Dự thảo Luật Bảo vệ dữ liệu cá nhân: Chuyên gia bảo vệ dữ liệu cá nhân là ai?

Trong sự phát triển nhanh chóng của công nghệ, dữ liệu cá nhân đã trở thành một nguồn tài nguyên quý giá nhưng cũng tiềm ẩn nhiều rủi ro. Việc bảo vệ dữ liệu cá nhân không chỉ là yêu cầu pháp lý mà còn là yếu tố sống còn để duy trì lòng tin của người dùng và đảm bảo an ninh quốc gia. Dự thảo Luật Bảo vệ dữ liệu cá nhân của Việt Nam (“Dự thảo”), dự kiến được Quốc hội thông qua vào năm 2025 và có hiệu lực từ ngày 01/01/2026. Một trong những điểm nhấn quan trọng của dự thảo là quy định về Chuyên gia bảo vệ dữ liệu cá nhân – một vai trò mới mẻ nhưng mang tính quyết định trong việc thực thi pháp luật về bảo vệ dữ liệu. Trong bài viết này, chúng tôi sẽ phân tích chi tiết nội dung liên quan đến chuyên gia bảo vệ dữ liệu cá nhân theo Dự thảo mới nhất đang trình Quốc hội tại kỳ họp thứ 9, tháng 5/2025.

Chuyên gia bảo vệ dữ liệu cá nhân là ai?

Theo Điều 39 của Dự thảo Luật Bảo vệ dữ liệu cá nhân, Chuyên gia bảo vệ dữ liệu cá nhân được định nghĩa là cá nhân có đủ năng lực bảo vệ dữ liệu cá nhân, được phân loại thành ba nhóm chính dựa trên năng lực chuyên môn gồm:

Thứ nhất, Chuyên gia đủ năng lực công nghệ và pháp lý.

Đây là nhóm chuyên gia có kiến thức và kỹ năng toàn diện, vừa am hiểu về các khía cạnh kỹ thuật (như bảo mật hệ thống, mã hóa dữ liệu, an ninh mạng) vừa nắm vững các quy định pháp luật liên quan đến bảo vệ dữ liệu cá nhân. Có lẽ một trong những điều kiện để một cá nhân được xem là chuyên gia đủ năng lực công nghệ và pháp lý là họ phải bằng cấp và/hoặc chứng chỉ được công nhận trong cả lĩnh vực công nghệ và pháp lý bởi cơ quan có thẩm quyền.

Thứ hai, Chuyên gia đủ năng lực công nghệ.

Nhóm này tập trung vào các kỹ năng kỹ thuật, chẳng hạn như triển khai các biện pháp mã hóa, giám sát truy cập dữ liệu, hoặc phát triển các giải pháp công nghệ để ngăn chặn truy cập trái phép.

Thứ ba, Chuyên gia đủ năng lực pháp lý.

Nhóm này chuyên về các khía cạnh pháp lý, bao gồm việc tư vấn về tuân thủ luật pháp, soạn thảo chính sách bảo vệ dữ liệu, và xử lý các tranh chấp hoặc vi phạm liên quan đến dữ liệu cá nhân. Các cá nhân thường sẽ được xem là chuyên gia đủ năng lực pháp lý nếu có bằng cử nhân luật và trải qua một khóa đào tạo bởi cơ quan được phép đào tạo về bảo vệ dữ liệu cá nhân.

Sự phân loại này phản ánh cách tiếp cận linh hoạt của Dự thảo, cho phép các tổ chức lựa chọn chuyên gia phù hợp với nhu cầu và đặc thù ngành nghề của mình. Tuy nhiên, Dự thảo không nêu rõ tiêu chí cụ thể để đánh giá “đủ năng lực”, điều này có thể sẽ được Chính phủ hoặc cơ quan chuyên trách quy định chi tiết trong các văn bản hướng dẫn sau này.

