Bảo vệ dữ liệu cá nhân ngành sản xuất: nhà máy, khu công nghiệp và doanh nghiệp FDI

1. Ai phải tuân thủ bảo vệ dữ liệu cá nhân ngành sản xuất?

Bảo vệ dữ liệu cá nhân ngành sản xuất áp dụng cho mọi doanh nghiệp vận hành nhà máy, xưởng sản xuất tại Việt Nam, dù là doanh nghiệp trong nước hay có vốn nước ngoài. Khác với ngành bán lẻ hay tài chính, dữ liệu lớn nhất của một nhà máy không phải dữ liệu khách hàng mà là dữ liệu người lao động. Các nhóm doanh nghiệp thường gặp:

• Nhà máy FDI trong khu công nghiệp: điện tử, dệt may, da giày, linh kiện ô tô, với hàng nghìn công nhân, chuyên gia nước ngoài và hệ thống nhân sự kết nối với công ty mẹ.
• Nhà cung cấp, doanh nghiệp gia công (OEM, ODM): thường phải chứng minh tuân thủ khi khách hàng quốc tế đánh giá chuỗi cung ứng.
• Công ty cung ứng lao động, nhà thầu bảo vệ, căng tin, xe đưa đón: trực tiếp giữ dữ liệu công nhân theo hợp đồng với nhà máy.
• Doanh nghiệp sản xuất có kênh bán hàng riêng: ngoài dữ liệu người lao động còn có dữ liệu nhà phân phối, đại lý và khách hàng bảo hành.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 áp dụng cho cả tổ chức nước ngoài tại Việt Nam và tổ chức nước ngoài trực tiếp tham gia xử lý dữ liệu của công dân Việt Nam (khoản 2 Điều 1). Vì vậy công ty mẹ ở nước ngoài truy cập dữ liệu công nhân tại Việt Nam cũng thuộc phạm vi điều chỉnh.

Điểm dễ bị bỏ qua: nhà máy nhỏ cũng hiếm khi được hưởng ưu đãi miễn DPIA và DPO. Ưu đãi tại khoản 2, 3 Điều 38 Luật 91/2025/QH15 loại trừ doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm, trong khi hầu hết nhà máy đều chấm công bằng vân tay hoặc khuôn mặt và lưu kết quả khám sức khỏe của công nhân.

2. Điều 25: dữ liệu người lao động từ tuyển dụng đến nghỉ việc

Điều 25 Luật 91/2025/QH15 là quy định riêng về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý và sử dụng người lao động, và là trọng tâm của bảo vệ dữ liệu cá nhân ngành sản xuất. Điều này chia thành ba giai đoạn:

1. Tuyển dụng (khoản 1): chỉ được yêu cầu thông tin phục vụ mục đích tuyển dụng; thông tin chỉ dùng cho tuyển dụng và mục đích khác đã thỏa thuận; phải có sự đồng ý của người dự tuyển; phải xóa, hủy thông tin của người không trúng tuyển, trừ khi có thỏa thuận khác.
2. Quản lý, sử dụng (khoản 2): dữ liệu người lao động được lưu theo thời hạn luật định hoặc thỏa thuận, và phải xóa, hủy khi chấm dứt hợp đồng, trừ khi có thỏa thuận hoặc luật quy định khác.
3. Giám sát bằng công nghệ (khoản 3): chỉ được áp dụng biện pháp công nghệ, kỹ thuật phù hợp với pháp luật, trên cơ sở người lao động biết rõ biện pháp đó; không được xử lý dữ liệu thu thập từ biện pháp trái luật.

Trong nhà máy, khoản 3 bao trùm camera dây chuyền, chấm công sinh trắc học, phần mềm giám sát máy tính, định vị xe đưa đón và thiết bị đeo an toàn. Tìm hiểu thêm về dữ liệu nhân sự theo Luật 91/2025.

3. Luật chuyên ngành: lao động, an toàn lao động và giấy tờ tùy thân

Bảo vệ dữ liệu cá nhân ngành sản xuất phải đặt cạnh các quy định lao động mà nhà máy vốn đã áp dụng. Theo khoản 2 Điều 5 Luật 91/2025/QH15, quy định cụ thể về dữ liệu cá nhân trong các luật ban hành trước ngày 01/01/2026 vẫn được áp dụng nếu không trái nguyên tắc của Luật 91.

