Chính sách bảo vệ dữ liệu cá nhân của doanh nghiệp có hiệu lực theo quyết định ban hành, nhưng nó chỉ ràng buộc nhân viên khi đã được thông báo và chỉ hợp lệ khi phù hợp với khung pháp luật đang áp dụng. Khung đó đã thay đổi: trước đây chủ yếu là Nghị định 13/2023/NĐ-CP, nay có Luật Bảo vệ dữ liệu cá nhân năm 2025, có hiệu lực từ 1/1/2026, cùng văn bản hướng dẫn. Bản chính sách, phiếu đồng ý soạn theo khung cũ không tự mất giá trị, nhưng cần được rà lại.
Doanh nghiệp vừa và nhỏ thường có chính sách dữ liệu dưới nhiều dạng: một điều khoản bảo mật trong hợp đồng lao động, một phiếu đồng ý nhân viên ký khi lắp máy chấm công khuôn mặt, một quy chế an toàn thông tin, một trang chính sách quyền riêng tư cho khách hàng. Bài này tập trung vào phía nội bộ: văn bản nào ràng buộc ai, từ khi nào, và việc cần làm khi khung pháp luật thay đổi. Chi tiết nghĩa vụ kỹ thuật thuộc lĩnh vực chuyên sâu về bảo vệ dữ liệu, ở đây chỉ nhắc ở mức cần để đánh giá hiệu lực.
Những văn bản nào tạo nên chính sách dữ liệu của một công ty
Trong thực tế, "chính sách dữ liệu" không phải một văn bản duy nhất. Có văn bản hướng tới người có dữ liệu bị xử lý, như thông báo xử lý dữ liệu cho nhân viên, chính sách quyền riêng tư cho khách hàng, phiếu đồng ý. Có văn bản hướng tới người xử lý dữ liệu trong công ty, như quy chế an toàn thông tin, quy định phân quyền truy cập, quy trình xử lý khi lộ dữ liệu. Và có điều khoản nằm trong hợp đồng: điều khoản bảo mật trong hợp đồng lao động, thoả thuận bảo mật với cộng tác viên, nhà cung cấp.
Mỗi loại có cơ chế hiệu lực khác nhau. Quy chế nội bộ có hiệu lực theo quyết định ban hành và ràng buộc nhân viên như các quy định nội bộ khác. Điều khoản hợp đồng có hiệu lực khi hai bên ký. Thông báo và phiếu đồng ý gắn với từng lần xử lý dữ liệu, có giá trị trong phạm vi mục đích đã nêu.
Nếu chính sách có nội dung về hành vi bị cấm và hình thức kỷ luật đối với nhân viên làm lộ dữ liệu, phần đó cần nằm trong nội quy lao động hoặc được nội quy dẫn chiếu, để có căn cứ kỷ luật hợp lệ. Một quy chế an toàn thông tin độc lập, không gắn với nội quy, có thể không đủ để xử lý kỷ luật.
Phân biệt rõ các lớp này giúp trả lời câu hỏi "chính sách còn hiệu lực không" một cách cụ thể, thay vì nhìn cả bộ hồ sơ như một khối.
Văn bản nào ràng buộc ai, và việc cần làm khi khung luật thay đổi
Bảng dưới gom các văn bản dữ liệu hay gặp ở doanh nghiệp nhỏ, kèm việc nên làm khi chuyển từ khung cũ sang khung luật hiện hành.
| Văn bản | Ràng buộc ai | Khi khung luật thay đổi |
|---|---|---|
| Quy chế an toàn thông tin nội bộ | Nhân viên được thông báo | Rà nội dung, ban hành bản sửa, thông báo lại |
| Điều khoản bảo mật trong hợp đồng lao động | Từng người lao động đã ký | Thường giữ nguyên; bổ sung bằng phụ lục khi cần |
| Thông báo xử lý dữ liệu nhân viên | Nhân viên là chủ thể dữ liệu | Cập nhật mục đích, loại dữ liệu, thời gian lưu theo khung mới |
| Phiếu đồng ý chấm công khuôn mặt, vân tay | Từng người đã ký | Kiểm có đáp ứng yêu cầu với dữ liệu nhạy cảm không |
| Thoả thuận bảo mật với nhà cung cấp phần mềm nhân sự | Nhà cung cấp | Rà điều khoản về vai trò, trách nhiệm, xoá dữ liệu |
| Chính sách quyền riêng tư cho khách hàng | Khách hàng trong phạm vi đã thông báo, đồng ý | Cập nhật và thông báo thay đổi |
Bảng cho thấy hầu hết văn bản không mất hiệu lực chỉ vì luật mới ra đời; việc cần làm là kiểm từng văn bản còn đáp ứng yêu cầu của khung hiện hành hay không và bổ sung phần thiếu.
