LỜI TỰA
DPO là viết tắt của cụm từ “Data Protection Officer” trong tiếng Anh, tạm dịch là “cán bộ bảo vệ dữ liệu cá nhân”. Theo kinh nghiệm pháp luật và thông lệ quốc tế về bảo vệ dữ liệu cá nhân (“DLCN”), DPO thường được ví như một “nhạc trưởng”, giữ vai trò trung tâm trong công tác quản lý và bảo vệ dữ liệu cá nhân của tổ chức đã chỉ định hoặc bổ nhiệm họ.
Pháp luật Việt Nam hiện hành, cụ thể là Luật Bảo vệ Dữ liệu cá nhân 2025 (“Luật BVDLCN”) và Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật BVDLCN (“Nghị định 356”) không đề cập đến khái niệm trên, thay vào đó là các khái niệm khác gồm: Nhân sự bảo vệ DLCN, bộ phận bảo vệ DLCN trong cơ quan, tổ chức; và tổ chức, cá nhân cung cấp dịch vụ bảo vệ DLCN (thuê ngoài). Trong phạm vi tài liệu này, thuật ngữ DPO sẽ được chúng tôi sử dụng để chỉ đến những cá nhân được cơ quan, tổ chức (sau đây gọi chung là “công ty”) bổ nhiệm làm DPO nội bộ hoặc được thuê để cung cấp dịch vụ bảo vệ DLCN cho công ty, tùy từng bối cảnh cụ thể.
Mặc dù pháp luật về bảo vệ DLCN hiện hành đã có những quy định bước đầu liên quan đến điều kiện, nhiệm vụ của DPO, song trên thực tế, việc áp dụng các quy định này vẫn còn tương đối mới tại Việt Nam. Việc hiểu đúng bản chất, vai trò của DPO có ý nghĩa quan trọng trong việc bổ nhiệm DPO, qua đó bảo đảm tuân thủ pháp luật về bảo vệ DLCN.
Trên cơ sở yêu cầu thực tiễn trong việc triển khai chức năng DPO, HM&P biên soạn ấn phẩm “Hỏi đáp các vấn đề pháp lý liên quan đến DPO” nhằm cung cấp tài liệu tham khảo cho doanh nghiệp và các cá nhân đảm nhiệm vị trí DPO. Nội dung được trình bày dưới hình thức hỏi – đáp, kết hợp phân tích quy định pháp luật và kinh nghiệm thực tiễn, có minh họa bằng bảng biểu, sơ đồ và kèm theo phụ lục gồm các công cụ hỗ trợ như danh sách câu hỏi khi lựa chọn DPO và mẫu quyết định bổ nhiệm DPO.
Thông qua ấn phẩm này, HM&P mong muốn cung cấp cho doanh nghiệp một tài liệu tham khảo thực tiễn, giúp nhận diện đúng vai trò của DPO và triển khai các yêu cầu về bảo vệ DLCN phù hợp với điều kiện hoạt động của mình.
Mọi thắc mắc về nội dung của tài liệu này, vui lòng liên hệ HM&P theo thông tin dưới đây:
Luật sư điều hành:
Luật sư Nguyễn Văn Phúc
Số điện thoại: 0932 768 630
Email: phuc.nguyen@hmplaw.vn
Công ty Luật TNHH HM&P
Địa chỉ: Tầng 7, Tòa nhà ITAXA, 126 Nguyễn Thị Minh Khai, Phường Xuân Hòa, TP. HCM
Số điện thoại: +84 28 73080839
Email: counsel@hmplaw.vn
Website: hmplaw.vn
MỤC LỤC
VỀ DPO
1. Nhiệm vụ của DPO là gì?
HM&P:
Theo quy định tại Điều 14.2 Nghị định 356, DPO của công ty phải thực hiện các nhiệm vụ, chức năng sau:
Nhìn chung, chức năng của DPO theo quy định của pháp luật Việt Nam cũng tương tự so với quy định về bảo vệ DLCN của các quốc gia, khu vực trên thế giới, đơn cử như Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu năm 2018 (“GDPR”).
