Ảnh: Laptop với biểu tượng bảo mật — Nguồn: Pexels, tác giả: Dan Nelson (giấy phép Pexels).
Hồ sơ nhân sự không còn là “tài sản riêng” của phòng HR
Một công ty sản xuất có 800 công nhân lưu trữ toàn bộ hồ sơ nhân sự trên một file Excel dùng chung: họ tên, số căn cước, địa chỉ, số tài khoản ngân hàng, tình trạng hôn nhân, kết quả khám sức khỏe đầu vào, thậm chí cả thông tin kỷ luật. File này được gửi qua email nội bộ, lưu trên máy tính cá nhân của nhân viên HR, không mật khẩu. Giám đốc nhân sự cho rằng “đây là dữ liệu nội bộ, có gì đâu mà lo”.
Từ ngày 01/01/2026, cách nghĩ đó trở thành rủi ro pháp lý. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Quốc hội thông qua ngày 26/6/2025, gồm 5 chương 39 điều) đã chính thức có hiệu lực, thiết lập khung pháp lý toàn diện đầu tiên về bảo vệ dữ liệu cá nhân tại Việt Nam. Song hành là Nghị định số 356/2025/NĐ-CP (cũng có hiệu lực từ 01/01/2026) hướng dẫn chi tiết thi hành. Doanh nghiệp — với tư cách là bên xử lý dữ liệu cá nhân của hàng trăm, hàng nghìn người lao động — nằm ngay trong tâm điểm điều chỉnh.
Dữ liệu người lao động: đâu là “nhạy cảm”?
Luật phân loại dữ liệu cá nhân thành dữ liệu cơ bản và dữ liệu nhạy cảm. Với dữ liệu nhân sự, nhiều loại thuộc nhóm nhạy cảm và chịu yêu cầu bảo vệ cao hơn:
- Dữ liệu sức khỏe: kết quả khám sức khỏe tuyển dụng, hồ sơ bệnh nghề nghiệp, giấy nghỉ ốm;
- Dữ liệu sinh trắc học: vân tay, khuôn mặt dùng cho chấm công;
- Thông tin về tổ chức chính trị – xã hội: tư cách đoàn viên, đảng viên (nếu có);
- Dữ liệu tài chính: số tài khoản ngân hàng nhận lương, lịch sử giao dịch (theo hướng dẫn mới);
- Dữ liệu về đời sống gia đình: tình trạng hôn nhân, thông tin vợ/chồng, con cái (phục vụ chế độ thai sản, giảm trừ gia cảnh).
Điểm mới đáng chú ý: khái niệm dữ liệu cá nhân đã được mở rộng so với Nghị định 13/2023/NĐ-CP trước đây (văn bản này hiện đã được thay thế trong hệ thống pháp luật bảo vệ dữ liệu mới). Doanh nghiệp không thể mặc định rằng “những gì vẫn làm từ trước đến nay là ổn”.
Năm nghĩa vụ doanh nghiệp phải thực hiện ngay
1. Có cơ sở pháp lý cho mọi hoạt động xử lý — trước hết là sự đồng ý. Mọi hoạt động xử lý dữ liệu cá nhân phải dựa trên sự đồng ý rõ ràng, minh bạch và có thể kiểm chứng của người lao động. Những “điều khoản mẫu” dài hàng chục trang trong nội quy lao động hay sự “đồng ý ngầm” khi nhận việc không còn đủ. Doanh nghiệp cần thiết kế lại quy trình thu thập sự đồng ý: riêng biệt, rõ ràng, cho từng mục đích xử lý cụ thể (tuyển dụng, trả lương, đánh giá, chấm công sinh trắc học…).
2. Thông báo minh bạch. Khi thu thập dữ liệu, doanh nghiệp phải thông báo rõ: thu thập dữ liệu gì, mục đích gì, thời gian lưu trữ, quyền của người lao động và cách liên hệ. Với nhân sự mới, thông báo này nên là một phần của quy trình onboarding.
3. Bảo đảm quyền của người lao động. Người lao động có quyền được biết, quyền đồng ý và rút lại sự đồng ý, quyền truy cập, chỉnh sửa, xóa dữ liệu, quyền phản đối xử lý, quyền khiếu nại và yêu cầu bồi thường thiệt hại. Doanh nghiệp phải xây dựng quy trình tiếp nhận và xử lý các yêu cầu này trong thời hạn luật định — không thể “nhận đơn rồi để đó”.
