Nhiều bộ phận nhân sự đang dùng camera nhận diện khuôn mặt để chấm công và phần mềm tự động chấm điểm, lọc hồ sơ ứng viên. Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hai ứng dụng này chạm vào hai nhóm nghĩa vụ khác nhau. Dữ liệu khuôn mặt, vân tay, mống mắt là dữ liệu sinh trắc học, thuộc nhóm dữ liệu cá nhân nhạy cảm. Còn quyết định tự động trong tuyển dụng và đánh giá nhân sự kéo theo nghĩa vụ giải thích thuật toán, cho phép người lao động không tham gia và cho phép yêu cầu người thật xem xét lại. Bài học từ vụ Clearview AI bị phạt vì cơ sở dữ liệu nhận diện khuôn mặt cho thấy các cơ quan quản lý xử lý rất nghiêm loại dữ liệu này.
1. Dữ liệu sinh trắc học trong chấm công và kiểm soát ra vào#
Theo điểm đ khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP (danh mục dữ liệu cá nhân nhạy cảm do Chính phủ ban hành theo khoản 3 Điều 2 Luật 91/2025/QH15), dữ liệu sinh trắc học như khuôn mặt, vân tay, mống mắt, giọng nói là dữ liệu cá nhân nhạy cảm. Khi dùng dữ liệu này để chấm công, kiểm soát ra vào hoặc điểm danh, các quy định liên quan gồm:
- Người lao động phải biết rõ biện pháp công nghệ được áp dụng, và biện pháp đó phải phù hợp với pháp luật (điểm a khoản 3 Điều 25 Luật 91/2025).
- Nếu dựa vào sự đồng ý, sự đồng ý phải tự nguyện, thể hiện cho từng mục đích và không kèm điều kiện bắt buộc phải đồng ý với mục đích khác (khoản 2, điểm a, điểm b khoản 4 Điều 9 Luật 91/2025). Người lao động phải được thông báo đây là dữ liệu nhạy cảm (khoản 4 Điều 6 Nghị định 356/2025/NĐ-CP).
- Việc chấm công bằng khuôn mặt có thể dựa vào sự đồng ý hay vào việc thực hiện hợp đồng lao động (điểm d khoản 1 Điều 19 Luật 91/2025) là vấn đề cần phân tích theo từng trường hợp. Để giảm rủi ro, doanh nghiệp nên có mẫu đồng ý riêng, không gộp vào hợp đồng lao động, và có phương thức thay thế không dùng sinh trắc học như thẻ từ hoặc mã PIN. Vân tay không phải là phương án thay thế, vì vân tay cũng là dữ liệu sinh trắc học.
- Dữ liệu khuôn mặt thu để chấm công chỉ được dùng cho mục đích đó. Ví dụ, dùng lại hình ảnh chấm công để phân tích cảm xúc hay đánh giá thái độ làm việc mà chưa có sự đồng ý bị phạt từ 70 đến 150 triệu đồng (điểm b khoản 2 Điều 70 Nghị định 330/2026/NĐ-CP).
2. Quyền phản đối và yêu cầu giải trình đối với quyết định tự động trong tuyển dụng và đánh giá nhân sự#
Khi doanh nghiệp dùng AI để tự động loại hồ sơ ứng viên, đánh giá KPI hoặc xếp loại nhân viên mà không có người xem xét, người lao động và ứng viên có các quyền của chủ thể dữ liệu sau:
a) Quyền được biết và được giải thích#
Chủ thể dữ liệu có quyền được biết về hoạt động xử lý dữ liệu cá nhân (điểm a khoản 1 Điều 4 Luật 91/2025). Bên kiểm soát phải thông báo về việc xử lý tự động, giải thích nguyên tắc hoạt động của thuật toán và ảnh hưởng đối với quyền, lợi ích hợp pháp của chủ thể (khoản 3 Điều 10 Nghị định 356/2025/NĐ-CP). Không thông báo hoặc không giải thích bị phạt từ 50 đến 70 triệu đồng (điểm a khoản 2 Điều 67 Nghị định 330/2026/NĐ-CP). Văn bản không quy định mức độ giải thích cho từng quyết định cụ thể. Doanh nghiệp nên chuẩn bị sẵn phần giải thích tiêu chí cho ứng viên bị loại hoặc nhân viên bị xếp loại thấp.