2. DPO có phải tự mình thực hiện tất cả công việc về bảo vệ DLCN không?
HM&P:
Về mặt quy định, DPO có nhiệm vụ phải tham gia triển khai thực hiện các quyền của chủ thể DLCN, tiếp nhận, báo cáo vi phạm về bảo vệ DLCN và thực hiện các yêu cầu khác của cơ quan có thẩm quyền theo quy định[1]. Có thể thấy, DPO đóng vai trò như một đầu mối của công ty để xử lý các vấn đề về bảo vệ DLCN. Dù vậy, DPO không thể và cũng không bị buộc phải tự mình thực hiện tất cả công việc/ giải quyết tất cả các yêu cầu về bảo vệ DLCN. Trên thực tế, khi tiếp nhận yêu cầu của chủ thể DLCN hoặc cơ quan có thẩm quyền, DPO cần phối hợp với các phòng ban/ cá nhân liên quan trong công ty để xử lý yêu cầu.
Ví dụ: Khi tiếp nhận yêu cầu “rút lại sự đồng ý cho phép sử dụng DLCN” và “xóa DLCN” của khách hàng tham gia chương trình khảo sát, DPO phải thông báo cho các phòng ban đang lưu trữ thông tin của khách hàng (phòng kinh doanh/ phòng công nghệ thông tin/ phòng truyền thông,…) để ngừng việc xử lý DLCN (khảo sát), đồng thời xóa bỏ DLCN của khách hàng khỏi hệ thống lưu trữ của công ty.
Ngoài ra, hiện tại, Điều 33.1.d Luật BVDLCN quy định lực lượng bảo vệ DLCN còn bao gồm tổ chức, cá nhân được huy động tham gia bảo vệ DLCN. Do đó, có thể nói, công việc của DPO sẽ có liên quan đến nhiều tổ chức, cá nhân khác nhau và khi cần thiết, các tổ chức, cá nhân này cũng sẽ tham gia vào quy trình bảo vệ DLCN.
BỔ NHIỆM DPO
3. Có bắt buộc mọi công ty đều phải bổ nhiệm DPO không?
HM&P:
Điều 33.2 Luật BVDLCN quy định: “Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân”. Tuy vậy, Luật BVDLCN cũng có loại trừ một số trường hợp công ty không phải bổ nhiệm DPO, gồm:
3.1. Làm thế nào để xác định doanh nghiệp nhỏ, doanh nghiệp siêu nhỏ, doanh nghiệp khởi nghiệp?
Để xác định công ty có thuộc trường hợp doanh nghiệp nhỏ, doanh nghiệp siêu nhỏ hay không, cần căn cứ vào các tiêu chí xác định được quy định tại Luật Hỗ trợ doanh nghiệp nhỏ và vừa 2017 và Nghị định 80/2021/NĐ-CP.
Đối với doanh nghiệp khởi nghiệp, hiện nay chưa có quy định cụ thể đối với loại doanh nghiệp này, ngoại trừ khái niệm doanh nghiệp khởi nghiệp sáng tạo. Theo đó, doanh nghiệp khởi nghiệp sáng tạo là doanh nghiệp được thành lập theo quy định của pháp luật để thực hiện ý tưởng trên cơ sở khai thác tài sản trí tuệ, công nghệ, mô hình kinh doanh mới và có khả năng tăng trưởng nhanh[2].
