Doanh nghiệp phải chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ từ 2026

Chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ là một trong những vấn đề quan trọng mà tổ chức, doanh nghiệp cần cân nhắc khi triển khai các hoạt động thu thập, xử lý và lưu trữ thông tin cá nhân. Việc tuân thủ quy định này không chỉ nhằm đảm bảo an toàn thông tin mà còn giúp doanh nghiệp góp phần nâng cao uy tín, tạo dựng niềm tin với khách hàng và đối tác. Bài viết dưới đây sẽ cung cấp thông tin về vấn đề này.

Doanh nghiệp phải chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ từ 2026

Tại Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân 2025 quy định: Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

Ngoài ra, căn cứ Điều 41 Nghị định 356/2025/NĐ-CP hướng dẫn thi hành cụ thể một số điều của Luật Bảo vệ dữ liệu cá nhân 2025 có quy định như sau:

• Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật Bảo vệ dữ liệu cá nhân trong thời gian 05 năm kể từ ngày Luật Bảo vệ dữ liệu cá nhân có hiệu lực thi hành, trừ doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.
• Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 của Luật Bảo vệ dữ liệu cá nhân, trừ hộ kinh doanh, doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.

Như vậy, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn áp dụng hoặc chưa áp dụng nghĩa vụ này trong thời hạn 05 năm kể từ ngày Luật có hiệu lực, trừ trường hợp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc đạt ngưỡng từ 100.000 chủ thể dữ liệu trở lên. Đối với hộ kinh doanh và doanh nghiệp siêu nhỏ, nguyên tắc chung là không bắt buộc thực hiện, nhưng vẫn phải tuân thủ nếu thuộc các trường hợp có rủi ro cao nêu trên.

>>> Xem thêm: Danh mục dữ liệu cá nhân nhạy cảm

Điều kiện của nhân sự bảo vệ dữ liệu cá nhân, bộ phận bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức

Theo quy định tại Điều 13 Nghị định 356/2025/NĐ-CP, điều kiện của nhân sự bảo vệ dữ liệu cá nhân, bộ phận bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức bao gồm các yêu cầu sau đây:

1. Việc chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức của cơ quan, tổ chức đó; thể hiện việc phân công, chức năng nhiệm vụ, quyền hạn và các yêu cầu khác đối với công tác bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức đó.
2. Nhân sự bảo vệ dữ liệu cá nhân được cơ quan, tổ chức chỉ định phải đáp ứng đủ các điều kiện năng lực như sau:

• Có trình độ cao đẳng trở lên;
• Có ít nhất 02 năm kinh nghiệm công tác (kể từ thời điểm tốt nghiệp) liên quan đến một trong các lĩnh vực về pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ;
• Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

3. Trường hợp cơ quan, tổ chức thành lập bộ phận bảo vệ dữ liệu cá nhân, các nhân sự trong bộ phận phải đáp ứng đủ các điều kiện năng lực quy định tại khoản 2 Điều 13 Nghị định này.
4. Cơ quan, tổ chức chịu trách nhiệm đánh giá, lựa chọn nhân sự bảo vệ dữ liệu cá nhân.
5. Cơ quan, tổ chức ký thỏa thuận trách nhiệm bảo mật với nhân sự bảo vệ dữ liệu cá nhân, có thể thỏa thuận về các trường hợp miễn trừ trách nhiệm khi xảy ra vi phạm hoặc thiệt hại đối với dữ liệu cá nhân được bảo vệ.
6. Cơ quan, tổ chức chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc bộ phận bảo vệ dữ liệu cá nhân có trách nhiệm đào tạo, bồi dưỡng kiến thức, kỹ năng về bảo vệ dữ liệu cá nhân cho nhân sự bảo vệ dữ liệu cá nhân.

>>> Xem thêm: Quy định về trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức trong tuyển dụng lao động

Tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân

Hệ thống tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân được quy định chi tiết và cụ thể tại Điều 34 Luật Bảo vệ dữ liệu cá nhân 2025 như sau:

1. Tiêu chuẩn về bảo vệ dữ liệu cá nhân gồm tiêu chuẩn đối với hệ thống thông tin, phần cứng, phần mềm, quản lý, vận hành, xử lý, bảo vệ dữ liệu cá nhân được công bố, thừa nhận áp dụng tại Việt Nam.
2. Quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân gồm quy chuẩn kỹ thuật đối với hệ thống thông tin, phần cứng, phần mềm, quản lý, vận hành, xử lý, bảo vệ dữ liệu cá nhân được xây dựng, ban hành và áp dụng tại Việt Nam.
3. Việc ban hành tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu cá nhân thực hiện theo quy định của pháp luật về tiêu chuẩn và quy chuẩn kỹ thuật.

Dịch vụ tư vấn về bảo vệ dữ liệu cá nhân cho doanh nghiệp tại Tư vấn Long Phan

Tư vấn Long Phan cung cấp dịch vụ tư vấn toàn diện nhằm hỗ trợ doanh nghiệp chủ động thích ứng với các yêu cầu mới về bảo vệ dữ liệu cá nhân từ năm 2026. Chúng tôi nhận thức rõ rằng nghĩa vụ chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ chuyên nghiệp đặt ra áp lực đáng kể về nhân sự, chi phí và hệ thống quản trị nội bộ. 

