#36 Nhân sự/ Bộ phận DLCN: người gác cổng dữ liệu cá nhân của doanh nghiệp

Xin chào các bạn khán thính giả đã quay trở lại với kênh The Lawyers Talk của Công ty Luật TNHH BLawyers Vietnam. Tôi là Đặng Thị Kim Châu, rất vui được gặp lại mọi người trong số podcast ngày hôm nay.

Theo Luật Bảo vệ dữ liệu cá nhân năm 2025 (“Luật BVDLCN 2025”), cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ DLCN hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN.

Tuy nhiên, khi bắt tay vào triển khai, nhiều doanh nghiệp lại phát sinh cùng một băn khoăn: ai sẽ là đầu mối phù hợp để thực hiện chức năng bảo vệ DLCN? Phòng pháp chế, phòng công nghệ thông tin, phòng nhân sự hay một bộ phận chuyên trách riêng? Việc lựa chọn mô hình phù hợp không chỉ ảnh hưởng đến hiệu quả tuân thủ mà còn tác động trực tiếp đến cách dữ liệu được quản lý và vận hành trong doanh nghiệp.

Trong tập hôm nay, chúng ta sẽ cùng trao đổi 03 vấn đề chính:

(i) Doanh nghiệp có thể tổ chức lực lượng bảo vệ DLCN theo mô hình nào?;

(ii) Bộ phận, nhân sự bảo vệ DLCN cần đáp ứng điều kiện gì?; và

(iii) Phạm vi công việc của lực lượng này nên được xác định ra sao để vừa tuân thủ pháp luật, vừa phù hợp với hoạt động vận hành thực tế của doanh nghiệp?

1. Mô hình tổ chức Bộ phận/ Nhân sự bảo vệ DLCN của doanh nghiệp

Khi triển khai Luật BVDLCN 2025, doanh nghiệp cần xây dựng bộ phận hoặc nhân sự chuyên trách bảo vệ DLCN. Đây là thành phần cốt lõi trong lực lượng bảo vệ DLCN, giúp doanh nghiệp giám sát, điều phối và đảm bảo dòng chảy dữ liệu được thực hiện theo đúng quy định pháp luật.

(i) Thứ nhất về hình thức tổ chức Bộ phận/ Nhân sự bảo vệ DLCN: Doanh nghiệp có thể lựa chọn sau:

1. Bổ nhiệm một cá nhân hoặc thành lập bộ phận bảo vệ DLCN nội bộ: Người hoặc bộ phận này sẽ điều phối, giám sát và phối hợp các phòng ban để đảm bảo dữ liệu được xử lý đúng quy định; hoặc
2. Thuê tổ chức hoặc cá nhân cung cấp dịch vụ bảo vệ DLCN bên ngoài: Điều quan trọng, đơn vị bên ngoài phải đáp ứng điều kiện pháp luật hiện hành về trình độ, chuyên môn và kinh nghiệm trong bảo vệ DLCN.

Khi lựa chọn, doanh nghiệp cần cân nhắc quy mô, khối lượng dữ liệu và chi phí vận hành, để cân bằng giữa tuân thủ pháp luật và hiệu quả kinh doanh.

(ii) Thứ hai, lựa chọn mô hình thức tổ chức cho Bộ phận bảo vệ DLCN của doanh nghiệp:

Khi tổ chức nội bộ, doanh nghiệp có thể áp dụng ba mô hình phổ biến:

1. Mô hình tập trung: toàn bộ bộ phận bảo vệ DLCN chuyên trách điều phối chính sách và giám sát DLCN, phù hợp doanh nghiệp lớn hoặc xử lý nhiều luồng dữ liệu phức tạp.
2. Mô hình phân tán: mỗi phòng ban có một nhân sự bảo vệ DLCN, chịu trách nhiệm quản lý rủi ro DLCN riêng của phòng ban đó. Mô hình này giúp theo sát hoạt động thực tế, nhưng cần cơ chế phối hợp để chính sách được áp dụng thống nhất.
3. Mô hình hỗn hợp: kết hợp bộ phận bảo vệ DLCN trung tâm với các nhân sự bảo vệ DLCN tại các phòng ban khác như pháp lý, bán hàng, kỹ thuật,… Mô hình này vừa đảm bảo quản lý tập trung, vừa giám sát sát sao từng luồng dữ liệu.

Dù doanh nghiệp chọn mô hình nào, doanh nghiệp cần ít nhất 1 nhân sự bảo vệ DLCN là đầu mối liên hệ chính với cơ quan quản lý DLCN (Bộ Công An). Việc này giúp đảm bảo tất cả các hoạt động liên quan đến DLCN trong doanh nghiệp đều được giám sát, hướng dẫn và trao đổi với cơ quan nhà nước một cách chính thức và hiệu quả.