3.2. Làm thế nào để xác định công ty kinh doanh dịch vụ xử lý DLCN hoặc trực tiếp xử lý DLCN nhạy cảm?
Pháp luật hiện hành không đưa ra định nghĩa khái quát về “dịch vụ xử lý dữ liệu cá nhân” mà chỉ liệt kê một số loại hình dịch vụ cụ thể, đồng thời thiết lập một chế độ pháp lý riêng đối với tổ chức kinh doanh dịch vụ xử lý DLCN, bao gồm các điều kiện về nhân sự, hạ tầng và yêu cầu phải có Giấy chứng nhận đủ điều kiện kinh doanh. Trong bối cảnh đó, việc xác định một công ty có thuộc trường hợp kinh doanh dịch vụ xử lý DLCN hay không cần được đánh giá một cách thận trọng, dựa chủ yếu vào bản chất hoạt động thực tế, cụ thể là việc công ty có thực hiện hoạt động xử lý DLCN cho khách hàng nhằm mục đích sinh lợi hay không, nhằm bảo đảm an toàn pháp lý và hạn chế rủi ro tuân thủ.
Đối với trường hợp trực tiếp xử lý dữ liệu cá nhân nhạy cảm, pháp luật hiện hành chưa có hướng dẫn cụ thể, trong khi phạm vi dữ liệu cá nhân nhạy cảm được quy định rất rộng, bao trùm nhiều loại dữ liệu phổ biến và cần thiết trong các giao dịch dân sự như thông tin sức khỏe, hình ảnh giấy tờ tùy thân hoặc dữ liệu giao dịch ngân hàng. Do đó, trên thực tế, phạm vi áp dụng cơ chế miễn trừ bị thu hẹp đáng kể, và ngay cả doanh nghiệp nhỏ hoặc siêu nhỏ, nếu trực tiếp xử lý các loại dữ liệu này, cũng khó có cơ sở để được miễn nghĩa vụ bổ nhiệm DPO.
Tóm lại, nghĩa vụ bổ nhiệm DPO hiện nay vẫn quy định trường hợp ngoại lệ, nhưng việc xác định công ty thuộc trường hợp ngoại lệ là không đơn giản bởi phần lớn các công ty hiện nay đều đang trực tiếp xử lý DLCN nhạy cảm.
4. Công ty có thể bổ nhiệm ai trở thành DPO nội bộ?
HM&P:
Để có thể trở thành DPO nội bộ của công ty, nhân sự được bổ nhiệm phải đáp ứng các điều kiện sau[3]:
Đối với các điều kiện về trình độ học vấn và thâm niên công tác trong các lĩnh vực liên quan, có thể thấy không khó để công ty có thể tìm kiếm nhân sự phù hợp để bổ nhiệm vào vị trí DPO. Đối với điều kiện về đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ DLCN, hiện nay chưa có quy định nào đặt ra các tiêu chí, nội dung cụ thể về kiến thức, kỹ năng mà nhân sự cần được đào tạo để trở thành DPO. Do đó, công ty có thể tự chủ động quyết định về những tiêu chí dành cho DPO nội bộ của mình hoặc các khóa đào tạo mà công ty cử nhân sự tham gia để đủ điều kiện trở thành DPO nội bộ.
Dựa vào yêu cầu về chuyên môn nghề nghiệp, có thể thấy có nhiều vị trí trong công ty có thể được bổ nhiệm vào vị trí DPO nội bộ, đơn cử như nhân sự phòng pháp chế, hành chính nhân sự, công nghệ thông tin,… bao gồm các vị trí nhân viên hoặc nhân sự quản lý.
Trên thực tế, vị trí DPO nội bộ thường do nhân sự của phòng pháp chế hoặc tuân thủ đảm nhận, do tính chất công việc liên quan đến tư vấn, giám sát việc tuân thủ pháp luật của công ty, trong đó có bảo vệ DLCN. Tuy nhiên, chúng tôi lưu ý rằng, do phạm vi chuyên môn pháp lý không bao hàm các giải pháp kỹ thuật cụ thể, DPO trong trường hợp này vẫn cần sự phối hợp, hỗ trợ của bộ phận kỹ thuật như bộ phận/chuyên gia về công nghệ thông tin để triển khai, đảm bảo thực thi các biện pháp bảo vệ dữ liệu về mặt kỹ thuật cho phù hợp quy định pháp luật.
