Bài viết · 21 tháng 6, 2026
Doanh nghiệp có cần DPO bảo vệ dữ liệu không?
Khi nào doanh nghiệp cần người phụ trách bảo vệ dữ liệu cá nhân, họ làm gì và SME nên tổ chức gọn ra sao.
Trả lời nhanh
Doanh nghiệp có cần DPO bảo vệ dữ liệu không?
Có thể cần, nhưng không nhất thiết phải gọi là DPO hay tuyển riêng một người full-time. Với doanh nghiệp Việt Nam, câu hỏi đúng hơn là: ai sẽ chịu trách nhiệm đầu mối về bảo vệ dữ liệu cá nhân, phối hợp nội bộ và xử lý sự cố đúng hạn.
Từ Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15 (hiệu lực 01/01/2026), doanh nghiệp nên chuẩn bị cơ chế phân công rõ người phụ trách hoặc bộ phận phụ trách. Điều này đặc biệt quan trọng nếu công ty có website bán hàng, CRM, app, camera, tuyển dụng online, chấm công vân tay/khuôn mặt, hoặc gửi dữ liệu cho nhà cung cấp bên thứ ba.
Nói ngắn gọn: doanh nghiệp càng có nhiều dữ liệu cá nhân thì càng cần một đầu mối “giữ nhịp”. Nếu không có, khi phát sinh yêu cầu tra cứu, xóa dữ liệu, khiếu nại hoặc lộ lọt dữ liệu, rất dễ không ai biết ai làm gì.
Khi nào doanh nghiệp nên bổ nhiệm người phụ trách dữ liệu?
Nên bổ nhiệm sớm nếu doanh nghiệp rơi vào một trong các tình huống sau:
- Có website/app thu form khách hàng, đặt lịch, đăng ký thành viên.
- Có lưu hồ sơ nhân sự, hợp đồng lao động, BHXH, camera khu vực làm việc.
- Có dùng email marketing, Zalo/SMS automation, remarketing.
- Có thu dữ liệu nhạy cảm như sinh trắc học, thông tin sức khỏe, tài chính.
- Có chia sẻ dữ liệu cho bên thứ ba: cloud, tổng đài, đơn vị giao hàng, agency quảng cáo, phần mềm HRM/CRM.
- Có chuyển dữ liệu ra nước ngoài hoặc dùng nền tảng quốc tế.
Nếu chỉ là một cửa hàng nhỏ, thu rất ít thông tin, vẫn nên có người phụ trách kiêm nhiệm để tránh “trống đầu việc”.
Chọn đúng người đầu mối:
thường là pháp chế, nhân sự, IT, vận hành hoặc chủ doanh nghiệp kiêm nhiệm ở SME.
Giao nhiệm vụ bằng văn bản:
ghi rõ người này làm gì, báo cho ai, khi nào phải escalte sự cố.
Lập danh mục dữ liệu:
biết mình đang giữ dữ liệu khách hàng, nhân viên, nhà cung cấp gì, ở đâu.
Gắn quy trình xử lý yêu cầu:
ai nhận yêu cầu xóa/sửa/truy cập dữ liệu, trả lời trong bao lâu, lưu bằng chứng ở đâu.
Tập huấn ngắn cho team:
sale, CSKH, HR, marketing phải biết không tự ý chụp màn hình, gửi Excel, hay dùng dữ liệu sai mục đích.
Kiểm tra sự cố và báo cáo:
nếu phát hiện rủi ro/lộ lọt dữ liệu, ghi nhận ngay và chuẩn bị thông báo trong 72 giờ theo quy định.
Người phụ trách bảo vệ dữ liệu cá nhân làm gì thực tế?
Họ không chỉ “giữ giấy tờ”. Công việc thực tế là làm đầu mối để dữ liệu không bị dùng bừa, chia sẻ bừa, hay nằm rải rác không kiểm soát.
Các việc thường gặp gồm:
- Rà soát biểu mẫu thu thập dữ liệu trên website, app, POS, form tuyển dụng.
- Kiểm tra thông báo quyền riêng tư, cookie banner, điều khoản đồng ý.
- Quản lý danh sách bên thứ ba được nhận dữ liệu.
- Phối hợp IT và nhà cung cấp để đặt quyền truy cập, mật khẩu, phân quyền.
- Ghi nhận và trả lời yêu cầu của chủ thể dữ liệu: xin bản sao, sửa, xóa, hạn chế xử lý, rút lại đồng ý.
