuyên môn bảo vệ dữ liệu cá nhân. Cá nhân cung cấp dịch vụ thuê ngoài phải đáp ứng điều kiện riêng, trong đó có ít nhất 3 năm kinh nghiệm thuộc danh mục lĩnh vực tương ứng và đào tạo chuyên sâu. Doanh nghiệp cần xác định đúng mô hình trước khi kiểm tra năng lực; một chứng nhận khóa học không thay thế bằng cấp hoặc thời gian kinh nghiệm. Việc đánh giá phải gắn với nhiệm vụ thực tế, văn bản chỉ định và trách nhiệm bảo mật theo Điều 13 đến Điều 16 Nghị định 356/2025/NĐ-CP.

Xác định người được chỉ định hay người cung cấp dịch vụ

Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 yêu cầu cơ quan, tổ chức chỉ định bộ phận, nhân sự đủ điều kiện năng lực hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân. Đây là các phương án tổ chức công việc có điều kiện riêng. Chức danh “phụ trách tuân thủ”, “chuyên viên pháp chế” hay “DPO” trên danh thiếp chưa cho biết phải áp dụng nhóm điều kiện nào.

DPO là cách gọi thường dùng từ thuật ngữ tiếng Anh Data Protection Officer. Trong bài này, cần đối chiếu người được giao việc với các vị trí mà pháp luật Việt Nam quy định, thay vì suy toàn bộ tiêu chuẩn từ tên gọi nước ngoài.

Người được doanh nghiệp chỉ định làm nhân sự bảo vệ dữ liệu được xét theo Điều 13 Nghị định 356. Nếu lập bộ phận, khoản 3 Điều 13 yêu cầu các nhân sự trong bộ phận đáp ứng điều kiện tại khoản 2. Vì vậy, không thể chỉ kiểm tra trưởng bộ phận rồi mặc nhiên coi những người còn lại đã đủ năng lực.

Đối với cá nhân được thuê để cung cấp dịch vụ, áp dụng Điều 15. Nếu ký với tổ chức cung cấp dịch vụ, kiểm tra Điều 16, trong đó có điều kiện về nhân sự theo khoản 2 Điều 15. Cần đọc đúng bản chất thỏa thuận, bên giao kết và nhiệm vụ. Chỉ đổi tên hợp đồng hoặc quyết định không làm thay đổi điều kiện của hoạt động thực tế.

Ba điều kiện năng lực của nhân sự được chỉ định

Trình độ từ cao đẳng trở lên

Điểm a khoản 2 Điều 13 quy định mức trình độ tối thiểu là cao đẳng. Điều khoản này không giới hạn bằng cấp vào một ngành học duy nhất. Doanh nghiệp không nên tự nâng điều kiện pháp luật thành “bắt buộc tốt nghiệp đại học luật”, dù có thể đặt yêu cầu tuyển dụng cao hơn để phù hợp công việc.

Khi kiểm tra, cần đối chiếu tên người, văn bằng và thời điểm tốt nghiệp. Với văn bằng có thông tin chưa rõ hoặc cần xác định giá trị sử dụng, phải làm rõ theo quy định tương ứng, thay vì chỉ dựa vào mục học vấn trong hồ sơ tự khai.

Ít nhất 2 năm kinh nghiệm phù hợp sau tốt nghiệp

Điểm b khoản 2 Điều 13 liệt kê các lĩnh vực: pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự và tổ chức cán bộ. Kinh nghiệm phải liên quan đến một trong các lĩnh vực này và được tính kể từ thời điểm tốt nghiệp.

Cần đọc công việc đã làm, không chỉ tên phòng ban. Người có chức danh hành chính có thể thực hiện nhiệm vụ quản lý nhân sự, nhưng hồ sơ cần thể hiện nội dung đó. Ngược lại, 5 năm làm trong một công ty công nghệ chưa tự chứng minh 5 năm kinh nghiệm công nghệ thông tin nếu nhiệm vụ thực tế hoàn toàn khác.

Cách rà soát hữu ích là lập dòng thời gian từ ngày tốt nghiệp, ghi từng giai đoạn công tác, nhiệm vụ và tài liệu đối chiếu. Khoảng làm việc trước tốt nghiệp phải được tách ra. Khi hồ sơ có thời gian trùng nhau hoặc mô tả quá chung, cần xác minh trước khi kết luận đủ thời gian; không cộng cơ học các dòng kinh nghiệm để đạt ngưỡng.

