Trong bối cảnh Luật Bảo vệ Dữ liệu Cá nhân 2025 đã chính thức thiết lập khung pháp lý về vị trí DPO, quá trình bổ nhiệm và vận hành chức năng này tại doanh nghiệp vẫn phát sinh nhiều vướng mắc thực tiễn. Từ quyền yêu cầu ngừng thực hiện nhiệm vụ, lựa chọn giữa DPO nội bộ và thuê ngoài, đến trách nhiệm pháp lý và cơ chế bảo đảm độc lập, các vấn đề này đòi hỏi được nhìn nhận dưới góc độ pháp lý và quản trị tuân thủ. Phần hỏi – đáp dưới đây tập trung làm rõ những điểm còn chưa thống nhất trong quá trình bổ nhiệm và duy trì vai trò DPO tại Việt Nam.
1. Liệu nhân sự đang là DPO nội bộ của công ty có quyền yêu cầu ngừng thực hiện nhiệm vụ của DPO được không?
HM&P:
Theo nhận định của chúng tôi, việc DPO nội bộ yêu cầu được ngừng thực hiện nhiệm vụ của DPO về bản chất có thể được xem là người lao động yêu cầu thay đổi công việc trong hợp đồng lao động hoặc chấm dứt hợp đồng lao động, tùy thuộc tính chất kiêm nhiệm hay chuyên trách của vị trí DPO.
Trường hợp DPO là người kiêm nhiệm các công việc khác trong công ty, việc yêu cầu ngừng thực hiện nhiệm vụ của DPO có thể đồng nghĩa với việc thay đổi nội dung công việc trong hợp đồng lao động (không tiếp tục thực hiện các công việc của vị trí DPO), khi đó, việc đồng ý thay đổi hay không phụ thuộc vào quyết định của công ty. Trường hợp đồng ý, người lao động và công ty có thể giao kết phụ lục hợp đồng lao động để điều chỉnh phạm vi công việc tương ứng.
Trường hợp DPO là nhân sự chuyên trách, việc yêu cầu ngừng thực hiện nhiệm vụ của DPO có thể xem như yêu cầu đơn phương chấm dứt hợp đồng lao động bởi người lao động. Khi đó, để tuân thủ quy định pháp luật, người lao động phải tuân thủ nghĩa vụ báo trước theo quy định của Bộ luật Lao động, tương ứng với loại hợp đồng đã giao kết. Ở góc độ thực tiễn, khi xem xét liệu yêu cầu ngừng thực hiện nhiệm vụ của DPO , công ty cần rà soát kỹ quy định về vị trí công việc, phạm vi công việc trong hợp đồng lao động để bảo đảm người lao động chỉ được ký hợp đồng để phụ trách duy nhất công việc của DPO. Ngoài ra, công ty nên yêu cầu người lao động có thông báo chấm dứt hợp đồng lao động một cách chính thức, thay vì chỉ yêu cầu ngừng thực hiện nhiệm vụ của DPO, điều này có thể giúp công ty có căn cứ rõ ràng cho các thủ tục pháp lý về sau.
Quá trình bổ nhiệm và vận hành chức năng này tại doanh nghiệp vẫn phát sinh nhiều vướng mắc thực tiễn.