5. Liệu phải có chứng chỉ nào để có thể trở thành DPO nội bộ không?
HM&P:
Pháp luật hiện hành chưa có quy định về chứng chỉ cụ thể mà một cá nhân phải có để đủ điều kiện được bổ nhiệm vào vị trí DPO nội bộ, mà chỉ quy định chung về việc cá nhân này phải được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ DLCN. Như vậy, việc đáp ứng điều kiện này sẽ do tự cá nhân đó hoặc công ty chứng minh.
Hiện nay, có nhiều khóa đào tạo, bồi dưỡng kiến thức pháp luật, kỹ năng chuyên môn về bảo vệ DLCN đã được các tổ chức, cá nhân triển khai để phục vụ nhu cầu của DPO. Việc tham gia các khóa đào tạo này vừa giúp trau dồi các kiến thức, kỹ năng cần thiết cho DPO, đồng thời cũng là một “điểm cộng” để chứng minh việc đáp ứng điều kiện mà pháp luật quy định.
6. Làm thế nào để công ty có thể bổ nhiệm một nhân sự trở thành DPO nội bộ?
HM&P:
Bổ nhiệm DPO là một thủ tục quan trọng, bởi việc này sẽ xác lập vị trí DPO cho công ty, qua đó, thông tin của DPO sẽ được ghi nhận trong quá trình xử lý DLCN. Pháp luật hiện hành không quy định một quy trình cụ thể cho việc bổ nhiệm DPO nội bộ của công ty, do đó, dựa vào kinh nghiệm thực tế, chúng tôi cung cấp quy trình bổ nhiệm DPO nội bộ dưới đây cho mục đích tham khảo:
Bước 1: Lựa chọn DPO phù hợp
Để có thể lựa chọn một cá nhân phù hợp để bổ nhiêm vào vị trí DPO nội bộ, công ty cần sàng lọc việc đáp ứng các điều kiện mà pháp luật quy định cho vị trí DPO. Riêng đối với yêu cầu về đào tạo, bồi dưỡng, như chúng tôi đã đề cập, công ty có thể sắp xếp để nhân sự của mình tham gia các khóa đào tạo, bồi dưỡng nhằm đáp ứng điều kiện này.
Tuy vậy, việc xem xét các điều kiện trên trên chỉ mới ở bước sàng lọc. Để lựa chọn một DPO phù hợp, công ty cần phải xem xét thêm các yếu tố sau:
Sự quan tâm của nhân sự đối với vị trí DPO:
Việc bổ nhiệm nhân sự trở thành DPO của công ty được thực hiện trên nguyên tắc có sự thỏa thuận giữa công ty và nhân sự đó, do đó, công ty phải bảo đảm nhân sự mà công ty dự kiến lựa chọn cũng quan tâm đến việc trở thành DPO của công ty.
Điều kiện thực hiện công việc của DPO:
Với nhiệm vụ và nghĩa vụ của mình, vị trí DPO đòi hỏi khả năng tiếp cận, truy cập DLCN ở mức sâu, rộng, bao gồm cả các DLCN nhạy cảm. Không những vậy, vị trí này đòi hỏi khả năng làm việc liên phòng, ban để phối hợp xử lý hiệu quả các vấn đề về bảo vệ DLCN. Do đó, nhân sự mà công ty dự kiến lựa chọn phải là cá nhân có đủ các điều kiện trên.
Sự am hiểu về công ty:
Ngoài các điều kiện luật định, sự am hiểu về công ty đóng vai trò cực kỳ quan trọng đối với vị trí DPO. Nhân sự được chọn phải là người hiểu rõ về toàn bộ quá trình thu thập, xử lý DLCN của công ty và quan hệ giữa các phòng, ban trong việc xử lý DLCN.
Các tiêu chí khác tùy từng công ty:
Ngoài các tiêu chí trên, mỗi công ty có thể có các tiêu chí khác cho việc lựa chọn DPO, đơn cử như việc xem xét lựa chọn những nhân sự có thâm niên làm việc lâu năm tại công ty hoặc làm việc theo hợp đồng lao động không xác định thời hạn,… để bảo đảm sự ổn định của vị trí DPO.
