Câu hỏi doanh nghiệp nhỏ có cần bổ nhiệm DPO hay không được rất nhiều chủ doanh nghiệp, đặc biệt là startup và công ty quy mô nhỏ, quan tâm. Câu trả lờiphụ thuộc vào quy mô, ngành nghề và loại dữ liệu mà doanh nghiệp xử lý. Theo Nghị định 356/2025/NĐ-CP, không phải doanh nghiệp nào cũng bắt buộc phải có DPO ngay lập tức.
Cơ sở pháp lý
Nghị định 356/2025/NĐ-CP quy định chi tiết về việc chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân. Theo đó, các tổ chức, doanh nghiệp phải chỉ định bộ phận hoặc nhân sự chuyên trách bảo vệ dữ liệu cá nhân, trừ trường hợp được miễn. Việc chỉ định này nhằm đảm bảo có người chịu trách nhiệm giám sát, tư vấn và phối hợp với cơ quan nhà nước trong công tác bảo vệ dữ liệu cá nhân.
Miễn trừ cho doanh nghiệp nhỏ
Nghị định 356 có quy định linh hoạt đối với doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp. Cụ thể, các doanh nghiệp này được lựa chọn thực hiện hoặc không thực hiện việc chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu trong 05 năm kể từ ngày Luật Bảo vệ dữ liệu cá nhân có hiệu lực. Doanh nghiệp siêu nhỏ không phải thực hiện việc chỉ định này. Đây là chính sách hỗ trợ nhằm giảm gánh nặng tuân thủ cho các doanh nghiệp có nguồn lực hạn chế.
Các trường hợp vẫn bắt buộc có DPO
Tuy có miễn trừ, nhưng một số trường hợp vẫn bắt buộc phải có DPO hoặc bộ phận bảo vệ dữ liệu dù là doanh nghiệp nhỏ. Các trường hợp này bao gồm doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm, và doanh nghiệp xử lý dữ liệu tích lũy từ 100.000 chủ thể dữ liệu cá nhân trở lên. Ngoài ra, các cơ quan nhà nước, tổ chức chính trị, tổ chức chính trị xã hội cũng bắt buộc phải thực hiện.
Vai trò của DPO và bộ phận bảo vệ dữ liệu
DPO, hay nhân sự chuyên trách bảo vệ dữ liệu cá nhân, có vai trò tư vấn cho lãnh đạo về tuân thủ pháp luật, giám sát việc thực hiện các biện pháp bảo vệ dữ liệu, phối hợp với cơ quan quản lý nhà nước, và xử lý các khiếu nại, yêu cầu của chủ thể dữ liệu. Bộ phận bảo vệ dữ liệu có thể là một nhóm người thay vì một cá nhân duy nhất, tùy thuộc vào quy mô và đặc thù của doanh nghiệp.
Ví dụ thực tế
Một startup công nghệ với 10 nhân viên cung cấp ứng dụng giao đồ ăn, thu thập tên, số điện thoại và địa chỉ của khách hàng. Trong 05 năm đầu, startup này được lựa chọn có hoặc không có DPO. Tuy nhiên, nếu cùng một startup sử dụng dữ liệu sinh trắc học để xác thực tài xế hoặc xử lý dữ liệu của hơn 100.000 người dùng, thì dù quy mô nhỏ vẫn bắt buộc phải chỉ định DPO hoặc bộ phận bảo vệ dữ liệu.
Checklist cho doanh nghiệp nhỏ
- Xác định quy mô doanh nghiệp theo quy định của pháp luật về doanh nghiệp nhỏ, siêu nhỏ và khởi nghiệp.
- Liệt kê các loại dữ liệu cá nhân đang xử lý, đặc biệt là dữ liệu nhạy cảm.
- Đếm số lượng chủ thể dữ liệu cá nhân đang được xử lý tích lũy.
- Xác định xem doanh nghiệp có kinh doanh dịch vụ xử lý dữ liệu cá nhân hay không.
- Nếu thuộc diện miễn trừ, cân nhắc bổ nhiệm DPO thuê ngoài hoặc phân công một nhân sự kiêm nhiệm.
- Nếu bắt buộc, chỉ định DPO hoặc bộ phận bảo vệ dữ liệu và công bố thông tin liên hệ.
Sai lầm thường gặp
Nhiều doanh nghiệp nhỏ nghĩ rằng mình không bao giờ cần DPO vì quy mô nhỏ, nhưng lại bỏ qua các trường hợp bắt buộc đặc biệt. Một số doanh nghiệp khác chỉ định DPO nhưng không trao đủ quyền hạn và nguồn lực để DPO thực hiện nhiệm vụ. Nhiều tổ chức cũng không công khai thông tin liên hệ của DPO, khiến chủ thể dữ liệu khó thực hiện quyền của mình.
Chi phí và hình thức bổ nhiệm DPO
Doanh nghiệp nhỏ có thể lựa chọn nhiều hình thức bổ nhiệm DPO phù hợp với ngân sách. Có thể phân công một nhân viên nội bộ kiêm nhiệm, thuê DPO bán thời gian hoặc sử dụng dịch vụ DPO thuê ngoài. Chi phí sẽ phụ thuộc vào quy mô, ngành nghề và khối lượng công việc. Dù hình thức nào, DPO cần có kiến thức về bảo vệ dữ liệu và được trao đủ thẩm quyền để thực hiện nhiệm vụ.
Lộ trình chuyển đổi khi tăng trưởng
Khi doanh nghiệp nhỏ phát triển, nghĩa vụ về DPO có thể thay đổi. Khi số lượng chủ thể dữ liệu vượt ngưỡng hoặc bắt đầu xử lý dữ liệu nhạy cảm, doanh nghiệp cần chuyển từ DPO kiêm nhiệm sang DPO chuyên trách hoặc bộ phận bảo vệ dữ liệu. Lộ trình này nên được lập kế hoạch trước để tránh bị động. Việc đánh giá định kỳ giúp doanh nghiệp nhận biết đúng thờidiểm cần thay đổi.
## Kết luận
Doanh nghiệp nhỏ có thể được hưởng lợi từ các quy định linh hoạt của Nghị định 356/2025/NĐ-CP, nhưng cần cẩn trọng với các trường hợp bắt buộc. Việc đánh giá đúng quy mô, loại dữ liệu và ngành nghề sẽ giúp doanh nghiệp quyết định có cần DPO hay không. Dù miễn trừ hay bắt buộc, việc có một người chịu trách nhiệm về bảo vệ dữ liệu vẫn là best practice giúp giảm rủi ro và tăng niềm tin của khách hàng.