Yêu cầu bắt buộc về chuyên gia bảo vệ dữ liệu cá nhân của Dự thảo

Một trong những quy định đáng chú ý tại khoản 2, Điều 39 là yêu cầu mỗi tổ chức, doanh nghiệp, hoặc cá nhân tham gia xử lý dữ liệu cá nhân phải có tối thiểu một Chuyên gia bảo vệ dữ liệu cá nhân phù hợp với ngành, nghề, lĩnh vực kinh doanh của mình. Điều này nhấn mạnh vai trò của chuyên gia như một nhân tố cốt lõi trong việc đảm bảo tuân thủ các quy định pháp luật về bảo vệ dữ liệu.

Tuy nhiên, Dự thảo cũng đưa ra một số ngoại lệ nhằm giảm gánh nặng cho các doanh nghiệp nhỏ và mới thành lập. Cụ thể, tại khoản 3, Điều 39 và khoản 1, Điều 68, các doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được miễn trừ yêu cầu có chuyên gia bảo vệ dữ liệu cá nhân trong 5 năm đầu kể từ khi thành lập. Tuy nhiên, quy định này không áp dụng cho các doanh nghiệp trực tiếp kinh doanh hoạt động xử lý dữ liệu cá nhân, chẳng hạn như các công ty công nghệ hoặc nền tảng mạng xã hội. Ngoài ra, trong 1 năm đầu tiên kể từ khi Luật có hiệu lực (tức có thể đến ngày 1 tháng 1 năm 2027), tất cả các cơ quan, tổ chức, doanh nghiệp được miễn trừ yêu cầu này để có thời gian chuẩn bị[1].

Những quy định này cho thấy sự cân bằng giữa việc đảm bảo tuân thủ pháp luật và tạo điều kiện cho các doanh nghiệp, đặc biệt là các doanh nghiệp nhỏ, thích nghi với khung pháp lý mới. Tuy nhiên, với bối cảnh của Việt Nam chúng tôi cho rằng quy định này khó lòng thực thi trên thực tế, dù có quy định miễn trừ nhưng thời gian miễn trừ là không đáng kể và sau thời gian miễn trừ gần như tất cả các tổ chức đều phải có một chuyên gia bảo vệ dữ liệu cá nhân. Chưa kể quy định rất khó hiểu tại Khoản 2 Điều 39 Dự thảo buộc cá nhân cũng phải có tối thiểu một chuyên gia bảo vệ dữ liệu cá nhân[2]. Đây có lẽ một môt sơ suất khó chấp nhận của Dự thảo khi đã trình lên Quốc hội xem xét.

Với hàng triệu doanh nghiệp, chưa kể vài chục nghìn tổ chức khác nhau để có thể đủ số lượng chuyên gia theo yêu cầu của quy định này là điều vô cùng khó khăn để các tổ chức, doanh nghiệp Việt Nam ít nhất trong 5 năm tới có thể tuân thủ quy định này một cách nghiêm túc.

Vai trò và trách nhiệm của chuyên gia bảo vệ dữ liệu cá nhân

Mặc dù Dự thảo không liệt kê chi tiết các nhiệm vụ cụ thể của Chuyên gia bảo vệ dữ liệu cá nhân, nhưng thông qua các quy định liên quan, có thể hình dung vai trò quan trọng của chuyên gia bảo vệ dữ liệu cá nhân trong hệ sinh thái bảo vệ dữ liệu. Dựa trên các điều khoản của Dự thảo, chuyên gia bảo vệ dữ liệu cá nhân có thể đảm nhận các trách nhiệm sau:

Tư vấn và xây dựng chính sách bảo vệ dữ liệu

Chuyên gia, đặc biệt là những người có năng lực pháp lý, có vai trò tư vấn cho tổ chức về việc xây dựng các quy định nội bộ về bảo vệ dữ liệu cá nhân, đảm bảo tuân thủ các nguyên tắc tại Điều 3 Dự thảo như minh bạch, giới hạn mục đích, bảo mật,...

Triển khai các biện pháp kỹ thuật

Chuyên gia có năng lực công nghệ sẽ chịu trách nhiệm triển khai các biện pháp bảo vệ dữ liệu, chẳng hạn như mã hóa dữ liệu nhạy cảm (Điều 15, Dự thảo), giám sát truy cập dữ liệu, hoặc áp dụng các tiêu chuẩn kỹ thuật (Điều 51, Dự thảo).

Giám sát tuân thủ

Chuyên gia đóng vai trò như một “người gác cổng” nội bộ, đảm bảo rằng tổ chức tuân thủ các quy định của Dự thảo, bao gồm việc lập và cập nhật Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Điều 45, Dự thảo) và Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (Điều 46, Dự thảo).

Xử lý vi phạm và báo cáo

Trong trường hợp xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân, chuyên gia có thể hỗ trợ tổ chức lập Biên bản xác nhận và phối hợp với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân để xử lý vụ việc (Điều 37).

Đào tạo và nâng cao nhận thức

Chuyên gia có thể tham gia đào tạo nhân viên về các quy định và thực hành tốt nhất trong bảo vệ dữ liệu cá nhân, như quy định tại Điều 20 và Điều 56.

Vai trò của chuyên gia bảo vệ dữ liệu cá nhân không chỉ giới hạn trong phạm vi nội bộ tổ chức mà còn mở rộng đến việc phối hợp với các cơ quan quản lý nhà nước, đặc biệt là Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Điều 52). Điều này nhấn mạnh tầm quan trọng của chuyên gia như một cầu nối giữa tổ chức và cơ quan quản lý.

Phó Chủ tịch Quốc hội, Thượng tướng Trần Quang Phương điều hành Phiên thảo luận ở hội trường về dự án Luật Bảo vệ dữ liệu cá nhân. Nguồn: Quốc hội

Tầm quan trọng của chuyên gia bảo vệ dữ liệu cá nhân

Sự xuất hiện của Chuyên gia bảo vệ dữ liệu cá nhân trong Dự thảo phản ánh xu hướng toàn cầu về việc chuyên nghiệp hóa công tác bảo vệ dữ liệu. Trong bối cảnh các vụ vi phạm dữ liệu cá nhân ngày càng gia tăng, vai trò của chuyên gia trở nên đặc biệt quan trọng vì những lý do sau:

Thứ nhất, đảm bảo tuân thủ pháp luật.

Với các mức xử phạt hành chính từ 1% đến 5% doanh thu năm liền trước (Điều 4) và các trách nhiệm pháp lý nghiêm ngặt, chuyên gia giúp tổ chức tránh được các rủi ro pháp lý và tài chính trong quá trình tuân thủ pháp luật bảo vệ dữ liệu cá nhân.

Thứ hai, tăng cường niềm tin của khách hàng.

Việc có một chuyên gia bảo vệ dữ liệu cá nhân thể hiện cam kết của tổ chức đối với quyền riêng tư của khách hàng, từ đó nâng cao uy tín và sự tin tưởng của khách hàng đối với tổ chức, doanh nghiệp trong quá trình hoạt động, kinh doanh.

Thứ ba, đối phó với các mối đe dọa công nghệ.

Trong môi trường số hóa, các mối đe dọa như tấn công mạng, rò rỉ dữ liệu, hoặc thu thập trái phép ngày càng phức tạp. Chuyên gia với năng lực công nghệ là nhân tố then chốt để phát hiện và ngăn chặn các nguy cơ này.

Thứ tư, hỗ trợ chuyển đổi số.