Phiếu đồng ý nhân viên ký từ trước: còn dùng được không
Đồng ý là căn cứ phổ biến để xử lý dữ liệu cá nhân. Theo cả khung cũ lẫn khung hiện hành, sự đồng ý phải tự nguyện, rõ ràng, gắn với mục đích cụ thể; im lặng hoặc không phản hồi không được coi là đồng ý; người đã đồng ý có quyền rút lại. Phiếu đồng ý soạn theo Nghị định 13/2023/NĐ-CP thường đã tuân theo các nguyên tắc này.
Vì vậy, một phiếu đồng ý ký từ trước nhìn chung vẫn là bằng chứng hợp lệ cho việc xử lý trong đúng phạm vi mục đích đã nêu, trừ khi văn bản chuyển tiếp của luật mới yêu cầu khác. Nó không đủ khi doanh nghiệp muốn dùng dữ liệu cho mục đích mới, như dùng ảnh khuôn mặt chấm công để làm thẻ ra vào toà nhà, hay chia sẻ dữ liệu cho một đơn vị mới. Mục đích mới cần thông báo và, nếu căn cứ là đồng ý, cần đồng ý mới.
Cũng cần lưu ý rằng trong quan hệ lao động, sự tự nguyện của đồng ý dễ bị đặt câu hỏi vì nhân viên ở vị thế yếu hơn. Với nhiều loại xử lý cần cho việc thực hiện hợp đồng lao động hoặc nghĩa vụ luật định như đóng bảo hiểm, khai thuế, khung pháp luật có các căn cứ xử lý khác ngoài đồng ý. Danh sách cụ thể cần đối chiếu văn bản hiện hành.
Ví dụ giả định: một công ty bán lẻ ở Huế đã lấy phiếu đồng ý dùng vân tay chấm công năm 2024. Năm nay công ty chuyển sang chấm công khuôn mặt bằng thiết bị của nhà cung cấp mới, lưu dữ liệu trên máy chủ của nhà cung cấp. Đây là thay đổi về loại dữ liệu, cách xử lý và bên xử lý, nên cần thông báo mới và đánh giá lại căn cứ xử lý.
Camera, chấm công sinh trắc học, giám sát thư điện tử: điểm nóng hiệu lực
Dữ liệu sinh trắc học là dữ liệu nhạy cảm. Vân tay, khuôn mặt dùng để xác thực thuộc nhóm dữ liệu cá nhân nhạy cảm theo khung pháp luật về dữ liệu, kéo theo yêu cầu bảo vệ cao hơn. Quy định nội bộ về chấm công sinh trắc học cần nêu rõ mục đích, thời gian lưu, ai được truy cập, và nên có phương án thay thế cho người không muốn dùng.
Camera tại nơi làm việc. Lắp camera để bảo vệ tài sản, an toàn là phổ biến, nhưng quy định nội bộ phải thông báo rõ vị trí, mục đích, thời gian lưu hình. Camera ở khu vực riêng tư như nhà vệ sinh, phòng thay đồ không thể được hợp thức hoá bằng bất kỳ quy chế nào.
Giám sát hộp thư công việc. Doanh nghiệp có quyền quản lý tài khoản thư công việc, nhưng nên quy định rõ trong chính sách: tài khoản dùng cho việc gì, khi nào công ty truy cập, ai phê duyệt. Truy cập mà không có quy định công bố trước dễ dẫn tới tranh chấp.
Thiết bị cá nhân dùng cho công việc. Quy định cho phép dùng điện thoại cá nhân để làm việc phải nói rõ công ty được quản lý phần nào, xoá dữ liệu công việc khi nào. Không thể dùng chính sách nội bộ để mặc nhiên truy cập dữ liệu riêng trên thiết bị của nhân viên.
Nhân viên nghỉ việc: chính sách còn ràng buộc tới đâu
Khi hợp đồng lao động chấm dứt, nội quy và quy chế nội bộ không còn ràng buộc người lao động như trước. Nhưng một số nghĩa vụ được thiết kế để kéo dài sau khi nghỉ việc. Bộ luật Lao động cho phép doanh nghiệp và người lao động thoả thuận về việc bảo vệ bí mật kinh doanh, bí mật công nghệ, kèm thời hạn và quyền lợi, trong hợp đồng lao động hoặc văn bản riêng. Thoả thuận bảo mật hợp lệ vẫn có hiệu lực sau khi nghỉ theo thời hạn đã ghi.
Ngược lại, quy định nội bộ chỉ nằm trong quy chế, không được thoả thuận trong hợp đồng, khó ràng buộc người đã nghỉ. Muốn một nghĩa vụ bảo mật kéo dài sau nghỉ việc, hãy đưa nó vào thoả thuận có chữ ký.
Về phía doanh nghiệp, nghĩa vụ với dữ liệu của nhân viên cũ vẫn tiếp tục. Dữ liệu chỉ được lưu trong thời gian cần thiết cho mục đích đã nêu và nghĩa vụ luật định như lưu hồ sơ bảo hiểm, thuế; quá thời hạn đó thì cần xoá hoặc huỷ theo quy trình. Chính sách nội bộ nên có bảng thời gian lưu cho từng loại hồ sơ nhân sự.