4. Áp dụng biện pháp bảo mật tương xứng. Từ phân quyền truy cập (không phải ai trong phòng HR cũng được xem toàn bộ hồ sơ), mã hóa dữ liệu nhạy cảm, đến quy trình xử lý sự cố rò rỉ dữ liệu (đánh giá, khắc phục, thông báo cho cơ quan có thẩm quyền và người bị ảnh hưởng theo quy định). File Excel dùng chung không mật khẩu như ví dụ ở đầu bài là hình ảnh cần xóa bỏ đầu tiên.
5. Bố trí nhân sự phụ trách bảo vệ dữ liệu. Theo hướng dẫn thi hành, doanh nghiệp phải xác định rõ bộ phận/cá nhân chịu trách nhiệm về bảo vệ dữ liệu cá nhân, với nhiệm vụ, quyền hạn cụ thể. Với doanh nghiệp lớn, đây nên là một đầu mối chuyên trách, không phải “kiêm nhiệm cho có”.
Những tình huống HR thường vướng
- Chấm công bằng vân tay/khuôn mặt: dữ liệu sinh trắc học là dữ liệu nhạy cảm — cần sự đồng ý riêng và đánh giá sự cần thiết, tương xứng.
- Kiểm tra lý lịch (background check): chỉ thu thập trong phạm vi cần thiết cho vị trí tuyển dụng, có thông báo trước.
- Chia sẻ dữ liệu nhân sự với công ty mẹ ở nước ngoài: hoạt động chuyển dữ liệu cá nhân ra nước ngoài chịu các điều kiện riêng — cần đánh giá tác động và thực hiện thủ tục theo quy định.
- Lưu trữ hồ sơ người đã nghỉ việc: không được lưu vô thời hạn “cho chắc”; phải xác định thời hạn lưu trữ phù hợp với mục đích (quyết toán thuế, tranh chấp tiềm ẩn…) và xóa khi hết mục đích.
Kết luận
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 đã biến dữ liệu người lao động từ “tài sản nội bộ” thành đối tượng được pháp luật bảo vệ với một hệ thống nghĩa vụ đầy đủ: đồng ý, thông báo, bảo mật, tôn trọng quyền của chủ thể dữ liệu và trách nhiệm giải trình. Doanh nghiệp nên bắt đầu bằng một cuộc “kiểm kê dữ liệu nhân sự”: đang thu thập những gì, lưu ở đâu, ai được truy cập, dựa trên cơ sở pháp lý nào — rồi lấp từng lỗ hổng. Chi phí tuân thủ hôm nay luôn rẻ hơn chi phí xử lý sự cố ngày mai.
Câu hỏi thường gặp
Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ khi nào?
Luật số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026. Nghị định 356/2025/NĐ-CP hướng dẫn thi hành cũng có hiệu lực cùng thời điểm.
Hợp đồng lao động đã ký trước 2026 có cần bổ sung điều khoản đồng ý xử lý dữ liệu không?
Nên rà soát và bổ sung. Sự đồng ý xử lý dữ liệu theo luật mới phải rõ ràng, cụ thể theo từng mục đích; các điều khoản chung chung trong hợp đồng cũ khó đáp ứng yêu cầu này.
Dữ liệu vân tay chấm công có phải dữ liệu nhạy cảm không?
Có. Dữ liệu sinh trắc học thuộc nhóm dữ liệu cá nhân nhạy cảm, chịu yêu cầu bảo vệ cao hơn và cần sự đồng ý riêng của người lao động.
Người lao động có quyền yêu cầu xóa dữ liệu của mình không?
Có, trong các trường hợp luật định (ví dụ: rút lại sự đồng ý, dữ liệu không còn cần thiết cho mục đích đã thu thập). Doanh nghiệp phải có quy trình tiếp nhận và xử lý yêu cầu này.
Chuyển dữ liệu nhân sự cho công ty mẹ ở nước ngoài cần điều kiện gì?
Hoạt động chuyển dữ liệu cá nhân ra nước ngoài phải đáp ứng các điều kiện riêng theo pháp luật bảo vệ dữ liệu, bao gồm đánh giá tác động và thực hiện thủ tục theo quy định. Doanh nghiệp FDI cần lưu ý đặc biệt điểm này.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng
