Từ 01/01/2026, khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 đặt ra một nghĩa vụ mới mà nhiều doanh nghiệp chưa từng nghe tới: chỉ định bộ phận/nhân sự bảo vệ dữ liệu cá nhân (thường gọi là DPO — Data Protection Officer) hoặc thuê dịch vụ từ tổ chức, cá nhân đủ điều kiện. Không phải mọi doanh nghiệp đều phải làm ngay — pháp luật có lộ trình miễn, hoãn riêng cho doanh nghiệp nhỏ.
1. Quy tắc chung: chỉ định hoặc thuê
Cơ quan, tổ chức (kể cả hộ kinh doanh) có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân; trường hợp không chỉ định được thì phải thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân (khoản 2 Điều 33 Luật 91/2025/QH15).
Điều kiện của nhân sự bảo vệ dữ liệu (Điều 13 Nghị định 356/2025/NĐ-CP): trình độ từ cao đẳng trở lên; có ít nhất 02 năm kinh nghiệm trong lĩnh vực pháp chế, công nghệ thông tin hoặc an ninh mạng; chức năng, nhiệm vụ được quy định rõ trong văn bản bổ nhiệm hoặc mô tả công việc; ký thỏa thuận bảo mật.
2. Ba nhóm bắt buộc ngay, không được miễn dù quy mô nào
Dù là doanh nghiệp siêu nhỏ hay hộ kinh doanh, vẫn bắt buộc chỉ định nhân sự bảo vệ dữ liệu (hoặc thuê dịch vụ) ngay từ 01/01/2026 nếu thuộc một trong ba trường hợp (Điều 41 Nghị định 356/2025/NĐ-CP):
- Kinh doanh dịch vụ xử lý dữ liệu cá nhân: dữ liệu là tài sản và công cụ kinh doanh cốt lõi (ví dụ: công ty data broker, dịch vụ chấm điểm tín dụng, marketing data);
- Trực tiếp xử lý dữ liệu cá nhân nhạy cảm: dữ liệu sức khỏe, sinh trắc học, tài chính-ngân hàng, vị trí, quan điểm chính trị… (danh mục tại Điều 4 Nghị định 356/2025/NĐ-CP);
- Xử lý dữ liệu của từ 100.000 chủ thể trở lên: tính theo kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.
3. Lộ trình miễn, hoãn cho doanh nghiệp nhỏ
- Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp: được lựa chọn thực hiện hoặc không thực hiện nghĩa vụ này trong 05 năm (01/01/2026–31/12/2030) — trừ ba trường hợp tại mục 2;
- Hộ kinh doanh, doanh nghiệp siêu nhỏ: không phải thực hiện (miễn vô thời hạn) — trừ ba trường hợp tại mục 2.
Doanh nghiệp siêu nhỏ/nhỏ được xác định theo số lao động tham gia bảo hiểm xã hội bình quân năm, tổng doanh thu hoặc tổng nguồn vốn (Nghị định 80/2021/NĐ-CP).
4. Thuê ngoài hay bổ nhiệm nội bộ?
Pháp luật cho phép cả hai hình thức, với điều kiện năng lực khác nhau:
- Nhân sự nội bộ: cao đẳng trở lên + 02 năm kinh nghiệm pháp chế/CNTT/an ninh mạng;
- Cá nhân cung cấp dịch vụ thuê ngoài: 03 năm kinh nghiệm;
- Tổ chức cung cấp dịch vụ: có ít nhất 03 nhân sự đủ điều kiện.
Với doanh nghiệp vừa và nhỏ, thuê dịch vụ bên ngoài thường kinh tế hơn so với tuyển dụng và đào tạo nhân sự chuyên trách; với tập đoàn xử lý dữ liệu quy mô lớn, nên xây dựng bộ phận chuyên trách nội bộ (có thể kết hợp tư vấn bên ngoài).
5. Câu hỏi thường gặp
Hỏi: Công ty 20 nhân viên, chỉ lưu hồ sơ nhân sự và danh bạ khách hàng, có phải bổ nhiệm DPO không?
Đáp: Nếu không thuộc ba trường hợp tại mục 2 và được xác định là doanh nghiệp nhỏ, công ty được hoãn 05 năm (đến 31/12/2030).
Hỏi: Không bổ nhiệm DPO thì bị phạt bao nhiêu?
Đáp: Là hành vi vi phạm nghĩa vụ về bảo vệ dữ liệu cá nhân, có thể bị xử phạt vi phạm hành chính theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026).
Hỏi: Có bắt buộc thành lập “ban/phòng bảo vệ dữ liệu” riêng không?
Đáp: Không. Pháp luật chỉ yêu cầu chỉ định bộ phận hoặc nhân sự (có thể kiêm nhiệm) đủ điều kiện năng lực, không bắt buộc lập đơn vị riêng biệt.
Doanh nghiệp cần xác định mình thuộc diện bắt buộc hay được hoãn bổ nhiệm DPO? Liên hệ với chúng tôi để được tư vấn.
Bài viết do FLAW AI Legal Council biên soạn. Nội dung đang chờ Hội đồng QA rà soát trước khi trình phê duyệt; thông tin chỉ mang tính tham khảo, không thay thế tư vấn pháp lý cho trường hợp cụ thể của quý vị.