2. Công ty nên bổ nhiệm DPO nội bộ hay thuê ngoài?
HM&P:
Việc lựa chọn giữa bổ nhiệm DPO nội bộ hay thuê ngoài hoàn toàn phụ thuộc vào tình hình, điều kiện của mỗi công ty. Dựa vào tính chất công việc của DPO cũng như kinh nghiệp thực tiễn, chúng tôi cung cấp bảng tiêu chí phân biệt giữa hai hình thức này cũng như bảng so sánh dưới đây cho mục đích tham khảo của các công ty:
Tiêu chí phân biệt giữa DPO nội bộ và DPO thuê ngoài
|
Tiêu chí |
DPO nội bộ[1] |
DPO thuê ngoài[2] |
|---|---|---|
|
Hình thức chỉ định |
Được chỉ định bằng quyết định bổ nhiệm/ chỉ định của công ty |
Được thuê theo hợp đồng dịch vụ |
|
Vị trí pháp lý |
Nhân sự hoặc bộ phận thuộc cơ cấu nội bộ của công ty |
Bên thứ ba độc lập (cá nhân hoặc tổ chức) |
|
Quan hệ với công ty |
Quan hệ lao động/quản lý nội bộ |
Quan hệ dân sự, thương mại theo hợp đồng |
|
Kinh nghiệm công tác trong lĩnh vực liên quan |
Tối thiểu 02 năm kinh nghiệm |
Tối thiểu 03 năm kinh nghiệm |
|
Yêu cầu đào tạo chuyên môn |
Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo DLCN |
Đã được đào tạo, bồi dưỡng chuyên sâu kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ DLCN |
|
Phạm vi nhiệm vụ |
Thực hiện đầy đủ các nhiệm vụ theo quy định pháp luật |
Thực hiện theo phạm vi thỏa thuận trong hợp đồng |
|
Cơ chế bảo mật |
Bắt buộc ký thỏa thuận trách nhiệm bảo mật với công ty |
Bảo mật được thiết lập thông qua hợp đồng dịch vụ và thỏa thuận xử lý dữ liệu |
|
Miễn trừ trách nhiệm |
Có thể thỏa thuận miễn trừ trách nhiệm khi xảy ra vi phạm/thiệt hại |
Trách nhiệm, giới hạn trách nhiệm được quy định trong hợp đồng dịch vụ |
|
Nghĩa vụ sau khi kết thúc công việc |
Không quy định cụ thể, phụ thuộc quan hệ lao động và thỏa thuận nội bộ |
Bắt buộc xóa, hủy DLCN sau khi hoàn thành hợp đồng |
|
Công khai thông tin DPO |
Không quy định cụ thể |
Bắt buộc công khai thông tin cá nhân/tổ chức cung cấp dịch vụ cho chủ thể DLCN và các bên liên quan |
Bảng so sánh giữa DPO nội bộ và DPO thuê ngoài
|
|
DPO nội bộ |
DPO thuê ngoài |
|---|---|---|
|
Ưu điểm |
|
|
|
Hạn chế |
|
|
|
Khuyến nghị nếu lựa chọn |
|
|
Dựa vào kinh nghiệm thực tiễn, chúng tôi cho rằng công ty nên sử dụng DPO nội bộ trong trường hợp hoạt động xử lý DLCN diễn ra thường xuyên, gắn chặt với vận hành hằng ngày và có mức độ phức tạp cao, đặc biệt là các công ty quy mô vừa và lớn, tập đoàn hoặc công ty trong các lĩnh vực sử dụng/ xử lý nhiều DLCN. Mô hình này phù hợp khi công ty có sẵn nguồn nhân sự đáp ứng điều kiện năng lực và có nhu cầu kiểm soát trực tiếp chức năng bảo vệ DLCN.
Ngược lại, DPO thuê ngoài phù hợp khi công ty không có đủ nguồn lực nội bộ hoặc khi hoạt động xử lý DLCN có quy mô hạn chế, mang tính thời điểm hoặc không phải là trọng tâm trong hoạt động kinh doanh. Mô hình này đặc biệt phù hợp với doanh nghiệp nhỏ và vừa, doanh nghiệp mới thành lập, hoặc doanh nghiệp cần nhanh chóng đáp ứng yêu cầu tuân thủ pháp luật mà không phải đầu tư dài hạn vào bộ máy nhân sự. Đồng thời, việc thuê ngoài còn giúp tăng tính khách quan, giảm rủi ro xung đột lợi ích và tận dụng kinh nghiệm chuyên sâu, đa ngành của các cá nhân, tổ chức cung cấp dịch vụ bảo vệ DLCN.
Ngoài ra, một phương án khác mà nhiều công ty hiện nay đang áp dụng là bổ nhiệm DPO nội bộ, nhưng sử dụng thêm dịch vụ tư vấn pháp lý, kỹ thuật từ các cá nhân, tổ chức cung cấp dịch vụ bảo vệ DLCN. Phương án này sẽ tận dụng được thế mạnh của DPO nội bộ trong khi vẫn bảo đảm có sự tư vấn cần thiết từ các đơn vị chuyên nghiệp bên ngoài.
