Thuê DPO ngoài hay bổ nhiệm DPO nội bộ? Câu trả lời ngắn: doanh nghiệp nhỏ và vừa thường thuê ngoài (outsourced DPO) để có ngay nhân sự đủ điều kiện; doanh nghiệp lớn thường kết hợp cả hai. Luật cho phép cả hai cách: chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân (DPO) trong nội bộ hoặc thuê tổ chức, cá nhân cung cấp dịch vụ (khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15). Bài viết so sánh điều kiện pháp lý, chi phí, tính độc lập và năng lực giải trình của hai mô hình để giúp doanh nghiệp quyết định nên thuê DPO ngoài hay bổ nhiệm DPO nội bộ.
1. Điều kiện pháp lý khi thuê DPO ngoài hay bổ nhiệm DPO nội bộ#
Chỉ định DPO là nghĩa vụ của cơ quan, tổ chức (khoản 2 Điều 33 Luật). Hộ kinh doanh, doanh nghiệp siêu nhỏ không phải thực hiện. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn không thực hiện trong 05 năm kể từ 01/01/2026. Ưu đãi này không áp dụng nếu doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm, xử lý dữ liệu từ 100.000 chủ thể trở lên hoặc kinh doanh dịch vụ xử lý dữ liệu (khoản 2, khoản 3 Điều 38 Luật; Điều 41 Nghị định 356/2025/NĐ-CP).
Hai lưu ý khi tự đánh giá:
- Quy mô tính trên số liệu của chính doanh nghiệp. Luật 91 và Nghị định 356 không định nghĩa doanh nghiệp nhỏ, siêu nhỏ, nên áp dụng tiêu chí chung tại Điều 4 Luật Hỗ trợ doanh nghiệp nhỏ và vừa 04/2017/QH14 và Điều 5 Nghị định 80/2021/NĐ-CP. Ví dụ, doanh nghiệp nhỏ trong thương mại, dịch vụ có không quá 50 lao động tham gia bảo hiểm xã hội bình quân năm và doanh thu không quá 100 tỷ đồng hoặc tổng nguồn vốn không quá 50 tỷ đồng. Doanh nghiệp tự xác định theo số liệu năm trước của mình; các văn bản này không cộng số liệu của công ty mẹ hay công ty liên kết, nên công ty con của tập đoàn vẫn có thể là doanh nghiệp nhỏ. Dự thảo Luật Phát triển doanh nghiệp nhỏ và vừa có thể thay đổi các ngưỡng này.
- Theo cách hiểu của LexData, hầu hết doanh nghiệp có nhân viên đều "trực tiếp xử lý dữ liệu nhạy cảm". Luật không định nghĩa "trực tiếp"; xử lý bao gồm cả thu thập (khoản 6 Điều 2 Luật); tình trạng sức khỏe và hình ảnh thẻ căn cước là dữ liệu nhạy cảm (điểm d, điểm i khoản 1 Điều 4 Nghị định 356). Doanh nghiệp thu kết quả khám sức khỏe hoặc lưu bản chụp căn cước trong hồ sơ nhân sự vì vậy thuộc trường hợp loại trừ. Chưa có hướng dẫn của Cục A05 theo hướng khác, nên không nên dựa vào ưu đãi khi quyết định có chỉ định DPO hay không.