b) Quyền không tham gia, phản đối và yêu cầu con người xem xét lại#
Bên kiểm soát phải đưa ra lựa chọn để chủ thể không tham gia xử lý tự động (khoản 3 Điều 10 Nghị định 356/2025/NĐ-CP), và chủ thể có quyền phản đối xử lý dữ liệu cá nhân (điểm d khoản 1 Điều 4 Luật 91/2025). Luật và Nghị định 356 không quy định riêng quyền yêu cầu con người đánh giá lại quyết định tự động. Tuy nhiên, vận hành hệ thống AI đưa ra quyết định tự động ảnh hưởng đến quyền, lợi ích hợp pháp của cá nhân mà không có cơ chế giám sát hoặc không cho phép yêu cầu đánh giá lại từ con người bị phạt từ 70 đến 100 triệu đồng (điểm b khoản 3 Điều 67 Nghị định 330/2026/NĐ-CP). Vì vậy, doanh nghiệp cần có chuyên viên nhân sự xem xét lại hồ sơ khi ứng viên hoặc nhân viên yêu cầu.
c) Giới hạn riêng với dữ liệu ứng viên#
Doanh nghiệp chỉ được yêu cầu thông tin phục vụ mục đích tuyển dụng, và thông tin phải được xử lý với sự đồng ý của người dự tuyển (điểm a, điểm b khoản 1 Điều 25 Luật 91/2025). Nếu công cụ sàng lọc CV thu thêm dữ liệu ngoài hồ sơ, ví dụ tự tra cứu mạng xã hội của ứng viên, doanh nghiệp có thể bị phạt từ 20 đến 50 triệu đồng vì xử lý vượt phạm vi đã được đồng ý (điểm c khoản 1 Điều 61 Nghị định 330/2026/NĐ-CP). Hồ sơ ứng viên không trúng tuyển phải được xóa, trừ khi có thỏa thuận khác (điểm c khoản 1 Điều 25 Luật 91/2025).
3. Bảo mật hệ thống AI sinh trắc học và thông báo sự cố#
Tổ chức thu thập, xử lý dữ liệu sinh trắc học phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, hạn chế quyền truy cập, có hệ thống theo dõi để phát hiện xâm phạm và tuân thủ tiêu chuẩn quốc tế có liên quan (điểm a khoản 4 Điều 31 Luật 91/2025). Pháp luật không ấn định thuật toán mã hóa cụ thể. Các biện pháp thực tế nên áp dụng gồm mã hóa mạnh vector khuôn mặt (face embeddings), không lưu ảnh gốc nếu không cần, và tách hệ thống khỏi mạng Internet công cộng.
Khi xảy ra sự cố với dữ liệu sinh trắc học, doanh nghiệp phải thông báo cho người lao động bị ảnh hưởng trong không quá 72 giờ kể từ khi phát hiện, báo cáo Cục A05 theo Mẫu số 08 và lưu hồ sơ vi phạm ít nhất 5 năm (Điều 29, Điều 28 Nghị định 356/2025/NĐ-CP; khoản 1 Điều 23 Luật 91/2025). Không thông báo cho cơ quan chuyên trách và chủ thể dữ liệu trong 72 giờ bị phạt từ 50 đến 70 triệu đồng (điểm đ khoản 1 Điều 70 Nghị định 330/2026/NĐ-CP). Ngoài xử phạt hành chính, vi phạm có thể bị truy cứu trách nhiệm hình sự tùy tính chất, mức độ, hậu quả, và doanh nghiệp phải bồi thường nếu gây thiệt hại (khoản 1 Điều 8 Luật 91/2025). Khác với mật khẩu, dữ liệu sinh trắc học không thể thay đổi sau khi bị lộ, nên thiệt hại với người lao động kéo dài.