3. Nếu không bổ nhiệm DPO, liệu công ty có phải chịu chế tài gì hay không?
HM&P:
Hiện nay, Luật BVDLCN và các văn bản quy phạm pháp luật liên quan chưa có quy định cụ thể về việc xử phạt vi phạm hành chính đối với hành vi không bổ nhiệm DPO cho công ty. Tuy nhiên, như đã biết, DPO đóng vai trò là người tư vấn, thực hiện các biện pháp bảo vệ DLCN, thủ tục hành chính về DLCN trong hoạt động của công ty. Việc không có DPO có thể dẫn đến những thiếu sót, vi phạm đối với các quy định về bảo vệ DLCN.
Điều 8 Luật BVDLCN đã quy định các mức xử phạt cũng như nguyên tắc xử phạt vi phạm hành chính trong lĩnh vực bảo vệ DLCN, có thể kể đến như:
-
Phạt tiền đối với hành vi mua, bán DLCN (trong xử phạt vi phạm hành chính) tối đa là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn 03 tỷ đồng thì áp dụng mức phạt tiền là 03 tỷ đồng.
-
Phạt tiền đối với công ty có hành vi vi phạm quy định chuyển DLCN xuyên biên giới (trong xử phạt vi phạm hành chính) tối đa là 5% doanh thu của năm trước liền kề của công ty đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn 03 tỷ đồng thì áp dụng mức phạt tiền là 03 tỷ đồng.
-
Trừ 02 trường hợp trên, các hành vi vi phạm khác trong lĩnh vực bảo vệ DLCN sẽ có thể bị xử phạt vi phạm hành chính với mức phạt tối đa là 03 tỷ đồng.
Ngoài việc xử phạt vi phạm hành chính, tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm, công ty còn có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.
THỰC THI VÀ TRÁCH NHIỆM
4. Làm thế nào để bảo đảm DPO có quyền truy cập DLCN để thực hiện công việc của mình?
HM&P:
Để bảo đảm DPO có thể thực hiện đúng và đầy đủ chức năng của mình, công ty cần tiếp cận vấn đề này như một nghĩa vụ tổ chức tuân thủ, chứ không đơn thuần là việc cho phép truy cập mang tính kỹ thuật.
Thứ nhất, công ty phải thiết lập cơ sở pháp lý nội bộ cho quyền truy cập DLCN của DPO. Quyền này cần được ghi nhận rõ ràng trong quyết định bổ nhiệm DPO, quy chế bảo vệ DLCN hoặc các quy định phân quyền nội bộ liên quan. Việc ghi nhận không chỉ nhằm trao quyền trên danh nghĩa, mà còn xác lập căn cứ pháp lý để DPO được tiếp cận DLCN, hồ sơ xử lý DLCN, báo cáo đánh giá tác động xử lý DLCN, chuyển DLCN xuyên biên giới, nhật ký hệ thống và các tài liệu liên quan khác trong phạm vi cần thiết để thực hiện nhiệm vụ của mình theo quy định pháp luật.
Thứ hai, quyền truy cập của DPO cần được hiện thực hóa bằng cơ chế phân quyền cụ thể trên hệ thống kỹ thuật. Công ty nên cấp cho DPO tài khoản truy cập độc lập, xác định rõ phạm vi quyền hạn (ưu tiên quyền đọc, quyền xem báo cáo hoặc truy cập có điều kiện), đồng thời bảo đảm mọi hoạt động truy cập đều được ghi nhận và lưu vết. Cách thức này vừa bảo đảm DPO có khả năng tiếp cận thông tin cần thiết, vừa giúp công ty kiểm soát rủi ro và chứng minh tính hợp pháp của việc truy cập DLCN khi có yêu cầu từ cơ quan có thẩm quyền.
Thứ ba, công ty nên thiết lập quy trình phối hợp nội bộ để DPO có thể yêu cầu và nhận thông tin từ các bộ phận liên quan. Trên thực tế, không phải mọi DLCN đều được truy cập trực tiếp qua hệ thống, do đó cần quy định rõ trách nhiệm của các phòng ban trong việc cung cấp thông tin, tài liệu, báo cáo cho DPO khi phục vụ công tác kiểm tra, đánh giá và xử lý sự cố về bảo vệ DLCN. Quy trình này giúp tránh tình trạng quyền hạn của DPO bị cản trở hoặc phụ thuộc vào ý chí của các bộ phận khác. Đặc biệt, cần bảo đảm quyền tiếp cận DLCN của DPO không bị phụ thuộc vào cấp quản lý trực tiếp hoặc bộ phận đang bị giám sát. Về mặt quản trị, DPO nên có quyền báo cáo trực tiếp cho người đại diện theo pháp luật, Hội đồng quản trị hoặc Ban điều hành, đồng thời được tiếp cận dữ liệu mà không cần sự chấp thuận từ các bộ phận nghiệp vụ liên quan. Điều này giúp duy trì tính độc lập tương đối của DPO, phù hợp với tinh thần giám sát tuân thủ của pháp luật về bảo vệ DLCN.
