Thành lập bộ phận bảo vệ dữ liệu cá nhân trong doanh nghiệp 2024

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đã chính thức có hiệu lực, đánh dấu một bước tiến quan trọng trong việc bảo vệ quyền riêng tư của người dân. Tuy nhiên, Nghị định 13 không quy định bắt buộc tất cả các doanh nghiệp phải thành lập bộ phận bảo vệ dữ liệu cá nhân. Vậy, khi nào doanh nghiệp cần thành lập bộ phận bảo vệ dữ liệu cá nhân và lợi ích của việc thành lập là gì? Bài viết này sẽ phân tích các quy định liên quan trong Nghị định 13/2023/NĐ-CP để làm rõ vấn đề này, đồng thời đưa ra những khuyến nghị hữu ích cho doanh nghiệp.

Nghị định 13/2023/NĐ-CP không định nghĩa cụ thể về “bộ phận bảo vệ dữ liệu cá nhân”. Tuy nhiên, dựa vào các quy định liên quan trong Nghị định, có thể hiểu bộ phận bảo vệ dữ liệu cá nhân là một bộ phận (phòng, ban, tổ…) hoặc một cá nhân được chỉ định trong doanh nghiệp để thực hiện các nhiệm vụ liên quan đến hoạt động bảo vệ dữ liệu cá nhân trong doanh nghiệp, bao gồm:

• Xây dựng và thực hiện chính sách bảo mật dữ liệu cá nhân.
• Đào tạo và nâng cao nhận thức về bảo vệ dữ liệu cá nhân cho nhân viên.
• Tiếp nhận và xử lý các yêu cầu của chủ thể dữ liệu liên quan đến dữ liệu cá nhân của họ (ví dụ: yêu cầu truy cập, chỉnh sửa, xóa dữ liệu).
• Thông báo cho chủ thể dữ liệu về việc xử lý dữ liệu cá nhân của họ.
• Thực hiện các biện pháp bảo vệ dữ liệu cá nhân theo quy định của pháp luật (ví dụ: mã hóa dữ liệu, kiểm soát truy cập…).
• Phát hiện, ngăn chặn và xử lý các vi phạm dữ liệu cá nhân.
• Báo cáo các vi phạm dữ liệu cá nhân cho cơ quan nhà nước có thẩm quyền.

Dựa vào các quy định theo Nghị định 13/2023/NĐ-CP nêu trên, việc thành lập bộ phận bảo vệ dữ liệu cá nhân trong doanh nghiệp không bắt buộc đối với tất cả các doanh nghiệp. Tuy nhiên, có một số trường hợp doanh nghiệp phải chỉ định bộ phận hoặc nhân sự đảm nhận chức năng bảo vệ dữ liệu cá nhân.

• Trường hợp doanh nghiệp xử lý dữ liệu cá nhân nhạy cảm: Theo Khoản 2 Điều 28, các doanh nghiệp xử lý dữ liệu cá nhân nhạy cảm (như thông tin về sức khỏe, tôn giáo, chính trị…) phải chỉ định bộ phận hoặc nhân sự đảm nhận chức năng này.
• Các trường hợp khác theo quy định của pháp luật: Nghị định 13 không loại trừ khả năng các văn bản pháp luật khác có thể yêu cầu doanh nghiệp thành lập bộ phận bảo vệ dữ liệu cá nhân trong một số trường hợp cụ thể.
• Các trường hợp ngoại lệ: Theo Khoản 2 và 3 Điều 43, các doanh nghiệp siêu nhỏ, nhỏ và vừa, doanh nghiệp khởi nghiệp được miễn trừ quy định về chỉ định bộ phận và nhân sự bảo vệ dữ liệu cá nhân trong 2 năm đầu thành lập, trừ khi doanh nghiệp đó trực tiếp kinh doanh hoạt động xử lý dữ liệu cá nhân.

Lưu ý quan trọng: Mặc dù Nghị định 13/2023/NĐ-CP quy định một số trường hợp không cần thành lập bộ phận bảo vệ dữ liệu cá nhân, nhưng thực tế trong quá trình DPVN soạn thảo hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cho các doanh nghiệp, thông tin khai báo trong hồ sơ về bộ phận/cá nhân chịu trách nhiệm bảo vệ dữ liệu cá nhân vẫn là bắt buộc.

Mặc dù theo Nghị định 13, không bắt buộc phải thành lập bộ phận bảo vệ dữ liệu cá nhân trong mọi trường hợp. Nhưng việc thành lập bộ phận bảo vệ dữ liệu cá nhân được khuyến khích đối với các doanh nghiệp có quy mô lớn, xử lý nhiều dữ liệu cá nhân hoặc hoạt động trong lĩnh vực nhạy cảm. Điều này giúp doanh nghiệp có được nhiều lợi ích khi thành lập bộ phận bảo vệ dữ liệu cá nhân:

• Đảm bảo tuân thủ pháp luật: Hiểu rõ và thực hiện đúng các quy định về bảo vệ dữ liệu cá nhân, tránh các rủi ro pháp lý.
• Nâng cao uy tín: Thể hiện sự chuyên nghiệp và cam kết của doanh nghiệp trong việc bảo vệ thông tin khách hàng.
• Giảm thiểu rủi ro: Phòng ngừa và xử lý kịp thời các sự cố vi phạm dữ liệu cá nhân.

Lưu ý về chỉ định bộ phận hoặc cá nhân chịu trách nhiệm bảo vệ dữ liệu cá nhân:

• Doanh nghiệp cần đánh giá quy mô, loại hình hoạt động và loại dữ liệu cá nhân mà mình xử lý để quyết định có cần thành lập bộ phận bảo vệ dữ liệu cá nhân hay không,
• Nếu không thành lập bộ phận riêng, doanh nghiệp vẫn phải đảm bảo có nhân sự đủ năng lực và trách nhiệm để thực hiện các công việc liên quan đến bảo vệ dữ liệu cá nhân.

Nghị định 13/2023/NĐ-CP không bắt buộc tất cả doanh nghiệp phải thành lập bộ phận bảo vệ dữ liệu cá nhân, tuy nhiên, việc thành lập bộ phận này được khuyến khích, đặc biệt đối với các doanh nghiệp xử lý dữ liệu cá nhân nhạy cảm hoặc có quy mô lớn. Việc thành lập bộ phận bảo vệ dữ liệu cá nhân không chỉ giúp doanh nghiệp tuân thủ các quy định của pháp luật, giảm thiểu rủi ro pháp lý mà còn thể hiện sự chuyên nghiệp, nâng cao uy tín và tăng cường khả năng cạnh tranh trên thị trường. Do đó, các doanh nghiệp nên cân nhắc và đánh giá kỹ lưỡng để đưa ra quyết định phù hợp với tình hình thực tế của mình.