Tháng 10/2020, H&M bị phạt 35,3 triệu euro. Quyết định do Ủy viên Bảo vệ Dữ liệu và Tự do Thông tin bang Hamburg (Đức) ban hành đối với công ty H&M Hennes & Mauritz Online Shop. Lý do: tại trung tâm dịch vụ ở Nuremberg, từ ít nhất năm 2014, một số quản lý đã ghi chép chi tiết về đời tư của nhân viên, gồm triệu chứng bệnh, chẩn đoán, chuyện gia đình và niềm tin tôn giáo. Các ghi chép này được lưu trên ổ mạng và dùng khi đánh giá nhân viên, ra quyết định nhân sự. Sự việc bị phát hiện vào tháng 10/2019, khi một lỗi cấu hình khiến thư mục ghi chép mở cho toàn công ty xem trong vài giờ. Với doanh nghiệp Việt Nam, vụ việc cho thấy rủi ro lớn nhất về dữ liệu nhân sự thường không nằm ở hệ thống IT mà ở thói quen ghi chép của cấp quản lý.
1. Vì sao H&M bị phạt: cách thông tin đời tư được thu thập và sử dụng#
Theo thông cáo của cơ quan bảo vệ dữ liệu Hamburg, hành vi diễn ra theo ba bước:
- Thu thập qua các buổi trao đổi sau kỳ nghỉ và nghỉ ốm ("Welcome Back Talks"). Trưởng nhóm ghi lại trải nghiệm kỳ nghỉ, triệu chứng bệnh và chẩn đoán của nhân viên. Qua các cuộc nói chuyện khác, một số quản lý nắm được cả chuyện gia đình và niềm tin tôn giáo của nhân viên.
- Lưu trữ tập trung. Một phần thông tin được ghi lại chi tiết, lưu số hóa và cập nhật trong thời gian dài. Có tới khoảng 50 quản lý đọc được các ghi chép này.
- Sử dụng cho quyết định nhân sự. Ngoài việc đánh giá chi tiết hiệu suất từng người, dữ liệu được dùng để lập hồ sơ nhân viên phục vụ các biện pháp và quyết định về việc làm.
Mức phạt được tính theo GDPR. H&M sau đó xin lỗi và bồi thường cho nhân viên bị ảnh hưởng.
2. Đối chiếu vụ H&M bị phạt với Luật 91/2025 và Bộ luật Lao động#
Nếu tình huống tương tự xảy ra tại Việt Nam, các quy định sau sẽ được đặt ra:
- Thông tin được thu thập là dữ liệu nhạy cảm. Tình trạng sức khỏe, quan điểm tôn giáo, tín ngưỡng và thông tin về đời sống riêng tư, bí mật gia đình đều nằm trong danh mục dữ liệu cá nhân nhạy cảm (điểm b, c, d khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP). Khi xử lý loại dữ liệu này, doanh nghiệp phải có quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật (khoản 2 Điều 4). Riêng thông tin sức khỏe phải có sự đồng ý của chủ thể, trừ các trường hợp tại khoản 1 Điều 19 (điểm a khoản 1 Điều 26 Luật 91/2025).
- Phạm vi thu thập bị giới hạn. Người lao động chỉ có nghĩa vụ cung cấp thông tin liên quan trực tiếp đến việc giao kết hợp đồng lao động (khoản 2 Điều 16 Bộ luật Lao động 2019). Dữ liệu cá nhân chỉ được xử lý đúng phạm vi, mục đích đã xác định (khoản 2 Điều 3 Luật 91/2025). Chuyện gia đình hay tôn giáo không phục vụ mục đích quản lý lao động.
- Xử lý khi chưa có sự đồng ý và không thông báo về dữ liệu nhạy cảm đều bị phạt từ 30 đến 50 triệu đồng mỗi hành vi (điểm a, điểm h khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP).
- Giám sát bằng công nghệ phải minh bạch. Biện pháp công nghệ, kỹ thuật trong quản lý người lao động chỉ được áp dụng khi phù hợp pháp luật và người lao động biết rõ (điểm a khoản 3 Điều 25 Luật 91/2025). Lắp phần mềm theo dõi thiết bị hoặc camera tại nơi làm việc mà không thông báo bị phạt từ 50 đến 70 triệu đồng (điểm c khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP). Sử dụng dữ liệu thu thập trái phép theo cách này bị phạt từ 70 đến 100 triệu đồng (khoản 3 Điều 61).