Thứ tư, công ty cần định kỳ rà soát và cập nhật quyền truy cập của DPO. Khi phạm vi hoạt động, hệ thống công nghệ thông tin hoặc mô hình xử lý DLCN thay đổi, quyền truy cập của DPO cũng cần được điều chỉnh tương ứng. Việc rà soát định kỳ này giúp bảo đảm DPO luôn có đủ công cụ để thực hiện nhiệm vụ, đồng thời tránh tình trạng quyền truy cập hình thức, lỗi thời hoặc không còn phù hợp với thực tế vận hành.
Tóm lại, việc bảo đảm quyền truy cập DLCN cho DPO không chỉ là vấn đề kỹ thuật, mà là một phần cấu thành của hệ thống tuân thủ bảo vệ DLCN của công ty. Công ty cần thiết kế cơ chế trao quyền rõ ràng, có kiểm soát và có thể chứng minh, qua đó vừa tạo điều kiện cho DPO thực hiện chức năng giám sát, vừa hạn chế rủi ro pháp lý cho chính công ty.
Công ty cần thiết kế cơ chế trao quyền rõ ràng, có kiểm soát và có thể chứng minh.
5. DPO có phải công khai các thông tin cá nhân của mình để thực hiện công việc hay không?
HM&P:
Dưới góc độ Luật BVDLCN và Nghị định số 356, vấn đề DPO có phải công khai các thông tin cá nhân của mình hay không cần được nhìn nhận trên cơ sở nguyên tắc bảo vệ DLCN áp dụng đối với mọi chủ thể DLCN, bao gồm cả chính DPO.
Pháp luật hiện hành không đặt ra nghĩa vụ công khai rộng rãi thông tin cá nhân của DPO. Luật BVDLCN quy định việc chỉ định DPO nhằm bảo đảm có đầu mối chịu trách nhiệm về tuân thủ, tiếp nhận và xử lý các yêu cầu liên quan đến DLCN. Tuy nhiên, quy định này không đồng nghĩa với việc buộc DPO phải công khai toàn bộ thông tin cá nhân của mình cho công chúng hoặc cho chủ thể DLCN. DPO, về bản chất, vẫn là một chủ thể DLCN và được hưởng đầy đủ các quyền về bảo vệ DLCN theo pháp luật.
Ngoài ra, pháp luật hiện hành cũng không quy định cụ thể những thông tin của DPO mà công ty phải công bố cho chủ thể DLCN hoặc cơ quan có thẩm quyền. Khi xét đến các biểu mẫu hồ sơ đánh giá tác động/ thông báo vi phạm quy định về bảo vệ DLCN, có thể thấy thông tin DPO cần được cung cấp chỉ bao gồm họ tên, chức danh, số điện thoại và email mà không bao gồm bất kỳ thông tin cá nhân nào thêm.
Tóm lại, theo Luật BVDLCN và Nghị định 356, DPO không có nghĩa vụ phải công khai các thông tin cá nhân của mình một cách rộng rãi. Việc công bố thông tin chỉ dừng lại ở mức độ cần thiết để phục vụ chức năng liên hệ và thực hiện nghĩa vụ pháp lý, bao gồm họ tên, chức danh, số điện thoại và email.
Về mặt thực tiễn, dựa trên kinh nghiệm hành nghề, chúng tôi cho rằng công ty có thể sử dụng các thông tin mang tính trung lập, không liên quan đến cá nhân của DPO, như số điện thoại, email mà công ty đăng ký riêng cho vị trí DPO, địa chỉ tiếp nhận thư từ là địa chỉ của công ty. Điều này một mặt giúp DPO không phải cung cấp các thông tin cá nhân của mình, một mặt giúp công ty duy trì được kênh liên lạc nhất quán, ổn định dù có thay đổi DPO trong tương lai.