Để các công ty có thể lựa chọn được một nhân sự phù hợp cho vị trí DPO, chúng tôi đính kèm Danh sách các câu hỏi cần trả lời khi lựa chọn DPO (Phụ lục 1) cho mục đích tham khảo.
Bước 2: Chính thức bổ nhiệm DPO
Sau khi lựa chọn được nhân sự phù hợp, việc tiếp theo công ty cần làm là phải có quyết định bổ nhiệm hoặc chỉ định DPO bằng văn bản. Quyết định này cần thể hiện việc phân công, chức năng nhiệm vụ, quyền hạn và các yêu cầu khác đối với công tác bảo vệ DLCN trong công ty. Tại bước này, sẽ có khá nhiều công việc mà công ty phải thực hiện. Bao gồm việc xác định cá nhân hoặc cơ quan có thẩm quyền bổ nhiệm DPO; soạn thảo các tài liệu cho việc bổ nhiệm như bản điều chỉnh hợp đồng lao động (điều chỉnh phạm vi công việc), quyết định bổ nhiệm, thỏa thuận trách nhiệm bảo mật, thỏa thuận miễn trừ trách nhiệm, các quy định, quy chế khác về quyền hạn, hoạt động của DPO; lưu trữ quyết định bổ nhiệm DPO và các tài liệu liên quan.
Bước 3: Thông báo về việc bổ nhiệm DPO
Dù không phải là nghĩa vụ luật định, việc thông báo về việc bổ nhiệm DPO có ý nghĩa cực kỳ quan trọng trong thực tiễn, bởi:
- Thông báo chính thức về đầu mối xử lý các vấn đề bảo vệ DLCN của công ty: Việc thông báo bổ nhiệm DPO cùng với công khai các thông tin liên hệ của DPO là điều kiện cần để chủ thể DLCN, bên thứ ba có liên quan có thể nắm bắt được thông tin về đầu mối tiếp nhận, xử lý các vấn đề về bảo vệ DLCN của công ty.
- Cách thức gián tiếp để trao quyền cho DPO: Mặc dù về mặt pháp lý, một quyết định bổ nhiệm đã đủ hiệu lực để trao quyền cho DPO. Tuy vậy, nếu nó không được công khai trong nội bộ công ty, việc thực hiện quyền của DPO có thể gặp nhiều khó khăn. Như đã nêu, DPO là vị trí đòi hỏi sự phối hợp mật thiết với các cá nhân/ phòng ban khác trong công ty, do đó, một thông báo trong nội bộ, kèm theo các tài liệu về nhiệm vụ, chức năng của DPO sẽ có ý nghĩa lan truyền thông điệp về quyền hạn của DPO khi làm việc trong nội bộ công ty về vấn đề bảo vệ DLCN.
Bước 4: Thông báo cho cơ quan có thẩm quyền
Hiện tại, pháp luật Việt Nam không quy định việc công ty phải thông báo cho cơ quan có thẩm quyền khi bổ nhiệm DPO. Tuy nhiên, thông tin của DPO sẽ được đề cập trong các hồ sơ hành chính khác mà công ty phải nộp cho cơ quan có thẩm quyền, gồm hồ sơ đánh giá tác động xử lý DLCN, hồ sơ đánh giá tác động chuyển DLCN xuyên biên giới và thông báo vi phạm quy định về bảo vệ DLCN. Do đó, nếu sau khi bổ nhiệm DPO và công ty chưa thực hiện các thủ tục hành chính trên, thông tin của DPO cũng sẽ được bao gồm trong các thông báo gửi đến cơ quan có thẩm quyền.