Quyền của nhân viên cũ với dữ liệu của chính mình, như yêu cầu truy cập, chỉnh sửa, xoá trong phạm vi luật cho phép, vẫn còn. Doanh nghiệp nên có đầu mối tiếp nhận các yêu cầu này, kể cả từ người đã nghỉ.
Rà chính sách dữ liệu nội bộ khi khung luật thay đổi
Với doanh nghiệp nhỏ không có bộ phận pháp chế riêng, trình tự dưới đây giúp rà gọn trong vài buổi làm việc:
- Liệt kê các loại dữ liệu cá nhân công ty đang xử lý về nhân viên: hồ sơ tuyển dụng, hợp đồng, bảng lương, bảo hiểm, chấm công, camera, thư công việc.
- Với mỗi loại, ghi mục đích, căn cứ xử lý, nơi lưu, ai truy cập, thời gian lưu, có chia sẻ cho bên ngoài không.
- Gom các văn bản hiện có: quy chế, thông báo, phiếu đồng ý, điều khoản hợp đồng, thoả thuận với nhà cung cấp.
- Đối chiếu từng văn bản với yêu cầu của luật và văn bản hướng dẫn hiện hành, đánh dấu phần thiếu hoặc lệch.
- Sửa quy chế nội bộ, cập nhật thông báo cho nhân viên, bổ sung phụ lục bảo mật nếu cần, lấy đồng ý mới cho mục đích mới.
- Ban hành, thông báo, lưu bằng chứng thông báo; đưa hành vi vi phạm về dữ liệu vào nội quy lao động nếu muốn có căn cứ kỷ luật.
Kết quả của buổi rà soát không chỉ là văn bản mới mà là một bản đồ dữ liệu của công ty. Bản đồ đó giúp trả lời nhanh khi nhân viên hỏi, khi có sự cố lộ dữ liệu, hoặc khi cơ quan có thẩm quyền yêu cầu giải trình.
Câu hỏi thường gặp
Công ty nhỏ vài người có cần chính sách bảo vệ dữ liệu cá nhân bằng văn bản không?
Nghĩa vụ bảo vệ dữ liệu cá nhân áp dụng cho tổ chức xử lý dữ liệu, không chỉ doanh nghiệp lớn. Mức độ chi tiết có thể khác nhau, và văn bản hướng dẫn có thể có quy định riêng cho doanh nghiệp nhỏ. Một văn bản ngắn nêu loại dữ liệu, mục đích, người truy cập, thời gian lưu là điểm khởi đầu hợp lý.
Nhân viên không ký phiếu đồng ý chấm công khuôn mặt thì công ty có được ép không?
Đồng ý phải tự nguyện. Nếu căn cứ xử lý là đồng ý, công ty không nên ép và nên có phương án chấm công thay thế. Việc kỷ luật nhân viên chỉ vì không đồng ý cung cấp dữ liệu sinh trắc học có rủi ro pháp lý cao.
Chính sách soạn theo Nghị định 13/2023 có phải bỏ đi làm lại toàn bộ không?
Thường không cần làm lại toàn bộ. Phần lớn nguyên tắc vẫn tương đồng. Việc cần làm là đối chiếu với luật và văn bản hướng dẫn hiện hành, sửa phần lệch, bổ sung phần mới, rồi ban hành lại và thông báo cho người liên quan.
Nhân viên làm lộ dữ liệu khách hàng thì công ty kỷ luật dựa vào văn bản nào?
Dựa vào nội quy lao động đã có hiệu lực, nếu nội quy quy định hành vi này, hoặc điều khoản trong hợp đồng lao động. Quy chế an toàn thông tin độc lập không được nội quy dẫn chiếu có thể không đủ làm căn cứ kỷ luật. Trách nhiệm bồi thường theo cơ chế riêng.
Nhân viên cũ yêu cầu xoá ảnh của mình trên trang của công ty thì có phải làm không?
Người có dữ liệu cá nhân có quyền yêu cầu xoá trong phạm vi luật cho phép, nhất là khi mục đích xử lý ban đầu đã không còn. Công ty nên tiếp nhận, xem căn cứ đang lưu và trả lời bằng văn bản. Ảnh dùng cho truyền thông thường dựa vào đồng ý, nên khó giữ khi người đó rút lại.
Dữ liệu nhân sự lưu trên phần mềm thuê ngoài thì trách nhiệm thuộc ai?
Doanh nghiệp quyết định mục đích, phương tiện xử lý vẫn chịu trách nhiệm chính với nhân viên. Nhà cung cấp phần mềm thường là bên xử lý theo hợp đồng. Hợp đồng cần quy định rõ vai trò, biện pháp bảo vệ, việc xoá dữ liệu khi chấm dứt dịch vụ.