Với kinh nghiệm chuyên sâu trong lĩnh vực tuân thủ và quản trị rủi ro, Tư vấn Long Phan đồng hành cùng doanh nghiệp xây dựng cơ chế bảo mật dữ liệu bài bản, chuẩn hóa quy trình và bảo đảm vận hành phù hợp với quy định pháp luật hiện hành. 

Dưới đây là những công việc cụ thể mà Quý khách hàng sẽ được hỗ trợ khi sử dụng dịch vụ tư vấn tại Tư vấn Long Phan:

• Tư vấn lựa chọn phương án chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ;
• Kiểm tra toàn bộ quy trình thu thập, lưu trữ, sử dụng và chia sẻ dữ liệu; xác định vai trò của doanh nghiệp (bên kiểm soát, bên xử lý dữ liệu hoặc bên thứ ba).
• Nhận diện dữ liệu cá nhân nhạy cảm, đánh giá mức độ rủi ro và đề xuất biện pháp kỹ thuật – tổ chức tương ứng nhằm bảo đảm tuân thủ quy định pháp luật.
• Lập báo cáo đánh giá tác động xử lý dữ liệu cá nhân (DPIA), chính sách bảo mật, quy chế nội bộ và các biểu mẫu theo yêu cầu để nộp cơ quan có thẩm quyền.
• Thực hiện thủ tục đăng ký, thông báo về bảo vệ dữ liệu; hỗ trợ giải trình, làm việc với cơ quan thanh tra, kiểm tra khi phát sinh yêu cầu.

Các câu hỏi thường gặp về bảo vệ dữ liệu cá nhân

Dưới đây là một số câu hỏi thường gặp về việc chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ, mời quý vị tham khảo:

Thời hạn cuối cùng để các thực thể hoàn thành việc chỉ định nhân sự bảo vệ dữ liệu cá nhân là khi nào?

Các tổ chức phải hoàn tất việc thiết lập bộ phận hoặc nhân sự chuyên trách từ ngày Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực vào năm 2026, trừ các trường hợp được gia hạn.

(Căn cứ pháp lý: Điều 38 Luật Bảo vệ dữ liệu cá nhân 2025.)

Doanh nghiệp siêu nhỏ có bắt buộc phải chỉ định nhân sự bảo vệ dữ liệu cá nhân không?

Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện quy định này, trừ hộ kinh doanh, doanh nghiệp siêu nhỏ kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý.

(Căn cứ pháp lý: Khoản 2 Điều 41 Nghị định 356/2025/NĐ-CP.)

Nhân sự bảo vệ dữ liệu cá nhân có thể là người làm việc kiêm nhiệm không?

Pháp luật không cấm việc kiêm nhiệm, tuy nhiên nhân sự đó phải đáp ứng đầy đủ điều kiện năng lực như sau:

• Có trình độ cao đẳng trở lên;
• Có ít nhất 02 năm kinh nghiệm công tác (kể từ thời điểm tốt nghiệp) liên quan đến một trong các lĩnh vực về pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ;
• Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.

(Căn cứ pháp lý: Khoản 2 Điều 13 Nghị định 356/2025/NĐ-CP.)

Văn bản chỉ định nhân sự bảo vệ dữ liệu cần bao gồm những nội dung chủ chốt nào?

Việc chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc bộ phận bảo vệ dữ liệu cá nhân phải được thực hiện bằng văn bản chính thức của cơ quan, tổ chức đó; thể hiện việc phân công, chức năng nhiệm vụ, quyền hạn và các yêu cầu khác đối với công tác bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức đó.

(Căn cứ pháp lý: Khoản 1 Điều 13 Nghị định 356/2025/NĐ-CP.)

Doanh nghiệp có được phép thuê cá nhân tự do cung cấp dịch vụ bảo vệ dữ liệu không?

Có, cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.

(Căn cứ pháp lý: Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân 2025.)

Trường hợp nào doanh nghiệp nhỏ buộc phải chỉ định nhân sự ngay mà không được gia hạn 05 năm?

Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm hoặc xử lý dữ liệu cá nhân kể từ thời điểm có quy mô đạt từ 100 nghìn chủ thể dữ liệu cá nhân trở lên dựa trên kết quả tích lũy tổng lượng dữ liệu cá nhân đã xử lý thì buộc phải chỉ định nhân sự ngay mà không được gia hạn 05 năm.

(Căn cứ pháp lý: Khoản 1 Điều 41 Nghị định 356/2025/NĐ-CP.)

Doanh nghiệp có phải chịu trách nhiệm khi nhân sự bảo vệ dữ liệu gây ra sai sót không?

Doanh nghiệp có thể thỏa thuận về các trường hợp miễn trừ trách nhiệm trong văn bản ký kết, nhưng về nguyên tắc, tổ chức vẫn chịu trách nhiệm đánh giá và lựa chọn nhân lực phù hợp.

(Căn cứ pháp lý: Khoản 4 và Khoản 5 Điều 13 Nghị định 356/2025/NĐ-CP.)

>>> Xem thêm: Thủ tục thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân  

Kết luận

Việc thực hiện chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc thuê dịch vụ là yêu cầu cấp thiết để đảm bảo việc tuân thủ pháp luật cho doanh nghiệp. Quý khách hàng cần chủ động rà soát hệ thống và chuẩn bị nhân sự đáp ứng các tiêu chuẩn của Luật Bảo vệ dữ liệu cá nhân 2025. Để nhận được sự hỗ trợ chuyên sâu và giải pháp quản trị rủi ro hiệu quả, hãy liên hệ ngay với Tư vấn Long Phan qua hotline 1900636389.