7. Công ty có thể bổ nhiệm nhiều nhân sự làm DPO nội bộ và mỗi người giữ một nhiệm vụ khác nhau được không?
HM&P:
Vị trí DPO đòi hỏi những kiến thức và kỹ năng khá đặc thù mà trong ngắn hạn, một cá nhân khó có thể đáp ứng được. Do đó, để tận dụng nguồn lực sẵn có, một số công ty lựa chọn việc bổ nhiệm nhiều nhân sự cho vị trí DPO (tất nhiên mỗi nhân sự đều đáp ứng các điều kiện tối thiểu theo quy định của pháp luật). Khi đó, mỗi DPO sẽ đảm nhiệm những hạng mục công việc khác nhau thuộc nhiệm vụ của DPO. Về mặt pháp lý, điều này không bị hạn chế hay cấm bởi luật. Không những vậy, đây cũng là nền tảng của việc thành lập bộ phận bảo vệ DLCN của công ty, bao gồm các DPO. Khi đó, giữa những DPO này, hay nói cách khác là bộ phận bảo vệ DLCN của công ty sẽ cần có sự phân chia về quyền hạn, nghĩa vụ, trách nhiệm cụ thể cho từng thành viên và nên được quy định cụ thể trong các quyết định bổ nhiệm/ thành lập liên quan đến DPO và bộ phận bảo vệ DLCN.
8. DPO nội bộ của công ty này đồng thời là DPO nội bộ của công ty khác, điều này có được phép không?
HM&P:
Là một lĩnh vực mới và đòi hỏi nhiều yếu tố chuyên môn, kỹ thuật trong công việc, nhiều công ty chọn cách tuyển dụng những nhân sự chuyên phụ trách công việc của DPO mà không kiêm nhiệm các công việc khác trong công ty. Khi đó, DPO part time ra đời như một giải pháp để một cá nhân có thể trở thành DPO cho nhiều công ty khác nhau (làm việc dưới dạng hợp đồng lao động), giúp công ty tiết kiệm chi phí so với việc tuyển dụng DPO toàn thời gian. Về mặt pháp lý, điều này không bị cấm hay hạn chế bởi quy định pháp luật, do đó, việc bổ nhiệm DPO toàn thời gian hay bán thời gian hoàn toàn phụ thuộc vào sự phù hợp và quyết định của công ty.
Tuy vậy, công ty cũng cần lưu ý cho việc phân bổ công việc của DPO để bảo đảm DPO bán thời gian vẫn có thể đảm nhiệm công việc xuyên suốt, tránh mọi tắc nghẽn trong hoạt động bảo vệ DLCN. Ngoài ra, bảo mật thông tin và xung đột lợi ích cũng là một vấn đề cần được lưu tâm, trong bối cảnh DPO được quyền truy cập và tiếp cận DLCN từ nhiều công ty khác nhau. Do vậy, việc kiểm tra, đánh giá đầu vào đối với nhân sự được tuyển dụng vào vị trí DPO bán thời gian (tại thời điểm tuyển dụng và trong quá trình thực hiện công việc) có thể được công ty thực hiện để nắm được số lượng và thông tin về các đơn vị mà DPO đang đồng thời kiêm nhiệm công việc, qua đó có quyết định lựa chọn/ thay thế DPO phù hợp nhằm tránh các rủi ro về bảo mật thông tin và xung đột lợi ích.
9. Nếu DPO nội bộ nghỉ phép hoặc nghỉ việc, công ty phải xử lý như thế nào?
HM&P:
Với vai trò quan trọng của mình, việc duy trì tính ổn định của vị trí DPO là điều cự kỳ quan trọng đối với công ty. Tuy vậy, trong quá trình làm việc, không thể tránh khỏi tình huống DPO nghỉ phép hoặc nghỉ việc. Ở những trường hợp này, công ty cần có những phản ứng phù hợp để bảo đảm hoạt động bảo vệ DLCN được trôi chảy.