Đã được đào tạo về pháp luật và kỹ năng chuyên môn

Điểm c khoản 2 Điều 13 yêu cầu đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân. Doanh nghiệp cần xem nội dung đã học, mức độ tham gia và bằng chứng hoàn thành. Một buổi giới thiệu sản phẩm hoặc phổ biến bảo mật chung chưa tự chứng minh đã đáp ứng cả hai phần này.

Tài liệu có thể được tập hợp để đối chiếu gồm chương trình học, nội dung chuyên đề, xác nhận tham gia hoặc hoàn thành và kết quả thực hành nếu có. Đây là cách tổ chức bằng chứng được đề xuất, không phải một bộ hồ sơ chứng chỉ thống nhất do Điều 13 quy định.

Riêng Điều 13 không đặt ra một mẫu chứng chỉ duy nhất hoặc thời hạn chung 3 năm cho mọi giấy chứng nhận đào tạo. Doanh nghiệp cần kiểm tra quy định thực sự áp dụng và giá trị của tài liệu cụ thể; không lấy một thông tin quảng cáo khóa học để bổ sung thành điều kiện pháp luật. Đồng thời, khoản 6 Điều 13 vẫn đặt trách nhiệm đào tạo, bồi dưỡng cho cơ quan, tổ chức chỉ định nhân sự, nên việc học không kết thúc ở thời điểm có một giấy xác nhận.

Bảng điều kiện và hồ sơ nhân sự để đối chiếu

Bảng sau phục vụ việc đánh giá trước khi lựa chọn. Cột tài liệu là gợi ý chứng minh; doanh nghiệp cần ghi thêm tài liệu thực tế đã xem, kết luận, người xác minh và việc còn thiếu. Không đánh dấu đạt chỉ vì ứng viên đã gửi một bản giới thiệu năng lực.

Danh mục lĩnh vực của cá nhân cung cấp dịch vụ gồm pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro và kiểm soát tuân thủ. Không lấy danh mục của Điều 13 để thay cho Điều 15. Người có nhiều năm quản lý nhân sự cần chứng minh thêm kinh nghiệm thực tế thuộc lĩnh vực được Điều 15 liệt kê nếu muốn cung cấp dịch vụ theo mô hình này.

Doanh nghiệp cũng nên tách hồ sơ năng lực khỏi tài liệu vận hành chứa dữ liệu khách hàng. Khi ứng viên dùng sản phẩm công việc cũ làm minh chứng, cần xác định quyền sử dụng và lược bỏ thông tin không cần thiết. Việc đánh giá năng lực không phải lý do để yêu cầu mang toàn bộ dữ liệu của đơn vị trước đến nơi mới.

Thuê một tổ chức phải kiểm tra thêm những gì

Theo khoản 1 và khoản 2 Điều 16 Nghị định 356, tổ chức cung cấp dịch vụ phải đáp ứng điều kiện về chức năng, nhiệm vụ hoặc ngành nghề, lĩnh vực công nghệ, pháp lý hoặc tư vấn tương ứng; có tối thiểu 3 nhân sự đáp ứng khoản 2 Điều 15; đã cung cấp sản phẩm, dịch vụ liên quan thuộc phạm vi được quy định. Tổ chức phải xây dựng và cung cấp hồ sơ năng lực có minh chứng cho bên có nhu cầu sử dụng.

Số lượng tối thiểu 3 nhân sự là điều kiện của tổ chức cung cấp dịch vụ, không có nghĩa mọi doanh nghiệp sử dụng dữ liệu phải tuyển 3 người làm bộ phận nội bộ. Cũng không tự có nghĩa cả 3 người phải được phân công toàn thời gian cho từng khách hàng; phạm vi phục vụ cần được xác định trong hợp đồng, phù hợp năng lực thực tế.

Bên thuê cần kiểm tra tổ chức và người dự kiến thực hiện việc của mình. Một hồ sơ giới thiệu chuyên gia nổi bật chưa đủ nếu người đó không tham gia hoặc nhà cung cấp chưa chứng minh các điều kiện còn lại. Khoản 3 Điều 16 còn yêu cầu xem xét hồ sơ năng lực, ký hợp đồng dịch vụ và thỏa thuận xử lý dữ liệu, công khai thông tin về tổ chức bảo vệ dữ liệu cho chủ thể dữ liệu và các bên liên quan.