Điều kiện năng lực khác nhau theo mô hình:
| Tiêu chí | DPO nội bộ | Cá nhân thuê ngoài | Tổ chức thuê ngoài |
|---|---|---|---|
| Trình độ | Cao đẳng trở lên | Cao đẳng trở lên | Tối thiểu 03 nhân sự đủ điều kiện như cá nhân thuê ngoài |
| Kinh nghiệm | Ít nhất 02 năm trong lĩnh vực liên quan | Ít nhất 03 năm trong lĩnh vực liên quan | Đã cung cấp dịch vụ bảo mật, an ninh mạng, CNTT hoặc tư vấn bảo vệ dữ liệu |
| Đào tạo | Đã được đào tạo về bảo vệ dữ liệu cá nhân | Đã được đào tạo chuyên sâu | Có hồ sơ năng lực cung cấp cho khách hàng |
| Căn cứ | Khoản 2 Điều 13 NĐ 356 | Khoản 2 Điều 15 NĐ 356 | Khoản 1, khoản 2 Điều 16 NĐ 356 |
Với DPO nội bộ, doanh nghiệp phải chỉ định bằng văn bản chính thức, ký thỏa thuận bảo mật và tự đào tạo cho nhân sự này (khoản 1, 5, 6 Điều 13 NĐ 356). Không ban hành văn bản chỉ định có thể bị phạt từ 20 đến 30 triệu đồng (điểm c khoản 2 Điều 57 Nghị định 330/2026/NĐ-CP). Với DPO thuê ngoài, doanh nghiệp phải xem xét điều kiện năng lực, ký hợp đồng và công khai thông tin nhà cung cấp cho chủ thể dữ liệu (khoản 3 Điều 15, khoản 3 Điều 16 NĐ 356).
2. Ba nhóm năng lực DPO cần có#
- Pháp lý: nắm Luật 91/2025/QH15, Nghị định 356 và quy định xử phạt để rà soát hợp đồng DPA, xây dựng chính sách. Nhân sự nội bộ có thể được cử tham gia khóa đào tạo chuyên gia bảo vệ dữ liệu cá nhân (DPO) để đáp ứng điều kiện đào tạo.
- An toàn thông tin: hiểu kiến trúc máy chủ, cloud, mã hóa, phân quyền và kịch bản ứng phó sự cố.
- Quản trị: điều phối IT, Marketing, HR, Pháp chế và đại diện doanh nghiệp làm việc với cơ quan chức năng.
3. Phương án DPO nội bộ và rủi ro xung đột lợi ích#
DPO nội bộ hiểu rõ quy trình vận hành và văn hóa doanh nghiệp. Phương án này có ba hạn chế:
Thứ nhất, chi phí lương và đào tạo cho một nhân sự đủ kinh nghiệm cả pháp lý và IT.
Thứ hai, xung đột lợi ích khi kiêm nhiệm. Nếu giao DPO cho trưởng phòng IT (người quản lý lưu trữ) hoặc trưởng phòng Marketing (người thu thập dữ liệu), tính độc lập của DPO bị suy giảm. Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP không cấm kiêm nhiệm, nhưng tính độc lập của DPO là thông lệ quốc tế (ví dụ GDPR của EU) và là yêu cầu quản trị hợp lý. Người kiêm nhiệm khó tự giám sát sai phạm của chính bộ phận mình.
Thứ ba, biến động nhân sự. Khi DPO nghỉ việc, doanh nghiệp phải chỉ định người thay thế đủ điều kiện và cập nhật thông tin liên hệ của DPO trong hồ sơ DPIA đã nộp (điểm b khoản 3 Điều 19 NĐ 356; khoản 5 Điều 21 Luật).
4. Phương án DPO thuê ngoài (outsourced DPO): ưu điểm và giới hạn#
Với dịch vụ DPO thuê ngoài, một tổ chức hoặc cá nhân đủ điều kiện thực hiện nhiệm vụ của bộ phận bảo vệ dữ liệu cá nhân theo hợp đồng (khoản 5 Điều 16 NĐ 356). Khi thuê tổ chức, doanh nghiệp phải xem xét hồ sơ năng lực, ký cả hợp đồng sử dụng dịch vụ lẫn thỏa thuận xử lý dữ liệu cá nhân, và công khai thông tin tổ chức đó cho chủ thể dữ liệu (khoản 3 Điều 16 NĐ 356).
Ưu điểm:
- Có ngay nhân sự đáp ứng điều kiện 03 năm kinh nghiệm và đào tạo chuyên sâu, thay vì tuyển và đào tạo từ đầu.
- Nhà cung cấp là tổ chức phải có ít nhất 03 nhân sự đủ điều kiện, nên công việc không phụ thuộc vào một người.