6. DPO nội bộ phải xử lý như thế nào nếu có bộ phận/ nhân sự trong công ty không hợp tác trong vấn đề bảo vệ DLCN?
HM&P:
Dù không phải là một quy định lạ lẫm trong hệ thống pháp luật châu Âu và các nước tiên tiến khác, quy định về bảo vệ DLCN nói chung và vị trí DPO nói riêng về cơ bản vẫn là một quy định khá mới mẻ tại Việt Nam. Do vậy, việc các phòng ban, nhân sự khác trong công ty chưa ý thức được vai trò, quyền hạn của DPO cũng là điều dễ hiểu và thường xuyên xảy ra tại nhiều công ty. Điều này dẫn đến tình huống DPO không thể thực hiện quyền hạn/ nhiệm vụ của mình do bị cản trở/ không hợp tác từ các phòng ban/ nhân sự khác. Việc này nếu không được giải quyết kịp thời không chỉ ảnh hưởng đến chất lượng công việc của DPO mà còn tiềm ẩn rủi ro về vi phạm pháp luật trong hoạt động bảo vệ DLCN của công ty.
Pháp luật hiện hành chưa có các cơ chế phù hợp để giải quyết tình trạng này, do đó, tham khảo từ các hệ thống pháp luật nổi bật về bảo vệ DLCN cũng như kinh nghiệm hành nghề thực tiễn, chúng tôi cung cấp một số phương án xử lý mà DPO có thể tham khảo như sau:
Bước 1: Rà soát quy định về quyền hạn của DPO và trách nhiệm của các phòng ban/ nhân sự liên quan
Đây là bước quan trọng vì DPO cần xác định rõ căn cứ để mình thực hiện quyền của DPO, phạm vi quyền hạn của mình cũng như trách nhiệm tương ứng của các phòng ban/ nhân sự liên quan trong công ty. Các quy định này thường nằm trong quyết định bổ nhiệm DPO, quy chế về bảo vệ DLCN của công ty, tài liệu nội bộ khác của công ty.
Bước 2: Trao đổi nội bộ với các phòng ban/ nhân sự liên quan
Trên cơ sở các quy định đã kiểm tra, DPO nên có những trao đổi nội bộ trước, trên tinh thần phối hợp thực hiện quyền hạn, trách nhiệm của các vị trí công việc khác nhau trong công ty.
Bước 3: Ghi nhận việc không hợp tác của các phòng ban/ nhân sự liên quan và đề xuất xử lý
Việc lưu trữ email, biên bản, báo cáo và các kiến nghị đã gửi đi là cần thiết để phục vụ công tác quản trị và thể hiện DPO đã thực hiện đầy đủ trách nhiệm của mình. Trường hợp việc không hợp tác có nguy cơ dẫn đến vi phạm hoặc rủi ro đáng kể đối với DLCN, DPO có thể kiến nghị công ty áp dụng các biện pháp phòng ngừa phù hợp, như rà soát quy trình, tạm thời hạn chế hoạt động xử lý rủi ro cao hoặc áp dụng biện pháp quản lý nội bộ theo quy định hiện hành.
Về dài hạn, kinh nghiệm quốc tế cho thấy việc nâng cao hiệu quả tuân thủ cần dựa trên việc xây dựng cơ chế và văn hóa bảo vệ dữ liệu trong toàn doanh nghiệp thay vì chỉ dựa vào vai trò của DPO. Tại châu Âu, nhiều công ty gắn trách nhiệm tuân thủ DLCN với KPI của quản lý bộ phận, triển khai đào tạo bắt buộc về bảo vệ DLCN và đưa nội dung tuân thủ vào toàn bộ quy trình hoạt động của công ty. Trong mô hình này, DPO không phải đi thuyết phục từng bộ phận, mà đóng vai trò điều phối và giám sát trong một hệ thống đã được thiết kế để tuân thủ.