2. Điều kiện của Nhân sự/ Bộ phận bảo vệ DLCN

Trong phần này, chúng ta sẽ nói về những điều kiện mà Nhân sự hoặc Bộ phận bảo vệ DLCN cần đáp ứng, và một số vấn đề thực tế mà doanh nghiệp thường quan tâm.

Khi nhiều doanh nghiệp bắt tay vào triển khai, câu hỏi đầu tiên thường là: “Nhân sự bảo vệ DLCN cần trình độ, kinh nghiệm thế nào để vừa tuân thủ pháp luật, vừa vận hành hiệu quả?”

(i) Theo Nghị định 356/2025/NĐ-CP, nhân sự bảo vệ DLCN cần có trình độ tối thiểu từ cao đẳng trở lên. Về kinh nghiệm, đối với nhân sự nội bộ, yêu cầu là ít nhất 02 năm kinh nghiệm công tác (kể từ thời điểm tốt nghiệp) liên quan đến một trong các lĩnh vực về pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ. Với trường hợp thuê dịch vụ bên ngoài, yêu cầu còn cao hơn, khoảng 03 năm kinh nghiệm trong các lĩnh vực tương tự.

Một vấn đề mà doanh nghiệp hay thắc mắc là liệu một nhân sự có thể kiêm nhiệm nhiều vai trò, ví dụ vừa IT vừa Cán bộ bảo vệ DLCN. Điều này có thể thực hiện, nhưng doanh nghiệp cần cân nhắc kỹ năng, quyền hạn và khả năng phối hợp để đảm bảo hiệu quả thực thi.

(ii) Ngoài kinh nghiệm, nhân sự bảo vệ DLCN phải được bồi dưỡng kiến thức chuyên biệt về bảo vệ DLCN. Điều này bao gồm khả năng xây dựng chính sách, quy trình, biểu mẫu; triển khai quyền của chủ thể dữ liệu; lập hồ sơ đánh giá tác động dữ liệu và xây dựng kế hoạch ứng cứu sự cố.

(iii) Về đào tạo và chứng chỉ, hiện nay cơ quan quản lý hoạt động bảo vệ DLCN Việt Nam chưa công nhận bất kỳ chứng chỉ hay giấy phép hành nghề Chuyên gia/ Cán bộ bảo vệ DLCN nào. Điều đó có nghĩa là doanh nghiệp không bắt buộc phải mua chương trình đào tạo bên ngoài hay sử dụng chứng chỉ quốc tế.

Tùy theo nhu cầu của doanh nghiệp, sử dung dịch vụ bên thứ ba hoặc thẩm chí doanh nghiệp hoàn toàn có thể chủ động đào tạo Cán bộ bảo vệ DLCN nội bộ, khi đó, doanh nghiệp đảm bảo quá trình đào tạo và đánh giá có bằng chứng đầy đủ, giúp cơ quan quản lý thấy rằng doanh nghiệp đã thực hiện trách nhiệm đào tạo nhân sự bảo vệ DLCN theo đúng quy định.

(iv) Cuối cùng, doanh nghiệp chịu trách nhiệm đánh giá và lựa chọn nhân sự bảo vệ DLCN, xác lập văn bản chỉ định và lưu trữ hồ sơ tuân thủ. Trong trường hợp thuê ngoài, tổ chức cung cấp dịch vụ cần có tối thiểu 03 nhân sự đáp ứng đủ tiêu chuẩn về trình độ và kinh nghiệm. Như vậy, khi lựa chọn Nhân sự/ Bộ phận bảo vệ DLCN, doanh nghiệp không chỉ xem xét bằng cấp hay kinh nghiệm, mà còn phải chú ý đến vị trí trong tổ chức, quyền hạn và khả năng phối hợp. Đây chính là yếu tố quyết định Nhân sự/ Bộ phận bảo vệ DLCN có thực sự vận hành hiệu quả hay chỉ là “chức danh hình thức”.

3. Nhiệm vụ trọng tâm của Nhân sự/ Bộ phận bảo vệ DLCN của doanh nghiệp

Theo Điều 8 Luật Bảo vệ DLCN 2025, vi phạm các quy định về bảo vệ DLCN có thể dẫn đến xử phạt hành chính, truy cứu trách nhiệm hình sự hoặc bồi thường thiệt hại. Mức phạt tiền đối với doanh nghiệp có thể lên tới 5% doanh thu năm trước liền kề đối với việc chuyển DLCN ra nước ngoài trái phép, hoặc tối đa 3 tỷ đồng đối với các vi phạm khác.