- Chia sẻ nội bộ cũng phải kiểm soát. Khi chia sẻ dữ liệu giữa các bộ phận, doanh nghiệp phải có quy trình kiểm soát và biện pháp ngăn nhân sự nội bộ chia sẻ trái phép (khoản 4 Điều 7 Nghị định 356/2025/NĐ-CP). Việc 50 quản lý cùng đọc được hồ sơ đời tư ở H&M là ví dụ ngược lại.
- Xóa dữ liệu đúng hạn. Hồ sơ ứng viên không trúng tuyển phải được xóa, hủy, trừ khi có thỏa thuận khác với ứng viên (điểm c khoản 1 Điều 25 Luật 91/2025). Dữ liệu của người lao động phải được xóa, hủy khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật quy định khác (điểm c khoản 2 Điều 25).
3. Vai trò của DPO trong giám sát dữ liệu nhân sự#
Ở H&M, hành vi kéo dài nhiều năm mà không ai trong bộ máy chặn lại. Đây là việc một nhân sự bảo vệ dữ liệu (DPO) có thể phát hiện qua rà soát định kỳ.
Khác với GDPR, pháp luật Việt Nam không quy định DPO phải độc lập hay báo cáo trực tiếp Ban Giám đốc. Luật 91/2025 (khoản 2 Điều 33) và Nghị định 356/2025/NĐ-CP (Điều 13, Điều 14) yêu cầu doanh nghiệp chỉ định bằng văn bản bộ phận, nhân sự đủ điều kiện năng lực, hoặc thuê dịch vụ bảo vệ dữ liệu cá nhân. Nhân sự này tham mưu chính sách, tham gia đánh giá thực trạng tuân thủ định kỳ và tiếp nhận, báo cáo vi phạm (khoản 2 Điều 14 Nghị định 356/2025/NĐ-CP). Trên thực tế, DPO không nên trực thuộc phòng Nhân sự nếu phải giám sát chính cách phòng Nhân sự xử lý dữ liệu.
Doanh nghiệp nhỏ, khởi nghiệp được lựa chọn chưa thực hiện nghĩa vụ chỉ định DPO trong 5 năm, còn doanh nghiệp siêu nhỏ và hộ kinh doanh không phải thực hiện. Miễn trừ này không áp dụng nếu doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm (khoản 2, khoản 3 Điều 38 Luật 91/2025; Điều 41 Nghị định 356/2025/NĐ-CP). Hồ sơ sức khỏe của nhân viên có thể khiến doanh nghiệp rơi vào trường hợp này, nên cần đánh giá cụ thể. Doanh nghiệp không muốn tuyển nhân sự riêng có thể dùng dịch vụ DPO thuê ngoài.
Checklist dữ liệu nhân sự rút ra từ vụ H&M bị phạt#
Các câu hỏi dưới đây dành cho Giám đốc Nhân sự và pháp chế. Có thể lồng vào khung quản trị dữ liệu cá nhân chung của doanh nghiệp.
[ ] 1. Đã lập bản đồ dữ liệu nhân sự theo vòng đời chưa: tuyển dụng, ký hợp đồng, quá trình làm việc (chấm công, KPI, lương, sức khỏe), thôi việc?
[ ] 2. Có quy định bằng văn bản về những gì quản lý được và không được ghi lại sau các buổi trao đổi với nhân viên (nghỉ ốm, đánh giá, kỷ luật) không?
[ ] 3. Giấy nghỉ ốm và hồ sơ sức khỏe có được lưu riêng, phân quyền theo vai trò và ghi nhật ký truy cập không?
[ ] 4. Có thư mục dùng chung nào chứa ghi chép về nhân viên mà nhiều quản lý cùng đọc được không?
[ ] 5. Người lao động đã được thông báo về dữ liệu nhạy cảm được xử lý và về mọi biện pháp giám sát (phần mềm, email công vụ, camera) chưa?
[ ] 6. Camera có được đặt ở phòng nghỉ, phòng thay đồ hay khu vệ sinh không?
[ ] 7. Hồ sơ ứng viên không trúng tuyển và dữ liệu nhân viên đã nghỉ việc có được xóa theo điểm c khoản 1, điểm c khoản 2 Điều 25 Luật 91/2025 không?
[ ] 8. Đã chỉ định DPO hoặc bộ phận phụ trách, hoặc đã xác định rõ doanh nghiệp thuộc diện được miễn chưa?
Câu 2 và 4 là hai điểm trực tiếp dẫn đến việc H&M bị phạt, và thường bị bỏ qua khi doanh nghiệp chỉ rà soát hệ thống phần mềm. Nếu cần lập bản đồ dữ liệu nhân sự và đánh giá hiện trạng, xem dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