• Thông tin người lao động phải cung cấp: khi giao kết hợp đồng, người lao động cung cấp trung thực họ tên, ngày sinh, giới tính, nơi cư trú, trình độ, kỹ năng nghề, xác nhận tình trạng sức khỏe và vấn đề khác liên quan trực tiếp đến hợp đồng mà người sử dụng lao động yêu cầu (khoản 2 Điều 16 Bộ luật Lao động số 45/2019/QH14). Đây là giới hạn tự nhiên cho phạm vi thu thập theo khoản 1 Điều 25 Luật 91.
• Không giữ giấy tờ gốc: người sử dụng lao động không được giữ bản chính giấy tờ tùy thân, văn bằng, chứng chỉ của người lao động (khoản 1 Điều 17 Bộ luật Lao động). Quy định này áp dụng cả với hộ chiếu của chuyên gia nước ngoài; mức phạt và cách làm thay được phân tích trong bài công ty giữ căn cước công dân của người lao động.
• Khám sức khỏe và hồ sơ sức khỏe: người sử dụng lao động phải tổ chức khám sức khỏe ít nhất một lần mỗi năm, và ít nhất sáu tháng một lần với người làm nghề nặng nhọc, độc hại, nguy hiểm và một số nhóm khác (khoản 1 Điều 21 Luật An toàn, vệ sinh lao động số 84/2015/QH13), đồng thời lập và quản lý hồ sơ sức khỏe của người lao động (khoản 2 Điều 27). Hồ sơ này được lưu trong thời gian người lao động làm việc và trả cho người lao động khi nghỉ việc (khoản 1 Điều 18 Thông tư 56/2025/TT-BYT). Kết quả khám là dữ liệu sức khỏe, một nhóm dữ liệu nhạy cảm.
• Thẻ căn cước: khoản 2 Điều 7 Luật Căn cước số 26/2023/QH15 cấm giữ thẻ căn cước trái quy định của pháp luật. Thói quen giữ CCCD của khách, nhà thầu ở cổng bảo vệ vì vậy cần được thay bằng thẻ khách.
• Chứng từ lương: chứng từ kế toán dùng trực tiếp để ghi sổ phải lưu ít nhất 10 năm (điểm b khoản 5 Điều 41 Luật Kế toán số 88/2015/QH13). Bảng thanh toán tiền lương thường thuộc nhóm này, dù luật không gọi tên bảng lương. Đây là căn cứ để giữ lại một phần dữ liệu người lao động sau khi nghỉ việc, theo ngoại lệ "pháp luật có quy định khác" tại điểm c khoản 2 Điều 25 Luật 91.

4. Năm rủi ro thường gặp khi bảo vệ dữ liệu cá nhân ngành sản xuất

Năm tình huống dưới đây là những rủi ro LexData gặp nhiều nhất khi rà soát bảo vệ dữ liệu cá nhân ngành sản xuất, đặc biệt ở nhà máy trong khu công nghiệp.

Chấm công khuôn mặt, vân tay không có phương án thay thế

Máy chấm công khuôn mặt giúp chống chấm công hộ, nhưng mẫu khuôn mặt là dữ liệu sinh trắc học. Nhiều nhà máy lắp máy, nạp dữ liệu toàn bộ công nhân mà không có văn bản thông báo hay đồng ý, và không có lựa chọn khác cho người không muốn cung cấp. Sự đồng ý phải tự nguyện và cho từng mục đích (khoản 2, 4 Điều 9 Luật 91/2025/QH15). Nhà máy còn phải bảo mật thiết bị lưu và truyền dữ liệu sinh trắc học, giới hạn truy cập và có hệ thống theo dõi để phát hiện xâm phạm (điểm a khoản 4 Điều 31). Cần xác định rõ nhà cung cấp máy chấm công có đồng bộ dữ liệu lên máy chủ của họ hay không.

Camera giám sát nhà máy và phần mềm theo dõi máy tính

Camera giám sát nhà máy phục vụ an ninh, an toàn lao động và kiểm soát chất lượng là hợp lý, nhưng người lao động phải biết rõ (điểm a khoản 3 Điều 25). Khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP phạt 50 đến 70 triệu đồng khi lắp phần mềm theo dõi, camera giám sát tại nơi làm việc mà không thông báo. Dùng dữ liệu thu được từ biện pháp trái quy định bị phạt 70 đến 100 triệu đồng (khoản 3 Điều 61). Xem thêm quy định lắp camera theo Luật 91/2025.

