人脸识别考勤因快速且难以作弊而受到越来越多企业的青睐。但自2026年1月1日起，员工的人脸数据受91/2025/QH15号《个人信息保护法》调整，适用针对敏感数据的最严格保护制度。以下是企业部署该系统前应注意的6个要点。
1. 人脸数据＝生物识别数据＝敏感数据
根据91/2025号《个人信息保护法》第31条第2款及第356/2025号法令第4条第5款，人脸数据属于生物识别数据，而生物识别数据被列为敏感个人信息——适用该法最严格的保护制度。
“只存考勤照片，不算敏感数据”的说法是错误的：用于识别员工身份的人脸就是生物识别数据，无论存储目的是什么。
2. 必须在收集之前取得员工同意
91/2025号法律第11条第1款要求同意必须在收集数据之前取得；同意须自愿，并按每一具体目的分别作出（第9条）。落实到实务：企业不得强迫员工刷脸，必须为不同意的员工提供替代方案（门禁卡、已单独取得同意的指纹、手工考勤等）。
同样自2026年1月1日起，仅依据公司内部规章——或援引第13/2023号法令——不足以作为收集人脸数据的依据。
3. 必须编制影响评估档案
处理敏感数据被认定为高风险活动，因此企业在部署人脸识别系统前，必须依据91/2025号法律第21条编制个人信息处理影响评估档案。该档案分析对员工权利的风险及相应的缓释措施——不能以”系统很小”为由省略。
4. 安全措施：模板加密、授权、监控系统
91/2025号法律第31条第4款要求采取与生物识别数据相适应的安全措施，包括：加密生物识别模板——非必要不保存原始图像；严格的访问授权（仅授权部门）；以及监控与访问日志系统，以发现非法访问。
5. 用人单位的管理权不是绝对的
45/2019/QH14号《劳动法》确认用人单位的管理指挥权（第6条第1款）和制定内部劳动规章的权利（第118条），但在涉及员工个人信息时，该权利不是绝对的。91/2025号法律第25条第3款a项要求员工必须“清楚知晓处理措施”——即企业必须公开人脸数据的收集、存储和使用方式。
6. 员工离职：必须删除人脸数据
劳动合同终止时，企业必须删除、销毁员工的个人信息，另有约定或法律另有规定的除外（91/2025号法律第25条第2款c项）。关于正确删除方式、保存期限及允许保留的情形，详见本网站《处理离职员工个人数据的5个注意事项》一文。
此外，2013年《宪法》第21条保护个人私生活的不可侵犯性——是上述全部义务的宪法基础。
常见问题
公司规章已规定人脸考勤，还需要逐人取得同意吗？
需要。自2026年1月1日起，内部规章不能替代每位员工自愿的、按目的分别作出的同意（91/2025号法律第11条第1款、第9条）。
考勤机里存的人脸照片算敏感数据吗？
算。人脸数据是生物识别数据，属于敏感个人信息（91/2025号法律第31条第2款；第356/2025号法令第4条第5款）。
离职员工有权要求删除人脸数据吗？
有权。91/2025号法律第25条第2款c项要求劳动合同终止时删除、销毁数据，另有约定或法律另有规定的除外。
引用来源
- 《个人信息保护法》91/2025/QH15——2026年1月1日生效：第9、10、11、14、21、23、25条（第3款：以技术措施处理员工数据）、第31条（生物识别数据）、第33.2条；
- 第356/2025号法令（356/2025/ND-CP）：第4条（生物识别数据为敏感数据）；
- 45/2019/QH14号《劳动法》：第6条第1款、第118条；
- 2013年《宪法》：第21条。
结论
自2026年1月1日起，人脸识别考勤属于敏感数据处理，附带完整的义务：事先的、自愿的、按目的分别作出的同意；提供替代方案；编制影响评估档案；采取相适应的安全措施；保持透明使员工“清楚知晓处理措施”；员工离职时删除数据。落实以上6点，企业既能用好技术，又能合规经营。
贵公司正在部署或计划使用人脸识别考勤吗？联系FLAT律师事务所进行合规审查。
仅供参考，不构成法律意见。本内容由AI起草，已经FLAT律师事务所FLAW AI Legal Council质检后送审发布；并非执业律师出具的法律意见。法规可能调整，适用前请核对现行法律文本。