- Góc nhìn độc lập, không chịu áp lực doanh số của bộ phận kinh doanh.
Giới hạn:
- DPO bên ngoài không nắm quy trình nội bộ bằng nhân viên; doanh nghiệp vẫn cần một đầu mối nội bộ cung cấp thông tin.
- Khi đổi nhà cung cấp, hồ sơ DPIA phải cập nhật trong 10 ngày (điểm b khoản 2 Điều 22 Luật; điểm b khoản 2 Điều 20 NĐ 356).
- Doanh nghiệp cần kiểm tra hồ sơ năng lực của nhà cung cấp. Tổ chức cung cấp dịch vụ không có đủ 03 nhân sự đủ điều kiện có thể bị phạt và đình chỉ hoạt động cung cấp dịch vụ (điểm b khoản 2, điểm b khoản 4 Điều 58 Nghị định 330/2026/NĐ-CP), kéo theo việc doanh nghiệp phải tìm người thay thế.
5. Thuê DPO ngoài hay bổ nhiệm DPO nội bộ? So sánh chi phí & ma trận lựa chọn cho doanh nghiệp#
- Doanh nghiệp nhỏ và vừa, startup công nghệ, shop thương mại điện tử: thường phù hợp với DPO thuê ngoài, vì không phải tuyển một vị trí toàn thời gian mà vẫn có nhân sự đủ điều kiện để lập hồ sơ DPIA và xử lý sự cố.
- Tập đoàn, ngân hàng, doanh nghiệp đa quốc gia: thường dùng mô hình kết hợp. Nghị định cho phép vừa chỉ định nhân sự, bộ phận nội bộ vừa thuê dịch vụ bên ngoài (khoản 4 Điều 16 NĐ 356). DPO nội bộ quản lý hằng ngày, đơn vị bên ngoài thẩm định chuyên sâu và đánh giá độc lập định kỳ. Nếu tập đoàn muốn dùng DPO khu vực do công ty mẹ ở nước ngoài tuyển, theo cách hiểu của LexData có hai cách: đưa người đó thành nhân sự của công ty Việt Nam (biệt phái hoặc kiêm nhiệm, có văn bản chỉ định chính thức và thỏa thuận bảo mật, đủ 02 năm kinh nghiệm theo Điều 13 NĐ 356), hoặc công ty Việt Nam ký hợp đồng sử dụng nhân sự trực tiếp với người đó theo Điều 15 (đủ 03 năm kinh nghiệm, đào tạo chuyên sâu, công khai thông tin). Công ty mẹ thường không đủ điều kiện làm tổ chức cung cấp dịch vụ theo Điều 16. Dù chọn cách nào, nên có đầu mối nói tiếng Việt tại Việt Nam để làm việc với Cục A05 và thông báo vi phạm trong 72 giờ.
- Doanh nghiệp nhỏ, khởi nghiệp thuộc diện được lựa chọn tại khoản 2 Điều 38 Luật: có thể chưa chỉ định DPO trong 05 năm, nhưng nên có một người đầu mối để tiếp nhận yêu cầu của khách hàng và sự cố.
Khi thuê ngoài, nên so sánh báo giá theo các yếu tố quyết định chi phí tư vấn bảo vệ dữ liệu cá nhân.
6. Trước khi quyết định thuê DPO ngoài hay bổ nhiệm DPO nội bộ: 3 câu hỏi#
Hãy trả lời ba câu hỏi. Doanh nghiệp có thuộc diện phải chỉ định DPO ngay không (Điều 38 Luật)? Nếu chọn người nội bộ, người đó đã đủ 02 năm kinh nghiệm và đã được đào tạo chưa, và có đang phụ trách chính bộ phận thu thập dữ liệu không? Nếu thuê ngoài, hồ sơ năng lực của nhà cung cấp có chứng minh đủ 03 nhân sự đủ điều kiện không? Dù chọn mô hình nào, DPO cần quyền tiếp cận dữ liệu và kênh báo cáo trực tiếp tới ban lãnh đạo.