Ví dụ đối chiếu ứng viên có kinh nghiệm HR

Tình huống giả định: Công ty A thuộc diện phải bố trí lực lượng bảo vệ dữ liệu cá nhân. A dự kiến chỉ định một chuyên viên nhân sự đã tốt nghiệp cao đẳng 4 năm, có 3 năm thực hiện tuyển dụng và quản lý hồ sơ lao động. Người này mới tham dự một buổi giới thiệu về an toàn mật khẩu, chưa có bằng chứng đào tạo pháp luật và kỹ năng chuyên môn bảo vệ dữ liệu.

Đối với phương án chỉ định nội bộ, bằng cấp và kinh nghiệm quản lý nhân sự có thể được xem xét theo điểm a, điểm b khoản 2 Điều 13, sau khi đối chiếu tài liệu. Nhưng chưa thể kết luận đủ cả ba điều kiện khi nội dung đào tạo chưa được xác minh. A cần làm rõ việc đã học, bổ sung đào tạo phù hợp nếu còn thiếu và lựa chọn người đủ điều kiện cho nhiệm vụ phải thực hiện; một quyết định chỉ định không tự bù phần năng lực thiếu.

Nếu người này dự định nhận cung cấp dịch vụ cho một doanh nghiệp khác, phải đánh giá lại theo Điều 15. Ba năm quản lý nhân sự không tự chuyển thành ba năm kinh nghiệm thuộc danh mục dành cho cá nhân cung cấp dịch vụ. Có thể tồn tại công việc thực tế về tuân thủ hoặc quản trị rủi ro, nhưng phải có căn cứ xác minh, không suy từ chức danh.

Đầu ra cần giữ tại A là bảng đối chiếu từng điều kiện, tài liệu đã kiểm tra, phần cần bổ sung và quyết định lựa chọn có căn cứ. Sau đó mới hoàn thiện việc phân công, bảo mật và phối hợp. Bài chỉ định nhân sự bảo vệ dữ liệu cá nhân cần hồ sơ gì hướng dẫn sâu hơn về tài liệu giao nhiệm vụ.

Kiểm tra cơ chế dành cho doanh nghiệp quy mô nhỏ

Trước khi kết luận nghĩa vụ chỉ định hoặc thuê dịch vụ, cần đối chiếu khoản 2, khoản 3 Điều 38 Luật và Điều 41 Nghị định 356. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp có quyền lựa chọn đối với các nghĩa vụ được liệt kê trong 5 năm từ ngày Luật có hiệu lực 01/01/2026; hộ kinh doanh, doanh nghiệp siêu nhỏ có cơ chế không phải thực hiện tương ứng.

Cả hai cơ chế đều loại trừ trường hợp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt quy mô từ 100.000 chủ thể dữ liệu trở lên theo tổng lượng đã xử lý tích lũy. Số nhân viên ít không đủ để kết luận doanh nghiệp được áp dụng. Có thể xem bài doanh nghiệp siêu nhỏ được miễn hồ sơ dữ liệu cá nhân khi nào để rà phạm vi và điều kiện.

Việc không phải thực hiện một số nghĩa vụ không làm mất các nghĩa vụ bảo vệ dữ liệu khác. Nếu doanh nghiệp vẫn lựa chọn tổ chức nhân sự chuyên trách, nên xác định rõ vai trò và cơ chế áp dụng, thay vì dùng chữ “tự nguyện” để bỏ qua việc đánh giá năng lực của người sẽ thực hiện công việc.

Năng lực cần được theo dõi sau khi lựa chọn

Khoản 4 Điều 13 giao cơ quan, tổ chức trách nhiệm đánh giá, lựa chọn nhân sự; khoản 6 yêu cầu đào tạo, bồi dưỡng. Điều 14 quy định nhiệm vụ theo từng mô hình bộ phận và nhân sự. Doanh nghiệp nên dùng những nhiệm vụ đó để xác định nội dung bồi dưỡng và kiểm tra khả năng làm việc: tham mưu quy trình, phối hợp thực hiện quyền, lập hồ sơ theo nghĩa vụ áp dụng và tham gia xử lý vi phạm.