- Điều phối xử lý sự cố lộ lọt dữ liệu và hồ sơ báo cáo nội bộ.
- Nhắc các phòng ban giữ nguyên tắc “thu đủ dùng đủ”, không xin quá nhiều dữ liệu không cần thiết.
Ví dụ thực tế: một shop online dùng Google Sheet để lưu số điện thoại, địa chỉ, ghi chú COD. Người phụ trách dữ liệu sẽ kiểm tra ai được mở sheet, ai được tải về, có lưu quá lâu không, và khi khách yêu cầu xóa thì xóa ở đâu để tránh sót.
Doanh nghiệp nhỏ nên làm gọn ra sao?
SME không cần dựng hẳn một phòng dữ liệu riêng nếu nguồn lực ít. Cách gọn nhất là một người phụ trách kiêm nhiệm, cộng một người dự phòng.
Mô hình tối giản nên là:
| Hạng mục | Cách làm gọn cho SME |
|---|---|
| Người phụ trách chính | Chủ doanh nghiệp, admin, HR hoặc IT kiêm nhiệm |
| Người dự phòng | Một người khác biết quy trình cơ bản |
| Tài liệu tối thiểu | Danh mục dữ liệu, mẫu đồng ý, quy trình DSAR, quy trình sự cố |
| Công cụ | Bảng tính, drive phân quyền, ticket/email để ghi nhận yêu cầu |
| Họp định kỳ | 1 lần/tháng kiểm tra dữ liệu và quyền truy cập |
Checklist tối thiểu cho SME:
- [ ] Biết mình đang thu những dữ liệu gì
- [ ] Có ai chịu trách nhiệm chính
- [ ] Có nơi lưu bằng chứng đồng ý
- [ ] Có mẫu phản hồi yêu cầu dữ liệu
- [ ] Có quy trình xử lý sự cố và thông báo
- [ ] Có kiểm soát bên thứ ba nhận dữ liệu
Nếu doanh nghiệp dùng cookie, form đăng ký, hoặc CRM, nên lưu lại bằng chứng đồng ý và lịch sử thay đổi chính sách. Các việc này có thể gọn, nhưng đừng để “không ai giữ”. Nếu cần, consent.vn có thể giúp bạn chuẩn hóa banner cookie, mẫu đồng ý và quy trình DSAR.
Có cần thuê ngoài DPO hay tư vấn không?
Có thể thuê ngoài nếu doanh nghiệp không có người nội bộ đủ kinh nghiệm, hoặc cần rà soát nhanh các hệ thống đã dùng từ lâu. Tuy nhiên, thuê ngoài không thay thế hoàn toàn trách nhiệm nội bộ.
Cách hợp lý là: nội bộ vẫn phải có người đầu mối; bên ngoài hỗ trợ rà soát, đào tạo, xây quy trình, và xử lý các tình huống khó như chuyển dữ liệu quốc tế, camera, sinh trắc học hay hồ sơ nhân sự.
FAQ về doanh nghiệp có cần dpo bảo vệ dữ liệu không
- Thường vẫn nên có người phụ trách nội bộ, vì website bán hàng thường thu tên, SĐT, địa chỉ, lịch sử đơn hàng và cookie.
- Không bắt buộc. SME có thể giao cho HR, IT, vận hành hoặc admin, miễn là họ hiểu quy trình và biết phối hợp.
- Không nhất thiết. Nhiều doanh nghiệp nhỏ làm theo mô hình kiêm nhiệm, nhưng phải có văn bản phân công rõ ràng.
- Ghi nhận sự cố, cô lập rủi ro, báo nội bộ ngay và chuẩn bị thông báo theo quy định trong 72 giờ kể từ khi phát hiện.
Làm gì ngay tuần này?
Bắt đầu bằng 3 việc: xác định ai là đầu mối, liệt kê dữ liệu đang giữ, và chốt quy trình xử lý yêu cầu xóa/sửa/truy cập. Với SME, chỉ cần làm được 3 việc này là đã giảm rất nhiều rủi ro vận hành.
Nguồn: Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15, Bộ luật Lao động 2019, Bộ luật Dân sự 2015 — https://thuvienphapluat.vn; Bộ Công an — https://bocongan.gov.vn
Bắt đầu ngay — cài đặt trong 5 phút.
Cần hỗ trợ tuân thủ PDPL?