7. DPO nội bộ có bị ràng buộc nghĩa vụ nào với công ty không?
HM&P:
Trước hết, cần khẳng định rằng pháp luật Việt Nam không coi DPO là chủ thể chịu trách nhiệm pháp lý chính về vi phạm bảo vệ DLCN. Theo Luật BVDLCN, trách nhiệm pháp lý thuộc về bên kiểm soát dữ liệu và/hoặc bên xử lý dữ liệu, tức là chính công ty. Tuy nhiên, điều này không đồng nghĩa với việc DPO không có bất kỳ nghĩa vụ nào ràng buộc với công ty. Ngược lại, DPO bị ràng buộc bởi nghĩa vụ thực hiện đúng, đầy đủ và trung thực các chức năng được giao theo quy định pháp luật và theo thỏa thuận với công ty.
Thứ nhất, DPO nội bộ có nghĩa vụ thực hiện chức năng theo đúng phạm vi mà Luật BVDLCN và Nghị định 356 đặt ra.
Thứ hai, DPO bị ràng buộc bởi nghĩa vụ tuân thủ quy định nội bộ hợp pháp của công ty về bảo vệ DLCN giống như các nhân sự khác.
Thứ ba, DPO có nghĩa vụ bảo mật thông tin và DLCN mà mình tiếp cận trong quá trình thực hiện nhiệm vụ.
Thứ tư, DPO có nghĩa vụ trung thực, khách quan và không gây xung đột lợi ích trong quá trình thực hiện nhiệm vụ.
Thứ năm, DPO có nghĩa vụ báo cáo và cảnh báo rủi ro kịp thời cho công ty. Theo tinh thần của Luật Bảo vệ DLCN 2025 và Nghị định 356/2025, DPO không chịu trách nhiệm thay cho công ty nếu xảy ra vi phạm, nhưng nếu DPO nhận biết rủi ro rõ ràng mà không báo cáo, không cảnh báo hoặc cố tình im lặng, thì hành vi này có thể bị xem là vi phạm nghĩa vụ nghề nghiệp và nghĩa vụ theo hợp đồng.
Cuối cùng, cần nhấn mạnh rằng các nghĩa vụ ràng buộc của DPO với công ty chủ yếu phát sinh từ quan hệ lao động hoặc hợp đồng dịch vụ, được đặt trong khung pháp lý của Luật Bảo vệ DLCN 2025. Pháp luật Việt Nam hiện nay không thiết kế DPO như một chủ thể chịu trách nhiệm độc lập trước Nhà nước, mà là một cấu phần của hệ thống tuân thủ nội bộ. Vì vậy, trách nhiệm của DPO mang tính chức năng và nghĩa vụ nghề nghiệp, không phải trách nhiệm pháp lý thay thế cho công ty.
Tóm lại, theo pháp luật Việt Nam hiện hành, DPO có bị ràng buộc nghĩa vụ với công ty, nhưng đó là các nghĩa vụ về thực hiện chức năng được giao, tuân thủ quy định nội bộ hợp pháp, bảo mật thông tin, trung thực và cảnh báo rủi ro kịp thời. Việc hiểu đúng phạm vi ràng buộc này giúp công ty thiết kế vai trò DPO phù hợp, đồng thời giúp DPO tự bảo vệ mình trước nguy cơ bị đẩy sang vị trí chịu trách nhiệm pháp lý thay cho tổ chức.
8. Liệu DPO nội bộ có thể bị miễn nhiệm, sa thải hoặc chấm dứt hợp đồng lao động nếu để xảy ra sự cố về DLCN?
HM&P:
Theo Luật BVDLCN và Nghị định 356, trách nhiệm của DPO khi xảy ra sự cố DLCN cần được nhìn nhận trên hai bình diện khác nhau, bao gồm trách nhiệm của DPO trong vai trò chức năng khi sự cố xảy ra và trách nhiệm pháp lý cá nhân của DPO nếu có hành vi vi phạm độc lập. Do đó, khi xảy ra sự cố về bảo vệ DLCN, công ty cần phải đánh giá toàn diện và kỹ lưỡng về nguyên nhân dẫn đến sự cố.
Trong trường hợp DPO đã được cung cấp đầy đủ thông tin, được trao quyền tiếp cận cần thiết, đã thực hiện đúng chức năng tư vấn, cảnh báo, giám sát và đã kịp thời đưa ra khuyến nghị phù hợp với quy định pháp luật, thì việc công ty không tuân thủ hoặc triển khai không đầy đủ các khuyến nghị đó là quyết định quản trị của công ty. Trong tình huống này, việc miễn nhiệm hoặc sa thải DPO chỉ vì sự cố xảy ra sẽ tiềm ẩn rủi ro pháp lý nghiêm trọng cho công ty về mặt lao động, bởi nó có thể bị xem là xử lý kỷ luật trái căn cứ, xâm phạm đến quyền và lợi ích hợp pháp của người lao động.
