Dịch vụ DPO thuê ngoài cho doanh nghiệp

Có. Khoản 2 Điều 33 Luật 91/2025/QH15 cho phép doanh nghiệp chỉ định bộ phận, nhân sự bảo vệ dữ liệu hoặc thuê tổ chức, cá nhân cung cấp dịch vụ. Khi thuê tổ chức, doanh nghiệp cần xem xét hồ sơ năng lực (tối thiểu 03 nhân sự đủ điều kiện theo khoản 2 Điều 15), ký hợp đồng sử dụng dịch vụ kèm thỏa thuận xử lý dữ liệu và công khai thông tin bên cung cấp cho chủ thể dữ liệu (khoản 1, 3 Điều 16 Nghị định 356/2025/NĐ-CP). Doanh nghiệp có thể kết hợp nhân sự nội bộ với dịch vụ thuê ngoài (khoản 4 Điều 16) và vẫn chịu trách nhiệm tuân thủ của mình.

Theo khoản 2 Điều 33 Luật 91/2025/QH15, cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ. Doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp đủ điều kiện được lựa chọn không thực hiện khoản 2 Điều 33 (cùng Điều 21, Điều 22) trong 05 năm kể từ 01/01/2026; doanh nghiệp vừa không thuộc diện ưu đãi này. Hộ kinh doanh và doanh nghiệp siêu nhỏ có chế độ riêng tại khoản 2 Điều 41 Nghị định 356/2025/NĐ-CP. Các diện trên đều có ngoại lệ khi kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc đạt từ 100.000 chủ thể dữ liệu theo tổng lượng tích lũy đã xử lý. Cần xác định đúng loại hình và hoạt động trước khi áp dụng; các nghĩa vụ bảo vệ dữ liệu khác vẫn phải thực hiện.

Tư vấn theo dự án giải quyết một phạm vi cụ thể tại một thời điểm (ví dụ rà soát thực trạng hoặc lập hồ sơ DPIA). DPO thuê ngoài là vai trò liên tục: giám sát theo chu kỳ, xử lý phát sinh và duy trì trạng thái tuân thủ khi quy trình, hệ thống hay pháp luật thay đổi.

Phạm vi được thống nhất bằng văn bản trước khi vận hành: LexData là đầu mối tiếp nhận và phối hợp trong các vấn đề thuộc dịch vụ, còn quyết định mang tính cam kết hoặc chiến lược vẫn do doanh nghiệp phê duyệt. Cách phân chia này giữ vai trò rõ ràng và không vượt thẩm quyền.