Khi đổi hệ thống, thêm nhóm dữ liệu hoặc mở hoạt động mới, cần xem người phụ trách còn có đủ thông tin, kỹ năng và nguồn lực hay không. Việc lưu kế hoạch học, kết quả thực hành và các lần rà soát là biện pháp quản trị giúp chứng minh hoạt động thực tế, không phải cách thay điều kiện pháp luật bằng đánh giá chủ quan của quản lý.

Khi đổi người hoặc thuê thêm đơn vị, phải bàn giao yêu cầu đang xử lý, tài liệu và quyền truy cập. Nếu sự thay đổi ảnh hưởng hồ sơ đánh giá tác động, đối chiếu Điều 22 Luật và Điều 20 Nghị định 356. Riêng thay đổi thông tin tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu thuộc điểm b khoản 2 Điều 20, có mốc cập nhật ngay trong 10 ngày; không tự áp cùng kết luận cho mọi thay đổi chức danh nội bộ.

Mốc cập nhật: Nghị định 392/2026/NĐ-CP có hiệu lực từ 15/11/2026, sửa một số quy định về tiếp nhận, đánh giá và cập nhật hồ sơ. Các sửa đổi tại Chương VII không thay các điều kiện năng lực ở Điều 13, Điều 15 và Điều 16 nêu trên. Khi xử lý hồ sơ qua ngày hiệu lực, cần kiểm tra cơ chế mới và khoản 3 Điều 49 về chuyển tiếp.

Câu hỏi thường gặp

Tốt nghiệp cao đẳng quản trị nhân lực có bị loại vì không học luật không?

Không thể loại chỉ vì lý do đó khi đối chiếu điểm a khoản 2 Điều 13. Doanh nghiệp vẫn phải kiểm tra kinh nghiệm phù hợp sau tốt nghiệp và đào tạo về bảo vệ dữ liệu. Yêu cầu tuyển dụng bổ sung của doanh nghiệp cần được phân biệt với điều kiện tối thiểu của pháp luật.

Có chứng nhận khóa DPO thì được chỉ định ngay không?

Chưa đủ căn cứ. Cần kiểm tra bằng cấp, kinh nghiệm, nội dung đào tạo và mô hình được giao. Chứng nhận chỉ hỗ trợ đối chiếu một phần yêu cầu; tên khóa học không tự chứng minh toàn bộ năng lực.

Cả bộ phận đã có trưởng nhóm đủ điều kiện thì nhân viên còn lại có cần đáp ứng không?

Có. Khoản 3 Điều 13 yêu cầu các nhân sự trong bộ phận đáp ứng điều kiện tại khoản 2. Với đầu mối hỗ trợ ở phòng ban khác, cần xác định đúng phạm vi vai trò; không tùy tiện gọi mọi người tham gia cung cấp thông tin là thành viên bộ phận bảo vệ dữ liệu.

Thuê tổ chức bên ngoài có bỏ được toàn bộ đầu mối nội bộ không?

Doanh nghiệp vẫn cần tổ chức việc cung cấp thông tin, quyết định và phối hợp để thực hiện trách nhiệm theo Điều 37 Luật. Khoản 4 Điều 16 cho phép kết hợp chỉ định nội bộ với thuê dịch vụ. Cách bố trí phải dựa vào nhiệm vụ thực tế và điều kiện áp dụng, không chỉ dựa vào việc đã ký hợp đồng.

Hồ sơ năng lực nên được quản lý cùng bộ tài liệu tuân thủ dữ liệu cá nhân của doanh nghiệp, để người tiếp nhận nhiệm vụ tìm được quy trình, hồ sơ và các việc đang theo dõi.

Justix hỗ trợ rà soát phương án nhân sự

Doanh nghiệp có thể chuẩn bị sơ đồ tổ chức, nhiệm vụ dự kiến, bảng tóm tắt bằng cấp, kinh nghiệm và đào tạo của người được cân nhắc. Trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, Justix tư vấn mô hình, điều kiện nhân sự, văn bản chỉ định và cơ chế phối hợp theo hạng mục được lựa chọn. Có thể gửi mô tả đã lược thông tin cá nhân không cần thiết qua trang liên hệ Justix để xác định phạm vi rà soát.