Về cơ bản, pháp luật hiện nay chưa có quy định cụ thể về yêu cầu đối với công ty khi DPO nghỉ phép hoặc nghỉ việc. Do đó, phương án giải quyết trong trường hợp này sẽ do công ty tự quyết định, căn cứ vào tình hình tiếp tục thực hiện nhiệm vụ của DPO trong mỗi trường hợp.
Trường hợp 1: DPO nghỉ phép
Đây là trường hợp DPO tạm thời không thực hiện công việc của mình tại công ty. Như những trường hợp nghỉ phép khác, DPO phải bảo đảm các công việc của mình cần được bàn giao và đảm nhiệm bởi những nhân sự phù hợp khi nghỉ phép. Tuy nhiên, khác với các công việc khác mà người lao động đảm nhiệm, các công việc của vị trí DPO đòi hỏi các yêu cầu liên quan đến bảo mật, do đó, việc lựa chọn/ quyết định người nhận bàn giao công việc của DPO cũng cần được tính toán kỹ lưỡng.
Để bảo đảm việc “back up” cho DPO được thực hiện liên tục và hạn chế gián đoạn, doanh nghiệp có thể lưu ý:
- Việc chọn người nhận bàn giao có thể được công ty tính đến ngay khi lựa chọn DPO. Người nhận bàn giao có thể là một hoặc một số nhân sự thuộc phòng ban hoặc có tính chất công việc tương tự như DPO, điều này bảo đảm họ có những hiểu biết nhất định để thực hiện một số công việc được bàn giao.
- Việc chọn người nhận bàn giao cũng cần được quy định rõ trong các văn bản nội bộ của công ty để bảo đảm có cơ sở ràng buộc nghĩa vụ của người nhận bàn giao cũng như cơ sở để người nhận bàn giao thực hiện công việc của mình.
- Hoạt động bàn giao cần được thông báo cho các chủ thể DLCN biết một cách hợp lý. Tùy vào thời gian nghỉ phép cũng như khả năng thực hiện công việc, công ty có thể thông báo cho các chủ thể DLCN khác nhau về việc nghỉ phép và bàn giao của DPO.
- Chỉ xem xét bàn giao đối với một số công việc cần xử lý gấp mà DPO không thể thực hiện được. Suy cho cùng, việc trao quyền tiếp cận, truy cập thông tin đối với một người không phải DPO của công ty là điều không nên xảy ra, do đó, công ty cần hạn chế những hạng mục công việc có thể bàn giao cho người “back up”, đồng thời, cần lưu ý việc cam kết bảo mật tương ứng với lượng thông tin, DLCN được tiếp cận.
- Trung lập hóa thông tin liên hệ của DPO cũng là điều công ty cần tính đến. Để bảo đảm việc liên lạc, trao đổi thông tin từ chủ thể DLCN, cơ quan có thẩm quyền cho DPO không bị gián đoạn và người nhận bàn giao vẫn nhận được các thông tin này, thông tin liên hệ của DPO không nên là các thông tin cá nhân của họ. Thay vào đó, công ty nên sử dụng các thông tin trung lập, chịu sự quản lý của công ty như địa chỉ công ty, số điện thoại, email do công ty cung cấp.
Dựa trên kinh nghiệm thực tiễn, chúng tôi cho rằng công ty có thể cân nhắc để bổ nhiệm nhiều hơn một DPO để bảo đảm việc khi một DPO nghỉ phép hoặc nghỉ việc, những DPO còn lại vẫn có thể đảm nhận công việc, không ảnh hưởng đến hoạt động bảo vệ DLCN của công ty.
