数字化机械工厂每天产生两类法律价值不同的数据：生产数据如加工参数、热处理配方；员工个人数据如人脸、指纹、工作位置。本文依据第91/2025/QH15号《个人信息保护法》与第356/2025/ND-CP号议定（自2026年1月1日起替代第13/2023/ND-CP号议定）及《知识产权法》131/2025/QH15区分两类义务。
1. 数字工厂的数据分类
生产数据是运营数据：设备参数、产量、不良率、质量数据、维修记录。这类数据归企业所有，符合法定条件的可作为商业秘密保护。个人数据是与可识别个人相关联的信息：姓名、人脸、指纹、考勤记录、每名工人的位置。即使用企业设备采集，个人数据仍属于劳动者，企业只能在法律允许范围内处理。
一开始就正确分类，是后续合规措施的基础。
2. 处理员工个人数据的义务
依第91/2025/QH15号《个人信息保护法》（自2026年1月1日起施行）及第356/2025/ND-CP号议定，采集个人数据前，企业须告知并取得劳动者的同意，法律规定的例外情形除外。对于人脸考勤、AI监控，企业须向工人说明采集目的、数据类型、保存期限及其权利。同意须自愿、明确，不得以”不同意就不录用”相胁迫，亦不得预设默认同意（第356/2025/ND-CP号议定第6条）。
企业还须采取保护措施：权限管理、加密、访问日志及泄露应急流程。发现可能危害国防、国家安全、公共秩序安全，或侵害劳动者生命、健康、名誉、尊严、财产的违规行为时，企业须自发现起最迟72小时内通报公安部下属个人信息保护专门机构（第91/2025/QH15号法律第23条）；通报内容依第356/2025/ND-CP号议定第28条。向劳动者本人通报仅在法律规定的情形下进行。委托境外运维涉及数据出境的，须满足第91/2025/QH15号法律第20条的条件，并依第356/2025/ND-CP号议定第17至18条编制个人信息跨境转移影响评估档案。
3. 将生产数据作为商业秘密保护
核心生产数据如热处理配方、优化加工参数、成本数据，符合三个条件的可依《知识产权法》131/2025/QH15作为商业秘密保护：非公知常识、可用于经营并给持有人带来优势、权利人采取了必要保密措施。第三个条件是企业在纠纷中最易失败之处：没有保密措施就不被认定为商业秘密。
数字工厂的必要保密措施包括：与员工和合作方签订保密协议、MES系统按角色分级授权、图纸加水印、人员离职时的权限回收流程。当离职员工把技术数据带给竞争对手时，只有保密措施齐全的企业才有依据追究侵犯商业秘密。
结论
数字工厂采集的数据越多，法律责任越大，体现在两个方向：尊重劳动者的个人数据权利，保护生产数据这一企业资产。早建清晰的内部数据政策，远比处理一起数据泄露便宜。
常见问题
1. 装人脸考勤机需要工人同意吗？
需要。人脸属敏感个人数据，企业须告知目的、范围、保存期限并取得每名劳动者同意。建议为不同意者提供刷卡等替代方案。
2. 热处理配方这类生产数据算商业秘密吗？
算，如果符合三个条件：非公知、可用于经营并带来优势、采取了必要保密措施。企业须证明已实施保密协议、访问权限管理等措施。
3. 委托境外单位运维MES系统，数据能出境吗？
员工个人数据出境须满足第91/2025/QH15号《个人信息保护法》第20条的条件，并依第356/2025/ND-CP号议定第17至18条编制个人信息跨境转移影响评估档案（自开始转移起60日内提交）。不含个人数据的纯生产数据适用商业秘密规则和合同约定，细节需QA委员会复核。
4. 离职工人把技术数据带给竞争对手怎么办？
企业能证明数据符合商业秘密条件且已采取保密措施的，可追究侵犯商业秘密。与劳动者签订的保密协议、竞业限制协议是最重要的证据。
5. 违反个人数据保护规定怎么处罚？
可能面临法定标准的行政处罚，并须整改如删除违法采集的数据。造成损害的，劳动者有权要求赔偿。具体罚额需QA委员会复核。
本文已通过 FLAW AI Legal Council 质量审核。