Gửi dữ liệu nhân sự cho công ty mẹ ở nước ngoài

Doanh nghiệp FDI thường dùng HRIS của tập đoàn, gửi bảng lương cho trung tâm dịch vụ khu vực hoặc báo cáo nhân sự cho công ty mẹ. Mỗi luồng này là chuyển dữ liệu cá nhân xuyên biên giới theo khoản 1 Điều 20 Luật 91/2025/QH15. Miễn trừ tại điểm b khoản 6 Điều 20 chỉ nói đến việc lưu trữ dữ liệu người lao động trên dịch vụ điện toán đám mây, không bao gồm việc công ty mẹ sử dụng dữ liệu. Điểm d khoản 3 Điều 17 Nghị định 356/2025/NĐ-CP miễn thêm cho việc chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể; nhà máy cần đánh giá từng luồng có thuộc diện này không. Các luồng không thuộc miễn trừ cần hồ sơ theo Mẫu số 09 gửi Cục A05 trong 60 ngày.

Kết quả khám sức khỏe đến tay quản lý trực tiếp

Kết quả khám sức khỏe định kỳ thường được phòng khám gửi nguyên bộ về phòng nhân sự, rồi chuyển tiếp cho quản lý xưởng để xếp vị trí. Quản lý trực tiếp chỉ cần biết người lao động có đủ sức khỏe cho vị trí hay không, không cần chẩn đoán chi tiết. Với bảo vệ dữ liệu cá nhân ngành sản xuất, nguyên tắc là chỉ chia sẻ đúng phần dữ liệu cần cho công việc. Nhà máy nên tách hồ sơ sức khỏe khỏi hồ sơ nhân sự, giới hạn người được xem và yêu cầu phòng khám đối tác ký thỏa thuận xử lý dữ liệu.

Nhà thầu và công ty cung ứng lao động giữ dữ liệu công nhân

Trong bảo vệ dữ liệu cá nhân ngành sản xuất, chuỗi nhà thầu thường là điểm yếu nhất. Công ty cung ứng lao động, nhà thầu bảo vệ, căng tin, xe đưa đón đều nhận danh sách công nhân từ nhà máy. Nhiều hợp đồng dịch vụ không có điều khoản bảo vệ dữ liệu. Thỏa thuận chuyển giao không xác định rõ trách nhiệm bảo vệ dữ liệu bị phạt 20 đến 30 triệu đồng (khoản 1 Điều 52 Nghị định 330/2026/NĐ-CP). Nhà máy cần hợp đồng xử lý dữ liệu với từng bên và quyền kiểm tra việc tuân thủ.

5. Nghĩa vụ bảo vệ dữ liệu cá nhân ngành sản xuất và căn cứ pháp lý

Bảng dưới đây tóm tắt các nghĩa vụ chính. Mỗi dòng là một hạng mục cần có trong kế hoạch bảo vệ dữ liệu cá nhân ngành sản xuất của nhà máy.

6. Bảo vệ dữ liệu cá nhân ngành sản xuất cho doanh nghiệp FDI

Với nhà máy có vốn nước ngoài, bảo vệ dữ liệu cá nhân ngành sản xuất có ba điểm khác so với thông lệ của công ty mẹ:

• Chính sách tập đoàn chưa đủ: chính sách theo GDPR hoặc luật Nhật Bản, Hàn Quốc là nền tảng tốt, nhưng Việt Nam yêu cầu hồ sơ DPIA và hồ sơ chuyển dữ liệu xuyên biên giới nộp cho Cục A05, một thủ tục không có tương đương ở châu Âu. Luật 91/2025/QH15 cũng không có cơ chế tương tự quy tắc ràng buộc doanh nghiệp (BCR) để thay thế hồ sơ này.
• Đánh giá chuỗi cung ứng: khách hàng quốc tế ngày càng đưa bảo vệ dữ liệu người lao động vào bộ tiêu chí đánh giá nhà cung cấp. Hồ sơ tuân thủ theo luật Việt Nam giúp nhà máy trả lời các cuộc đánh giá này.
• Chuyên gia nước ngoài: hộ chiếu, giấy phép lao động (cấp theo Nghị định 219/2025/NĐ-CP), thông tin gia đình của chuyên gia cũng là dữ liệu cá nhân được Luật 91 bảo vệ, dù người đó không phải công dân Việt Nam: nhà máy là tổ chức tại Việt Nam (khoản 2 Điều 1), và định nghĩa dữ liệu cá nhân tại khoản 1 Điều 2 không giới hạn theo quốc tịch.

Vì vậy, bảo vệ dữ liệu cá nhân ngành sản xuất nên có trong kế hoạch tuân thủ của nhà máy ngay từ năm đầu hoạt động tại Việt Nam, không chờ đến khi có đợt kiểm tra. Nếu nhà máy đang được mua lại hoặc sáp nhập, dữ liệu người lao động là hạng mục cần thẩm định riêng. Xem dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân của LexData.