Dữ liệu nhân sự là một trong những loại dữ liệu phong phú nhất trong doanh nghiệp. Hồ sơ nhân viên bao gồm họ tên, ngày sinh, số CCCD, số điện thoại, địa chỉ, thông tin sức khỏe, hình ảnh, vị trí qua chấm công và nhiều thông tin khác. Nhiều trong số này thuộc dữ liệu cá nhân nhạy cảm, do đó việc xử lý dữ liệu nhân sự cần tuân thủ nghiêm ngặt Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, đồng thờicân nhắc cả Bộ Luật Lao động 2019.
Các loại dữ liệu nhân sự thường gặp
Trong quản lý nhân sự, doanh nghiệp thường xử lý nhiều loại dữ liệu cá nhân. Dữ liệu cơ bản bao gồm họ tên, ngày sinh, giới tính, quốc tịch, địa chỉ liên hệ, số điện thoại và email. Dữ liệu nhạy cảm bao gồm số CCCD, thông tin sức khỏe, dữ liệu sinh trắc học từ máy chấm công, hình ảnh từ camera giám sát, và một số thông tin về đời sống cá nhân. Ngoài ra, dữ liệu đánh giá hiệu suất, kỷ luật lao động và thông tin tài chính lương thưởng cũng cần được bảo vệ.
Các lưu ý chính khi xử lý dữ liệu nhân sự
Doanh nghiệp cần lưu ý một số điểm quan trọng. Thứ nhất, thông báo cho nhân viên về việc xử lý dữ liệu trong hợp đồng lao động, nội quy lao động hoặc thông báo riêng. Thứ hai, chỉ thu thập dữ liệu cần thiết cho quan hệ lao động và không thu thập thông tin ngoài phạm vi công việc. Thứ ba, đảm bảo an toàn cho hồ sơ nhân sự cả dạng giấy và điện tử. Thứ tư, tuân thủ thời gian lưu trữ theo quy định của Bộ Luật Lao động và các văn bản hướng dẫn. Thứ năm, có quy trình xử lý yêu cầu của nhân viên về quyền xem, sửa, xóa dữ liệu cá nhân.
Camera giám sát và chấm công sinh trắc học
Về camera giám sát và chấm công, doanh nghiệp cần thông báo rõ ràng vị trí lắp camera, mục đích thu thập dữ liệu và thời gian lưu trữ. Không nên lắp camera ở các khu vực riêng tư như nhà vệ sinh, phòng thay đồ hoặc khu vực nghỉ ngơi. Dữ liệu sinh trắc học từ máy chấm công nhận diện khuôn mặt hoặc vân tay là dữ liệu nhạy cảm, cần được bảo vệ đặc biệt. Doanh nghiệp cần có biện pháp mã hóa, hạn chế truy cập và lưu trữ an toàn cho dữ liệu này.
Ví dụ thực tế
Một công ty sản xuất lắp camera tại khu vực làm việc và sử dụng máy chấm công nhận diện vân tay. Công ty cần thông báo cho nhân viên về vị trí camera, mục đích giám sát an ninh và thời gian lưu trữ hình ảnh. Đối với dữ liệu vân tay, công ty phải áp dụng biện pháp bảo mật mạnh hơn, chỉ cho phép nhân sự có thẩm quyền truy cập, và xóa dữ liệu khi nhân viên nghỉ việc theo quy định. Nếu công ty thuê dịch vụ HR SaaS nước ngoài, cần đánh giá chuyển dữ liệu ra nước ngoài theo Nghị định 356.
Checklist tuân thủ dữ liệu nhân sự
- Rà soát danh mục dữ liệu nhân sự và phân loại dữ liệu nhạy cảm.
- Thông báo cho nhân viên về việc xử lý dữ liệu trong hợp đồng hoặc nội quy.
- Áp dụng biện pháp bảo mật phù hợp cho hồ sơ nhân sự.
- Tuân thủ thời gian lưu trữ theo Bộ Luật Lao động.
- Thiết lập quy trình xử lý yêu cầu của nhân viên.
- Đánh giá vendor HR và chuyển dữ liệu ra nước ngoài nếu có.
Sai lầm thường gặp
Nhiều doanh nghiệp cho rằng dữ liệu nhân viên không cần tuân thủ PDPD vì đã có quan hệ lao động. Một số công ty lắp camera ở khu vực riêng tư mà không thông báo. Nhiều tổ chức cũng lưu trữ dữ liệu sinh trắc học không an toàn hoặc không xóa dữ liệu khi nhân viên nghỉ việc. Việc thu thập thông tin sức khỏe quá mức cần thiết cũng là sai lầm phổ biến.
Quyền của nhân viên theo PDPD
Nhân viên là chủ thể dữ liệu cá nhân và có đầy đủ các quyền theo Luật PDPD. Họ có quyền được biết về việc xử lý dữ liệu, quyền truy cập, sửa đổi, xóa và hạn chế xử lý dữ liệu. Ngoài ra, nhân viên cũng có quyền phản đối việc thu thập dữ liệu vượt quá phạm vi công việc hoặc sử dụng camera ở khu vực riêng tư. Doanh nghiệp cần tôn trọng các quyền này và có quy trình rõ ràng để giải quyết yêu cầu.
Quy trình xử lý yêu cầu nhân viên
Khi nhân viên yêu cầu xem, sửa hoặc xóa dữ liệu cá nhân, doanh nghiệp cần xử lý trong thời gian quy định. Quy trình nên bao gồm tiếp nhận yêu cầu, xác minh danh tính, kiểm tra tính hợp lệ, thực hiện yêu cầu và phản hồi nhân viên. Trong một số trường hợp, doanh nghiệp có thể từ chối yêu cầu xóa nếu dữ liệu cần được lưu giữ theo quy định của pháp luật lao động. Việc ghi nhận đầy đủ các yêu cầu giúp đảm bảo minh bạch và tuân thủ.
Lưu ý với dữ liệu sinh trắc học
Dữ liệu sinh trắc học từ máy chấm công là một trong những loại dữ liệu nhạy cảm cần được bảo vệ đặc biệt. Doanh nghiệp chỉ nên thu thập dữ liệu này khi thực sự cần thiết và có biện pháp bảo mật phù hợp. Khi nhân viên nghỉ việc, dữ liệu sinh trắc học cần được xóa theo quy định. Ngoài ra, doanh nghiệp nên có phương án dự phòng như chấm công thẻ hoặc mã PIN để giảm thiểu rủi ro khi hệ thống sinh trắc học gặp sự cố.
## Kết luận
Xử lý dữ liệu nhân sự đòi hỏi sự cân bằng giữa quyền quản lý của doanh nghiệp và quyền riêng tư của nhân viên. Bằng cách tuân thủ Luật PDPD, Nghị định 356 và Bộ Luật Lao động, doanh nghiệp có thể bảo vệ dữ liệu nhân viên một cách hiệu quả, đồng thờitạo môi trường làm việc minh bạch và đáng tin cậy.