Theo đó, rủi ro pháp lý liên quan xử lý DLCN trong doanh nghiệp là rất lớn, vì vậy Nhân sự/Bộ phận bảo vệ DLCN trong doanh nghiệp là vô cùng quan trọng vì đây là “mắt xích” cốt yếu giúp doanh nghiệp tuân thủ pháp luật, giảm thiểu rủi ro tài chính và xây dựng niềm tin với khách hàng.

(i) Thứ nhất, nhân sự/ Bộ phận bảo vệ DLCN chịu trách nhiệm:

1. Thiết lập các chính sách, quy trình, quy định và biểu mẫu nội bộ để đảm bảo mọi hoạt động xử lý DLCN đều có cơ sở hợp lý và tuân thủ pháp luật;
2. Theo dõi các luồng dữ liệu trong doanh nghiệp, đảm bảo dữ liệu được xử lý đúng mục đích, hợp pháp và minh bạch;
3. Lập hồ sơ, báo cáo và cập nhập hồ sơ đánh giá tác động xử lý DLCN, hồ sơ đánh giác tác động chuyển DLCN xuyên biên giới và lập báo cáo định kỳ hằng năm (trong các trường hợp cơ quan có thẩm quyền kiểm tra, thanh tra hoạt động bảo vệ DLCN của doanh nghiệp);
4. Thiết lập quy trình để khách hàng hoặc nhân viên thực hiện quyền truy cập, chỉnh sửa, xóa dữ liệu hoặc rút lại sự đồng ý; đồng thời phổ biến quy trình này trong nội bộ;
5. Xây dựng kế hoạch và triển khai đào tạo, bồi dưỡng định kỳ về bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức;
6. Phối hợp triển khai các biện pháp kỹ thuật bảo mật và xây dựng kế hoạch ứng cứu khi có sự cố lộ dữ liệu; và
7. Cập nhật các quy định mới về DLCN và tham mưu cho ban lãnh đạo các quyết định, chính sách cần thiết.

(ii) Thứ hai, về giới hạn trách nhiệm của nhân sự/ bộ phận bảo vệ DLCN, hiện tại luật không quy định chi tiết, do đó doanh nghiệp có thể:

1. Xác lập phạm vi công việc và quyền hạn trong văn bản chỉ định hoặc hợp đồng, đảm bảo nhân sự/Bộ phận bảo vệ DLCN biết rõ trách nhiệm của mình.
2. Thiết lập cơ chế miễn trừ trách nhiệm cho những sai sót không do lỗi cố ý hoặc vi phạm nghiêm trọng.
3. Cung cấp nguồn lực và điều kiện làm việc đầy đủ, giúp nhân sự/Bộ phận bảo vệ DLCN thực hiện nhiệm vụ hiệu quả và hạn chế rủi ro phát sinh từ yếu tố bên ngoài.

Như vậy, Nhân sự/ Bộ phận bảo vệ DLCN chịu trách nhiệm rất lớn, vừa là người quản lý, giám sát dòng chảy dữ liệu, vừa là đầu mối trao đổi pháp lý với cơ quan quản lý. Doanh nghiệp cần thiết lập quyền hạn, phạm vi công việc và cơ chế hỗ trợ rõ ràng để đảm bảo trách nhiệm này được thực hiện hiệu quả, tránh rủi ro pháp lý và bảo vệ hoạt động kinh doanh.

Qua những chia sẻ hôm nay, chúng ta đã điểm qua các mô hình tổ chức, điều kiện nhân sự, nhiệm vụ trọng tâm và giới hạn trách nhiệm của Nhân sự/Bộ phận bảo vệ DLCN. Hy vọng những thông tin này sẽ giúp quý doanh nghiệp hiểu rõ vai trò then chốt của lực lượng bảo vệ DLCN và có cơ sở để triển khai hiệu quả trong thực tế.

Nếu có bất kỳ câu hỏi hay thắc mắc nào, các bạn để lại bình luận bên dưới. Hoặc để biết thêm thông tin về BLawyers Vietnam, xin mời các bạn xem Website của chúng tôi bên dưới màn hình podcast của The Lawyers Talk.

Xin chào, và hẹn gặp lại.

Nội dung nêu trên không phải là ý kiến tư vấn chính thức từ BLawyers Vietnam. Nếu bạn có bất kỳ câu hỏi hay góp ý về nội dung trên, vui lòng liên hệ với chúng tôi qua địa chỉ ⁠⁠⁠⁠info@blawyersvn.com⁠⁠⁠⁠. Chúng tôi rất vui khi nghe từ bạn.

Ngày: 24/6/2026