Khi Việt Nam đẩy mạnh chuyển đổi số quốc gia, chuyên gia bảo vệ dữ liệu cá nhân sẽ đóng vai trò quan trọng trong việc đảm bảo rằng các sáng kiến công nghệ, như trí tuệ nhân tạo (Điều 27) hay điện toán đám mây (Điều 28), được triển khai một cách an toàn và tuân thủ đúng các quy định pháp luật đảm bảo hoạt động kinh doanh thông suốt, bền vững của doanh nghiệp.

Thách thức và cơ hội đối với chuyên gia bảo vệ dữ liệu cá nhân

Hiện nay, Việt Nam vẫn đang trên hành trình hoàn thiện khung pháp lý về bảo vệ dữ liệu cá nhân, với cột mốc quan trọng là Nghị định 13/2023/NĐ-CP, tiếp đến là Luật Bảo vệ Dữ liệu cá nhân sẽ sớm được ban hành. Tuy nhiên, đội ngũ chuyên gia bảo vệ dữ liệu cá nhân được đào tạo bài bản, kết hợp cả năng lực công nghệ và pháp lý, gần như chưa tồn tại hoặc chỉ ở mức rất hạn chế, hoặc chưa được công nhận chính thức bởi bất kỳ cơ quan nào. Việc xây dựng một lực lượng chuyên gia bảo vệ dữ liệu cá nhân trong một thời gian ngắn, đáp ứng yêu cầu của doanh nghiệp, cơ quan quản lý đòi hỏi sự đầu tư lâu dài và đồng bộ từ phía Nhà nước lẫn doanh nghiệp. Nếu Dự thảo Luật Bảo vệ dữ liệu cá nhân được thông qua ngay trong năm nay, đặc biệt tại kỳ họp Quốc hội thứ 9 này, sự thiếu hụt nguồn nhân lực chất lượng cao trong lĩnh vực bảo vệ dữ liệu cá nhân sẽ trở thành một thách thức lớn đối với các tổ chức và doanh nghiệp tại Việt Nam.

Một trở ngại khác là chi phí tuân thủ, đặc biệt đối với các doanh nghiệp vừa và nhỏ. Việc tuyển dụng hoặc đào tạo một chuyên gia bảo vệ dữ liệu cá nhân có thể tạo ra gánh nặng tài chính đáng kể, nhất là khi thời gian miễn trừ kết thúc mà doanh nghiệp chưa kịp đáp ứng các yêu cầu pháp lý.

Dẫu vậy, có thể dễ dàng nhận thấy quy định bắt buộc mỗi doanh nghiệp phải có chuyên gia bảo vệ dữ liệu cá nhân không chỉ là một yêu cầu pháp lý mà còn mở ra cơ hội phát triển một ngành nghề mới đầy tiềm năng tại Việt Nam. Vai trò của chuyên gia này không chỉ dừng ở việc đảm bảo tuân thủ pháp luật mà còn góp phần xây dựng một hệ sinh thái số an toàn, bền vững, đồng thời hỗ trợ Việt Nam hội nhập với các chuẩn mực bảo vệ dữ liệu toàn cầu.

Tóm lại, chúng tôi nhận thấy rằng việc cơ quan soạn thảo bổ sung quy định về chuyên gia bảo vệ dữ liệu cá nhân vào Dự thảo là điều cần thiết và phù hợp với xu hướng toàn cầu về bảo vệ dữ liệu cá nhân. Tuy nhiên, việc yêu cầu mọi doanh nghiệp đều phải có chuyên gia bảo vệ dữ liệu cá nhân mà không có ngoại lệ sau thời gian miễn trừ đặt ra bài toán nan giải mà Nhà nước, với vai trò vừa bảo vệ quyền lợi người dân, vừa kiến tạo môi trường kinh doanh công bằng và thuận lợi, cần cân nhắc các giải pháp linh hoạt để hỗ trợ doanh nghiệp, đặc biệt là các doanh nghiệp nhỏ, trong việc đáp ứng các quy định hết sức mới mẻ này tại Việt Nam.

Luật sư Nguyễn Văn Phúc

Công ty Luật TNHH HM&P