Trường hợp 2: DPO nghỉ việc
Khác với nghỉ phép, khi DPO chỉ tạm thời không thực hiện một số công việc của mình tại công ty trong thời gian ngắn, nghỉ việc đặt ra bài toán cho công ty khi DPO hiện tại sẽ không tiếp tục thực hiện công việc của mình tại công ty. Trường hợp này, để bảo đảm tuân thủ quy định về bảo vệ DLCN, công ty buộc phải lựa chọn một DPO mới, thay thế cho nhân sự nghỉ việc. Quy trình thay thế DPO nhìn chung tương tự như việc bổ nhiệm DPO mới, tuy vậy, công ty cần lưu ý đến quá trình chấm dứt hợp đồng lao động với DPO, khi mọi thông tin, tài liệu, quyền truy cập của DPO đối với DLCN của công ty cần được bàn giao/ xóa/ chấm dứt một cách phù hợp. Ngoài ra, quy định hiện hành cũng không buộc công ty phải thông báo cho cơ quan có thẩm quyền khi thay đổi DPO nội bộ. Công ty chỉ phải cập nhật thông tin về DPO mới khi phát sinh việc cập nhật hồ sơ hành chính về đánh giá tác động hoặc thông báo vi phạm quy định về bảo vệ DLCN.
10. Nhân sự được bổ nhiệm có quyền từ chối trở thành DPO của công ty không?
HM&P:
Về mặt pháp lý, DPO nội bộ làm việc cho công ty dưới dạng hợp đồng lao động. Do đó, việc một nhân sự có quyền từ chối trở thành DPO cần được xem xét trong quan hệ lao động.
Trường hợp người lao động được tuyển dụng ngay từ đầu với vị trí DPO không được đề cập trong nội dung này; thay vào đó là trường hợp người lao động đang đảm nhiệm vị trí khác trong công ty như nhân viên pháp lý, hành chính nhân sự, công nghệ thông tin, ... và được lựa chọn để bổ nhiệm làm DPO.
Theo Bộ luật Lao động 2019, người lao động có nghĩa vụ thực hiện công việc theo đúng nội dung hợp đồng lao động đã giao kết, đồng thời công ty chỉ được yêu cầu người lao động thực hiện công việc trong phạm vi hợp đồng đó. Pháp luật cho phép công ty tạm thời chuyển người lao động làm công việc khác so với hợp đồng trong một số trường hợp nhất định, bao gồm nhu cầu sản xuất, kinh doanh, nhưng việc chuyển đổi này chỉ mang tính tạm thời và không được quá 60 ngày làm việc cộng dồn trong một năm, trừ khi có sự đồng ý bằng văn bản của người lao động.
Quay lại với trường hợp bổ nhiệm DPO, căn cứ “nhu cầu sản xuất, kinh doanh” có thể được viện dẫn để chỉ định/ bổ nhiệm DPO, tuy nhiên việc áp dụng căn cứ này trên thực tế còn hạn chế, do bổ nhiệm DPO là nghĩa vụ pháp lý bắt buộc của công ty, không phụ thuộc vào tình hình sản xuất, kinh doanh. Trường hợp ưử dụng căn cứ này, công ty cần lưu ý:
- Nội quy lao động của công ty cần phải có nội dung về việc bổ nhiệm DPO là một trường hợp thuộc về nhu cầu sản xuất, kinh doanh của công ty.
- Nếu hợp đồng lao động (và các phụ lục kèm theo) không bao gồm công việc của vị trí DPO và nội quy lao động cũng không có quy định liên quan, người lao động được lựa chọn có quyền từ chối việc bổ nhiệm.
- Việc luân chuyển như trên chỉ được thực hiện tạm thời không được quá 60 ngày làm việc cộng dồn trong 01 năm (nếu không có sự đồng ý của người lao động).
Dưới góc độ thực tiễn, công ty nên ưu tiên thương lượng, thỏa thuận với người lao động được chọn để điều chỉnh hợp đồng lao động và các quyền lợi để người lao động dễ chấp nhận việc kiêm nhiệm thêm vị trí mới. Việc khiên cưỡng bổ nhiệm không chỉ tiềm ẩn rủi ro pháp lý về lao động mà còn ảnh hưởng đến hiệu quả thực hiện vai trò DPO, vốn đòi hỏi tính chủ động và trách nhiệm cao.
Vui lòng xem thêm và tải nội dung đầy đủ của ấn phẩm (file PDF) tại đây