Ngược lại, nếu có căn cứ cho thấy DPO không thực hiện hoặc thực hiện không đầy đủ nghĩa vụ của mình, chẳng hạn như không tham gia giám sát hoạt động xử lý DLCN dù đã được phân công; không cảnh báo rủi ro rõ ràng và có thể lường trước; không tư vấn hoặc tư vấn sai lệch một cách thiếu thiện chí; hoặc không tham gia xử lý sự cố theo quy trình nội bộ đã được ban hành hợp pháp, thì khi đó trách nhiệm của DPO sẽ được xem xét trong khuôn khổ pháp luật lao động. Trong trường hợp này, việc miễn nhiệm, xử lý kỷ luật hoặc chấm dứt hợp đồng lao động có thể được coi là hợp pháp, với điều kiện công ty tuân thủ đầy đủ trình tự, thủ tục và căn cứ theo quy định của Bộ luật Lao động 2019 và các văn bản hướng dẫn liên quan.
DPO buộc phải nhận diện, hiểu và biết cách vận dụng các tiêu chuẩn, quy chuẩn kỹ thuật hiện hành của Việt Nam như một chuẩn mực đánh giá mức độ tuân thủ.
9. Về mặt kỹ thuật, có tiêu chuẩn, quy chuẩn nào mà DPO cần lưu ý hay không?
HM&P:
Xét dưới góc độ kỹ thuật, pháp luật Việt Nam hiện nay chưa ban hành một bộ tiêu chuẩn kỹ thuật riêng biệt chỉ dành cho DPO, nhưng điều đó không có nghĩa DPO được đứng ngoài hệ thống tiêu chuẩn, quy chuẩn kỹ thuật về an toàn thông tin và an ninh mạng. Ngược lại, trong bối cảnh Luật BVDLCN đặt nặng yêu cầu biện pháp bảo vệ phù hợp, DPO buộc phải nhận diện, hiểu và biết cách vận dụng các tiêu chuẩn, quy chuẩn kỹ thuật hiện hành của Việt Nam như một chuẩn mực đánh giá mức độ tuân thủ.
Dựa trên kinh nghiệm thực tiễn, chúng tôi cho rằng DPO có thể cần phải lưu ý đến các bộ quy chuẩn, tiêu chuẩn chung về an toàn thông tin hiện có, như Tiêu chuẩn quốc gia TCVN ISO/IEC 27001:2019 về công nghệ thông tin - các kỹ thuật an toàn - hệ thống quản lý an toàn thông tin - các yêu cầu do Bộ Khoa học và Công nghệ công bố; Tiêu chuẩn quốc gia TCVN ISO/IEC 27002:2020 về công nghệ thông tin - các kỹ thuật an toàn - quy tắc thực hành quản lý an toàn thông tin do Bộ Khoa học và Công nghệ công bố; Tiêu chuẩn quốc gia TCVN 14423:2025 về an ninh mạng - yêu cầu đối với hệ thống thông tin quan trọng do Bộ Khoa học và Công nghệ công bố.
|
Lưu ý: Ấn phẩm này chỉ nhằm cung cấp thông tin chung và không thay thế cho ý kiến tư vấn pháp lý trong từng trường hợp cụ thể. Do vậy, Quý độc giả nên tham khảo ý kiến luật sư hoặc chuyên gia pháp lý trước khi áp dụng. Mọi thắc mắc liên quan đến nội dung hoặc quyền sở hữu trí tuệ xin gửi về địa chỉ email: counsel@hmplaw.vn Công ty Luật TNHH HM&P là một công ty luật chuyên nghiệp, có kinh nghiệm tư vấn pháp lý đa lĩnh vực, ngành, nghề, trong đó có bảo vệ dữ liệu cá nhân. Để tìm hiểu thêm về dịch vụ pháp lý mà chúng tôi cung cấp tại lĩnh vực này, vui lòng liên hệ qua email: phuc.nguyen@hmplaw.vn |
Vui lòng xem thêm và tải nội dung đầy đủ của ấn phẩm (file PDF) tại đây