4. Phòng ngừa định kiến thuật toán khi ra quyết định tự động trong tuyển dụng#
Nếu dữ liệu huấn luyện của phần mềm tuyển dụng phản ánh thiên lệch trong quá khứ về giới tính, độ tuổi hay vùng miền, mô hình sẽ lặp lại thiên lệch đó và loại các nhóm ứng viên này. Pháp luật bảo vệ dữ liệu cá nhân không quy định cách kiểm tra định kiến thuật toán. Tuy vậy, hệ thống AI phải được phân loại theo mức độ rủi ro (khoản 4 Điều 30 Luật 91/2025) và đánh giá tuân thủ định kỳ 01 năm/lần (điểm đ khoản 5 Điều 10 Nghị định 356/2025/NĐ-CP). Doanh nghiệp có thể lồng việc kiểm tra kết quả sàng lọc theo từng nhóm ứng viên vào đợt đánh giá hằng năm này.
Phân loại rủi ro nói trên là theo pháp luật bảo vệ dữ liệu cá nhân, khác với phân loại theo Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ 01/03/2026. Danh mục hệ thống AI rủi ro cao kèm Quyết định 33/2026/QĐ-TTg không có dòng nào về tuyển dụng hay nhân sự, chấm công bằng khuôn mặt cũng không thuộc danh mục, nên các nghĩa vụ theo Luật 91/2025 phân tích ở trên vẫn là phần chính. Doanh nghiệp mua phần mềm sàng lọc CV và dùng nguyên trạng là bên triển khai (khoản 5 Điều 3 Luật Trí tuệ nhân tạo); theo cách đọc của chúng tôi, công cụ chỉ xếp hạng hồ sơ cho nhân sự, không tương tác với ứng viên, là rủi ro thấp. Nếu dùng chatbot phỏng vấn ứng viên thì phải phân loại lại, và chatbot phải được thiết kế để ứng viên biết mình đang tương tác với AI (khoản 1 Điều 11 Luật Trí tuệ nhân tạo).
5. Lộ trình cho bộ phận nhân sự khi áp dụng quyết định tự động trong tuyển dụng#
- Cập nhật mẫu đồng ý xử lý dữ liệu sinh trắc học, tách riêng khỏi hợp đồng lao động, áp dụng cho cả nhân viên mới và hiện hữu.
- Bổ sung vào thông báo tuyển dụng và quy chế nội bộ: phần nào của quy trình do AI quyết định, tiêu chí chính, cách yêu cầu người thật xem xét lại.
- Ban hành quy trình phúc khảo quyết định nhân sự do AI đề xuất, có thời hạn phản hồi cụ thể.
- Lập hồ sơ đánh giá tác động cho hệ thống camera AI và phần mềm chấm công sinh trắc học, gửi Cục A05 trong 60 ngày kể từ ngày đầu tiên xử lý (Điều 21 Luật 91/2025). Doanh nghiệp nhỏ trực tiếp xử lý dữ liệu nhạy cảm không được miễn nghĩa vụ này (khoản 2, khoản 3 Điều 38 Luật 91/2025).
- Kiểm tra định kỳ kết quả sàng lọc theo nhóm ứng viên để phát hiện định kiến thuật toán.
Nếu chỉ làm được một việc trong tháng này, hãy bắt đầu với bước 3: thiếu cơ chế yêu cầu người thật xem xét lại là hành vi có mức phạt cao nhất trong các nghĩa vụ về quyết định tự động. Doanh nghiệp cần rà soát toàn bộ quy trình nhân sự có thể tham khảo dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân, và bài vụ H&M bị phạt vì giám sát nhân viên để thấy rủi ro khi dữ liệu nhân sự bị dùng sai mục đích.
